Datenschutz-Folgenabschätzung und KI: Wann wird es für soziale Organisationen relevant

Eine Datenschutz-Folgenabschätzung, kurz DSFA, ist kein Prüfsiegel für KI an sich. Sie bezieht sich auf konkrete Verarbeitungsvorgänge: Welche personenbezogenen Daten werden in welchem Prozess, zu welchem Zweck, mit welchem System und mit welchen möglichen Folgen für betroffene Menschen verarbeitet Für soziale Organisationen wird diese Prüfung relevant, sobald KI-Anwendungen Sozialdaten, vertrauliche Beratungsinhalte, sensible Lebenslagen oder fachliche Bewertungsprozesse berühren können.

Kurz gesagt

Eine DSFA ist nicht wegen des Schlagworts KI erforderlich, sondern wegen eines konkreten Verarbeitungsvorgangs mit voraussichtlich hohem Risiko. In sozialen Organisationen ist diese Schwelle besonders aufmerksam zu betrachten, weil häufig Sozialdaten, Gesundheitsdaten, Minderjährige, Schutzbedarfe, Beratungsvertrauen oder fachliche Entscheidungen betroffen sein können.

Kurzantwort

Eine Datenschutz-Folgenabschätzung ist nach Art. 35 DSGVO durchzuführen, wenn ein konkreter Verarbeitungsvorgang personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. KI ist dabei nicht der eigentliche Auslöser, sondern ein möglicher Risikoverstärker: etwa durch neue Technologien, umfangreiche Datenbestände, sensible Daten, Profilbildung, systematische Bewertung oder besonders schutzbedürftige Personen. Genau hier beginnt die Prüfung einer Datenschutz-Folgenabschätzung bei KI.

Für soziale Organisationen heißt das: Nicht jedes allgemeine KI-Prompting löst automatisch eine DSFA aus. Sobald KI aber mit Falldaten, Sozialdaten, Gesundheitsinformationen, Hilfeverläufen, Beratungsinhalten, Minderjährigen oder fachlichen Einschätzungen verbunden wird, sollte im konkreten Anwendungsfall geprüft und dokumentiert werden, ob eine Schwellwertanalyse oder DSFA erforderlich sein kann.

Die DSFA ist keine reine Datenschutzformalität. Sie hilft, Zweck, Datenarten, Datenflüsse, technische Verarbeitung, fachliche Folgen, Schutzmaßnahmen und Restrisiken gemeinsam zu betrachten. Genau deshalb sollten Geschäftsführung, Leitung, Datenschutz, IT, QM und Fachpraxis früh beteiligt werden.

Praktisch wichtig ist: Wenn eine DSFA erforderlich ist, muss sie vor Beginn der betreffenden Verarbeitung angestoßen werden. Wer ein KI-Tool bereits einsetzt und erst danach klärt, ob Sozialdaten, sensible Daten oder automatisierte Bewertungen betroffen sind, arbeitet zu spät im Prozess.

Die wichtigste Leitungsfrage

Die entscheidende Frage lautet nicht: „Ist dieses KI-Tool modern und nützlich“

Sondern: „Welche Verarbeitung personenbezogener Daten entsteht durch diesen KI-Einsatz, welche Menschen können davon betroffen sein, und kann daraus ein hohes Risiko für ihre Rechte, Freiheiten, Teilhabe oder Schutzinteressen entstehen“

Diese Frage sollte keine einzelne Fachkraft nebenbei beantworten. Sie braucht ein Mandat der Geschäftsführung, einen klaren Prüf- und Freigabeweg als Organisationsmodell und eine nachvollziehbare Dokumentation der Entscheidung.

Warum DSFA und KI zusammengehören

KI-Systeme verändern nicht nur die Oberfläche eines Arbeitsprozesses. Sie können Daten neu auswerten, Texte zusammenfassen, Muster erkennen, Vorschläge erzeugen, Risiken einschätzen oder Entscheidungen vorbereiten. Entscheidend für die DSFA ist deshalb nicht die abstrakte Frage, ob ein System KI nutzt. Entscheidend ist der Verarbeitungsvorgang: Was passiert mit personenbezogenen Daten, welche Folgen kann das für Menschen haben und wie werden Risiken begrenzt

In sozialen Organisationen kommt eine besondere fachliche Dimension hinzu. Daten sind hier oft nicht nur personenbezogen, sondern eng mit Lebenslagen, Schutzbedarfen, Hilfen, Diagnosen, Familienverhältnissen, Krisen, Armut, Gewalt, Behinderung, Gesundheit oder Minderjährigkeit verbunden. Ein Fehler oder eine unangemessene Verarbeitung kann Vertrauen beschädigen, Teilhabe erschweren, Stigmatisierung verstärken oder fachliche Entscheidungen beeinflussen.

