Kurz zusammengefasst
- Die DSFA-Frage stellt sich nur bei einer Bearbeitung von Personendaten, dann aber möglichst früh.
- Neue Technologie allein löst die Pflicht nicht automatisch aus, kann das Risiko aber erhöhen.
- Die DSFA beschreibt Bearbeitung, Risiken und Massnahmen und bewertet das verbleibende Risiko.
- Bleibt trotz vorgesehener Massnahmen ein hohes Restrisiko, muss vor der Bearbeitung eine Stellungnahme des EDÖB eingeholt werden; vorbehalten bleibt die gesetzliche Ausnahme bei qualifizierter privater Datenschutzberatung.
Mit einer kurzen Vorprüfung beginnen
Ein dokumentiertes Screening klärt zuerst, ob Personendaten verarbeitet werden und ob ein potenziell hohes Risiko erkennbar ist. Die Entscheidung sollte nicht allein am Produktnamen oder an der Bezeichnung «KI» hängen.
| Prüfschritt | Frage | Wenn nein | Wenn ja |
|---|---|---|---|
| 1. Personendaten | Verarbeitet das Vorhaben Informationen zu bestimmten oder bestimmbaren Personen? | Keine DSFA nach DSG für diese Bearbeitung; Sicherheit, Vertraulichkeit und weitere Pflichten trotzdem prüfen. | Personen, Datenarten, Quellen und Empfänger dokumentieren und mit dem Screening fortfahren. |
| 2. Potenziell hohes Risiko | Können Art, Umfang, Umstände, Zweck oder neue Technologie ein hohes Risiko für Persönlichkeit oder Grundrechte schaffen? | Begründung und normale Schutzmassnahmen dokumentieren sowie Trigger für eine Neubeurteilung festlegen. | Vor dem Einsatz eine DSFA durchführen. |
| 3. Schutzmassnahmen | Wurde das Risiko durch technische, organisatorische und vertragliche Massnahmen unter ein hohes Restrisiko gesenkt? | Vor der Bearbeitung den anwendbaren Konsultationsweg zum EDÖB nutzen; vorbehalten bleibt die gesetzliche private Beratungs-Ausnahme. | Freigabe, Auflagen, Nachweise und Monitoring dokumentieren. |
| 4. Wesentliche Änderung | Haben sich Zweck, Daten, Betroffene, Modell, Anbieter oder automatisierte Wirkung verändert? | Geplanten Review-Termin und Betriebsnachweise aktuell halten. | Screening wiederholen und die DSFA aktualisieren, wenn sich die Risikolage geändert haben kann. |
Das Gesetz nennt zwei wichtige Beispiele für hohes Risiko
Artikel 22 DSG verlangt eine Gesamtbeurteilung von Art, Umfang, Umständen und Zweck, insbesondere beim Einsatz neuer Technologien. Zusätzlich nennt er zwei Konstellationen, aus denen sich ein hohes Risiko ergeben kann. Sie bilden keine abschliessende Checkliste: Auch andere Kombinationen aus Reichweite, Sensitivität und möglichen Folgen können eine DSFA erforderlich machen.
- Umfangreiche Bearbeitung besonders schützenswerter Personendaten
- Beispiele können ein KI-System sein, das Gesundheitsdaten, biometrische Merkmale oder andere besonders schützenswerte Angaben vieler Personen umfassend analysiert. Ein einzelnes sensibles Feld entscheidet nicht allein; Umfang, Zweck, Zugriffe und mögliche Folgen sind gemeinsam zu bewerten.
- Systematische, umfangreiche Überwachung öffentlicher Bereiche
- Beispiele können eine dauerhafte KI-gestützte Kameraauswertung eines grossen öffentlich zugänglichen Bereichs oder die systematische Nachverfolgung von Personen darin sein. Ein begrenzter Sensor an einem kontrollierten Eingang ist nicht automatisch gleichzusetzen; entscheidend sind tatsächliche Reichweite und Eingriff.
Zwei enge gesetzliche Fälle können eine separate DSFA ersetzen
Artikel 22 Absatz 5 DSG erlaubt einem privaten Verantwortlichen nur in zwei bestimmten Fällen, auf eine separate DSFA zu verzichten: wenn er ein nach Artikel 13 DSG zertifiziertes System, Produkt oder eine zertifizierte Dienstleistung einsetzt oder wenn er einen qualifizierten Verhaltenskodex befolgt. Zertifizierung oder Kodex müssen die geplante Bearbeitung und ihre relevanten Risiken tatsächlich abdecken.
- Ein qualifizierter Verhaltenskodex muss auf einer aktuellen DSFA beruhen, Schutzmassnahmen vorgeben und dem EDÖB vorgelegt worden sein.
- Eine Zertifizierung muss eine anerkannte Datenschutzzertifizierung nach Artikel 13 DSG sein und das relevante System, Produkt oder die Dienstleistung erfassen.
- Ein beliebiges ISO-Zertifikat, Sicherheitsaudit oder Anbieterversprechen erfüllt diese gesetzliche Ausnahme nicht automatisch.
