Wo Ihr KI-Agent eine DSFA braucht — und wo nicht

Ob Ihr KI-Agent eine Datenschutz-Folgenabschätzung braucht, lässt sich europaweit nicht einheitlich beantworten. Artikel 35 Abs. 4 DSGVO verpflichtet jede Aufsichtsbehörde, eine eigene Liste zu veröffentlichen — und diese Listen sind unterschiedlich aufgebaut. Österreich erlässt eine bindende Verordnung, bei der ein Kriterium genügt. Spanien veröffentlicht ausdrücklich orientierende Hinweise und fragt nach zwei. In Deutschland hängt die Antwort davon ab, in welchem Bundesland Sie sitzen. Hier steht, was acht Behörden tatsächlich veröffentlichen.

Ein Kunde fragt, ob Sie eine Datenschutz-Folgenabschätzung durchgeführt haben, bevor Sie einen KI-Agenten auf sein Postfach gesetzt haben. Sie schlagen nach und finden überall dieselben drei Fälle aus Artikel 35 Abs. 3: systematische Profilbildung mit erheblicher Wirkung, umfangreiche besondere Datenkategorien, systematische Überwachung öffentlicher Bereiche. Nichts davon beschreibt offensichtlich, was Sie gebaut haben.

Also schließen Sie, dass Sie keine brauchten. Dieser Schluss kann in Ihrem Land richtig und jenseits der Grenze falsch sein.

Artikel 35 Abs. 4 DSGVO verpflichtet jede Aufsichtsbehörde, eine eigene Liste von Verarbeitungsvorgängen zu erstellen und zu veröffentlichen, für die stets eine DSFA erforderlich ist. 22 Behörden legten im September 2018 Listenentwürfe vor, zu denen der Europäische Datenschutzausschuss jeweils eine Stellungnahme abgab. Sie sind nicht gleich aufgebaut, und die Unterschiede sind nicht kosmetisch — sie ändern die Antwort.

Was die Verordnung selbst verlangt

Drei Absätze tragen die Last.

Artikel 35 Abs. 1 setzt den allgemeinen Maßstab: Eine DSFA ist erforderlich, wenn eine Verarbeitung „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat" — unter Berücksichtigung von Art, Umfang, Umständen und Zwecken. Neue Technologien werden ausdrücklich als Faktor genannt.

Artikel 35 Abs. 3 nennt drei Fälle, in denen eine DSFA „insbesondere" erforderlich ist:

• systematische und umfassende Bewertung persönlicher Aspekte auf der Grundlage automatisierter Verarbeitung einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung dient;
• umfangreiche Verarbeitung besonderer Kategorien nach Artikel 9 oder von Daten über strafrechtliche Verurteilungen nach Artikel 10;
• systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Das Wort „insbesondere" ist entscheidend. Die Aufzählung ist nicht abschließend, und außerhalb zu liegen bedeutet nicht, außer Obligo zu sein.

Artikel 35 Abs. 4 ist der Absatz, den die meisten Ratgeber weglassen: Jede Aufsichtsbehörde „erstellt und veröffentlicht eine Liste der Verarbeitungsvorgänge, für die eine Datenschutz-Folgenabschätzung durchzuführen ist". Absatz 5 erlaubt zusätzlich eine Liste von Vorgängen, für die keine DSFA erforderlich ist. Beide gehen an den Datenschutzausschuss.

Dort entsteht die nationale Divergenz — vollkommen rechtmäßig. Die Verordnung hat 27 Behörden gebeten, einen Maßstab für ihre eigene Rechtsordnung auszulegen, und genau das ist geschehen.

Die Behörden nutzen nicht einmal dieselbe Art von Rechtsakt

Noch vor dem Inhalt unterscheidet sich die Form — und die Form entscheidet über die Bindungswirkung.

Italiens Liste wurde per Beschluss angenommen und in der Gazzetta Ufficiale veröffentlicht. Die niederländische erschien in der Staatscourant. Polens Liste kam als Komunikat im Monitor Polski und wurde später überarbeitet — von neun auf zwölf Kategorien. Frankreich und Irland veröffentlichen Behördenbeschlüsse. Deutschland veröffentlicht überhaupt keine einheitliche nationale Liste: Die Datenschutzkonferenz gibt eine Muss-Liste heraus, die von jeder Landesbehörde erneut veröffentlicht wird, mit getrennten Fassungen für den öffentlichen und den nicht-öffentlichen Bereich.