Zusätzlich können bei bestimmten KI-Anwendungen Anforderungen aus der europäischen KI-Verordnung (AI Act) relevant werden. Die DSFA ersetzt diese Anforderungen nicht, kann aber wichtige Erkenntnisse für deren Umsetzung liefern.

Die DSFA hilft, diese Risiken nicht erst im Schadensfall zu sehen. Sie macht vor dem Einsatz transparent, welche Verarbeitung tatsächlich geplant ist, welche Daten fließen, wer Zugriff hat, welche Schutzmaßnahmen greifen und welche Restrisiken bleiben. Für die Geschäftsführung ist das auch ein Organisationsrisiko: Ohne belastbaren Prüf- und Freigabeweg bleiben Verantwortlichkeiten, Ressourcen, Haftungsfragen und Nachweise unscharf.

Schwellwertanalyse: Der Schritt vor der DSFA

Vor einer vollständigen DSFA steht häufig eine Schwellwertanalyse. Sie prüft, ob ein Verarbeitungsvorgang voraussichtlich ein hohes Risiko auslöst. Das Ergebnis kann lauten: DSFA erforderlich, DSFA nicht erforderlich oder zunächst weitere Klärung nötig.

Wichtig ist: Auch die Entscheidung, keine DSFA durchzuführen, sollte dokumentiert werden. Gerade bei KI-Vorhaben ist diese Dokumentation Teil verantwortlicher Governance und der Nachweisführung im QM. Sie zeigt, dass die Organisation nicht nach Bauchgefühl entschieden hat, sondern Datenarten, Zwecke, betroffene Personen, technische Verarbeitung und Schutzbedarf betrachtet wurden.

Die Schwellwertanalyse sollte konkret genug sein, um den tatsächlichen Prozess zu erfassen. „Wir nutzen KI“ ist zu ungenau. Besser ist: „Ein freigegebenes KI-System soll Gesprächsnotizen ohne Personenbezug sprachlich strukturieren“ oder „Ein KI-Tool soll aus Hilfeplandaten Vorschläge für nächste Schritte ableiten“. Erst dann wird sichtbar, welche Risiken wirklich entstehen.

Risikofaktoren in sozialen Organisationen

Bei KI in sozialen Organisationen können mehrere Risikofaktoren zusammenkommen. Besonders aufmerksam sollten Organisationen werden, wenn KI mit Sozialdaten, Gesundheitsdaten, Daten von Kindern und Jugendlichen, Beratungskontexten, Hilfeplanung, Schutzauftrag, Leistungsentscheidungen oder Monitoring verbunden ist.

Auch scheinbar harmlose Verarbeitung kann riskanter werden, wenn sie umfangreich, dauerhaft, intransparent oder schwer nachvollziehbar ist. Ein einzelner anonym formulierter Beispielprompt ist anders zu bewerten als ein dauerhaftes KI-System, das regelmäßig Fallnotizen analysiert, Kategorien vergibt oder Priorisierungen vorschlägt.

Ein weiterer Risikofaktor ist die Wirkung von KI-Ausgaben. Wenn ein System nur allgemeine Formulierungsideen liefert, ist die fachliche Tragweite geringer. Wenn es dagegen Einschätzungen zu Hilfebedarf, Risiko, Dringlichkeit, Kindeswohl, Eignung, Teilhabe oder Ressourcenzuteilung beeinflusst, steigt die Schutzbedürftigkeit erheblich.

Warum nicht jedes KI-Tool automatisch DSFA-pflichtig ist

Eine DSFA ist kein pauschales Etikett für jedes KI-Tool. Entscheidend ist der konkrete Verarbeitungsvorgang. Ein KI-Tool, das ohne personenbezogene Daten für allgemeine Ideensammlung, Gliederung oder sprachliche Überarbeitung eingesetzt wird, kann anders zu bewerten sein als dasselbe Tool, wenn es echte Falldaten, Beratungsinhalte oder Hilfeverläufe verarbeitet.

