Die Datenschutz-Folgenabschätzung endet in der neuen Vorlage des Europäischen Datenschutzausschusses (EDSA) mit vier Kästchen. Eines heisst «Konsultation». Wer es setzt, hat nach Art. 36 Abs. 2 DSGVO acht Wochen auf dem kritischen Pfad, verlängerbar um sechs und anhaltbar, sooft die Aufsichtsbehörde eine Auskunft nachfordert. Das Schweizer Gegenstück in Art. 23 DSG sieht aus wie dieselbe Regel mit anderen Zahlen. Es ist anders getaktet, und die Tür daneben muss stehen, bevor das Projekt beginnt.

Der Auslöser ist nicht das hohe Risiko, sondern das hohe Restrisiko. Art. 35 DSGVO verlangt die Folgenabschätzung, Art. 36 Abs. 1 die Konsultation der Aufsichtsbehörde für den Fall, dass die Verarbeitung «ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Massnahmen zur Eindämmung des Risikos trifft». Die vom EDSA übernommenen Leitlinien WP 248 rev.01 lesen das seit 2017 so, dass die Pflicht greift, wenn nach allen geplanten Massnahmen ein hohes Risiko übrig bleibt. Zwischen Ihrer Massnahmenliste und der Behörde steht damit eine einzige Bewertung: akzeptabel oder nicht.

Diese Bewertung war bisher intern und formlos. Die am 14. April 2026 veröffentlichte Vorlage, nach Reed Smith am 10. März als Version 1.0 angenommen, macht sie zum Ankreuzfeld. Ihr Abschnitt 6 «Conclusion and decision» sieht vier Ausgänge vor: die Verarbeitung abbrechen, die Aufsichtsbehörde konsultieren, wie geplant fortfahren, oder unter Auflagen fortfahren. Bei der Konsultationsvariante hält der Verantwortliche fest, dass die vorgesehenen Massnahmen das Risiko nicht ausreichend senken und er die Verarbeitung dennoch nicht aufgeben will. Wer stattdessen die Freigabe ankreuzt, erklärt schriftlich, die Restrisiken seien akzeptabel.

Was das Kästchen kostet, steht in vier Sätzen. Art. 36 Abs. 2 Satz 1 gibt der Aufsichtsbehörde acht Wochen ab Eingang des Ersuchens. Satz 2 erlaubt die Verlängerung um sechs Wochen wegen Komplexität, Satz 3 verpflichtet die Behörde, die Verlängerung binnen eines Monats mitzuteilen. Satz 4 ist der teure: «Diese Fristen können ausgesetzt werden, bis die Aufsichtsbehörde die für die Zwecke der Konsultation angeforderten Informationen erhalten hat.» Weil Art. 36 Abs. 3 Bst. f der Behörde erlaubt, «alle sonstigen» Informationen anzufordern, ist die Uhr nicht ausnahmsweise anhaltbar, sondern jederzeit.

Vierzehn Wochen sind deshalb die Untergrenze des schlechten Falls, nicht die Obergrenze. Der Fristablauf ist ausserdem keine Freigabe. Art. 36 Abs. 1 verpflichtet zur Konsultation, nicht zur Einholung einer Genehmigung: Die kennt nur Abs. 5, und nur wo mitgliedstaatliches Recht sie vorsieht. Läuft die Frist ohne Antwort ab, ist die Wartepflicht erfüllt und sonst nichts, denn Art. 36 Abs. 2 behält der Behörde ausdrücklich ihre Befugnisse aus Art. 58 vor, bis hin zum Verarbeitungsverbot nach dessen Abs. 2 Bst. f. Wer die Konsultation überspringt, steht nach Art. 83 Abs. 4 Bst. a im Bussgeldrahmen von 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Exotisch ist der Fall nicht. Die Muss-Liste der DSK nach Art. 35 Abs. 4 DSGVO führt unter Nr. 11 den «Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der betroffenen Person». Als Beispiele nennt sie ein Callcenter, das die Stimmungslage der Anrufer automatisiert auswertet, und ein Konversationssystem in der Kundenberatung. Für den durchschnittlichen Chatbot-Rollout ist die Folgenabschätzung damit Pflicht. Art. 26 Abs. 9 KI-VO führt zusätzlich die Anbieterinformationen nach Art. 13 in genau diese Prüfung hinein, und wie wir am 9. Juli zur FRIA gezeigt haben, ergänzen sich die Instrumente, statt sich zu ersetzen.

Der Schweizer Verantwortliche liest Art. 23 DSG und rechnet mit zwei Monaten, bei komplexer Bearbeitung mit drei. Die Zahl trügt in beide Richtungen. Der EDÖB nennt die zwei Monate in seinem Merkblatt zur DSFA selbst eine «Ordnungsfrist» und hält fest, seine Stellungnahme habe «empfehlenden Charakter und stellt deshalb keine Genehmigung oder Bewilligung der geplanten Durchführung dar». Gebührenpflichtig ist sie trotzdem. Art. 59 Abs. 1 Bst. c DSG in Verbindung mit Art. 44 DSV rechnet nach Zeitaufwand ab, zu 150 bis 250 Franken je Stunde, mit Zuschlägen bis 50 Prozent bei Dringlichkeit.

