Anwalt für Datenschutzrecht

Sie erklären uns Ihre Herausforderungen und wir sagen Ihnen, ob und wie wir unterstützen können, wie lange das voraussichtlich dauert und welche Kosten dafür in etwa anfallen würden.

• Rechtsgrundlage zuerst: Jede Verarbeitung personenbezogener Daten (Training, Inputs, Ausgaben) braucht eine tragfähige Rechtsgrundlage (Art. 6 DSGVO); für besondere Kategorien gelten Art. 9-Voraussetzungen.

• Zweckbindung & Zweckänderung: Bestandsdaten nicht „einfach so“ fürs KI-Training verwenden. Vor einer Zweckänderung ist eine Kompatibilitätsprüfung nach Art. 6 Abs. 4 durchzuführen; Betroffene sind zu informieren (Art. 13/14).

• Datenminimierung: Nur so viel personenbezogene Daten wie nötig; wo möglich anonymisierte/synthetische Daten einsetzen – ohne die Modellqualität zu gefährden.

• Schatten-KI stoppen: Interne KI-Nutzungsrichtlinie, zugelassene Tools benennen, klare Vorgaben für Datenarten und Freigaben; Need-to-know-Zugriffe sicherstellen.

• DSFA früh verankern: Bei risikobehafteten KI-Anwendungen DSFA vor Beginn der Verarbeitung durchführen; Orientierung geben DSGVO-Tatbestände und die DSK-Positivliste (KI zur Interaktion/Profilbewertung).

• AI-Governance: AIMS/Policies in bestehende DSMS/ISMS integrieren; Risikoklassifizierung nach AI Act (Rollen: Anbieter/Betreiber) und Dokumentation aller KI-Assets/Use-Cases.

In Deutschland ist ein/e DSB zu benennen, wenn mindestens 20 Personen regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig von der Personenzahl besteht eine Pflicht, wenn die Kerntätigkeit in umfangreicher Überwachung, in der umfangreichen Verarbeitung besonderer Kategorien (Art. 9 DSGVO) liegt oder wenn eine DSFA erforderlich ist. Ein/e externe/r DSB ist oft die pragmatische Lösung für KMU.

• Sofort handeln: Vorfall sichern, Fakten klären, Kategorien und Umfang der Daten bewerten (Risikoeinschätzung).

• 72-Stunden-Frist: Besteht ein Risiko für Betroffene, Meldung an die Aufsichtsbehörde binnen 72 Stunden (Art. 33).

• Benachrichtigung Betroffener: Bei hohem Risiko unverzüglich informieren (Art. 34), inkl. Art des Vorfalls, Folgen, Maßnahmen.

• Dokumentation: Jeden Vorfall intern protokollieren – auch wenn nicht meldepflichtig.

• Abhilfe & Prävention: Sofortmaßnahmen (z. B. Passwortrücksetzung, Sperrungen, Patches), Ursachenanalyse, TOMs nachschärfen, Team schulen, Notfall-Playbook testen.

Eine DSFA ist eine strukturierte Risikoanalyse nach Art. 35 DSGVO für Verarbeitungsvorgänge, die voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen mit sich bringen (z. B. der Einsatz neuer Technologien, umfangreiche Profile, Scoring). Sie beschreibt die geplante Verarbeitung, prüft Notwendigkeit & Verhältnismäßigkeit, bewertet Risiken für Betroffene und definiert Abhilfemaßnahmen (technisch & organisatorisch). Ziel: Risiken vorab erkennen und auf ein akzeptables Maß senken – dokumentiert und prüffest.

Ein Datenschutzaudit ist eine unabhängige Prüfung Ihrer Prozesse, Systeme und Dokumentation auf DSGVO-Konformität. Geprüft werden u. a. Verzeichnis von Verarbeitungstätigkeiten, Rechtsgrundlagen, TOMs (Art. 32), Auftragsverarbeitung, Lösch- & Aufbewahrungskonzept, Betroffenenrechte und Website/Tracking-Setup. Ergebnis: ein Befundbericht mit Prioritätenplan (Quick Wins, Maßnahmen, Roadmap) – nützlich für Management, Zertifizierungen oder Due Diligence.