„Prüfen Sie Ihre nationale Liste" bedeutet also je nach Ort vier verschiedene Handlungen: eine Verordnung lesen, eine Amtsblattbekanntmachung lesen, einen Behördenbeschluss lesen — oder herausfinden, welche von sechzehn Landesfassungen für Sie gilt.

Acht Behörden im direkten Vergleich

Lesen Sie die rechte Spalte noch einmal. Österreich verlangt ein Kriterium. Spanien verweist auf zwei oder mehr. Die irischen Einträge greifen erst, wenn eine dokumentierte Vorprüfung bereits ein hohes Risiko festgestellt hat — dort ist also die Vorprüfung, nicht die Liste, die erste Pflicht. Frankreichs vierzehn Typen gelten aus sich heraus.

Österreich verlangt ein Kriterium. Spanien fragt nach zwei. Irland verlangt zuerst eine Vorprüfung. Derselbe Artikel, drei verschiedene Antworten.

Der Eintrag, der einen KI-Agenten trifft — und die fünf Länder, die ihn nicht haben

Die meisten kleinen Agenten-Bereitstellungen betreiben keine Biometrie, kein Kredit-Scoring und keine Überwachung öffentlicher Räume. Sie lesen ein Postfach, fassen Dokumente zusammen, entwerfen Antworten, aktualisieren ein CRM. Der Auslöser, der diese Arbeit tatsächlich erfasst, ist die Beschäftigtenkontrolle — denn ein Agent mit Zugriff auf das Firmenpostfach ist strukturell ein System, das verarbeitet, was Beschäftigte den ganzen Tag schreiben.

Drei der acht benennen das ausdrücklich:

• Niederlande, Kategorie 11, Controle werknemers: „Grootschalige verwerking van persoonsgegevens en-of stelselmatig monitoring van activiteiten van werknemers" — umfangreiche Verarbeitung personenbezogener Daten und/oder systematische Überwachung von Tätigkeiten der Beschäftigten.
• Italien, Nr. 5: Verarbeitungen im Beschäftigungsverhältnis mittels technischer Systeme, aus denen sich die Möglichkeit einer Fernkontrolle der Tätigkeit der Beschäftigten ergibt.
• Deutschland, DSK: unter den benannten Vorgängen die umfangreiche Verarbeitung von Beschäftigtendaten durch Systeme wie Data-Loss-Prevention, mit der zentralen Aufzeichnung von Aktivitäten als Beispiel.

Fünf tun das nicht. Frankreich, Spanien, Irland, Österreich und Polen erfassen dieselbe Bereitstellung nur über allgemeine Einträge zu Profiling, systematischer Beobachtung oder umfangreicher Verarbeitung — das verlangt eine Begründung statt eines Nachschlagens.

Das ist der praktische Befund. Wer in Amsterdam, Rom oder Hamburg einen Agenten über das Firmenpostfach laufen lässt, kann auf eine benannte Kategorie zeigen. In Paris, Madrid, Dublin, Wien oder Warschau bauen Sie eine Argumentation aus allgemeinen Kriterien. Keines von beidem bedeutet „keine DSFA". Es ändert, wie Sie die Entscheidung belegen — und wie leicht der Datenschutzbeauftragte eines Kunden das nachprüfen kann.

Die Niederlande bewegen sich — zugunsten kleinerer Unternehmen

Eines der acht Länder ist mitten in einer Änderung, und sie wiegt schwerer als die übrigen, weil sie gerade kleine Unternehmen betrifft.

Die niederländische Behörde hat nach Artikel 35 Abs. 5 — der optionalen Hälfte — eine Liste entworfen, die Verarbeitungen benennt, für die keine DSFA erforderlich ist. Die Konsultation endete am 10. August 2026. Der vorgeschlagene Anwendungsbereich ist bemerkenswert konkret: Berufstätige und andere natürliche Personen ohne Beschäftigte sowie Arbeitgeber mit höchstens 250 Beschäftigten mit Tätigkeit im europäischen Teil der Niederlande.

Diese Schwelle erfasst praktisch jedes Unternehmen, für das diese Seite geschrieben ist.

In Kraft ist sie nicht. Die angepasste Liste geht an den Europäischen Datenschutzausschuss; die endgültige Fassung stellt die AP nach dessen Stellungnahme fest. Bis dahin gilt die verpflichtende Liste mit siebzehn Kategorien, und Kategorie 11 — Beschäftigtenkontrolle — greift weiterhin. Gegen den Entwurf wurde zudem eingewandt, die Ausnahmen seien zu weit gefasst; die Endfassung kann also enger ausfallen.

