Kurz beantwortet: Wenn Teams neue Cloud- und KI-Tools selbst einführen, fehlen oft Auftragsverarbeitungsvertrag, Eintrag im Verzeichnis der Verarbeitungstätigkeiten und Regeln für den Umgang mit Daten. Das bleibt so lange unbemerkt, bis ein Kunde nachfragt oder eine Beschwerde kommt. Abhilfe schafft ein kurzer, verbindlicher Prüfweg für jedes neue Tool und eine KI-Richtlinie.

Das Marketing testet ein neues Newsletter-Tool, der Vertrieb nutzt einen KI-Assistenten für Angebote, das Projektteam teilt Dateien über einen Cloud-Dienst, den jemand privat kannte. Jedes Tool löst ein echtes Problem. Geprüft hat keines davon jemand. Die Datenschutzerklärung kennt sie nicht, das Verzeichnis der Verarbeitungstätigkeiten auch nicht.

Das Wichtigste in Kürze

  • Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag, verlangt Art. 28 DSGVO einen Vertrag mit festgelegtem Inhalt.
  • Jede Verarbeitungstätigkeit gehört in das Verzeichnis nach Art. 30 DSGVO.
  • Seit dem 2. Februar 2025 müssen Unternehmen, die KI-Systeme einsetzen, für ausreichende KI-Kompetenz ihres Personals sorgen (Art. 4 KI-Verordnung).
  • Ein kurzer Prüfweg vor der Einführung ist einfacher als die Aufarbeitung im Nachhinein.

Warum Tools an der Prüfung vorbeilaufen

Die meisten Tools sind in Minuten eingerichtet, oft mit einer Kreditkarte und ohne Beteiligung der IT. Wer ein Problem lösen will, denkt dabei selten an Auftragsverarbeitung oder Datenübermittlung in Drittländer. Und solange niemand fragt, fällt die Lücke nicht auf.

Was dabei rechtlich fehlt

Auftragsverarbeitung: Verarbeitet ein Dienst personenbezogene Daten im Auftrag des Unternehmens, braucht es einen Vertrag nach Art. 28 DSGVO. Dokumentation: Die Verarbeitung gehört in das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) und, wenn sie die Website betrifft, in die Datenschutzerklärung. Sicherheit: Ob das Tool angemessene technische und organisatorische Maßnahmen bietet (Art. 32 DSGVO), sollte vor dem Einsatz geklärt sein. KI-Kompetenz: Wer KI-Systeme einsetzt, muss nach Art. 4 KI-Verordnung Maßnahmen für ausreichende KI-Kompetenz des Personals ergreifen.

Ein Prüfweg, der im Alltag funktioniert

Bewährt hat sich ein schlanker Ablauf: Wer ein neues Tool einsetzen will, beantwortet wenige Fragen. Welche Daten werden verarbeitet, wo sitzt der Anbieter, gibt es einen Auftragsverarbeitungsvertrag, wer nutzt das Tool? Eine benannte Stelle prüft und gibt frei, das Ergebnis wird im Verzeichnis eingetragen. Für KI-Tools regelt eine KI-Richtlinie zusätzlich, welche Daten eingegeben werden dürfen und wer den Output prüft.

Häufige Fragen

Gilt das auch für kostenlose Testversionen?

Ja. Entscheidend ist, ob personenbezogene Daten verarbeitet werden, nicht ob das Tool etwas kostet.

Was tun mit Tools, die schon im Einsatz sind?

Eine Bestandsaufnahme aller eingesetzten Dienste ist der erste Schritt. Danach werden fehlende Verträge und Einträge nachgeholt, bei Bedarf wird ein Tool ersetzt.

Quellen und Rechtsgrundlagen

Weiterlesen: Die KI-Richtlinie, AVV abschließen und Rechtssystem aufbauen: der Leitfaden.

Erstgespräch anfragen