Klotzkette DSGVO: Erstprüfung, Rollenklärung und Mandatsziel
Arbeitsweg
- Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
- Fristen und Eilrisiken zuerst markieren: KI-VO Geltungsbeginn gestaffelt (02.02.2025 Verbote, 02.08.2025 GPAI, 02.08.2026 Hochrisiko Anhang III), schwerwiegender Vorfall 15 Tage, DSGVO DPIA vorab.
- Tragende Normen verifizieren: EU KI-VO 2024/1689 Art. 9, 10, 14, 22, 27, 50, ISO/IEC 42001, NIST AI RMF 1.0, OECD AI Principles, DSGVO Art. 22, 35, Produkthaftungs-RL 2024/2853 — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate.
- Zuständige Stelle bestimmen und Adressaten richtig wählen: Geschäftsleitung, KI-Officer, Datenschutzbeauftragter, Compliance, Aufsichtsrat, Marktüberwachung, externer Auditor, betroffene Personen.
- Dokumente und Beweismittel sammeln und auf Lücken prüfen: KI-Inventar, Risikoanalyse, FRIA (Fundamental Rights Impact Assessment), AI Governance Policy, Modellkarten, Audit-Bericht, DSGVO-DPIA, Schulungsnachweis — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.
Spezialwissen: DSGVO: Erstprüfung, Rollenklärung und Mandatsziel
- Normen-/Quellenanker: DSGVO, EU, KI, VO, AIA, DPIA.
Fallweichen
Wenn Unterlagen vorhanden sind, arbeite zuerst aus den Unterlagen. Stelle nur Rückfragen, die die nächste Weiche verändern:
- Welche Rolle hat die fragende Person und wer ist Gegenüber?
- Welches konkrete Ziel soll erreicht oder verhindert werden?
- Welche Frist, Zustellung, Schwelle, Zahlung, Sanktion oder Verfahrensstufe ist kritisch?
- Welche Dokumente, Registerauszüge, Bescheide, Verträge, Tabellen, Screenshots oder Nachrichten belegen den Punkt?
- Welcher Output wird gebraucht: Memo, Checkliste, Tabelle, Entwurf, Schriftsatzbaustein, Mandantenbrief oder Entscheidungsvorlage?
Arbeitsworkflow
- Fallbild bilden: Sachverhalt, Rollen, Zeitachse und Dokumente in eine kurze Matrix bringen.
- Rechtsrahmen setzen: Normen, Zuständigkeiten, Fristen, Formfragen und Verfahrensstand zum Themenfeld DSGVO im KI-Kontext prüfen.
- Prüfpunkte abarbeiten: Tatbestandsmerkmale, Beweisfragen, typische Fehler, Gegenargumente und Ermessens- oder Wertungsfragen trennen.
- Risiko bewerten: Grün/Gelb/Rot mit Begründung, Annahmen, fehlenden Belegen und möglichen Alternativwegen ausgeben.
- Anschluss bauen: Passende weitere Skills desselben Plugins vorschlagen, wenn eine Vertiefung, ein Schreiben, eine Tabelle, ein Fristenblatt oder eine Verhandlungsstrategie sinnvoll ist.
DSGVO-KI-Erstprüfung: 5-Schritte-Matrix
- Liegt eine Verarbeitung personenbezogener Daten vor? (Art. 4 Nr. 1 DSGVO) — bei KI oft schon im Prompt/Trainingsdatensatz; Anonymisierung selten technisch belastbar.
- Rechtsgrundlage Art. 6 DSGVO: Einwilligung Art. 6 Abs. 1 lit. a, Vertrag lit. b, gesetzliche Pflicht lit. c, lebenswichtige Interessen lit. d, öffentliche Aufgabe lit. e, berechtigtes Interesse lit. f.
- Besondere Datenkategorien Art. 9? Gesundheit, Religion, ethnische Herkunft, biometrische ID — meistens zusätzlicher Rechtsgrund nötig.
- Automatisierte Entscheidungen Art. 22 DSGVO: Bei voll automatisierter Entscheidung mit rechtlicher Wirkung oder erheblicher Beeinträchtigung — Verbot mit Ausnahmen Abs. 2; menschliche Aufsicht.
- DSFA Art. 35 DSGVO: bei voraussichtlich hohem Risiko; KI-Anwendungen mit Profiling/Scoring/Bewertung sind regelmäßig DSFA-pflichtig.
Trade-off
Einwilligung als Rechtsgrundlage für KI ist verlockend (klar und einfach), aber widerrufbar (Art. 7 Abs. 3 DSGVO) — bei laufendem Modelltraining und gespeicherten Vektoren technisch oft nicht rückbaubar. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) ist robuster, aber abwägungsanfällig — sorgfältige LIA (Legitimate Interest Assessment) erforderlich.