Die EDSA-DSFA-Vorlage: Warum Sie bis zum 9. Juni Stellung beziehen sollten

Am 14. April 2026 hat der Europäische Datenschutzausschuss (EDSA) zum ersten Mal eine einheitliche Vorlage für Datenschutz-Folgenabschätzungen verabschiedet. Bis zum 9. Juni 2026 können Sie als Verantwortliche, Verband oder Beratungspraxis dazu Stellung beziehen. Danach übernehmen die nationalen Aufsichtsbehörden die Vorlage entweder direkt als Standard oder richten ihre eigenen Vorlagen daran aus.

Wenn Sie KI-Vorhaben planen, in denen personenbezogene Daten eine Rolle spielen, ist das für Sie relevant. Nicht in zwölf Monaten, sondern jetzt.

Worum es geht

Eine Datenschutz-Folgenabschätzung (DSFA) ist nach Art. 35 DSGVO Pflicht, wenn eine Verarbeitung „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen" mit sich bringt. In der Praxis sind das vor allem drei Konstellationen: KI-gestützte Bonitäts- oder Scoring-Systeme, automatisierte Personalauswahl und systematische Überwachung größerer Bereiche. Sobald in einem dieser Felder gearbeitet wird, ist die DSFA kein „nice to have", sondern Voraussetzung dafür, dass die Verarbeitung überhaupt rechtmäßig starten darf (dsgvo-kmu-pflichten).

Das Problem für mittelständische Unternehmen war bislang weniger die Pflicht selbst, sondern ihre Umsetzung. Jede Aufsichtsbehörde hatte eigene Hinweise, jede Beratungspraxis eigene Vorlagen, jedes Tool eigene Felder. Wer eine DSFA aufgesetzt hat, wusste oft nicht, ob das, was er einreicht, im Falle einer Prüfung auch wirklich anerkannt wird.

Diese Heterogenität war ein dauerhafter Reibungsverlust – vor allem für Unternehmen mit 20 bis 250 Mitarbeitenden, die weder einen großen Datenschutzapparat noch das Budget für ein halbjähriges DSFA-Projekt haben. Die EDSA-Vorlage adressiert genau diese Lücke.

Was die Vorlage konkret ändert

Die Vorlage selbst ist ein strukturiertes Formular mit vordefinierten Feldern. Ergänzt wird sie durch ein Erläuterungsdokument, das Schritt für Schritt durch das Ausfüllen führt. Beides liegt seit dem 14. April öffentlich auf den Seiten des EDSA und wird bis zum 9. Juni konsultiert (edsa-dsfa-vorlage-2026).

Drei Punkte sind dabei wichtig:

Erstens: Die Vorlage ist nicht verpflichtend. Verantwortliche dürfen weiterhin eigene DSFA-Methodiken nutzen. Wer aber die EDSA-Vorlage verwendet, bekommt vordefinierte Felder, die strukturierte und vollständige Antworten erzwingen. Faktisch bedeutet das: Eine eigene Methodik müssen Sie nach Konsultationsabschluss erst recht inhaltlich gegen die EDSA-Vorlage abgleichen können, sonst wird die Aufsichtsbehörde Lücken finden.

Zweitens: Die Vorlage wird über kurz oder lang Maßstab. Im Pressetext schreibt der EDSA ausdrücklich, dass die nationalen Datenschutzbehörden nach Konsultationsende „die notwendigen Schritte einleiten, um diese Vorlage entweder als ihre Standard-Vorlage zu übernehmen oder sie als gemeinsame Grundlage zu verwenden, mit der länderspezifische Vorlagen abgestimmt sind". Das heißt: Die Vorlage wird de facto zur Referenzlinie, an der eigene Verfahren gemessen werden.

