DSGVO + EU AI Act bei KI-Anwendungen: Doppel-Pflicht 2026

Hauptartikel: KI-Inventar in 8 Schritten — dort Schritt für Schritt: Erfassung, Klassifizierung, Anbieter-/Betreiber-Zuordnung, GPAI-Markierung und FRIA-Auslöser.

1. Verzahnung DSGVO + EU AI Act

Beide Rechtsakte gelten parallel und ergänzen sich — sie knüpfen aber an unterschiedliche Tatbestände an: Die DSGVO regelt die Verarbeitung personenbezogener Daten, die KI-VO (Verordnung (EU) 2024/1689) das KI-System und dessen Risikoklasse. Die zentralen Berührungspunkte sind Art. 22 und Art. 35 DSGVO auf der einen sowie Art. 14 und Art. 27 EU AI Act auf der anderen Seite.

Ein KI-System ist nach Art. 3 Nr. 1 KI-VO ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist, nach seiner Betriebsaufnahme anpassungsfähig sein kann und aus den erhaltenen Eingaben ableitet, wie Ausgaben — etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen — erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können. Die Verordnung folgt einem risikobasierten Ansatz: Art und Inhalt der Vorschriften sind auf Intensität und Umfang der Risiken zugeschnitten (Erwägungsgrund 26). Daraus ergeben sich drei Stufen — verbotene Praktiken (Art. 5), Hochrisiko-KI-Systeme (Art. 6 ff.) und KI-Systeme mit besonderen Transparenzpflichten (Art. 50).

Die DSGVO prüft davon unabhängig zwei Dinge: die Rechtmäßigkeit über einen der sechs Erlaubnistatbestände des Art. 6 Abs. 1 (Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse, berechtigtes Interesse) und die Nachweisbarkeit über die Rechenschaftspflicht des Art. 5 Abs. 2. Praxisempfehlung: Führen Sie beide Prüfungen getrennt und ordnen Sie jede Pflicht genau einer Norm zu. Eine Maßnahme kann beide Regelwerke bedienen — sie ersetzt aber keine der beiden Begründungen, und sie zählt nicht doppelt.

Der folgende Fahrplan nennt ausschließlich gesetzliche Geltungstermine.

2. DSFA + FRIA: wer braucht welche Bewertung?

Die DSFA trifft jeden Verantwortlichen bei voraussichtlich hohem Risiko (Art. 35 DSGVO); die FRIA trifft nur öffentliche Stellen, private Erbringer öffentlicher Dienste und Betreiber von Hochrisiko-KI nach Anhang III Nr. 5 Buchst. b und c (Art. 27 Abs. 1 KI-VO). Beide haben unterschiedliche Auslöser und sind sauber zu trennen. Im Einzelnen: Die DSFA ist nach Art. 35 DSGVO immer dann Pflicht, wenn die Verarbeitung — insbesondere bei Einsatz neuer Technologien — voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

Art. 35 Abs. 3 DSGVO nennt drei Regelfälle, in denen sie insbesondere erforderlich ist: systematische umfassende Bewertung persönlicher Aspekte (Profiling) mit Rechtswirkung, umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 sowie systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Die Abschätzung ist vorab durchzuführen, also vor Inbetriebnahme der Anwendung.

Die FRIA (Grundrechte-Folgenabschätzung) ist dagegen nicht bei jeder Hochrisiko-KI mit Personenbezug Pflicht. Nach Art. 27 Abs. 1 KI-VO (Verordnung (EU) 2024/1689) trifft sie nur:

• Betreiber, bei denen es sich um Einrichtungen des öffentlichen Rechts oder um private Einrichtungen, die öffentliche Dienste erbringen, handelt, sowie
• Betreiber von Hochrisiko-KI-Systemen nach Anhang III Nr. 5 Buchst. b (Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen) und Buchst. c (Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen).

Hochrisiko-KI-Systeme, die im Bereich des Anhang III Nr. 2 (kritische Infrastruktur) verwendet werden sollen, sind von der FRIA ausdrücklich ausgenommen.

