Folgenabschätzung · Art. 22 DSG · Rechtsversion 2026-10-09

Datenschutz-Folgenabschätzung

Die Folgenabschätzung ist zwingend, wenn die geplante Bearbeitung «voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führen» kann. Dieses Werkzeug klärt, ob das bei Ihnen zutrifft, und führt Sie durch die Abfassung in genau der Struktur, die Art. 22 Abs. 3 vorschreibt. Alles bleibt in Ihrem Browser.

Dies ist keine FRIA. Die Grundrechte-Folgenabschätzung nach Art. 27 der KI-Verordnung betrifft nur Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, sowie Betreiber von Kreditscoring oder Lebens- und Krankenversicherungstarifierung. Ein gewöhnliches privates KMU untersteht ihr nicht; falls doch, sagt es Ihnen der Klassifikator: prüfen Sie Ihren Anwendungsfall.

1. Birgt Ihre Bearbeitung ein hohes Risiko?

Art. 22 Abs. 2 nennt vier offene Kriterien — Art, Umfang, Umstände und Zweck — und benennt anschliessend zwei Fälle, in denen das Risiko «insbesondere» besteht: Sie entscheiden für sich allein. Das Profiling mit hohem Risiko entscheidet ebenfalls, weil seine Definition das hohe Risiko bereits enthält (Art. 5 Bst. g). Die übrigen Faktoren legen die Abschätzung nahe: Zwei machen sie wahrscheinlich, einer verlangt einen begründeten Entscheid.

Bearbeitung besonders schützenswerter Personendaten in grossem UmfangGesetzliche VermutungGesundheit, religiöse oder politische Ansichten, Gewerkschaftszugehörigkeit, Intimsphäre, Herkunft, genetische oder biometrische Daten, Strafverfolgung, Sozialhilfe.DSG Art. 22 Abs. 2 Bst. a · DSG Art. 5 Bst. cSystematische Überwachung grosser Teile des öffentlichen RaumsGesetzliche VermutungKameras, Sensoren oder Bildauswertung, die einen öffentlich zugänglichen Raum dauerhaft erfassen.DSG Art. 22 Abs. 2 Bst. bProfiling mit hohem RisikoGesetzliche QualifikationProfiling, das durch eine Verknüpfung von Daten die Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt (Art. 5 Bst. g). Das hohe Risiko steckt in der Definition: Die Abschätzung ist zwingend, das Verzeichnis der Bearbeitungstätigkeiten wird auch unter 250 Mitarbeitenden zur Pflicht (Art. 24 Bst. b DSV), und eine Einwilligung, falls sie die Bearbeitung trägt, muss ausdrücklich sein (Art. 6 Abs. 7 Bst. b).DSG Art. 5 Bst. g · DSV Art. 24 Bst. b · DSG Art. 6 Abs. 7 Bst. bProfilingAutomatisierte Bewertung persönlicher Aspekte: Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Vorlieben, Zuverlässigkeit, Verhalten, Aufenthaltsort (Art. 5 Bst. f). Es ist das erste der neun Kriterien der europäischen Leitlinien WP248, «Bewertung oder Einstufung». Erlaubt die Verknüpfung die Beurteilung wesentlicher Aspekte der Persönlichkeit, kreuzen Sie stattdessen das Profiling mit hohem Risiko an.DSG Art. 5 Bst. f · DSG Art. 22 Abs. 2Automatisierte EinzelentscheidungAusschliesslich automatisiert getroffene Entscheidung mit Rechtsfolgen für die Person oder erheblicher Beeinträchtigung (Art. 21). Für sich allein erzwingt sie nach Schweizer Recht keine Abschätzung: Beurteilt wird die Bearbeitung, die zu ihr führt, und sie beruht fast immer auf einem Profiling, das ebenfalls anzukreuzen ist. Gilt die DSGVO, macht Art. 35 Abs. 3 Bst. a sie zwingend.DSG Art. 21Einsatz einer neuen TechnologieDer Gesetzestext nennt diesen Fall ausdrücklich: Ein generatives KI-Modell in einem Ablauf, der bisher keines enthielt, fällt darunter.DSG Art. 22 Abs. 2Verknüpfung mehrerer DatenquellenZusammenführung bisher getrennter Bestände, die ein Bild der Person ergibt, das keine Quelle allein lieferte.DSG Art. 22 Abs. 2Personen in Abhängigkeit oder in verletzlicher LageMitarbeitende, Bewerbende, Patientinnen und Patienten, Kinder, Leistungsbeziehende: Das Ungleichgewicht der Beziehung wiegt in der Risikobeurteilung.DSG Art. 22 Abs. 2

Gilt auch die DSGVO?

Die DSGVO gilt für diese BearbeitungSie bieten Personen in der EU Waren oder Dienstleistungen an oder beobachten ihr Verhalten (Art. 3 Abs. 2 DSGVO). Art. 35 Abs. 3 DSGVO nennt dann drei Fälle, in denen die Abschätzung erforderlich ist, darunter die systematische und umfassende Bewertung auf Grundlage automatisierter Verarbeitung, die Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Beeinträchtigung dient. Die nationalen Listen nach Art. 35 Abs. 4 können weitere hinzufügen.

2. Sind Sie befreit?

Es bestehen zwei Entlastungen, und sie sind kaum bekannt. Sie senken das Risiko nicht: Sie befreien von der Pflicht zur Abschätzung.

Die Bearbeitung ist gesetzlich vorgeschriebenDer private Verantwortliche ist von der Abschätzung befreit, wenn er zur Bearbeitung gesetzlich verpflichtet ist.DSG Art. 22 Abs. 4System, Produkt oder Dienst ist für die vorgesehene Verwendung zertifiziertZertifizierung durch eine anerkannte und unabhängige Stelle. Die Befreiung gilt nur für die von der Zertifizierung erfasste Verwendung.DSG Art. 22 Abs. 5 · DSG Art. 13Sie befolgen einen dem EDÖB vorgelegten VerhaltenskodexDer Kodex muss auf einer Folgenabschätzung beruhen, Schutzmassnahmen vorsehen und dem EDÖB vorgelegt worden sein. Die drei Bedingungen gelten kumulativ.DSG Art. 22 Abs. 5 · DSG Art. 11

Ergebnis

Nichts deutet auf ein hohes Risiko hin

Aufgrund Ihrer Angaben wurde kein Faktor festgestellt. Das ist keine Entlastung: Die Beurteilung bleibt Ihre, und sie ist neu vorzunehmen, sobald sich Zweck, Umfang oder Umstände der Bearbeitung ändern.

Struktur vorgegeben durch Art. 22 Abs. 3 DSG. Rechtsversion 2026-10-09. Orientierungshilfe, keine Rechtsberatung.