Zweck, Datenmenge und Rechtsgrundlage bestimmen
Die DSGVO verlangt für personenbezogene Verarbeitung unter anderem Zweckbindung, Datenminimierung und eine passende Rechtsgrundlage. Die Frage lautet deshalb nicht nur, ob ein Tool einen Unternehmensvertrag anbietet. Bei einer Kundenanfrage prüfen Sie, welche Angaben zur Bearbeitung nötig sind und ob besondere Datenkategorien betroffen sind. Eine interne Zustimmung zur Toolnutzung ersetzt diese Voraussetzungen nicht.
Anbieter und Übergaben vollständig erfassen
Eine Datenflussübersicht zeigt Upload, Modellverarbeitung, Connectoren, Ablage und Empfänger. Wo Auftragsverarbeitung vorliegt, werden die Anforderungen an diese Beziehung geprüft. Für Drittlandübermittlungen gelten zusätzliche Regeln. Halten Sie auch Informationspflichten, Betroffenenrechte und Löschwege fest. Weder eine gewählte Serverregion noch eine Zusage gegen Modelltraining beantwortet alle diese Fragen.
Risikobezogen prüfen und Änderungen nachhalten
Eine Datenschutz-Folgenabschätzung ist zu prüfen, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten mit sich bringt. Nicht jede KI-Nutzung erfüllt automatisch diese Voraussetzung. Verantwortliche bewerten Zweck, Umfang und Umstände und dokumentieren das Ergebnis. Neue Quellen, andere Empfänger oder zusätzliche Aktionen sind Anlass, den bisherigen Datenweg und die Schutzmaßnahmen erneut zu betrachten.
Entscheidungsmatrix
| Prüfpunkt | Weiter, wenn | Stoppen, wenn |
|---|---|---|
| Daten und Verantwortung | Dokumentiert: Zweck, Datenklasse, Rollen, Anbieter, Region, Retention und Kontrolle. | Scope, Daten oder Verantwortung sind noch ungeklärt. |
| Kontrollnachweis | Eine dokumentierte Datenflussübersicht benennt Verarbeitungsschritte, Beteiligte, Aufbewahrung und Kontrollpunkte. Zugehörige Unterlagen und offene Rechtsfragen sind der zuständigen Prüfung nachvollziehbar zugeordnet. | Es liegt nur eine unbewertete Demo ohne Abnahmenachweis vor. |
| Freigabegrenze | Owner, Freigabe, Ersatzweg und nächster Prüftermin sind festgelegt. | Zu vermeiden: eine Websiteaussage als abschließende Rechtsprüfung zu verwenden. Dieser Entwurf ersetzt keine abschließende Rechtsprüfung; ohne bestätigte Datenwege und Rahmenbedingungen kann eine allgemeine Websiteaussage den konkreten Einsatz nicht freigeben. |
Nachvollziehbar bleiben
Primärquellen
- EUR-Lex: Regulation (EU) 2016/679Quellenstand:
