DPIA-Vorlage für KI: Wie der EDPB-Entwurf 2026 die Datenschutz-Folgenabschätzung für HR-KI verändert

Eine Datenschutz-Folgenabschätzung für ein KI-System — kurz DPIA nach Art. 35 DSGVO — ist die dokumentierte Risikobewertung, die du als Verantwortliche nach Art. 4 Nr. 7 DSGVO erstellen musst, bevor du ein KI-System produktiv schaltest, das personenbezogene Daten in größerem Umfang verarbeitet. Das gilt insbesondere dann, wenn der Einsatz unter Anhang III der KI-Verordnung als Hochrisiko-System eingestuft ist: Recruiting, Beurteilung der Arbeitsleistung, Entscheidungen über Zugang zu wesentlichen Diensten. Am 23. April 2026 hat der Europäische Datenschutzausschuss (EDPB) erstmals eine standardisierte DPIA-Vorlage als Entwurf zur öffentlichen Konsultation veröffentlicht. Die Konsultation schließt am 9. Juni 2026. Die finale Fassung wird im dritten Quartal 2026 erwartet und wird damit zur faktischen Referenz für Auditoren, für den BfDI und für die Datenschutzbehörden der Länder bei der Frage, ob deine DPIA tragfähig ist.

Wenn du eine DPIA aus 2023 oder 2024 in der Akte hast, passt sie mit hoher Wahrscheinlichkeit nicht zur Struktur der EDPB-Vorlage 2026. Die neue Vorlage führt eigene Abschnitte für KI-spezifische Risiken ein (automatisierte Entscheidungen im Sinne von Art. 22 DSGVO, Herkunft der Trainingsdaten, Modell-Drift), verschärft die Dokumentationspflichten zur Rechtsgrundlage nach Art. 6 DSGVO und verlangt eine namentlich benannte „KI-Risiko-Verantwortliche“ für Hochrisiko-Systeme. Deine bestehende DPIA wird dadurch nicht ungültig — aber spätestens vor dem nächsten Audit-Zyklus musst du sie für jeden weiterlaufenden KI-Einsatz nachziehen.

Dieser Leitfaden zeigt dir, was sich im EDPB-Entwurf 2026 konkret geändert hat, welche HR-KI-Einsätze überhaupt eine DPIA auslösen (nicht jeder tut es, die Schwelle zählt), welche neun Abschnitte jede DPIA jetzt enthalten muss, welche fünf Fehlermuster Prüfende erfahrungsgemäß markieren und einen ausfüllbaren Schritt-Plan, den du direkt übernehmen kannst. Geschrieben für die Datenschutzbeauftragte (DSB), die HR Business Partnerin oder die Compliance-Verantwortliche, die vor dem nächsten Go-live eines KI-Anbieters eine belastbare DPIA vorlegen muss.

Wenn du bei EU-KI-Compliance erst am Anfang stehst, lies zuerst den Überblick KI-Governance und Compliance in der EU für den Rahmen. Dieser Artikel ist der vertiefte Blick auf ein konkretes Dokument.

Der EDPB-Entwurf 2026 ist die erste standardisierte DPIA-Vorlage, die explizit für KI-Systeme geschnitten ist. Die alten DPIA-Leitlinien aus 2017 (WP248) waren allgemein gehalten; die Vorlage 2026 stimmt Art. 35 DSGVO erstmals strukturell mit Art. 27 der KI-Verordnung ab (Folgenabschätzung im Hinblick auf die Grundrechte, FRIA). Drei Änderungen sind dabei zentral.

Änderung 1: KI-spezifische Risiko-Taxonomie. Abschnitt 4 der neuen Vorlage listet KI-Risiken erstmals eigenständig auf: automatisierte Entscheidungen im Einzelfall (Art. 22 DSGVO), Profiling, Verzerrungen in den Trainingsdaten, Modell-Drift, Prompt Injection, Datenabfluss über Modell-Ausgaben. Die klassischen Datenschutz-Risiken (unbefugter Zugriff, zu lange Aufbewahrung, Drittland-Transfer) wandern nach Abschnitt 3. Diese Trennung ist relevant, weil Prüfende künftig gezielt „zeig mir deinen Abschnitt 4“ verlangen und damit sofort sehen, ob du die KI-spezifischen Angriffsflächen überhaupt bewertet hast.

Änderung 2: Pflicht zur Trainingsdaten-Herkunft. Abschnitt 5 ist neu und verlangt, dass du dokumentierst, mit welchen Daten das eingesetzte KI-Modell trainiert wurde — Provenienz, Lizenzlage, etwaige synthetische Daten. Für die meisten Unternehmen, die fertige Anbieter-Modelle einsetzen, heißt das: Der Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter muss eine Klausel zur Trainingsdaten-Offenlegung enthalten. Anbieter, die auf die Frage „mit welchen Daten wurde das Modell trainiert“ keine belastbare Antwort liefern, lassen dich an diesem Abschnitt scheitern — und damit auch im Audit.

Änderung 3: Namentlich benannte KI-Risiko-Verantwortliche. Abschnitt 9 verlangt eine konkrete Person — nicht „die DSB“ als Funktion, sondern Vor- und Nachname. Diese Person führt das KI-Risiko-Register, zeichnet Änderungen ab und liefert die Nachweise für das Audit. Bei HR-KI ist das in der Praxis häufig die HR Business Partnerin im Tandem mit der DSB als Mit-Unterzeichnerin. In kleineren Organisationen kann die DSB beide Rollen halten — aber sie muss dokumentiert sein, sonst fehlt der Verantwortlichkeits-Anker.

Jede DPIA, die ab dem dritten Quartal 2026 entsteht, sollte der Neun-Abschnitte-Struktur folgen. Strikt verpflichtend sind weiterhin nur die Mindestanforderungen aus Art. 35 DSGVO — aber Prüfende greifen ab Veröffentlichung der finalen Fassung zur EDPB-Vorlage als Maßstab. Jede DPIA, die strukturell abweicht, zieht Rückfragen nach sich.

Die Vorlage wird der Reihe nach ausgefüllt: Abschnitte 1 bis 3 beschreiben das System, Abschnitte 4 bis 6 bewerten die Risiken, Abschnitte 7 bis 9 dokumentieren die Gegenmaßnahmen und die Verantwortlichkeit. Die meisten Organisationen unterschätzen die Abschnitte 4 und 5 — KI-spezifische Risiken und Trainingsdaten — weil die 2017er Leitlinien sie nicht sauber getrennt haben. Auditoren erwarten 2026, dass beide Abschnitte ausgefüllt sind.

Die EDPB-DPIA-Vorlage 2026 ist strikt verpflichtend erst, wenn die finale Fassung im dritten Quartal 2026 erscheint — aber sie als bloße Empfehlung zu behandeln, ist ein Fehler. Auditoren werden sie ab Veröffentlichung als Referenz heranziehen, deine bestehenden DPIAs werden daran gemessen, und die Lücken werden als Befunde dokumentiert. Eine bestehende DPIA auf die Neun-Abschnitte-Struktur zu heben kostet pro Einsatz wenige Tage fokussierter Arbeit. Zu warten, bis ein Auditor die Lücke findet, kostet ein Vielfaches — plus Reputation gegenüber Betriebsrat, Geschäftsleitung und Aufsicht.

Wenn du HR-KI im Produktivbetrieb hast, ist die Aufgabe für dieses Quartal klar: jede bestehende DPIA hervorholen, sie abschnittsweise gegen die Struktur 2026 abgleichen, die Lücken füllen (besonders Abschnitte 4, 5 und 9) und durch die namentlich benannten Zuständigen unterschreiben lassen. Wenn du gerade einen neuen KI-Anbieter prüfst, verlange die Offenlegung der Trainingsdaten in der AVV vor dem Vertragsabschluss. Der Anbieter, der verweigert, ist der Anbieter, dessen DPIA du nicht zu Ende schreiben kannst.

Verfolge die EDPB-Konsultationsseite bis zum 9. Juni 2026 — öffentliche Stellungnahmen prägen die finale Struktur erfahrungsgemäß spürbar. Wenn deine DSB noch keine Rückmeldung eingereicht hat, ist jetzt das Zeitfenster. Auch der Bitkom und die Mittelstand-Digital-Zentren sammeln Stellungnahmen für eine gebündelte Einreichung. Nach dem 9. Juni ist die Struktur gesetzt, im dritten Quartal kommt die finale Fassung — und ab da muss deine DPIA passen.