Dsfa Fuer Ki Systeme Schnittstelle Art 26 Kivo

---
name: dsfa-fuer-ki-systeme-schnittstelle-art-26-kivo
title: 'Folgenabschätzung für einen konkreten Systemeinsatz'
description: Überprüft eine vorhandene Folgenabschätzung bei geänderten Modellen, Datenwegen oder Betroffenengruppen. Prüft verbleibende Datenschutz- und Grundrechterisiken sowie sensible Bias-Daten und liefert einen datierten Änderungsvermerk.
author: Klotzkette
author_url: https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/datenschutzrecht/skills/dsfa-fuer-ki-systeme-schnittstelle-art-26-kivo
license: Apache-2.0
version: 0.1.0
execution_mode: open
jurisdiction: de
practice: data-protection
language: de
---

# 1. Folgenabschätzung für einen konkreten Systemeinsatz

## 1. Zweck und Anwendungsfall

Bearbeite eine konkrete Systemeinführung oder Änderung. Datenschutz-Folgenabschätzung nach Artikel 35 und Grundrechte-Folgenabschätzung nach Artikel 27 der Verordnung (EU) 2024/1689 ergänzen sich, haben aber unterschiedliche Tatbestände. Stand: 10. September 2026.

## 2. Eingaben

Bestehende Folgenabschätzung, Zweckbeschreibung, Datenfluss, Anbieterinformationen, Betroffenenkreis und Einsatzdatum lesen. Bei einer Erstprüfung die drei tragenden Unterlagen auswählen; bei einem Update nur neue Datenwege, Modellversionen und Betroffenengruppen vertiefen.

## 3. Ablauf

1. Verantwortlichkeit nach tatsächlicher Entscheidung über Zwecke und Mittel von Anbieter- und Betreiberrollen trennen. Nur ein vorhandenes Lieferantendokument reicht für die eigene Risikoverantwortung nicht.
2. Artikel 35 der Datenschutz-Grundverordnung nach voraussichtlich hohem Risiko, gesetzlichen Beispielen und einschlägiger Behördenliste prüfen. Weder jede neue Technologie automatisch als DSFA-Pflicht noch jede nicht hochriskante Systemklasse als Befreiung behandeln.
3. Artikel 27 gesondert öffnen: konkrete Betreiberkategorie, Anhang-III-Einsatz und Ausnahmen prüfen. Private Erbringer öffentlicher Dienstleistungen sind nicht mit „öffentlich finanzierten Diensten“ gleichzusetzen; bestimmte Kredit- und Versicherungseinsätze gesondert prüfen.
4. Datenschutzpflichten gelten jetzt. Die durch Verordnung (EU) 2026/1744 verschobenen Kapitel-III-Abschnitte nach Artikel 113 gelten bei Anhang III ab 2. Dezember 2027 und bei Anhang I ab 2. August 2028. Keine Verschiebung der DSFA daraus ableiten. Artikel 111 beim Bestand ergänzen.
5. Eingaben, Trainingsdaten, Ausgaben und Protokolle auf Rechtsgrundlage, Zweckbindung, Datenminimierung, Löschung, Übermittlung und automatisierte Einzelentscheidung prüfen. Eine bloße menschliche Bestätigung ist keine wirksame Kontrolle.
6. Bias-Prüfung mit sensiblen Daten: Artikel 4a statt Artikel 10 Absatz 5 alter Fassung. Zutreffenden Absatz, strikte Notwendigkeit, fehlende gleich wirksame Alternativen und sämtliche Schutzvorkehrungen belegen. Keine Weitergabe an andere Parteien; Zugriffe dokumentieren und frühestmöglich löschen. Erforderlichkeitsbegründung im Verzeichnis verankern.
7. Risiko und Maßnahme verbinden: betroffene Person, plausible Schadensfolge, Eintrittsweg, Eingriffsmöglichkeit, zuständiger Mitarbeiter und verbleibendes Risiko. Kompetenzförderung nach geändertem Artikel 4 bleibt Maßnahmenpflicht ohne individuelle Niveaugarantie; menschliche Hochrisikoaufsicht nach Artikel 26 Absatz 2 gesondert qualifizieren.
8. Datenschutzbeauftragten nach Artikel 35 Absatz 2 beteiligen. Bei verbleibendem hohem Risiko Artikel 36 vor Beginn prüfen. Die Information an die Marktüberwachung im Rahmen von Artikel 27 nicht mit dieser Konsultation oder einer allgemeinen Genehmigung verwechseln.
9. Zuständige Datenschutzaufsicht und Systemaufsicht getrennt benennen. KI-MIG: Bundesnetzagentur als Auffangbehörde, sektorale und Länderzuständigkeiten nach Paragraf 2; EU-Sonderaufsicht gegebenenfalls vorrangig. Nicht alle Unterlagen an jede Stelle versenden.
10. COM(2025) 837 und COM(2025) 501 nur als Reformspur führen. Vorbereitungen auf Änderungen gesondert kennzeichnen; die bestehende Freigabe nicht auf vorgeschlagene Erleichterungen stützen.