Ob überhaupt ein Hochrisiko-KI-System vorliegt, entscheidet Art. 6 KI-VO. Nach Art. 113 KI-VO in der Fassung der Verordnung (EU) 2026/1744 (in Kraft seit 27. Juli 2026) gelten Kapitel III Abschnitte 1 bis 3 — Einstufung und Hochrisiko-Pflichten einschließlich der FRIA nach Art. 27 — für Anhang-III-Systeme ab dem 2. Dezember 2027 und für Anhang-I-Produkte nach Art. 6 Abs. 1 ab dem 2. August 2028. Nach Art. 6 gilt: Ein System gilt als hochriskant, wenn es als Sicherheitsbauteil eines unter die Harmonisierungsrechtsvorschriften des Anhangs I fallenden Produkts verwendet werden soll oder selbst ein solches Produkt ist und einer Drittkonformitätsbewertung unterliegt (Abs. 1); zusätzlich gelten die in Anhang III genannten Systeme als hochriskant (Abs. 2). Anhang III führt acht Bereiche auf: Biometrie; kritische Infrastruktur; allgemeine und berufliche Bildung; Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit; Zugänglichkeit und Inanspruchnahme grundlegender privater und öffentlicher Dienste und Leistungen; Strafverfolgung; Migration, Asyl und Grenzkontrolle; Rechtspflege und demokratische Prozesse. Abweichend gilt ein in Anhang III genanntes System ausnahmsweise nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt (Abs. 3) — es sei denn, es führt ein Profiling natürlicher Personen durch.

Fallen beide Pflichten zusammen, sind beide Bewertungen erforderlich — die FRIA ersetzt die DSFA nicht. Ist eine Pflicht aus Art. 27 bereits durch die nach Art. 35 DSGVO durchgeführte DSFA erfüllt, kann der Betreiber in der FRIA auf die einschlägigen Abschnitte der DSFA verweisen oder diese Teile übernehmen (Art. 27 Abs. 4 KI-VO in der Fassung der Verordnung (EU) 2026/1744). Ein privates Unternehmen, das etwa Hochrisiko-KI im Personalmanagement (Anhang III Nr. 4) einsetzt, braucht die DSFA — aber keine FRIA.

3. Art. 22 DSGVO + Art. 14 EU AI Act

Art. 22 DSGVO und Art. 14 EU AI Act treffen sich bei der KI-gestützten Einzelentscheidung: Beide fordern menschliche Aufsicht und eine Eingriffs-Möglichkeit — die eine Norm für die Verarbeitung personenbezogener Daten, die andere für das KI-System (siehe Abschnitt 1). Für Score-Werte hat der EuGH das konkretisiert (Urteil vom 7. Dezember 2023, C-634/21, SCHUFA Holding): Eine automatisierte Entscheidung im Einzelfall nach Art. 22 Abs. 1 DSGVO liegt bereits vor, wenn eine Wirtschaftsauskunftei einen auf personenbezogene Daten gestützten Wahrscheinlichkeitswert zur Fähigkeit einer Person, künftige Zahlungsverpflichtungen zu erfüllen, automatisiert erstellt und von diesem Wert maßgeblich abhängt, ob ein Dritter ein Vertragsverhältnis mit der Person begründet, durchführt oder beendet.

Für die Umsetzung folgen daraus zwei konkrete Aufgaben auf der DSGVO-Seite. Erstens die Rechtsgrundlage: Wer einen Score oder eine andere KI-gestützte Bewertung einsetzt, braucht dafür einen Tatbestand nach Art. 6 Abs. 1 DSGVO. Stützt sich die Verarbeitung auf eine Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat; der Widerruf ist jederzeit möglich und muss so einfach sein wie die Erteilung (Art. 7 Abs. 1 und 3 DSGVO). Für Behörden gilt zusätzlich, dass Art. 6 Abs. 1 Buchst. f (berechtigtes Interesse) für die Erfüllung ihrer Aufgaben nicht zur Verfügung steht.

Zweitens die Reaktionsfrist: Anträge betroffener Personen nach Art. 15 bis 22 DSGVO — also auch Anträge, die sich auf eine automatisierte Entscheidung beziehen — sind unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang zu beantworten (Art. 12 Abs. 3 DSGVO; zur Verlängerung siehe FAQ). Praxisempfehlung: Hinterlegen Sie je KI-Anwendung vorab, wer die fachliche Begründung einer Einzelentscheidung liefern kann — der Monat läuft ab Antragseingang, nicht ab interner Klärung.

4. Sondersensible Daten Art. 9 DSGVO + Art. 4a EU AI Act

Bei sensiblen Daten greifen zwei getrennte Prüfungen: ein Verarbeitungsverbot mit Ausnahmen auf der DSGVO-Seite und ein Praktikenverbot auf der KI-VO-Seite. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO dürfen ausnahmsweise verarbeitet werden, soweit dies zur Erkennung und Korrektur von Verzerrungen (Bias) unbedingt erforderlich ist, und nur unter strengen Voraussetzungen; welche das im Einzelnen sind, regelt Art. 4a KI-VO, der mit der Verordnung (EU) 2026/1744 an die Stelle des bisherigen Art. 10 Abs. 5 getreten ist.