Deshalb sollten soziale Organisationen nicht fragen: „Ist Tool X DSFA-pflichtig“ Die bessere Frage lautet: „Welche Daten verarbeitet Tool X in welchem Prozess, zu welchem Zweck, mit welchen Folgen für welche Menschen“

Diese Unterscheidung verhindert zwei Fehler zugleich: unnötige Blockade bei risikoarmen Anwendungen und gefährliche Verharmlosung bei riskanten KI-Prozessen.

Geschäftsführung, Verantwortung und QM

Die Verantwortung für eine DSFA liegt bei der Organisation als datenschutzrechtlich Verantwortliche. Datenschutzbeauftragte beraten und müssen eingebunden werden, aber sie ersetzen nicht die Entscheidung der Geschäftsführung, der verantwortlichen Leitung oder die fachliche Bewertung des konkreten Einsatzes.

Führungsaufgabe

Warum DSFA bei KI Leitungssache ist?

Eine DSFA entscheidet nicht nur über Datenschutzdetails. Sie zeigt, ob ein KI-gestützter Verarbeitungsvorgang mit Schutzauftrag, Fachlichkeit, Organisationsrisiko, Ressourcen, Dokumentation und Vertrauen vereinbar ist. Deshalb braucht sie ein Mandat der Geschäftsführung, klare Entscheidungspunkte und eine frühe, nachvollziehbare Beteiligung von Datenschutz, IT, QM und Fachpraxis.

Geschäftsführung und Trägerleitung sollten je nach Größe, Risiko und Struktur der Organisation festlegen, welche KI-Vorhaben eine Vorprüfung durchlaufen, wer eine Nutzung freigeben darf, in welchen Fällen Datenschutz und QM einzubeziehen sind und ab welchem Risikoniveau ein Projekt gestoppt oder neu zugeschnitten wird. Ohne dieses Mandat bleibt die DSFA eine späte Einzelprüfung statt Teil verantwortlicher Steuerung.

Das Qualitätsmanagement sollte den Prozess so verankern, dass Prüfentscheidungen nachvollziehbar bleiben: Wer hat den Anwendungsfall beschrieben Welche Datenarten sind betroffen Welche Schwellwertanalyse wurde durchgeführt Welche Schutzmaßnahmen wurden beschlossen Wer ist für Umsetzung und Kontrolle verantwortlich Wann erfolgt ein Review

Zur Nachweisführung gehören eine versionierte Anwendungsfallbeschreibung, eine dokumentierte Schwellwertanalyse, Freigabeentscheidungen, Maßnahmenplan, Review-Termine und ein Änderungsprotokoll. Wenn sich Zweck, Datenarten, Anbieter, Schnittstellen, Modellfunktionen oder Nutzungsumfang wesentlich ändern, muss die Bewertung aktualisiert werden.

Fachpraxis ist unverzichtbar, weil Datenschutz allein nicht beurteilen kann, welche fachlichen Folgen ein KI-Vorschlag in Beratung, Hilfeplanung oder Sozialarbeit haben kann. IT ist wichtig, weil Datenflüsse, Speicherorte, Zugriffe, Schnittstellen und Anbieterangaben technisch verstanden werden müssen. Datenschutzbeauftragte beraten, prüfen und sensibilisieren; die Verantwortung für die Verarbeitung und Freigabe bleibt bei der Organisation.

Inhaltlich passt die DSFA bei KI eng zu KI-Risikoanalyse, Toolfreigabe, KI-Governance sowie Rollen und Verantwortlichkeiten. Diese Bausteine helfen, Datenschutzprüfung, fachliche Bewertung und Freigabeentscheidung nicht getrennt voneinander zu bearbeiten. Auch Schatten-KI wird wahrscheinlicher, wenn Organisationen keinen klaren Freigabe- und Prüfprozess anbieten.

Erste Schritte: Datenschutz-Folgenabschätzung bei KI vorbereiten

In vielen Organisationen reicht zunächst eine kurze dokumentierte Schwellwertanalyse aus, um zu entscheiden, ob eine vollständige DSFA erforderlich ist.