### 3.1. Agentenhandlungen in die Folgenabschätzung aufnehmen

Bei Agenten nicht beim Modell stehen bleiben: Sitzungsspeicher, dauerhaftes Gedächtnis, externe Wissenssuche, Werkzeugaufrufe, Delegation und tatsächlich ausgelöste Entscheidung verfolgen. Für jeden Zweck Rechtsgrundlage und Datenminimum bestimmen. Artikel 6 Absatz 1 Buchstabe f verlangt Zweck, Erforderlichkeit und Abwägung; geschützte Technik verbessert die Abwägung, ersetzt aber nicht ihren Tatbestand. Sensible Daten gesondert nach Artikel 9 prüfen.

Beschreibe einen konkreten Schadensweg, etwa automatische Bewerberabsage nach fremder Anweisung in einem Lebenslauf oder Übertragung einer Kundenakte an einen ungeprüften Werkzeugdienst. Rechte außerhalb des Modells begrenzen, Daten und Handlungsanweisungen trennen, wirksame Unterbrechung einschließlich Unteraufträgen und Freigabe vor irreversiblen Aktionen vorsehen. Belegte Tests von bloßen Zusagen unterscheiden.

Menschliche Kontrolle braucht relevante Informationen, Zeit, Befugnis und einen Zeitpunkt vor der erheblichen Wirkung, wenn dadurch Artikel 22 Absatz 1 vermieden werden soll. Gesetzliche Ausnahmen und Garantien gesondert prüfen. Folgenabschätzung bei neuem Werkzeug oder verändertem Risiko nach Artikel 35 Absatz 11 aktualisieren. Nicht jeden Modellwechsel als automatisch neue Gesamtprüfung behandeln. Liefere den geänderten Vermerk und die betroffene konkrete Betriebsregel zusammen.

## 4. Quellenpflicht

Artikel 22, 30, 35 und 36 der Datenschutz-Grundverordnung; Artikel 4, 4a, 26, 27, 111 und 113 der Verordnung (EU) 2024/1689; [Rechtsstand und Zuständigkeitskarte](../../references/digitaler-omnibus-2026.md). Fundstelle, Fassungsdatum und tatsächlichen Anwendungsfall zusammen angeben.

## 5. Ausgabeformat

Ausformulierter integrierter Vermerk mit getrennten Ergebnissen für Datenschutz und Grundrechte, einer gemeinsamen Tatsachengrundlage und konkret zugeordneten Maßnahmen. Keine doppelte Textproduktion. Times New Roman 11 pt, dezimale Gliederung. Ungeklärtes Restrisiko offenhalten, aber bereits tragfähige Abschnitte liefern.

## 6. Beispiele

Bei einem privaten Kreditgeber hängen Datenschutz- und Grundrechteprüfung am konkreten Kreditbewertungszweck, nicht allein am Etikett „Chatbot“. Bei einer Personalsoftware bleibt eine heute erforderliche DSFA auch dann erforderlich, wenn Systempflichten erst 2027 beginnen.