Datenschutz, DSGVO und Auftragsverarbeitung für KI-Systeme.

Beispiel-Szenario

Eine Nachfrage zum Verzeichnis, Schritt für Schritt

Leistung

Die Lücke sitzt selten im Vertrag mit uns

Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, Verzeichnis der Verarbeitungstätigkeiten, Folgenabschätzung wo nötig, Prüfung der eingesetzten Werkzeuge und die Transparenzpflicht aus der KI-Verordnung.

Fast jeder Mittelständler hat inzwischen KI-Werkzeuge im Haus — meist ohne Beschluss, oft ohne Vertrag, gelegentlich ohne dass die Geschäftsführung davon weiß. Der Auftragsverarbeitungsvertrag mit dem Hauptdienstleister liegt vor, die zwei Dutzend kleineren Dienste daneben nicht. Genau dort entsteht das Risiko.

Wir gehen deshalb nicht vom Vertrag aus, sondern vom Datenfluss. Welche personenbezogenen Daten verlassen das Haus, an wen, auf welcher Rechtsgrundlage und für wie lange. Erst danach entsteht das Papier, das dazu passt.

Leistung

Was dazugehört

• Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, mit technisch-organisatorischen Maßnahmen und Unterauftragnehmerliste.
• Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30, aus dem tatsächlichen System erzeugt statt aus einer Vorlage.
• Datenschutz-Folgenabschätzung, wo die Verarbeitung sie auslöst.
• Prüfung der eingesetzten KI-Werkzeuge, einschließlich Verzerrungskontrolle bei Auswahlentscheidungen.
• Transparenzhinweis nach Artikel 50 der KI-Verordnung im Sprachdialog.
• Löschkonzept mit Fristen, die zu den handels- und berufsrechtlichen Aufbewahrungspflichten passen.
• Laufende Kontrolle statt einer einmaligen Momentaufnahme.

Leistung

Zwei Regeln, an die wir uns halten

Erstens: Kundendaten aus Sprache und Postfach sollen in Deutschland verarbeitet werden. Personenbezogene Daten verarbeitet die KI in Deutschland oder bei Ihnen im Haus (Serverbetrieb in Vorbereitung); ohne Personenbezug ist Cloud-Verarbeitung laut AVV möglich. Betreiber und Standort stehen im AVV. Wo für einzelne Denkschritte fremde Dienste sinnvoll sind, geschieht das erst nach Entfernung der personenbezogenen Angaben, und es steht im Auftragsverarbeitungsvertrag.

Zweitens: Ausgaben eines KI-Systems sind Vorschläge. Eine automatisierte Entscheidung mit Rechtswirkung nach Artikel 22 DSGVO bauen wir bewusst nicht. Ein Mensch gibt frei — auch dann, wenn das ein paar Sekunden kostet.

Ablauf

Ablauf

1. Aufnahme. Welche Werkzeuge sind im Einsatz, welche Daten fließen wohin.
2. Bewertung. Rechtsgrundlage, Erforderlichkeit, Fristen, Empfängerkreis.
3. Unterlagen. Vertrag, Verzeichnis, Folgenabschätzung, Löschkonzept.
4. Umsetzung im System. Was auf dem Papier steht, muss technisch stimmen.
5. Nachführung. Jede Änderung am System zieht eine Prüfung nach sich.

Preise

Preise

Der Auftragsverarbeitungsvertrag als Leistung liegt einmalig bei 299 bis 499 €. Ein Prüfpaket obendrauf bewegt sich zwischen 1.499 und 3.999 €, je nach Anzahl der Werkzeuge. Laufende Kontrolle gibt es ab 149 €/Monat. Wenn wir ohnehin ein System bei Ihnen betreiben, gehört der Vertrag dazu und wird nicht getrennt berechnet.

Module

Module, die diese Leistung tragen

Region

Datenschutz, DSGVO und Auftragsverarbeitung in Ostwestfalen-Lippe

In der Praxis fällt die Lücke fast immer bei derselben Gelegenheit auf: Ein Mandant, ein Auftraggeber oder eine Versicherung fragt nach dem Verzeichnis der Verarbeitungstätigkeiten, und die Liste der eingesetzten Dienste ist länger als das Papier. Für Kanzleien, Praxen und kommunale Stellen in Ostwestfalen-Lippe ist das kein Randthema, sondern eine Frage der Berufsausübung.

Wir arbeiten deshalb vom System her: erst der tatsächliche Datenfluss, dann die Unterlagen dazu. Das ist aufwendiger als eine Vorlage, hält aber einer Nachfrage stand. Vor Ort sind wir im Umkreis von rund fünfzig Kilometern um Leopoldshöhe — Bielefeld, Herford, Detmold, Lemgo, Bad Salzuflen, Gütersloh, Paderborn und Minden — und für Projektarbeit bis Münster und Osnabrück.