Drittens: Der KMU-Fokus ist kein Zufall. Die Vorlage entstand in Folge des sogenannten Helsinki-Statements vom Juli 2025, in dem sich die europäischen Aufsichtsbehörden verständigt haben, „insbesondere für kleine und mittlere Organisationen praktische und verständliche Werkzeuge" zu entwickeln. Das ist ein deutliches Signal: Brüssel und die nationalen Behörden haben verstanden, dass die DSGVO-Pflichten ohne taugliche Hilfsmittel für den Mittelstand kaum erfüllbar sind. Die DSFA-Vorlage ist ein erster Schritt in einer ganzen Reihe geplanter Vereinheitlichungen.

Was die DSFA von der Grundrechte-Folgenabschätzung trennt

An dieser Stelle wird es interessant für alle, die KI-Hochrisiko-Systeme einsetzen. Die DSFA nach Art. 35 DSGVO ist nicht das einzige Folgenabschätzungs-Verfahren, dem Sie unterliegen können. Die KI-Verordnung kennt mit Art. 27 eine zweite Säule: die Grundrechte-Folgenabschätzung (GRFA).

Beide Verfahren haben unterschiedliche Auslöser und unterschiedliche Schwerpunkte. Die DSFA fragt: „Welche Risiken birgt die Verarbeitung für die personenbezogenen Daten der Betroffenen?" Die GRFA fragt: „Welche Risiken birgt das System für die Grundrechte der Betroffenen insgesamt – also auch Diskriminierungsfreiheit, Versammlungsfreiheit, Berufsfreiheit?"

Bei einem KI-Bonitätsscoring fallen beide Verfahren typischerweise parallel an. Bei einer KI-gestützten Personalauswahl ebenso. Die EDSA-Vorlage befreit Sie nicht von der GRFA-Pflicht – sie macht aber die DSFA-Seite endlich planbar, sodass Sie sich auf die GRFA-Seite konzentrieren können, wo bislang noch wesentlich weniger Standardisierung existiert.

Wichtig zu wissen: Die DSGVO-Pflichten bleiben unabhängig vom Verschiebe-Spiel, das gerade beim AI Act läuft. Auch wenn die zentralen Hochrisiko-Pflichten der KI-Verordnung durch den Digital Omnibus vom Mai 2026 auf den 2. Dezember 2027 verschoben wurden, gilt die DSFA-Pflicht nach Art. 35 DSGVO heute. Wer auf den AI Act wartet, verlängert das eigene Risiko, nicht das der Aufsichtsbehörde (eu-ai-act).

Wie das in der Praxis aussieht – ein realer Mittelstandsfall

Nehmen Sie eine typische Wohnungsgenossenschaft mit 80 Mitarbeitenden und 4.000 verwalteten Wohneinheiten. Der Bestandsverwalter erhält pro Woche rund hundert Mieteranfragen, von „Heizung tropft" bis „Mieterhöhung – bitte erklären". Die Idee, einen KI-Klassifikator vor die menschliche Bearbeitung zu setzen, der Anfragen kategorisiert und Routinetexte vorschlägt, liegt nahe. Sie spart 10 bis 15 Minuten Erstreaktion pro Vorgang. Bei hundert Vorgängen die Woche ist das eine Mitarbeiter-Position über das Jahr (branche-wohnungsverein, use-case-mieteranfragen-triage).

Datenschutzrechtlich heißt das aber: Sie verarbeiten Mieterdaten – Name, Adresse, oft auch Bonitätsindikatoren und Sozialhärtefall-Hinweise – automatisiert durch ein KI-System. Das ist nicht zwingend Hochrisiko, denn der Klassifikator entscheidet nicht über das Mietverhältnis. Aber er greift in einer Form ein, die eine systematische Risikobetrachtung erfordert. In der Branchen-Praxis hat sich „DSFA-light" als Begriff etabliert: keine vollumfängliche Hochrisiko-DSFA, aber eine dokumentierte Abwägung mit den Pflichtfeldern einer DSFA (dsgvo-pflichten-wohnungsgenossenschaften).

