DSFA bei KI-Einsatz: Warum daraus eine Pflicht zum Datenschutzbeauftragten wird

Gerade kleinere Unternehmen stolpern über diesen Punkt. Eine Zahnarztpraxis mit neun Beschäftigten führt einen KI-Telefonassistenten ein, ein Online-Shop mit zwölf Leuten einen Chatbot, der auf Kundenkonten zugreift, ein Handwerksbetrieb ein Tool zur Vorauswahl von Bewerbungen. Alle drei liegen unter 20 Beschäftigten und gehen davon aus, keinen Datenschutzbeauftragten zu brauchen. Für alle drei kann das falsch sein. Dieser Beitrag zeigt, wie die Kette aus KI, DSFA und Datenschutzbeauftragtem im Gesetz funktioniert, welche KI-Einsätze typischerweise darunter fallen und was sich ändern würde, wenn § 38 BDSG gestrichen wird.

Die Kette in drei Schritten

Fehlt Schritt 1 oder 2, greift die Sonderregel nicht. Dann richtet sich die Benennung nur nach der 20-Personen-Grenze oder nach Art. 37 DSGVO.

Was § 38 BDSG genau regelt

§ 38 Abs. 1 BDSG enthält zwei voneinander unabhängige Auslöser. Satz 1 ist die bekannte Regel: Wer in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, braucht einen Datenschutzbeauftragten. Satz 2 kommt ohne jede Personenzahl aus:

„Nehmen der Verantwortliche oder der Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, […] haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen.“

§ 38 Abs. 1 Satz 2 BDSG

In diesem Satz stecken drei Punkte, die in der Praxis oft falsch verstanden werden:

• Es kommt auf die Pflicht zur DSFA an. „Unterliegen“ meint Verarbeitungen, für die Art. 35 DSGVO eine Folgenabschätzung vorschreibt. Wer freiwillig eine DSFA durchführt, um ein Projekt abzusichern, löst damit keine Benennungspflicht aus.
• Das Ergebnis der DSFA ändert nichts. Auch wenn die Folgenabschätzung zeigt, dass sich das Risiko mit Maßnahmen gut beherrschen lässt, bleibt die Verarbeitung DSFA-pflichtig. Die Benennungspflicht besteht, solange die Verarbeitung läuft.
• Auch Auftragsverarbeiter werden genannt. Der Wortlaut erfasst ausdrücklich beide Seiten. Softwarehäuser und KI-Dienstleister, die solche Verarbeitungen im Auftrag ihrer Kunden betreiben, sollten die Frage für sich prüfen und nicht offenlassen.

Wann KI-Einsatz eine DSFA auslöst

Art. 35 Abs. 1 DSGVO verlangt eine DSFA, wenn eine Verarbeitung, „insbesondere bei Verwendung neuer Technologien“, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt. KI ist das Paradebeispiel einer neuen Technologie, für sich allein genügt das aber nicht. Konkret wird es an drei Stellen:

1. Art. 35 Abs. 3 lit. a DSGVO: Eine systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung, einschließlich Profiling, auf die sich Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung stützen. Typisch dafür ist das KI-Scoring von Bewerbern oder Kunden.
2. Muss-Liste der Datenschutzkonferenz, Nr. 11: „Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der betroffenen Person“. Als Beispiele nennt die DSK ein Callcenter, das automatisiert die Stimmungslage der Anrufer auswertet, und ein System, das mit Kunden per Konversation interagiert und für deren Beratung personenbezogene Daten verarbeitet.
3. Muss-Liste Nr. 8 und die neun Risikokriterien: Werden Verhaltensdaten von Beschäftigten umfangreich ausgewertet, um ihre Arbeit zu bewerten, ist eine DSFA ebenfalls Pflicht. Außerhalb der Liste gilt die Faustregel aus den Leitlinien WP 248, die der Europäische Datenschutzausschuss übernommen hat: Treffen mindestens zwei von neun Kriterien zu, etwa Bewerten und Scoring, systematische Überwachung, schutzbedürftige Betroffene wie Beschäftigte oder innovative Technologie, ist in der Regel eine DSFA durchzuführen.

Wie eine Folgenabschätzung Schritt für Schritt abläuft, beschreibt unser Leitfaden zur Datenschutz-Folgenabschätzung.

Typische KI-Einsätze im Überblick

Die Tabelle ersetzt keine Einzelfallprüfung. Maßgeblich ist immer die konkrete Ausgestaltung: welche Daten verarbeitet werden, wie viele Personen betroffen sind und welche Entscheidungen auf der Ausgabe der KI beruhen.

Zwei typische Konstellationen

Was passiert, wenn kein Datenschutzbeauftragter benannt wird?

• Bußgeld: Eine unterlassene Benennung fällt unter Art. 83 Abs. 4 lit. a DSGVO. Der Rahmen reicht bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Eine vorgeschriebene, aber nicht durchgeführte DSFA ist ein zweiter, eigenständiger Verstoß.
• Lücke in der DSFA: Nach Art. 35 Abs. 2 DSGVO holt der Verantwortliche bei der Folgenabschätzung den Rat des Datenschutzbeauftragten ein. Wer benennen müsste und es nicht tut, hat auch eine DSFA ohne diesen vorgesehenen fachlichen Rat.
• Fällt sofort auf: Die Kontaktdaten des Datenschutzbeauftragten sind zu veröffentlichen und der Aufsichtsbehörde mitzuteilen (Art. 37 Abs. 7 DSGVO). Bei einer Beschwerde oder Prüfung ist das die erste Frage.

