DSGVO-Pflichten beim Betrieb eines Modells

Die häufigste Schwachstelle ist kein technisches Versäumnis. Es ist ein fehlender Eintrag: Die KI läuft als Fußnote einer bestehenden Anwendung mit.

Sobald ein Modell mit Personaldaten, Kundendaten, Schriftverkehr oder Bewerbungen arbeitet, entsteht ein eigener Verarbeitungsvorgang mit eigenem Zweck, eigenen Datenkategorien und eigener Frist. Wir führen ihn als eigenen Eintrag und liefern die technischen Angaben zu: welche Felder in das Modell gehen, wo sie zwischengespeichert werden und wer die Ergebnisse zu sehen bekommt.

Die Zweckbindung beschreiben wir dabei nicht nur, wir setzen sie in der Anwendung durch. Ein Modell, das für die Vorsortierung eingehender Post zugelassen ist, bekommt keinen Zugriff auf den Personalbestand, auch wenn beides in derselben Datenbank liegt. Den vollständigen Datenschutzbetrieb mit Verzeichnis, technischen und organisatorischen Maßnahmen und Betroffenenrechten behandelt die Seite zum DSGVO-Betrieb.

Der sichtbare Teil einer KI-Anwendung ist die Antwort. Daneben entstehen Eingabeverläufe, Zwischenstände, Indizes über Ihre Dokumente, Protokolle und Zwischenspeicher für wiederkehrende Anfragen. Jeder dieser Bestände enthält denselben Personenbezug wie die Quelldaten und fällt damit unter dieselben Löschpflichten. In Projekten, die wir zur Zweitmeinung bekommen, ist genau das die Lücke: Die Fachdaten haben eine Frist, die Verläufe des Modells nicht.

Wir vergeben deshalb für jeden Bestand eine Löschklasse mit Frist, angelehnt an DIN 66398 und an das Löschkonzept, das im Haus ohnehin gilt. Der Löschlauf läuft automatisch und schreibt ein Protokoll, damit die Löschung belegbar ist. Das zahlt sich bei Auskunftsersuchen aus, denn eine Auskunft ist erst vollständig, wenn sie auch die Verläufe umfasst. Wie Löschklassen aufgebaut sind, steht unterLöschkonzept.

Eintrag für das Verarbeitungsverzeichnis

Zweck, Datenkategorien, Empfänger und Frist, formuliert und zugeliefert

Feldliste der Verarbeitung

Welche Felder in das Modell gehen und wo sie zwischenliegen

Löschklassen nach DIN 66398

Eine Frist je Bestand, auch für Verläufe, Indizes und Zwischenspeicher

Automatischer Löschlauf

Ein Protokoll, das die Löschung belegt

Auszug für Auskunftsersuchen

Alle Läufe zu einer Person mit Eingabe, Modellstand und Freigabe

Auftragsverarbeitungsvertrag

Benannte Unterauftragnehmer, benannter Ort, benannte Maßnahmen

Viele Häuser scheitern an KI nicht an der Verordnung, sondern an ihren eigenen Verträgen. Mandats-, Rahmen- und Verwaltungsverträge untersagen regelmäßig jede Verarbeitung außer Haus. Eine Schnittstelle zu einem Anbieter im Ausland ist damit ausgeschlossen, unabhängig von den Standardvertragsklauseln.

Bleibt die Verarbeitung im eigenen Serverraum oder auf unseren Münchner Maschinen, endet diese Diskussion. Es gibt keinen Transfer, der zu rechtfertigen wäre, keine Prüfung des Empfängerlandes und keine Abhängigkeit von Bedingungen, die ein Anbieter einseitig ändern kann. Rechte, Mandantentrennung und Protokollierung liegen dort, wo auch die Verantwortung liegt.

Die rechtliche Bewertung leistet diese Seite nicht. Ob eine Verarbeitung zulässig ist, welche Rechtsgrundlage sie trägt und ob eine Datenschutz-Folgenabschätzung nötig wird, entscheidet Ihre Datenschutzbeauftragte oder Ihre Rechtsabteilung. Wir liefern die technischen Angaben, die diese Bewertung braucht, und setzen ihr Ergebnis anschließend im System durch.

Der laufende Datenschutzbetrieb, die Fristenlogik dahinter und die Betriebsart, die beides erst einfach macht.

• DSGVO-BetriebVerarbeitungsverzeichnis, TOMs, DSFA, Auftragsverarbeitung und Betroffenenrechte.
• LöschkonzeptLöschklassen und Fristen nach DIN 66398, im System hinterlegt und protokolliert.
• Lokale KIOn-Premise-Sprachmodelle auf eigener Hardware oder in unserem Rechenzentrum.