DSGVO-Seite: Art. 9 Abs. 1 untersagt die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung genetischer Daten, biometrischer Daten zur eindeutigen Identifizierung einer natürlichen Person, von Gesundheitsdaten und von Daten zum Sexualleben oder zur sexuellen Orientierung. Zulässig wird eine solche Verarbeitung nur über eine Ausnahme nach Art. 9 Abs. 2 — etwa die ausdrückliche Einwilligung. Ihre umfangreiche Form ist zugleich einer der Regelfälle der DSFA (siehe Abschnitt 2).

KI-VO-Seite: Unabhängig von der datenschutzrechtlichen Zulässigkeit verbietet Art. 5 Abs. 1 KI-VO bestimmte Praktiken vollständig. Für den Unternehmenseinsatz relevant sind vor allem Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (Buchst. f), biometrische Kategorisierung zur Ableitung sensibler Merkmale (Buchst. g) sowie das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder aus Überwachungsaufnahmen (Buchst. e). Diese Verbote gelten seit dem 2. Februar 2025 (Art. 113 KI-VO). Außerhalb des Verbotsbereichs des Art. 5 Abs. 1 — also insbesondere bei Emotionserkennung außerhalb von Arbeitsplatz und Bildungseinrichtungen — verlangt Art. 50 Abs. 3 KI-VO, dass Betreiber die betroffenen Personen informieren. Soweit ein Einsatz nicht bereits nach Art. 5 Abs. 1 verboten ist, gelten die in Anhang III Nr. 1 aufgeführten Biometrie-Systeme — Fernidentifizierung, biometrische Kategorisierung nach sensiblen Merkmalen und Emotionserkennung — außerdem als hochriskant; die Ausnahme des Art. 6 Abs. 3 KI-VO bleibt daneben anwendbar (siehe Abschnitt 2).

5. Doppel-Aufsicht

DSGVO-Aufsicht und AI-Act-Marktüberwachung sind getrennt zuständig — und je nach Rechtsraum unterschiedlich besetzt. Bei einem Vorfall greift datenschutzrechtlich die 72-Stunden-Meldung nach Art. 33 DSGVO; ob daneben ein Meldeweg auf KI-VO-Seite ausgelöst wird, hängt von Ihrer Rolle und der Systemklasse ab — klären Sie ihn vor Inbetriebnahme, nicht im Vorfall.

Deutschland: Datenschutzaufsicht der Länder bzw. BfDI (für öffentliche Stellen des Bundes) für die DSGVO — Meldung einer Datenschutzverletzung nach Art. 33 DSGVO; Marktüberwachungsbehörde für die KI-VO ist seit 29. Juli 2026 die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), soweit nicht sektorale Behörden — etwa die BaFin — zuständig sind.
Österreich: Für die DSGVO ist die Datenschutzbehörde (§ 18 DSG) zuständig — die Meldung nach Art. 33 DSGVO geht an die Datenschutzbehörde, nicht an den BfDI. Eine Marktüberwachungsbehörde nach Art. 70 KI-VO hat Österreich bis zum Stand dieses Artikels (17.08.2026) nicht benannt; die KI-Servicestelle der RTR ist eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis. Prüfen Sie den Stand der Benennung sowie die nach Art. 70 Abs. 2 KI-VO öffentlich zugänglich zu machende Angabe der zentralen Anlaufstelle vor der ersten Meldung.

Rechtlicher Ausgangspunkt ist Art. 51 Abs. 1 DSGVO: Jeder Mitgliedstaat sieht eine oder mehrere unabhängige Aufsichtsbehörden vor. In Deutschland überwachen die nach Landesrecht zuständigen Behörden die Anwendung der Datenschutzvorschriften bei den nichtöffentlichen Stellen (§ 40 Abs. 1 BDSG); der BfDI ist für die öffentlichen Stellen des Bundes sowie für bestimmte Anbieter von Telekommunikationsdiensten zuständig (§ 9 Abs. 1 BDSG). In Österreich wird die Datenschutzbehörde nach § 18 Abs. 1 DSG als nationale Aufsichtsbehörde gemäß Art. 51 DSGVO eingerichtet; deutsche Ergänzungsnormen des BDSG gelten dort nicht.

Auf der KI-VO-Seite richtet jeder Mitgliedstaat mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde ein oder benennt sie; diese üben ihre Befugnisse unabhängig, unparteiisch und unvoreingenommen aus (Art. 70 Abs. 1 KI-VO). Eine Marktüberwachungsbehörde ist als zentrale Anlaufstelle zu benennen, und die Kontaktinformationen waren bis zum 2. August 2025 öffentlich zugänglich zu machen (Art. 70 Abs. 2 KI-VO) — dieser Termin ist verstrichen. In Deutschland ist zentrale Anlaufstelle seit 29. Juli 2026 die Bundesnetzagentur (§ 6 Abs. 1 KI-MIG); Österreich hat bis zum Stand dieses Artikels (17.08.2026) keine Benennung nach Art. 70 KI-VO vorgenommen.