Und der AI Act?

Die KI-Verordnung schreibt keinen „KI-Beauftragten“ vor. Seit dem 2. Februar 2025 verlangt Art. 4 von Unternehmen, die KI einsetzen, Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten. Für den Datenschutzbeauftragten wird die Verordnung trotzdem wichtig, weil sie an die DSFA anknüpft:

• Art. 26 Abs. 9: Betreiber von Hochrisiko-KI-Systemen nutzen die Informationen des Anbieters, um ihre DSFA durchzuführen.
• Art. 27: Bestimmte Betreiber, etwa bei Kreditwürdigkeitsprüfungen oder in der Preisgestaltung von Lebens- und Krankenversicherungen, müssen zusätzlich eine Grundrechte-Folgenabschätzung durchführen. Eine vorhandene DSFA kann darin einfließen.
• Zeitplan: Nach dem KI-Omnibus, Verordnung (EU) 2026/1744, gelten diese Pflichten für Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027, für Produkte nach Anhang I ab dem 2. August 2028.

Wer heute eine DSFA für ein KI-System sauber aufsetzt, schafft damit die Grundlage für die späteren Pflichten aus der KI-Verordnung. Die geänderten Fristen im Detail erklärt der Ratgeber zum KI-Omnibus auf ki-beauftragter-extern.de.

In fünf Schritten zur Klarheit

Kleine Unternehmen: der externe Datenschutzbeauftragte

Für eine Praxis, eine Agentur oder ein Start-up mit wenigen Beschäftigten lohnt sich ein interner Datenschutzbeauftragter selten. Er braucht Fachkunde und regelmäßige Fortbildung, genießt bei einer Pflichtbenennung besonderen Kündigungsschutz, und die Geschäftsführung scheidet wegen des Interessenkonflikts aus. Ein externer Datenschutzbeauftragter übernimmt die Benennung, begleitet die DSFA für Ihre KI-Anwendungen und ist Ansprechpartner für die Aufsichtsbehörde. Bei DATUREX beginnt die laufende Betreuung ab 150 € im Monat, was in den Paketen enthalten ist, steht unter Kosten externer Datenschutzbeauftragter. Wer zuerst wissen will, welche seiner KI-Tools überhaupt kritisch sind, startet mit einem KI-Datenschutz-Audit.

Häufige Fragen

Brauche ich einen Datenschutzbeauftragten, wenn wir ChatGPT nutzen?

Nicht automatisch. Entscheidend ist, wie Sie ChatGPT einsetzen. Werden keine personenbezogenen Daten eingegeben, etwa bei Texten, Übersetzungen oder Code, ist in der Regel keine DSFA nötig, und die Benennung richtet sich nach der 20-Personen-Grenze. Anders sieht es aus, wenn ein darauf aufbauender Chatbot mit Kunden kommuniziert und deren Daten verarbeitet. Mehr dazu im Beitrag ChatGPT und Datenschutz im Unternehmen.

Gilt die Pflicht auch bei weniger als 20 Beschäftigten?

Ja. § 38 Abs. 1 Satz 2 BDSG gilt ausdrücklich unabhängig von der Zahl der mit der Verarbeitung beschäftigten Personen. Auch ein Unternehmen mit drei Beschäftigten muss einen Datenschutzbeauftragten benennen, wenn es eine DSFA-pflichtige KI-Anwendung betreibt.

Löst eine freiwillige DSFA die Benennungspflicht aus?

Nein. Maßgeblich ist, ob die Verarbeitung einer DSFA-Pflicht unterliegt. Wer eine Folgenabschätzung freiwillig durchführt, muss deshalb keinen Datenschutzbeauftragten benennen. Umgekehrt entgeht der Benennungspflicht nicht, wer eine vorgeschriebene DSFA einfach weglässt.

Kann der Geschäftsführer selbst Datenschutzbeauftragter sein?

Nein. Der Datenschutzbeauftragte soll die Geschäftsführung kontrollieren, und Art. 38 Abs. 6 DSGVO schließt Interessenkonflikte aus. Dasselbe gilt in der Regel für IT-Leitung und Personalleitung.

Wann muss der Datenschutzbeauftragte benannt sein?

Bevor die DSFA-pflichtige KI-Verarbeitung beginnt. Die DSFA ist vorab durchzuführen, und Art. 35 Abs. 2 DSGVO sieht vor, dass dabei der Rat des Datenschutzbeauftragten eingeholt wird. Sinnvoll ist es deshalb, ihn schon bei der Auswahl des KI-Tools einzubinden.

Fällt die Pflicht weg, wenn § 38 BDSG gestrichen wird?

Mit der geplanten Aufhebung von § 38 Abs. 1 BDSG entfiele auch die Benennungspflicht über die DSFA-Regel, die DSFA-Pflicht selbst bliebe bestehen. Stand Oktober 2026 liegt kein Gesetzentwurf vor, bis zu einer Änderung gilt die Regel unverändert.

Sie planen den Einsatz eines KI-Tools und möchten wissen, ob eine DSFA und damit ein Datenschutzbeauftragter nötig ist? Wir prüfen Ihre KI-Anwendungen, übernehmen als externer Datenschutzbeauftragter die Benennung und begleiten die Folgenabschätzung, in Dresden, Sachsen und bundesweit. Kostenlose Erstberatung unter Kontakt.

Quellen: § 38 BDSG, gesetze-im-internet.de · DSK-Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist (Version 1.1) · Föderale Modernisierungsagenda, Bundesregierung, 4. Dezember 2025