Für wen Datenschutzbeauftragte
Beim Einsatz von KI müssen Sie den Umgang mit personenbezogenen Daten prüfen und die Anforderungen der KI-Verordnung berücksichtigen. Die Anwendung unterstützt Sie dabei, Informationen zum System zusammenzutragen, Datenschutzrisiken zu bewerten und eine erforderliche Folgenabschätzung vorzubereiten.
Die Datenschutz-Folgenabschätzung kennen Sie. Neu ist, dass die KI-Verordnung eigene Unterlagen verlangt, die dieselben Sachverhalte aus einem anderen Blickwinkel erfassen. Art. 26 Abs. 9 der KI-Verordnung sagt ausdrücklich, dass Betreiber die Angaben des Anbieters für die Folgenabschätzung nutzen sollen. Wer beide Unterlagen getrennt führt, schreibt dasselbe zweimal auf und hält es zweimal aktuell.
Der zweite Punkt betrifft die Rolle. Sie prüfen fast immer als Betreiber. Wird ein System jedoch umbenannt, tief angepasst oder für einen anderen Zweck eingesetzt, wechselt die Organisation nach Art. 25 Abs. 1 in die Anbieterrolle, und es gilt ein anderer Pflichtenkatalog. Dieser Wechsel bleibt oft unbemerkt, weil ihn im Haus niemand meldet.
Die Angaben des Anbieters zu Leistungsgrenzen und Fehlerarten gehören ausdrücklich in die Datenschutz-Folgenabschätzung. Wer beide Unterlagen getrennt führt, schreibt dasselbe zweimal auf.
Die Schritte verlinken direkt auf die passenden Funktionen und Informationen.
Antworten mit Quellen und Verweisen zur weiteren Prüfung.
Die Pflicht folgt aus Art. 35 DSGVO und hängt am Risiko der Verarbeitung, nicht daran, ob künstliche Intelligenz im Spiel ist. Der Datenschutz-Check führt in zehn Abschnitten durch 94 Fragen und schließt mit einer Vorprüfung, ob eine Folgenabschätzung erforderlich ist. Er läuft als einzelne Datei im Browser, ohne Anmeldung.
Nein. Beide Prüfungen bleiben eigenständig und haben verschiedene Rechtsgrundlagen. Art. 26 Abs. 9 der KI-Verordnung verlangt aber ausdrücklich, dass Betreiber die Angaben des Anbieters zu Leistungsgrenzen und Fehlerarten in der Folgenabschätzung verwenden. Deshalb entstehen beide hier aus demselben Systemkontext.
Die Verordnung kennt sieben Rollen: Anbieter, Betreiber, Einführer, Händler, Bevollmächtigter, Produkthersteller und Anbieter eines Modells mit allgemeinem Verwendungszweck. Wer ein zugekauftes System im eigenen Haus einsetzt, ist in aller Regel Betreiber. Für Betreiber führt der Pflichtenkompass 24 der 62 Pflichten.
Nach Art. 25 Abs. 1 wechselt ein Betreiber in die Anbieterrolle, wenn er das System unter eigenem Namen anbietet, es wesentlich verändert oder seine Zweckbestimmung ändert. Mit dem Wechsel gilt der volle Anbieterkatalog. Dieser Rollenwechsel ist der häufigste unbemerkte, weil ihn im Haus niemand meldet.
Der Katalog führt 52 Bedrohungen, vier davon in der Gruppe zum Schutz der Privatsphäre: Privacy-Angriffe, Offenlegung sensibler Informationen, Exfiltration aus der ML-Anwendung und Cross-Tenant-Leakage in geteilten Vektordatenbanken. Vier weitere Bedrohungen tragen eine Zuordnung zur DSGVO, insgesamt sind es acht. Jede nennt ihre Gegenmaßnahmen und ihre geprüften Fundstellen.
Die Betriebsanleitung nach Art. 13, die Angaben zu Leistungsgrenzen und Fehlerarten für die Folgenabschätzung, den Zugriff auf die Protokolle und die Zusicherungen zur Datenverarbeitung. Fehlt eine dieser Angaben, lässt sich die Folgenabschätzung nicht abschließen: halten Sie die Lücke fest und fordern Sie die Angabe beim Anbieter an.
Betroffene Personen nach Art. 26 Abs. 11 und, bei Systemen am Arbeitsplatz, die Beschäftigten und ihre Vertretung vorab nach Art. 26 Abs. 7. Die Information gehört an die Stelle, an der die Entscheidung fällt, etwa in die Bewerbungsstrecke oder die Kreditauskunft. Ein Hinweis in der allgemeinen Datenschutzerklärung erreicht die betroffene Person in der Regel nicht.
Mindestens sechs Monate nach Art. 26 Abs. 6, soweit nicht das Unionsrecht oder das nationale Recht eine längere Frist verlangt. Bei Diensten aus der Cloud ist der Zugriff auf diese Protokolle eine Vertragsfrage und keine Konfigurationsfrage: wer ihn nicht vereinbart hat, hat ihn im Bedarfsfall nicht.
Die Pflicht trifft nicht jeden Betreiber eines Hochrisiko-Systems, sondern den in Art. 27 benannten Kreis. Prüfen Sie deshalb zuerst die Betroffenheit. Fällt Ihre Organisation darunter, ist die Abschätzung durchzuführen und der Marktüberwachungsbehörde anzuzeigen.
Seit der Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, gelten die Anforderungen für Systeme nach Anhang III ab dem 2. Dezember 2027 und für Anhang I ab dem 2. August 2028. Zwei neue Verbote greifen bereits ab dem 2. Dezember 2026. Viele im Umlauf befindliche Übersichten nennen noch die früheren Termine.
Nein. Die Anwendung läuft im Browser des Anwenders. Der Arbeitsstand wird als Datei gespeichert und wieder eingelesen; es gibt keine Übertragung an einen Dienst des Anbieters. Das gilt für die kostenlose Fassung, für die Einzelmodule und für die Offline-Fassung. Welche berufsrechtliche oder vertragliche Folge daraus für Ihren Fall erwächst, bewerten Sie selbst.
Sie ersetzt keine Prüfung des Einzelfalls und keine Rechtsberatung. Sie führt kein Verzeichnis von Verarbeitungstätigkeiten, sie meldet nichts an Aufsichtsbehörden, und sie bewertet keine Auftragsverarbeitungsverträge. Der Pflichtenkompass ordnet ein, er entscheidet nicht.
Diese Aufgaben erfordern zusätzliche Werkzeuge oder eine fachliche Prüfung.
Aufgaben außerhalb der Anwendung
Für die regelmäßige Bewertung mehrerer KI-Systeme: Berichte als PDF und Arbeitsmappe, maschinenlesbare Ausgaben, erweiterte Nachweispakete.
ÖffnenDie vollständige Community Edition mit Beispieldaten, direkt im Browser und ohne Anmeldung. Zum Ausprobieren der Methode; die eigene Arbeit im Unternehmen oder in der Behörde deckt die Community-Lizenz nicht ab.
ÖffnenVergleichen Sie Funktionen, Lizenzbedingungen und Preise der Community, Professional und Enterprise Edition. Editionen vergleichen
Informationen für weitere Aufgabenbereiche in Ihrer Organisation oder bei Ihren Auftraggebern.