DSFA für ein KI-Werkzeug

So funktioniert das Werkzeug

1. Die Vorprüfung. Die Pflichtfälle des Art. 35 Abs. 3 DSGVO, die acht Arten der Liste der Datenschutzbehörde, dann die neun Kriterien der WP248-Liste, die die Datenschutzbehörde anwendet. Generative KI gilt als innovative Nutzung: Dieses Kriterium ist vorab angekreuzt und für ein herkömmliches Werkzeug abzuwählen.
2. Das Ergebnis. Ein Pflichtfall: DSFA Pflicht. Zwei Kriterien oder mehr: DSFA erforderlich. Ein Kriterium: DSFA empfohlen. Kein Kriterium, aber Mandantendaten: eine kurze DSFA vor der ersten Nutzung empfohlen. Sonst ist keine DSFA erforderlich. Darf die Kanzlei verzichten, bittet das Werkzeug, die Gründe festzuhalten.
3. Der Kontext. Das Werkzeug, der Anbieter, die Nutzung (Entwurf, Zusammenfassungen, Übersetzung, Transkription, Recherche, eigene Dokumente der Kanzlei), die Daten, die betroffenen Personen, der Datenfluss, das Hosting, die Speicherung und das Training. Bei geöffnetem Tresor lassen sich diese Angaben aus dem Register der KI-Werkzeuge übernehmen.
4. Die Grundsätze. Notwendigkeit und Verhältnismäßigkeit, Rechtsgrundlage, Datenminimierung und Pseudonymisierung, Richtigkeit, Speicherung, Information, Rechte der betroffenen Personen, Auftragsverarbeiter, Übermittlungen.
5. Die Risiken. Zehn vorausgefüllte Risiken (Verletzung des Berufsgeheimnisses, Weiterverwendung durch den Anbieter, Zugriff ausländischer Behörden oder des Personals des Anbieters, Abfluss zwischen Akten, Sicherheitsvorfall, unrichtiges Ergebnis, Verzerrung, Kontrollverlust, rechtswidriges Modell), mit ihren Maßnahmen und einer Schwere und Wahrscheinlichkeit auf den vierstufigen Skalen der CNIL, anzupassen.
6. Die Validierung. Das Restrisiko, der Rat des Datenschutzbeauftragten, falls es einen gibt, die vorherige Konsultation der Datenschutzbehörde, wenn ein Risiko hoch bleibt (Art. 36), die Entscheidung, der Maßnahmenplan und die Unterschrift.

Die DSFA wird als PDF und Word exportiert, in der gewählten Sprache. Mit bestätigter Adresse trägt sie den Briefkopf Ihrer Kanzlei, deren Name als Verantwortlicher übernommen wird.

Was die Texte sagen

• DSGVO, Art. 35: Eine DSFA ist vor einer Verarbeitung erforderlich, die voraussichtlich ein hohes Risiko mit sich bringt, „insbesondere bei Verwendung neuer Technologien“. Erwägungsgrund 91 stellt klar, dass die Mandantendaten eines einzelnen Rechtsanwalts nicht umfangreich verarbeitet werden.
• Beschluss 01/2019 der Datenschutzbehörde: die belgische Liste der Verarbeitungen mit Folgenabschätzung. Generative KI steht nicht darauf, was eine DSFA nach Art. 35 nicht ausschließt.
• Leitfaden der Datenschutzbehörde: In den meisten Fällen verlangen zwei Kriterien der WP248-Liste eine DSFA.
• KI-Merkblatt der CNIL: Generative KI ist eine innovative Nutzung. PIA-Methode der CNIL: Kontext, Grundprinzipien, Risiken, Validierung.
• La Tribune von AVOCATS.BE (Nr. 280) hält eine DSFA vor der ersten Nutzung eines generativen KI-Werkzeugs in der Praxis für unumgänglich.

Worauf zu achten ist

• Eine DSFA ist für eine Kanzlei nicht automatisch Pflicht: Das Werkzeug empfiehlt sie standardmäßig vor der ersten Nutzung mit Mandantendaten und erlaubt, einen begründeten Verzicht zu dokumentieren.
• Eine DSFA kann mehrere ähnliche Verarbeitungen abdecken und von einer ähnlichen Verarbeitung übernommen werden.
• Die vorgeschlagenen Stufen für Schwere und Wahrscheinlichkeit sind ein Ausgangspunkt, den Sie für Ihren Fall überprüfen.

Was das Werkzeug nicht tut

• Es konsultiert nicht an Ihrer Stelle die Datenschutzbehörde und prüft die Erklärungen des Anbieters nicht.
• Es sendet nichts: Ihre Antworten bleiben im Speicher dieses Tabs.

Überprüfung

Die Quellen wurden am 7. Oktober 2026 geprüft. Das Werkzeug unterstützt den Rechtsanwalt, der für die Abschätzung und die Entscheidung verantwortlich bleibt.