Genau hier wird die EDSA-Vorlage zum Hebel. Statt einer Eigenkonstruktion, deren Aufsichtsbehörden-Tauglichkeit unklar ist, haben Sie eine Vorlage, die EU-weit harmonisiert wird. Sie können das Verfahren im Pilotbetrieb dokumentieren, in den Pflichtprüfungs-Kreislauf der Genossenschaft einbetten – und im Fall einer aufsichtsbehördlichen Nachfrage auf eine Vorlage verweisen, gegen die die Behörde selbst ihre Maßstäbe ausgerichtet hat.

Was Sie bis zum 9. Juni tun können

Es gibt zwei Wege, mit der Konsultation umzugehen. Beide lassen sich auch parallel fahren.

Der schnellere Weg: Stellungnahme einreichen. Verbände und Beratungspraxis sind explizit eingeladen. Wenn Sie selbst keine Stellungnahme abgeben wollen, lohnt sich ein Blick darauf, welche Verbände im Mittelstand das tun – der BvD, der GdW für die Wohnungswirtschaft, der ZDH für das Handwerk haben jeweils eigene Anliegen, die Ihre Praxis vermutlich treffen. Wer dort kommentiert, gestaltet die finale Vorlage mit.

Der wertvollere Weg: Die Entwurfs-Vorlage auf einen realen KMU-Fall anwenden. Nehmen Sie ein KI-Vorhaben, das ohnehin auf Ihrer Roadmap steht – die Mieteranfragen-Triage, eine Voicebot-Lösung im Service, ein Vertriebs-Scoring – und füllen Sie die EDSA-Vorlage testweise aus. Dabei werden zwei Dinge sichtbar: erstens, wo die Vorlage selbst noch Lücken hat, die Sie in einer Stellungnahme adressieren können. Zweitens, wie Ihre interne DSFA-Praxis aussehen wird, sobald die Vorlage zur Norm wird. Wer das jetzt durchspielt, hat zum Stichtag bereits eine getestete und kalibrierte Vorgehensweise – statt im November anzufangen, wenn die finale Version veröffentlicht wird.

Was bleibt offen

Drei Punkte sind aus der bisherigen Veröffentlichungslage nicht abschließend geklärt.

Erstens: Die Deutsche Aufsichts-Konferenz (DSK) hat sich noch nicht öffentlich dazu positioniert, ob sie die EDSA-Vorlage als alleinigen Standard übernehmen wird oder als „Meta-Template" behandelt, an dem die existierenden Landes-Vorlagen ausgerichtet werden. Letzteres würde regional unterschiedliche Praktiken erhalten – was bei einer Genossenschaft mit Beständen in mehreren Bundesländern relevant wäre.

Zweitens: Das Erläuterungsdokument enthält erste Hinweise zur Risiko-Bewertung, lässt aber offen, ab wann ein KI-System „voraussichtlich hohes Risiko" auslöst. Die Praxis wird sich an den bestehenden Listen der Aufsichtsbehörden orientieren müssen – auch hier hilft ein eigener Test-Durchlauf.

Drittens: Das Zusammenspiel zwischen DSFA (DSGVO Art. 35) und Grundrechte-Folgenabschätzung (KI-VO Art. 27) ist organisatorisch ein doppelter Aufwand. Wer beide Verfahren parallel durchläuft, sollte heute schon prüfen, ob die jeweilige Software-Lösung beide Output-Formate bedienen kann – andernfalls droht doppelte Dokumentationsarbeit für dieselbe inhaltliche Bewertung.

Die EDSA-Vorlage ist kein Wundermittel. Sie ist eine ehrliche Vereinfachung eines Verfahrens, das vorher unnötig schwergängig war. Wer den 9. Juni ungenutzt vorbeigehen lässt, verschenkt zwei Dinge: die Chance, die finale Version mitzugestalten – und den Vorlauf, sich bereits mit einer kalibrierten Vorgehensweise zu positionieren, bevor andere im Herbst anfangen, sich Gedanken zu machen.