Der Grund, das jetzt zu wissen, ist der Zeitpunkt. Wer in diesem Quartal eine niederländische Bereitstellung plant, plant womöglich gegen eine Pflicht, die bei Inbetriebnahme bereits leichter ist — und „wir haben geprüft, und dies ist die Fassung, die am Tag unserer Entscheidung galt" ist der Nachweis, der in beiden Fällen trägt.

Deutschland ist ein Sonderfall, und wir sind dazu nicht die beste Quelle

Deutschland verdient aus zwei Gründen eine eigene Anmerkung.

Erstens die föderale Struktur: Es gibt keine einheitliche nationale Liste. Die DSK gibt eine Muss-Liste heraus, die jede Landesbehörde veröffentlicht, mit getrennten Fassungen für den öffentlichen und den nicht-öffentlichen Bereich. Wer über Landesgrenzen hinweg tätig ist, sollte prüfen, welche Fassung die eigene Aufsichtsbehörde veröffentlicht.

Zweitens sind die deutschen Aufsichtsbehörden bei KI weiter gegangen als die meisten, einschließlich Hinweisen zu Retrieval-Augmented Generation und Vektordatenbanken. Wenn Deutschland Ihr einziger Markt ist, geht die nötige Tiefe über das hinaus, was eine Vergleichsseite leisten sollte — die auf den deutschen Mittelstand ausgerichtete Arbeit auf superkind.ai ist zur deutschen Lage gründlicher als diese Seite, und wir verweisen lieber darauf, als sie schlecht zu verdoppeln.

Wenn Ihr Land nicht in der Tabelle steht

Die Methode ist überall dieselbe und erfordert für den Anfang keine Anwältin.

1. Suchen Sie die Liste Ihrer Behörde nach Artikel 35 Abs. 4. Jede Behörde ist zur Veröffentlichung verpflichtet.
2. Prüfen Sie die Art des Rechtsakts. Eine Verordnung bindet anders als orientierende Hinweise — daran erkennen Sie Ihren Auslegungsspielraum.
3. Prüfen Sie die Auslöselogik vor den Einträgen. Ein Kriterium, zwei Kriterien oder eine vorgeschaltete Prüfung — das bestimmt, wonach Sie überhaupt suchen.
4. Suchen Sie zuerst den Beschäftigten-Eintrag, wenn Ihr Agent auf Mitarbeiterkommunikation zugreift. Er ist der wahrscheinlichste Treffer.
5. Dokumentieren Sie die Entscheidung in beide Richtungen. Verantwortliche müssen belegen können, warum eine DSFA erforderlich war oder nicht. Der Nachweis ist die Pflicht, nicht nur die Bewertung.
6. Prüfen Sie erneut, wenn sich der Agent ändert. Ein neues Werkzeug, eine neue Datenkategorie oder ein neuer Empfänger kann eine Schwelle überschreiten, ohne dass es jemand bemerkt.

Was dieser Artikel nicht leistet

Diese Seite gibt wieder, was acht Aufsichtsbehörden veröffentlichen. Ihre Grenzen sind real:

• Es ist keine Rechtsberatung, und es ergeht kein Urteil über Ihre Bereitstellung. Ob ein konkretes System eine DSFA erfordert, entscheidet der Verantwortliche.
• Acht ist nicht siebenundzwanzig. Belgien, Portugal, Schweden, Dänemark, Finnland, Tschechien, Ungarn, Rumänien, Bulgarien, Kroatien, die Slowakei, Griechenland, Luxemburg, Malta, Zypern, Estland, Lettland, Litauen und Slowenien veröffentlichen ebenfalls Listen und fehlen hier. Ihr Fehlen belegt keine Milde.
• Diese Listen ersetzen nicht den aktuellen Text Ihrer eigenen Behörde. Mehrere stammen aus der Zeit vor den heutigen KI-Hinweisen, mindestens eine wird derzeit überarbeitet.
• Die niederländische Lage ändert sich gerade. Siehe den Abschnitt oben. Bis zur Annahme der Ausnahmeliste gilt die bestehende Liste mit siebzehn Kategorien; diese Seite gibt den heutigen Stand wieder.
• Übersetzungen stammen von uns. Jeder zitierte Auslöser steht auch im Original, damit Sie uns nachprüfen können.

Häufig gestellte Fragen

Braucht mein KI-Agent eine Datenschutz-Folgenabschätzung?