Für die Meldung gilt datenschutzrechtlich Art. 33 Abs. 1 DSGVO: unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen; erfolgt die Meldung später, ist eine Begründung für die Verzögerung beizufügen. Bei voraussichtlich hohem Risiko kommt die unverzügliche Benachrichtigung der betroffenen Person nach Art. 34 Abs. 1 DSGVO hinzu.

Beide Rechtsakte enthalten eigenständige Bußgeldrahmen mit je eigenem Anknüpfungspunkt. Die 4 % knüpfen nach Art. 83 Abs. 5 DSGVO an Verstöße gegen die Grundsätze der Verarbeitung, die Einwilligungsbedingungen und die Rechte der betroffenen Person an, die 7 % nach Art. 99 Abs. 3 KI-VO an Verstöße gegen das Verbot der KI-Praktiken nach Art. 5. Die folgende Übersicht nennt je Zeile den Verstoß, an den die jeweilige Norm anknüpft.

Die materiellen Pflichten selbst — Art. 22, 35 und 9 DSGVO sowie Art. 4a, 14, 26 und 27 EU AI Act — gelten in beiden Ländern EU-weit identisch; der EU AI Act ist als Verordnung (EU) 2024/1689 in Deutschland und Österreich unmittelbar gleichermaßen anwendbar.

6. Praktische Umsetzung

Die Umsetzung läuft in zwei getrennten Pflichtensträngen mit einer gemeinsamen Ablage. Praktisch bewährt sich eine Vorlage, die den DSFA- und den FRIA-Inhaltskatalog in einem Dokument führt, beide aber getrennt ausweist (siehe Abschnitt 2), sowie ein Eintrag je KI-Anwendung im KI-Inventar, der auf den zugehörigen Eintrag im Verarbeitungsverzeichnis verweist. Über das Verarbeitungsverzeichnis hinaus hält der Inventar-Eintrag drei Felder fest: die Risikoklasse nach Art. 6 und Anhang III KI-VO, die eigene Rolle als Anbieter oder Betreiber sowie den Verweis auf DSFA bzw. FRIA. Daneben regelt eine Acceptable Use Policy, welche KI-Werkzeuge Beschäftigte mit welchen Datenarten nutzen dürfen, und die Schulung des Personals deckt beide Rechtsakte ab.

Diese Bausteine sind Praxisempfehlungen — sie folgen nicht aus einer einzelnen Norm, senken den Doppelaufwand und ersetzen keinen Einzelnachweis. Dasselbe gilt für einen eigenen Vertragsanhang für KI-Anbieter (AI-Anbieter-Vertrag) neben dem AVV: Er sollte die Zusicherung der Anbieterunterlagen nach Art. 53 Abs. 1 KI-VO, eine Informationspflicht bei einem Modellwechsel und eine Regelung zur Nutzung Ihrer Eingaben für das Training abdecken. Die folgende Tabelle nennt demgegenüber ausschließlich gesetzliche Pflichten mit ihrer Fundstelle.

Die beiden Transparenz-Stränge bleiben dabei getrennt: Die Kennzeichnung nach Art. 50 KI-VO tritt neben die datenschutzrechtlichen Informationspflichten, die unmittelbar aus Art. 13 und Art. 14 DSGVO folgen. Wer nur eines von beidem erfüllt, hat die andere Pflicht nicht miterledigt.

Ein Nebeneffekt wird häufig übersehen. Deutschland: Unabhängig von der Anzahl der beschäftigten Personen ist eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter zu benennen, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen (§ 38 Abs. 1 BDSG); ergänzend gilt die Schwelle von in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Eine DSFA-pflichtige KI-Anwendung kann die Benennungspflicht also auch in einem kleinen Unternehmen auslösen. Österreich: Es gibt keine über Art. 37 DSGVO hinausgehende zahlenmäßige Benennungsschwelle; die Benennungspflicht folgt unmittelbar aus Art. 37 DSGVO, während § 5 DSG ergänzend die Geheimhaltung und — im öffentlichen Bereich — die Weisungsfreiheit regelt.

Praxisempfehlung zum Einkauf: Fordern Sie beim Zukauf eines KI-Modells mit allgemeinem Verwendungszweck die Unterlagen an, die der Anbieter nach Art. 53 Abs. 1 KI-VO ohnehin vorhalten muss — technische Dokumentation (mindestens Anhang XI), Informationen für integrierende Anbieter (mindestens Anhang XII), Urheberrechts-Strategie und die veröffentlichte Zusammenfassung der Trainingsinhalte. Diese Unterlagen erleichtern die eigene Dokumentation gegenüber Aufsicht und Kunden.