KI-Anwendungsfall konkret beschreiben.
Datenarten und betroffene Personengruppen erfassen.
Schwellwertanalyse durchführen.
Datenschutzbeauftragte frühzeitig einbeziehen.
Freigabeentscheidung dokumentieren.
Review-Termin festlegen.

Praxisbeispiele

KI-Protokolltool für Fallbesprechungen

Eine Organisation möchte ein KI-Protokolltool für Fallbesprechungen nutzen. In den Sitzungen werden Hilfeverläufe, Familienkonstellationen, Diagnosen und Schutzbedarfe besprochen. Audio, Transkript und Zusammenfassung können personenbezogene und besonders sensible Informationen enthalten. Hier ist eine reine Toolentscheidung zu kurz. Vor dem Einsatz sollte eine Schwellwertanalyse geprüft werden; je nach Ausgestaltung kann eine DSFA naheliegen.

KI-Transkription von Teamsitzungen

Eine Einrichtung möchte Teamsitzungen automatisch transkribieren und zusammenfassen lassen. Werden dabei Fallinformationen, personenbezogene Daten, Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten verarbeitet, kann eine Schwellwertanalyse erforderlich sein. Je nach Umfang, Regelmäßigkeit, Anbieter, Speicherort und Inhalt kann daraus eine Datenschutz-Folgenabschätzung bei KI werden.

KI sortiert allgemeine Fortbildungsnotizen

Ein Fachbereich nutzt ein KI-System, um anonyme Fortbildungsnotizen zu clustern und Themen für eine Teamschulung zu sammeln. Es werden keine personenbezogenen Daten, keine Falldaten und keine vertraulichen Organisationsinformationen eingegeben. Eine DSFA kann hier eher nicht erforderlich sein, die Organisation sollte aber dokumentieren, warum kein hohes Risiko erkennbar ist und welche Grenzen für die Nutzung gelten.

KI unterstützt Priorisierung von Beratungsanfragen

Eine Beratungsstelle erwägt, eingehende Anfragen mithilfe von KI nach Dringlichkeit zu sortieren. Betroffen sind persönliche Krisen, Gesundheitsinformationen, möglicherweise Minderjährige und die Reihenfolge des Zugangs zu Hilfe. Hier geht es nicht nur um Effizienz, sondern um potenzielle Folgen für betroffene Personen. Eine DSFA-Prüfung ist in einem solchen Szenario besonders ernst zu nehmen.

DSFA-relevant, prüfpflichtig oder eher unkritisch

KI-Nutzung	Einordnung	Warum	Praktische Leitplanke
Allgemeine Ideensammlung ohne personenbezogene Daten	eher unkritisch, aber regeln	Kein Personenbezug, geringe fachliche Tragweite.	Nutzungsgrenzen dokumentieren und keine vertraulichen Inhalte eingeben.
Sprachliche Überarbeitung anonym formulierter Mustertexte	abhängig von Anonymisierung	Risiko steigt, wenn reale Fälle indirekt erkennbar sind.	Künstliche Musterfälle bevorzugen und Re-Identifikation prüfen.
KI-Protokolltool für Fallbesprechungen	hoch prüfpflichtig	Audio, Transkript und Inhalte können sensible Daten enthalten.	Schwellwertanalyse, Toolfreigabe und ggf. DSFA vor Einsatz.
Analyse von Hilfeplandaten oder Falldokumentation	DSFA naheliegend	Sozialdaten, Schutzbedarfe und fachliche Folgen können betroffen sein.	Vorab prüfen, ob Zweck, Rechtsgrundlage und Schutzmaßnahmen tragfähig sind.
KI-Vorschläge für Dringlichkeit, Risiko oder Hilfebedarf	sehr kritisch	Bewertungen können Zugang zu Hilfe, Schutz oder Ressourcen beeinflussen.	Keine automatisierte Entscheidung; DSFA, Human Oversight und fachliche Kontrolle klären.
Dauerhaftes Monitoring von Mitarbeitenden oder Klientinnen und Klienten	sehr kritisch	Systematische Beobachtung kann tief in Rechte und Freiheiten eingreifen.	Nur nach umfassender Prüfung, Beteiligung, Rechtsgrundlage und Schutzkonzept.