Das hängt von der Verarbeitung und vom Mitgliedstaat ab, nicht vom Wort „Agent". Über Artikel 35 Abs. 3 hinaus veröffentlicht jede Behörde eine eigene Liste, und diese Listen unterscheiden sich — die Niederlande, Italien und Deutschland benennen die Beschäftigtenkontrolle ausdrücklich; Frankreich, Spanien, Irland, Österreich und Polen nicht.

Gilt die DSFA-Pflicht in jedem EU-Land gleich?

Nein. Die österreichische DSFA-V ist eine bindende Verordnung, bei der eines von sechs Kriterien genügt. Die spanische Liste ist ausdrücklich orientierend und verweist auf zwei oder mehr Kriterien. Die irischen Einträge greifen nach einer dokumentierten Vorprüfung. Deutschland veröffentlicht je Bundesland.

Was passiert, wenn ich keine durchführe, obwohl sie erforderlich war?

Es ist ein eigenständiger Verstoß, unabhängig von späteren Vorfällen. Die niederländische Behörde stellt fest, dass das Fehlen einer DSFA bei einer gelisteten Kategorie für sich genommen ein Bußgeldgrund ist.

Ändert der EU AI Act die DSFA-Pflicht?

Er ersetzt Artikel 35 nicht. Es sind getrennte Rechtsakte mit getrennten Bewertungen.

Quellen

Alle Quellen abgerufen am 27.08.2026; jedes Behördendokument ist mit eigenem Datum angegeben.

• DSGVO Artikel 35 — Absätze 1, 3, 4, 5 und 7, zitiert nach dem Verordnungstext.
• Frankreich — CNIL, Délibération n° 2018-327 vom 11.10.2018, Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise; vierzehn Typen, jeweils den erfüllten Kriterien zugeordnet. Die CNIL bezeichnet die Liste als nicht abschließend und veröffentlicht zusätzlich eine Ausnahmeliste nach Artikel 35 Abs. 5.
• Spanien — AEPD, Listas de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos (art 35.4); das Dokument bezeichnet seine Liste als orientativa und verweist auf Verarbeitungen, die „dos o más criterios" erfüllen.
• Irland — Data Protection Commission, List of Types of Data Processing Operations which require a Data Protection Impact Assessment, angenommen am 15.11.2018; die Einträge greifen, „where a documented screening or preliminary risk assessment indicates that the processing operation is likely to result in a high risk".
• Niederlande — Besluit lijst verwerkingen persoonsgegevens waarvoor een gegevensbeschermingseffectbeoordeling (DPIA) verplicht is, Autoriteit Persoonsgegevens, beschlossen am 19.11.2019, veröffentlicht in der Staatscourant am 27.11.2019; siebzehn Kategorien.
• Deutschland — Datenschutzkonferenz, Liste von Verarbeitungsvorgängen nach Art. 35 Abs. 4 DS-GVO für den nicht-öffentlichen Bereich, Stand 17.10.2018, in der Veröffentlichung der Hamburger Behörde; neun Kriterien und sechzehn benannte Vorgänge, je Bundesland erneut veröffentlicht, mit getrennten Fassungen für den öffentlichen Bereich.
• Italien — Garante per la protezione dei dati personali, Delibera n. 467 vom 11.10.2018, veröffentlicht in der Gazzetta Ufficiale am 19.11.2018; zwölf Typen. Der Text wurde aus einer Wiedergabe der Amtsblattveröffentlichung abgerufen; Beschlussnummer, Beschlussdatum und Veröffentlichungsdatum stimmen quellenübergreifend überein.
• Österreich — Datenschutz-Folgenabschätzung-Verordnung (DSFA-V), in Kraft seit 10.11.2018; eine DSFA ist durchzuführen, wenn mindestens eines der Kriterien der Ziffern 1 bis 6 erfüllt ist.
• Polen — Komunikat des Präsidenten des Amts für den Schutz personenbezogener Daten vom 17.06.2019, veröffentlicht im Monitor Polski, in Überarbeitung der Bekanntmachung von 2018; zwölf Kategorien statt zuvor neun.
• EDSA — Zu den Entwürfen der Listen nach Artikel 35 Abs. 4 von zweiundzwanzig Behörden ergingen Stellungnahmen nach Artikel 64.

Übersetzungen zitierter Auslöser stammen von uns; das Original steht jeweils daneben, damit der Wortlaut an der Quelle geprüft werden kann.