Wann KI eine DSFA erfordert und wann eine Konsultation der Aufsichtsbehörde nötig ist

Dies ist ein praktischer Leitfaden, keine Rechtsberatung im Einzelfall; bei größeren Projekten empfiehlt sich die Prüfung durch Ihren Rechtsberater. In einem Produktionsbetrieb mit 170 Mitarbeitern nahe Posen landete die Einführung eines Tools zur Vorauswahl von Bewerbungen am Freitagnachmittag beim Datenschutzbeauftragten. Zuvor erfolgte jedes Recruiting durch manuelles Sichten der Lebensläufe in Tabellen. Pro Stelle gingen 60 Bewerbungen ein, die Vorauswahl dauerte 6–7 Stunden. Das Tool sollte Erfahrung, Betriebszugehörigkeit und Sprachkenntnisse bewerten; die HR-Abteilung wollte am Montag mit dem Pilotprojekt starten. Die Frage war: Muss das gemeldet werden? Die kurze Antwort: Die reine KI-Einführung muss nicht bei der Behörde gemeldet werden. Geprüft werden muss jedoch, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

AIBild generiert durch KI.

Der Aufbau

In der ersten Woche erstellte der DSB ein Verzeichnis der Vorgänge: Datenquellen (Lebensläufe, Formulare, Tests), Modellanbieter, Bewertungsmethode, Aufbewahrungsdauer. Das Tool war für das Unternehmen eine neue Technologie, daher verlangte Art. 35 Abs. 1 DSGVO eine Prüfung auf hohes Risiko. In der zweiten Woche zeigte sich, dass das Tool eine automatisierte Bewertung persönlicher Aspekte durchführt, da das Ergebnis über die Einladung zum Vorstellungsgespräch entscheidet. Dies löst Art. 35 Abs. 3 Buchst. a DSGVO aus, und in der polnischen Mitteilung des Präsidenten der UODO vom 17.06.2019 steht ein solches Profiling explizit auf der Liste der DPIA-pflichtigen Verarbeitungen. Die dritte Woche galt der Dokumentation des Anbieters: welche Trainingsdaten, Verarbeitungsort, Deaktivierbarkeit der Bewertung. In der vierten Woche entstand die erste Version der DPIA: Beschreibung der Verarbeitung, Prüfung von Erforderlichkeit und Verhältnismäßigkeit, Risikoanalyse (Bias, mangelnde Transparenz, Kontrollverlust), Abhilfemaßnahmen und Entscheidung. Dazu sieben operative Fragen: Datenquellen, Modelltraining, automatisierte Entscheidungen, Diskriminierungsrisiko, Transparenz, menschliche Aufsicht, Speicherdauer. Auf Unternehmensseite waren beteiligt: DSB (28 Stunden), HR-Leitung (6 Stunden), IT-Abteilung (4 Stunden) und Geschäftsführung (2 Stunden).

Die Rechnung

Die externen Kosten für die Erstellung der DPIA für einen einzelnen Recruiting-Prozess lagen bei 8.000–14.000 PLN netto. Intern fielen 40 Arbeitsstunden an, überwiegend beim DSB. Bei vollständiger Eigenleistung lägen die direkten Ausgaben nahe null, der Zeitaufwand des DSB stiege jedoch auf 60–80 Stunden und erforderte Erfahrung in der Risikoanalyse. Die Einsparung nach dem Pilotprojekt beträgt 5–7 Stunden pro Woche im Recruiting, vorausgesetzt, das Tool bleibt im Einsatz. Bei Recruiting-Kosten von rund 6.000 PLN monatlich amortisiert sich das Projekt nach 3–4 Monaten. Diese Werte stammen aus unseren Projekten. Sie hängen von der Anzahl der Prozesse, der Anbieterdokumentation und davon ab, ob die DPIA ein einzelnes Tool oder den gesamten Recruiting-Bereich abdeckt.

Fehlerquellen

Erstes Problem: Der Anbieter verweigerte unter Berufung auf Geschäftsgeheimnisse Informationen über die Trainingsdaten. Ohne diese Daten ließ sich das Bias-Risiko nicht bewerten. Nach zweiwöchigen Verhandlungen wurde eine Vertraulichkeitsvereinbarung unterzeichnet, woraufhin der Anbieter Modellmetriken und eine synthetische Quellenübersicht lieferte. Dies erforderte 6 zusätzliche Arbeitsstunden. Zweites Problem: Die erste Version der DPIA beschrieb das Profiling als einen einzigen Vorgang. Dadurch wurde das Diskriminierungsrisiko unterschätzt. Die Korrektur erforderte eine Aufteilung in fünf Teilprozesse: vom CV-Eingang über das Scoring bis zur Ablehnungsentscheidung. Drittes Problem: HR wollte das Tool vor der Freigabe durch die Geschäftsführung einführen. Das Dokument wartete 11 Tage auf die Unterschrift eines Geschäftsführungsmitglieds, da kein formeller Vertretungsprozess definiert war.

AIBild generiert durch KI.

Was wir anders machen würden

Wir würden mit einem Vorab-Screening des Anbieters noch vor dem Kauf des Pilotprojekts beginnen. Fragen zu Trainingsdaten, Aufbewahrungsfristen, Unterauftragsverarbeitern und dem Verarbeitungsort gehören vor dem Start in den Vertrag oder einen Nachtrag. Zweite Änderung: Die DSFA entsteht parallel zur Tool-Auswahl, nicht erst nach Unterzeichnung des PoC. Dritte Änderung: Der Zeitplan braucht Puffer für die Unterschrift der Geschäftsführung. In unserer Praxis bei 50–250 Personen dauert die Unterschrift 3–5 Arbeitstage, Urlaubszeiten verlängern dies jedoch auf bis zu zwei Wochen. Für Hochrisikosysteme im Sinne des AI Act käme eine Grundrechte-Folgenabschätzung nach Art. 27 hinzu. In diesem Fall war das Tool kein Hochrisikosystem, sodass eine DSFA ausreichte. Bei anderen Kunden führen wir beide Prüfungen in einem Durchlauf zusammen.

Das Szenario eignet sich für Unternehmen, die ein KI-Tool für Recruiting, Kundenservice mit Sentiment-Analyse, Videoüberwachung mit Gesichtserkennung oder prädiktive Analysen zur Risikobewertung einführen. Es ist nicht sinnvoll für reine Textgeneratoren ohne personenbezogene Daten oder für anonyme interne Daten. Die KI-Implementierung selbst erfordert keine Meldung an die Datenschutzbehörde. Sie erfordert jedoch eine präzise Prüfung: Liegt eine neue Technologie, eine systematische Bewertung oder eine Überwachung in großem Umfang vor? Eine vollständige DSFA für ein mittelständisches Unternehmen beansprucht üblicherweise 2–6 Arbeitswochen und 40–80 Stunden. Das Dokument wird vom Verantwortlichen genehmigt, meist der Geschäftsführung, nach Einholung der Stellungnahme des DSB. Bei Restrisiken folgt eine Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO.