Datenschutzprüfung eines Anbieters

Die Datenschutzprüfung eines Anbieters ist die Klärung, welche personenbezogenen Daten ein Werkzeug verarbeitet, wo die Verarbeitung stattfindet, wer daran beteiligt ist und welche vertraglichen Grundlagen bestehen. Sie findet vor der Einführung statt, weil der Betrieb als Verantwortlicher nach DSGVO für die Rechtmäßigkeit einsteht, auch wenn ein Dienstleister die Verarbeitung ausführt.

Die Prüfpunkte lassen sich in einer Liste abarbeiten. Erstens: Welche Daten werden übermittelt, und sind darunter personenbezogene Daten von Kunden, Beschäftigten oder Dritten. Zweitens: Liegt ein Auftragsverarbeitungsvertrag vor, und deckt er die tatsächliche Nutzung ab. Drittens: Wo werden die Daten verarbeitet und gespeichert, und werden sie in Drittländer übermittelt. Viertens: Welche Unterauftragnehmer sind eingebunden, und wird über Änderungen informiert. Fünftens: Wie lange werden Daten gespeichert, und wie erfolgt die Löschung. Sechstens: Werden Eingaben zur Verbesserung oder zum Training von Modellen verwendet, und lässt sich das abschalten.

Der letzte Punkt ist bei KI-Werkzeugen der praktisch bedeutsamste. Er unterscheidet sich zwischen den Nutzungsvarianten desselben Anbieters erheblich, sodass die Angaben für die konkret genutzte Variante zu prüfen sind und nicht für das Produkt allgemein.

Bezug zur Digitalisierung

Ergänzend gehören technische und organisatorische Maßnahmen in die Prüfung: Verschlüsselung bei Übertragung und Speicherung, Zugriffsschutz, Protokollierung, Verfügbarkeit und Vorgehen bei Sicherheitsvorfällen. Für Betriebe ist außerdem relevant, wie Betroffenenrechte umgesetzt werden, etwa Auskunft und Löschung, wenn ein Kunde dies verlangt.

Die Prüfung ist zu dokumentieren, und die Verarbeitung ist in das Verzeichnis der Verarbeitungstätigkeiten aufzunehmen. Bei Verarbeitungen mit hohem Risiko für Betroffene kann eine Datenschutz-Folgenabschätzung erforderlich sein, etwa bei umfangreicher Verarbeitung von Beschäftigtendaten.

Vom Datenschutz zu unterscheiden sind die Pflichten aus dem EU AI Act. Sie knüpfen an den Einsatzzweck an: Systeme zur Bewertung von Bewerbern oder Beschäftigten sind nach Anhang III der VO (EU) 2024/1689 als Hochrisiko eingestuft, für andere Anwendungen gelten überwiegend Transparenzanforderungen. Beide Regelwerke sind nebeneinander zu beachten.

Praktisch reicht ein einseitiges Prüfblatt je Werkzeug. Es dokumentiert die Sorgfalt und macht die Bewertung mehrerer Anbieter vergleichbar.

Wie konkret das wird, zeigt ein Beispiel aus einem SHK-Betrieb, der Servicetermine per Sprachnotiz dokumentiert. Übermittelt werden dabei nicht nur Anlagendaten, sondern der Name des Kunden, die Adresse und gelegentlich Angaben zu Anwesenheitszeiten. Damit liegt eine Auftragsverarbeitung vor, und die Frage nach dem Verarbeitungsort ist keine Formalie mehr. Die häufigste Fehlerquelle im Betriebsalltag ist die stillschweigende Ausweitung der Nutzung: Geprüft wurde die Anwendung für Wartungsnotizen, verwendet wird sie ein halbes Jahr später auch für Personalgespräche. Der Auftragsverarbeitungsvertrag deckt diesen Zweck nicht ab, und niemand hat die Prüfung wiederholt. Ein Vermerk auf dem Prüfblatt, für welchen Zweck die Freigabe gilt, und eine Wiedervorlage bei Funktionserweiterungen des Anbieters halten die Bewertung aktuell.