Dsfa Ki Systeme Schnittstelle Art 26 Kivo

---
name: dsfa-ki-systeme-schnittstelle-art-26-kivo
title: 'Datenschutz- und Grundrechteprüfung koordinieren'
description: Koordiniert Datenschutz-Folgenabschätzung und Grundrechteprüfung eines konkreten Systems. Trennt Rollen, Risiken, sensible Bias-Daten und Behördenwege und liefert einen nutzbaren Freigabevermerk ohne doppelte Inventur.
author: Klotzkette
author_url: https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/datenschutzrecht/skills/dsfa-ki-systeme-schnittstelle-art-26-kivo
license: Apache-2.0
version: 0.1.0
execution_mode: open
jurisdiction: de
practice: data-protection
language: de
---

# 1. Datenschutz- und Grundrechteprüfung koordinieren

## 1. Zweck und Anwendungsfall

Bearbeite eine konkrete Systemeinführung oder Änderung. Datenschutz-Folgenabschätzung nach Artikel 35 und Grundrechte-Folgenabschätzung nach Artikel 27 der Verordnung (EU) 2024/1689 ergänzen sich, haben aber unterschiedliche Tatbestände. Stand: 10. September 2026.

## 2. Eingaben

Bestehende Folgenabschätzung, Zweckbeschreibung, Datenfluss, Anbieterinformationen, Betroffenenkreis und Einsatzdatum lesen. Bereits dokumentierte Risiken übernehmen und Änderungen hervorheben, nicht dieselben Fragen erneut stellen.

## 3. Ablauf

1. Verantwortlichkeit nach tatsächlicher Entscheidung über Zwecke und Mittel von Anbieter- und Betreiberrollen trennen. Nur ein vorhandenes Lieferantendokument reicht für die eigene Risikoverantwortung nicht.
2. Artikel 35 der Datenschutz-Grundverordnung nach voraussichtlich hohem Risiko, gesetzlichen Beispielen und einschlägiger Behördenliste prüfen. Weder jede neue Technologie automatisch als DSFA-Pflicht noch jede nicht hochriskante Systemklasse als Befreiung behandeln.
3. Artikel 27 gesondert öffnen: konkrete Betreiberkategorie, Anhang-III-Einsatz und Ausnahmen prüfen. Private Erbringer öffentlicher Dienstleistungen sind nicht mit „öffentlich finanzierten Diensten“ gleichzusetzen; bestimmte Kredit- und Versicherungseinsätze gesondert prüfen.
4. Datenschutzpflichten gelten jetzt. Die durch Verordnung (EU) 2026/1744 verschobenen Kapitel-III-Abschnitte nach Artikel 113 gelten bei Anhang III ab 2. Dezember 2027 und bei Anhang I ab 2. August 2028. Keine Verschiebung der DSFA daraus ableiten. Artikel 111 beim Bestand ergänzen.
5. Eingaben, Trainingsdaten, Ausgaben und Protokolle auf Rechtsgrundlage, Zweckbindung, Datenminimierung, Löschung, Übermittlung und automatisierte Einzelentscheidung prüfen. Eine bloße menschliche Bestätigung ist keine wirksame Kontrolle.
6. Bias-Prüfung mit sensiblen Daten: Artikel 4a statt Artikel 10 Absatz 5 alter Fassung. Zutreffenden Absatz, strikte Notwendigkeit, fehlende gleich wirksame Alternativen und sämtliche Schutzvorkehrungen belegen. Keine Weitergabe an andere Parteien; Zugriffe dokumentieren und frühestmöglich löschen. Erforderlichkeitsbegründung im Verzeichnis verankern.
7. Risiko und Maßnahme verbinden: betroffene Person, plausible Schadensfolge, Eintrittsweg, Eingriffsmöglichkeit, zuständiger Mitarbeiter und verbleibendes Risiko. Kompetenzförderung nach geändertem Artikel 4 bleibt Maßnahmenpflicht ohne individuelle Niveaugarantie; menschliche Hochrisikoaufsicht nach Artikel 26 Absatz 2 gesondert qualifizieren.
8. Datenschutzbeauftragten nach Artikel 35 Absatz 2 beteiligen. Bei verbleibendem hohem Risiko Artikel 36 vor Beginn prüfen. Die Information an die Marktüberwachung im Rahmen von Artikel 27 nicht mit dieser Konsultation oder einer allgemeinen Genehmigung verwechseln.
9. Zuständige Datenschutzaufsicht und Systemaufsicht getrennt benennen. KI-MIG: Bundesnetzagentur als Auffangbehörde, sektorale und Länderzuständigkeiten nach Paragraf 2; EU-Sonderaufsicht gegebenenfalls vorrangig. Nicht alle Unterlagen an jede Stelle versenden.
10. COM(2025) 837 und COM(2025) 501 nur als Reformspur führen. Vorbereitungen auf Änderungen gesondert kennzeichnen; die bestehende Freigabe nicht auf vorgeschlagene Erleichterungen stützen.

## 4. Quellenpflicht

Artikel 22, 30, 35 und 36 der Datenschutz-Grundverordnung; Artikel 4, 4a, 26, 27, 111 und 113 der Verordnung (EU) 2024/1689; [Rechtsstand und Zuständigkeitskarte](../../references/digitaler-omnibus-2026.md). Fundstelle, Fassungsdatum und tatsächlichen Anwendungsfall zusammen angeben.

## 5. Ausgabeformat

Ausformulierter integrierter Vermerk mit getrennten Ergebnissen für Datenschutz und Grundrechte, einer gemeinsamen Tatsachengrundlage und konkret zugeordneten Maßnahmen. Keine doppelte Textproduktion. Times New Roman 11 pt, dezimale Gliederung. Ungeklärtes Restrisiko offenhalten, aber bereits tragfähige Abschnitte liefern.

## 6. Beispiele

Bei einem privaten Kreditgeber hängen Datenschutz- und Grundrechteprüfung am konkreten Kreditbewertungszweck, nicht allein am Etikett „Chatbot“. Bei einer Personalsoftware bleibt eine heute erforderliche DSFA auch dann erforderlich, wenn Systempflichten erst 2027 beginnen.