Bausteine einer DSFA-Prüfung bei KI

Baustein	Prüffrage	Beteiligung
Verarbeitungsvorgang	Welcher konkrete Prozess wird durch KI unterstützt oder verändert?	Fachbereich, Datenschutz, IT
Datenarten	Welche personenbezogenen Daten, Sozialdaten oder besonderen Kategorien sind betroffen?	Datenschutz, Fachpraxis
Zweck und Notwendigkeit	Ist der KI-Einsatz für den Zweck erforderlich und verhältnismäßig?	Leitung, Fachpraxis, Datenschutz
Risiken	Welche physischen, materiellen, immateriellen oder fachlichen Nachteile können entstehen?	Datenschutz, QM, Fachpraxis
Schutzmaßnahmen	Welche technischen, organisatorischen und fachlichen Maßnahmen begrenzen Risiken?	IT, QM, Datenschutz, Leitung
Restrisiko und Entscheidung	Bleibt ein hohes Risiko bestehen, und wie geht die Organisation damit um	Leitung, Datenschutz, ggf. Aufsicht

Checkliste: DSFA-Relevanz bei KI prüfen

Ist der konkrete Verarbeitungsvorgang beschrieben, nicht nur das Tool?
Werden personenbezogene Daten verarbeitet
Sind Sozialdaten, Gesundheitsdaten, Daten Minderjähriger oder andere besonders sensible Informationen betroffen?
Geht es um Beratung, Hilfeplanung, Schutzauftrag, Leistungszugang oder fachliche Bewertung
Werden Personen bewertet, priorisiert, kategorisiert oder überwacht
Ist die Verarbeitung umfangreich, dauerhaft, schwer nachvollziehbar oder für Betroffene intransparent?
Ist klar, welche Daten an Anbieter, Unterauftragnehmer oder andere Systeme fließen?
Ist geklärt, ob Eingaben gespeichert, für Training genutzt oder in Drittstaaten verarbeitet werden?
Gibt es mildere Alternativen mit weniger Daten, besserer Anonymisierung oder rein interner Verarbeitung?
Wurde der Datenschutzbeauftragte frühzeitig einbezogen
Sind Fachpraxis und QM beteiligt, damit fachliche Folgen und Nachweise bewertet werden?
Ist dokumentiert, warum eine DSFA erforderlich oder nicht erforderlich ist?
Gibt es einen Review-Termin bei Änderungen von Tool, Zweck, Datenarten oder Risiken?

Häufige Fragen

Wann ist eine Datenschutz-Folgenabschätzung bei KI erforderlich?

Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn eine geplante Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen zur Folge hat. Bei KI kann das besonders relevant werden, wenn sensible Daten, umfangreiche Datenbestände, neue Technologien, Bewertungssysteme oder vulnerable Zielgruppen betroffen sind.

Braucht jede KI-Nutzung automatisch eine DSFA?

Nein. Nicht jede KI-Nutzung braucht automatisch eine DSFA. Ob eine DSFA erforderlich sein kann, ist im konkreten Anwendungsfall zu prüfen. Eine dokumentierte Schwellwertanalyse kommt insbesondere dann in Betracht, wenn personenbezogene Daten, Sozialdaten, besonders sensible Informationen oder neue riskante Verarbeitungsvorgänge betroffen sein können.

Was ist eine Schwellwertanalyse?

Die Schwellwertanalyse ist die vorgelagerte Prüfung, ob ein Verarbeitungsvorgang voraussichtlich ein hohes Risiko auslöst. Sie dokumentiert, ob eine DSFA erforderlich ist und auf welche Gründe sich diese Entscheidung stützt.

Welche KI-Anwendungen sind in sozialen Organisationen besonders DSFA-relevant?

Besonders DSFA-relevant können KI-Anwendungen sein, die Falldaten, Sozialdaten, Gesundheitsdaten, Daten Minderjähriger, Beratungskontexte, Risiko- oder Bedarfseinschätzungen, Profilbildung, Monitoring oder automatisierte Bewertungen berühren.

Wer ist für die DSFA verantwortlich?

Verantwortlich ist die Organisation als datenschutzrechtlich Verantwortliche. Leitung, Datenschutz, IT, Qualitätsmanagement und Fachpraxis sollten zusammenarbeiten; der Datenschutzbeauftragte ist einzubeziehen und überät, ersetzt aber nicht die Organisationsverantwortung.

Was gehört in eine DSFA zu KI?

