1. Das DPA gilt auch für die Verarbeitung mithilfe von KI
Der Bundesbeauftragte für Datenschutz und Transparenz weist darauf hin, dass das Bundesdatenschutzgesetz direkt für KI-basierte Behandlungen gilt. Dabei werden insbesondere die Anforderungen an die Transparenz über Zweck, Betrieb und Quellen der Daten hervorgehoben.
Diese Seite stellt eine betriebliche Vorgehensweise dar und ersetzt keine Rechtsberatung, die an die Tätigkeit, die Daten und die betroffenen Personen angepasst ist.
2. Bestandsaufnahme vor der Verbindung
Beachten Sie für jeden Vorgang die Kategorien der abgefragten Daten, deren Herkunft, den Zweck, die Empfänger, die Nutzungsdauer und die betroffenen Systeme. Trennen Sie notwendige Daten von einfach verfügbaren Daten. Eine ganze Box, ein gemeinsames Laufwerk oder ein ganzes CRM sollte nicht offengelegt werden, wenn ein paar Ordner oder Felder ausreichen.
Könnten wir der betroffenen Person einfach erklären, warum diese Daten verwendet werden und was der Agent vorbereitet oder entscheidet?
3. Berechtigungen und Aktionen einschränken
Unterscheiden Sie zwischen Lesen, Entwürfe erstellen, Ändern und Senden. Das Prinzip der geringsten Rechte besteht darin, nur das zu autorisieren, was für den Anwendungsfall notwendig ist. Aufwändige, sensible oder ungewöhnliche Handlungen können einer autorisierten Person vorbehalten bleiben.
Sorgen Sie außerdem für einen Widerruf, eine Rotation von Identifikatoren, einen Aktionsverlauf und ein Verfahren, wenn das Ergebnis falsch ist. Bei der Sicherheit geht es um mehr als nur den Serverstandort.
4. Lieferanten und Verantwortlichkeiten dokumentieren
Identifizieren Sie den Datenverantwortlichen, Subunternehmer, anwendbare Verarbeitungsstandorte, mögliche Übertragungen und vertragliche Verpflichtungen. Prüfen Sie, ob und unter welchen Bedingungen die Daten zum Trainieren von Modellen verwendet werden. Die Antwort muss durch einen aktuellen Vertrag oder eine Dokumentation gestützt werden können, nicht nur durch eine Verkaufsphrase.
Wenn Einzelpersonen von der Verarbeitung direkt betroffen sind, legen Sie fest, wie sie informiert werden und wie sie ihre Rechte ausüben können. Entscheidungen mit erheblicher Auswirkung bedürfen einer spezifischen Analyse.
5. Checkliste vor einem Pilotprojekt
- Zweck und erwartetes Ergebnis schriftlich festgehalten.
- Datenkategorien und Quellen inventarisiert.
- Technischer Zugang nach Bedarf eingeschränkt.
- Aktionen, die verboten sind oder einer Validierung unterliegen, sind definiert.
- Dokumentierte Subunternehmer und Verarbeitungsstandorte.
- Verwendung oder Nichtverwendung für bestätigte Schulungen.
- Voraussichtliche Aufbewahrungs- und Löschfristen.
- Protokollierung, Widerruf und Vorfallmanagement getestet.
- Informationen über Personen und Rechte analysiert.
- Interner Manager des genannten Treibers.
Offizielle Quelle
PFPDT – KI und Datenschutz, abgerufen am 21. Juli 2026.
Die genauen Pflichten hängen vom Kontext ab. Lassen Sie das Gerät bei sensiblen Daten oder einer risikoreichen Verarbeitung durch den zuständigen Datenschutzbeauftragten oder eine Rechtsberatung validieren.