Der wichtigere Unterschied steht in Art. 23 Abs. 4 DSG. Der private Verantwortliche kann von der Konsultation absehen, wenn er seine Datenschutzberaterin oder seinen Datenschutzberater nach Art. 10 DSG konsultiert hat. Die Tür öffnet sich aber nur bei allen vier Voraussetzungen von Art. 10 Abs. 3: fachliche Unabhängigkeit, keine unvereinbaren Tätigkeiten, erforderliche Fachkenntnisse und, nach Bst. d, Veröffentlichung der Kontaktdaten samt Mitteilung an den EDÖB. Buchstabe d wird am häufigsten übersehen. Er ist eine Vorleistung, denn ohne veröffentlichte und gemeldete Kontaktdaten steht die Ausnahme nicht bereit, wenn die Bewertung sie braucht.

Auch die Folgen des Weglassens laufen auseinander. In der Schweiz führen die Strafbestimmungen der Art. 60 bis 63 DSG den Art. 23 nicht auf. Der EDÖB muss die Konsultation zuerst nach Art. 51 Abs. 3 Bst. e DSG anordnen. Erst wer diese Verfügung missachtet, wird nach Art. 63 DSG mit Busse bis 250 000 Franken belegt, und zwar die natürliche Person. Art. 64 Abs. 2 DSG lässt zu, stattdessen das Unternehmen zu verurteilen, aber nur bis 50 000 Franken.

Das Ergebnis dieser Architektur lässt sich am Zahlenbild des Beauftragten ablesen. Der 33. Tätigkeitsbericht für den 1. April 2025 bis 31. März 2026, den Steiger Legal aufbereitet hat, zählt über 2000 Meldungen möglicher Verstösse, aber nur 156 Interventionen, 22 Vorabklärungen und 9 Untersuchungen. Eine dieser Vorabklärungen betraf Metas Plan, die Gesichtserkennungsfunktion «Name Tag» in seine Ray-Ban-Smart-Glasses einzubauen. Laut Berichten zum Tätigkeitsbericht sicherte Meta Platforms Ireland Limited dem EDÖB zu, das Merkmal vorerst nicht in der Schweiz einzuführen und keine Daten Schweizer Nutzerinnen und Nutzer an den Auftragsverarbeiter in Kenia zu übermitteln — eine Zusage, keine Verfügung.

Die Kanzleikommentare zur Vorlage lesen sie als Formatfrage. Reed Smith beschreibt sie zutreffend als gemeinsame Berichtsschicht, die vereinheitliche, was dokumentiert wird, nicht wie geprüft wird. Das stimmt und greift zu kurz. Der Prüfmassstab ändert sich nicht, aber der Ausgang wird aktenkundig, und die Akte liest später die Behörde. Der bisher übliche Weg heisst: auf dem Papier auf «mittel» mindern, starten, nie konsultieren. Er hält, bis jemand das gesetzte Kästchen liest.

Für Montag zwei Handgriffe. Nehmen Sie Ihre zwei grössten KI-Vorhaben mit Start 2027 und setzen Sie an der Stelle des Projektplans, an der die Folgenabschätzung unterschrieben wird, eine datierte Verzweigung ein: acht Wochen nach Satz 1, sechs weitere nach Satz 2, offenes Ende nach Satz 4. Entscheiden Sie dann heute, welche Massnahme Sie aus dem Kästchen holt, oder verschieben Sie den Termin. Prüfen Sie zweitens, ob Ihre Datenschutzberatung nach Art. 10 Abs. 3 Bst. d DSG veröffentlicht und dem EDÖB gemeldet ist. Ohne diesen Eintrag gibt es die Ausnahme nach Art. 23 Abs. 4 DSG nicht.

Offen ist, wie das Kästchen aussieht, wenn es verbindlich wird. Die Konsultation lief bis zum 9. Juni 2026, danach finalisiert der EDSA die Vorlage, und die nationalen Behörden übernehmen sie als eigene oder als Meta-Vorlage. Die Endfassung zeigt, ob die Konsultationsvariante ausdrücklich auf Art. 36 Abs. 1 DSGVO verweist oder nur auf Abs. 5. Parallel dazu würde der Digital Omnibus die Muss-Listen nach Art. 35 Abs. 4 von den nationalen Behörden zum EDSA verlagern, mit Genehmigung der Kommission. Diese beiden Dokumente entscheiden, ob Nr. 11 der DSK-Liste den Kundenservice-Chatbot weiterhin erfasst.