Redaktioneller Hinweis: Allgemeine Information, Stand 9. September 2026. Keine individuelle Datenschutz- oder Rechtsberatung. Die Bewertung hängt von System, Zweck, Daten, Rollen und Vertragslage ab.
Die DSGVO verschwindet durch KI nicht – und der AI Act ersetzt sie nicht. Sobald personenbezogene Daten verarbeitet werden, braucht das Unternehmen weiterhin Zweck, tragfähige Grundlage, Schutzmaßnahmen und funktionierende Rechteprozesse.
Der tatsächliche Datenfluss ist der Ausgangspunkt
Die Frage „Dürfen wir dieses KI-Tool verwenden?“ ist zu allgemein. Dasselbe Produkt kann mit öffentlichen Produktdaten oder mit Beschäftigten- und Kundendaten genutzt werden. Zweck, Eingaben, Konfiguration, Speicherorte, Empfänger und Wirkung verändern den Prüfpfad.
Beschreiben Sie zuerst, wer welche Daten eingibt, welche Ausgabe entsteht, ob Inhalte gespeichert oder zum Training genutzt werden und wer anschließend entscheidet. Erst danach lassen sich Rollen, Rechtsgrundlage, Information, Verträge und Schutzmaßnahmen sinnvoll prüfen.
Acht praktische Prüffragen
- Zweck: Welche konkrete Aufgabe unterstützt das System?
- Datenarten: Welche Stamm-, Inhalts-, Nutzungs-, Beschäftigten- oder besonderen Daten fließen?
- Minimierung: Reichen Testdaten, Aggregation, Pseudonymisierung oder kürzere Speicherung?
- Rollen: Ist der Anbieter Auftragsverarbeiter, Verantwortlicher oder Teil mehrerer Phasen?
- Rechtsgrundlage: Welche Grundlage trägt die konkrete Verarbeitung und wie wurde sie dokumentiert?
- Transparenz: Was müssen Betroffene nach DSGVO und gegebenenfalls AI Act erfahren?
- Rechte: Wie funktionieren Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch praktisch?
- Nachweise: Wer hält Verträge, TOMs, Transfers, Tests, Freigaben und Änderungen aktuell?
Machen Sie den Datenfluss sichtbar.
ProcessBold sammelt System, Zweck, Anbieter und Datenarten und markiert offene fachliche oder rechtliche Prüfungen.
Anbieter, Transfers und Folgenabschätzung
Bei Cloud-KI sollten Unterauftragsverarbeiter, Regionen, Trainingsnutzung, Löschfristen und Änderungen der Bedingungen nachvollziehbar sein. Internationale Übermittlungen benötigen einen Überblick über Empfänger, Mechanismus und ergänzende Maßnahmen.
Eine Datenschutz-Folgenabschätzung ist nicht wegen des Wortes KI automatisch nötig. Sie ist zu prüfen, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten verursacht. Systematische Bewertung, sensible Gruppen, Umfang, Verknüpfung und erhebliche Wirkungen sind wichtige Hinweise.
Der Europäische Datenschutzausschuss betont bei KI-Modellen eine Einzelfallprüfung – insbesondere bei tatsächlicher Anonymität, berechtigten Interessen und möglicherweise rechtswidrig verarbeiteten Trainingsdaten.
Warum ProcessBold Govern dafür gebraucht wird
Datenschutz bei KI hängt an Versionen, Zuständigkeiten und offenen Belegen. ProcessBold verbindet Daten- und Systemkontext mit Aufgaben, Anbieterunterlagen und Review-Terminen.
ProcessBold liefert keine automatische DSGVO-Freigabe. Das Produkt verhindert, dass die nötigen Informationen über Tabellen, E-Mails und einzelne Postfächer verstreut bleiben.
Amtliche Quellen
English summary / Resumen en español
EN: Start with purpose and the actual data flow, then minimise, determine roles, document the legal basis, review vendors and make rights operational. ES: Parta de la finalidad y el flujo real; minimice, determine funciones, documente la base jurídica y haga operativos los derechos.