Eine DSFA beschreibt nicht KI allgemein, sondern den konkreten Verarbeitungsvorgang: Zwecke, Datenarten, betroffene Personen, Rechtsgrundlagen, Notwendigkeit, Verhältnismäßigkeit, Risiken, Schutzmaßnahmen, Restrisiken und den Umgang mit diesen Risiken.

Was ist der Unterschied zwischen DSFA und KI-Risikoanalyse?

Eine DSFA ist ein datenschutzrechtliches Instrument nach Art. 35 DSGVO für konkrete Verarbeitungsvorgänge mit voraussichtlich hohem Risiko. Eine KI-Risikoanalyse kann breiter sein und auch fachliche, ethische, organisatorische, technische, wirtschaftliche oder AI-Act-bezogene Risiken betrachten.

Kann eine DSFA nachträglich erstellt werden?

Eine DSFA soll vor Beginn der Verarbeitung durchgeführt werden. Bestehende Prozesse können aber nachträglich prüfpflichtig werden, wenn sich Zwecke, Datenarten, Tools, Risiken oder technische Rahmenbedingungen wesentlich ändern.

Was passiert, wenn trotz Schutzmaßnahmen ein hohes Restrisiko bleibt?

Wenn trotz geplanter Schutzmaßnahmen ein hohes Risiko bestehen bleibt, ist nach Art. 36 DSGVO zu prüfen, ob vor Beginn der Verarbeitung eine vorherige Konsultation der zuständigen Datenschutzaufsicht erforderlich ist.

Weitere Fachimpulse und Begriffe im Zusammenhang

Den Datenschutzrahmen vertiefen KI und Datenschutz: Welche Daten gehören nicht ungeprüft in KI-Tools, Datenschutzprüfung für KI-Tools und Anonymisierung und Pseudonymisierung bei KI-Nutzung.

Für den organisatorischen Rahmen passen KI-Risiken in der Sozialen Arbeit bewerten, KI-Freigabeprozesse, Schatten-KI vermeiden und KI-Policy, KI-Leitbild oder KI-Leitlinien. Wichtige Begriffe dazu sind KI-Governance, Toolfreigabe, KI-Risikoanalyse, Rollen und Verantwortlichkeiten und Schatten-KI.

Quellen

Praktische Leitplanke

Eine einfache Orientierung für soziale Organisationen lautet: Sobald KI mit personenbezogenen Falldaten, Sozialdaten, sensiblen Lebenslagen oder fachlichen Bewertungen verbunden wird, reicht eine spontane Toolfreigabe nicht aus. Dann sollte eine dokumentierte Schwellwertanalyse geprüft werden; bei voraussichtlich hohem Risiko kann eine DSFA vor dem Einsatz erforderlich sein.

Nächster Schritt

DSFA-Frage in den KI-Freigabeprozess einbauen

Viele Organisationen beginnen pragmatisch: Jeder KI-Toolwunsch erhält eine kurze Datenschutz- und Risikoprüfung. Sobald personenbezogene Daten, Sozialdaten, Schutzbedarfe oder fachliche Bewertungen betroffen sind, wird daraus eine dokumentierte Schwellwertanalyse. So wird die DSFA-Frage nicht vergessen, sondern Teil des normalen Freigabewegs.

Transparenzhinweis

Dieser Fachimpuls wird von Simon Kern verantwortet. Er entsteht auf Grundlage fachlicher Erfahrung in KI, Datenschutzsensibilität, digitaler Organisationsentwicklung und sozialer Praxis. KI-Systeme können bei Recherche, Strukturierung oder Formulierung unterstützend eingesetzt worden sein. Die fachliche Bewertung, Auswahl, Einordnung und Verantwortung liegen beim Autor. Die Inhalte wurden vor der Veröffentlichung fachlich und redaktionell geprüft.

Hinweis zu Rechts-, Datenschutz- und Compliance-Fragen

Dieser Fachimpuls stellt keine Rechtsberatung, keine verbindliche Datenschutzberatung und keine Einzelfallbewertung dar. Er dient der fachlichen Orientierung. Je nach Organisation, Tool, Datenarten, Rechtsgrundlage und Anwendungsfall kann eine individuelle rechtliche, datenschutzrechtliche oder organisatorische Prüfung erforderlich sein. Datenschutzbeauftragte, Rechtsberatung oder zuständige Stellen sollten bei relevanten Fragen einbezogen werden.