- Geltungsbereich, Bedingungen und verwendete Version dokumentieren und das Screening bei Änderungen an Bearbeitung oder Nachweis wiederholen.
Was eine DSFA enthalten sollte
Die DSFA ist keine allgemeine Beschreibung des Anbieters. Sie bildet die geplante Datenbearbeitung und die Risiken für die betroffenen Personen im eigenen Kontext ab.
- Schritt 1
Bearbeitung beschreiben
Zweck, Daten, Quellen, Empfänger, Systeme, Regionen, Fristen und Rollen darstellen.
- Schritt 2
Notwendigkeit prüfen
Begründen, warum die Bearbeitung für den Zweck geeignet und verhältnismässig ist.
- Schritt 3
Risiken analysieren
Mögliche Folgen für Persönlichkeit und Grundrechte sowie Wahrscheinlichkeit bewerten.
- Schritt 4
Massnahmen festlegen
Technische, organisatorische und vertragliche Schutzmassnahmen zuordnen.
- Schritt 5
Restrisiko entscheiden
Verbleibende Risiken, Freigabe und erforderliche Konsultation dokumentieren.
KI-spezifische Risiken konkret prüfen
Generische Datenschutzlisten übersehen typische KI-Fragen. Je nach Anwendung müssen Datenherkunft, Fehlerraten, Verzerrung, Erklärbarkeit, menschliche Überprüfung und Modelländerungen einbezogen werden.
- Unzulässige oder unerwartete Nutzung von Eingaben und Ausgaben
- Falsche Zuordnung, diskriminierende Wirkung oder systematische Benachteiligung
- Schwer verständliche Entscheidung oder fehlender Weg zur menschlichen Überprüfung
- Offenlegung durch Prompts, Logs, RAG-Quellen oder Tool-Aufrufe
- Qualitätsverschiebung nach Modell-, Prompt- oder Datenänderungen
Ein hohes Restrisiko verlangt eine Entscheidung vor dem Einsatz
Zeigt die DSFA, dass die geplante Bearbeitung trotz der vorgesehenen Massnahmen weiterhin ein hohes Risiko für Persönlichkeit oder Grundrechte mit sich bringt, muss der Verantwortliche vor der Bearbeitung eine Stellungnahme des EDÖB einholen. Das ist keine freiwillige Eskalation nach Projektpräferenz.
Ein privater Verantwortlicher kann auf die Konsultation des EDÖB verzichten, wenn er eine Datenschutzberaterin oder einen Datenschutzberater konsultiert hat, die oder der die gesetzlichen Anforderungen erfüllt. Bewertung, Beratung und daraus folgender Entscheid sollten nachweisbar bleiben; die blosse Benennung einer internen Kontaktperson genügt für die Ausnahme nicht.
- Festhalten, welche Risiken nach welchen Massnahmen verbleiben.
- Die geplante Bearbeitung nicht in Betrieb nehmen, solange eine erforderliche vorgängige Stellungnahme aussteht.
- Dokumentieren, ob der EDÖB-Weg oder die qualifizierte private Beratungs-Ausnahme greift.
- Bedingungen, zusätzliche Massnahmen und den endgültigen Freigabeentscheid nachführen.
Die DSFA als Projekt- und Änderungsartefakt nutzen
Eine früh erstellte DSFA kann Architektur und Prozess verbessern, statt nur eine späte Freigabehürde zu sein. Wesentliche Änderungen am Zweck, an Daten, Betroffenen, Funktionen oder Anbietern erfordern eine erneute Prüfung.
- Vor dem Pilot Annahmen, Datenfluss und Schutzmassnahmen festhalten.
- Mit realen Tests belegen, ob Massnahmen tatsächlich wirken.
- Fachbereich und betroffene Kontrollfunktionen in die Bewertung einbeziehen.
- Änderungstrigger und nächste Überprüfung terminieren.
Beispiel: KI-gestützte Priorisierung von Bewerbungen
Ein Unternehmen möchte Bewerbungsunterlagen automatisch nach Passung priorisieren. Das Screening erkennt Personendaten, Auswirkungen auf berufliche Chancen und mögliche Verzerrungen. Die DSFA beschreibt Datenquellen und Kriterien, testet Fehler nach relevanten Gruppen, begrenzt die Empfehlung, verlangt menschliche Prüfung und schafft einen Weg für Rückfragen. Erst das verbleibende Risiko und die Rechtsprüfung bestimmen den Einsatz.
Was Sie mitnehmen sollten
Führen Sie ein kurzes DSFA-Screening durch, sobald ein KI-Vorhaben Personendaten berührt. Wird ein potenziell hohes Risiko erkennbar, gehört die Folgenabschätzung in die Gestaltung und nicht ans Ende der Beschaffung.
Quellen und Vertiefung
Diese Primärquellen vertiefen Definitionen, technische Grundlagen oder verantwortlichen Einsatz.
Inhaltlich geprüft
Stand: 17. Juli 2026. Allgemeine Einordnung, keine Rechtsberatung. Die konkrete Rechtslage und der anwendbare Geltungsbereich sind für den jeweiligen Einsatz zu prüfen.