Datenschutz-Folgenabschätzung (DPIA)
Compliance · 8 min · Stand: März 2026
Eine Datenschutz-Folgenabschätzung (Data Protection Impact Assessment, DPIA) ist nach Art. 35 DSGVO Pflicht, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Bei KI-Systemen ist das häufig der Fall.
Wann ist eine DPIA Pflicht?
Eine DPIA ist insbesondere erforderlich bei:
- Automatisierten Einzelentscheidungen mit rechtlicher Wirkung (Art. 22 DSGVO)
- Umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten
- Systematischer Überwachung öffentlich zugänglicher Bereiche
- Profiling mit erheblichen Auswirkungen auf Betroffene
- Neuen Technologien (KI-Systeme gelten als neue Technologie)
Faustregel: Wenn dein KI-System personenbezogene Daten verarbeitet und automatisierte Entscheidungen trifft oder Nutzerverhalten analysiert, brauchst du eine DPIA.
DPIA-Prozess in 6 Schritten
- 1. Verarbeitung beschreiben
Welche Daten, welcher Zweck, welche Rechtsgrundlage, welche Empfänger?
- 2. Notwendigkeit und Verhältnismäßigkeit prüfen
Ist die Verarbeitung für den Zweck erforderlich? Gibt es mildere Mittel?
- 3. Risiken für Betroffene bewerten
Eintrittswahrscheinlichkeit und Schwere möglicher Schäden.
- 4. Maßnahmen zur Risikominimierung definieren
Technische und organisatorische Maßnahmen (TOM), Pseudonymisierung, Zugriffskontrollen.
- 5. Dokumentation erstellen
Ergebnisse schriftlich festhalten, Maßnahmen und Restrisiken dokumentieren.
- 6. Regelmäßig überprüfen
DPIA ist kein einmaliges Dokument — bei Änderungen am System aktualisieren.
DPIA und EU AI Act
Der EU AI Act ergänzt die DSGVO-DPIA um KI-spezifische Anforderungen:
- High-Risk KI-Systeme brauchen eine DPIA und zusätzlich eine KI-spezifische Risikobewertung
- Art. 27 EU AI Act verlangt eine Grundrechte-Folgenabschätzung für bestimmte Deployer
- Die DPIA kann mit der KI-Risikobewertung kombiniert werden
Vorteil Self-Hosted KI
Bei Self-Hosted KI (z.B. Ollama lokal) fällt die DPIA deutlich einfacher aus: Keine Drittlandtransfers, keine Auftragsverarbeitung, volle Kontrolle über die Daten. Das Restrisiko ist geringer als bei Cloud-KI.
Weiterführend
Quellen
- DSGVO Art. 35 — Datenschutz-Folgenabschätzung (EUR-Lex)
- Österreichische Datenschutzbehörde — DPIA Ressourcen
Weiterführende Artikel: DSGVO Grundlagen · Datenschutz Praxis · EU AI Act Checkliste
Für die Umsetzung gibt es Ressourcen auf ai-engineering.at.
Verwandte Artikel
War dieser Artikel hilfreich?
Weiter im Lernpfad
Der Lernpfad bringt diese Artikel in eine Reihenfolge, und der Hub führt die Bausteine, die wir im eigenen Betrieb geprüft haben.
- Lokal und selbst gehostet
- Dokumentiert und prüfbar
- Aus eigenem Betrieb
- Made in Austria