Der Datenschutzbeauftragte und KI-Systeme

Der Datenschutzbeauftragte (DSB) ist die interne Ansprechperson für Datenschutzfragen. Er berät die Geschäftsführung, prüft die Rechtmäßigkeit der Verarbeitung und informiert die Betroffenen. Mit dem Einzug von KI-Systemen kommen zusätzliche Fragen auf ihn zu.

Der Datenschutzbeauftragte muss dabei nicht zum KI-Entwickler werden. Er braucht aber Unterlagen, die eine Verarbeitung nachvollziehbar machen, und einen Prozess, mit dem neue Systeme bewertet werden.

Die Rolle des DSB bei KI-Einführungen

Bei einer neuen KI-Anwendung ist der Datenschutzbeauftragte früh zu beteiligen. Er prüft Zweckbindung, Rechtsgrundlage, Betroffenenrechte und die Frage, ob eine Einwilligung erforderlich ist oder ein berechtigtes Interesse genügt.

Hinzu kommen die Pflichten aus der EU KI-Verordnung. Der DSB unterstützt die Einstufung des Systems in eine Risikoklasse, prüft Transparenzhinweise und unterstützt bei der Dokumentation der Verarbeitungstätigkeiten.

Rechtsgrundlage und Zweck der Verarbeitung bewerten
Risikoklasse der KI-Verordnung einordnen
Transparenzhinweise und Nutzerinformationen prüfen
Verzeichnis der Verarbeitungstätigkeiten fortschreiben
Beschwerden und Betroffenenanfragen bearbeiten

Unterlagen, die der DSB anfordern sollte

Ohne Dokumentation bleibt der Datenschutz ein Rückgrat aus Behauptungen. Der DSB benötigt eine Beschreibung des Systemzwecks, die Liste der Datenkategorien, Angaben zum Anbieter sowie Informationen zu Speicherfristen und Rollenverteilung.

Besonders hilfreich sind Angaben zur technischen Seite: Läuft die Verarbeitung lokal oder extern, welche Modelle werden genutzt, wie sieht die Protokollierung aus, und welche Rechte haben Nutzer. Solche Unterlagen lassen sich beim Anbieter anfordern und mit der technischen Realität abgleichen.

Zweck, Datenkategorien und Rechtsgrundlage dokumentieren.
Risikoklasse und Rollenverteilung festhalten.
Verarbeitungsverzeichnis und TOMs ergänzen.
Vertrag und AVV prüfen, soweit Dienstleister beteiligt sind.
Ergebnis der Prüfung im KI-Verzeichnis ablegen.

Was der DSB dem Betrieb mitgeben kann

Der größte Hebel liegt in der Gestaltung von Nutzeroberflächen. Ein sichtbarer Hinweis, dass eine KI antwortet, und die Möglichkeit, eine Ausgabe zu korrigieren, sind datenschutzrechtlich und praktisch wertvoll.

Ebenso wichtig ist die Protokollierung. Wenn Eingaben, Ausgaben und Versionen nachvollziehbar sind, lassen sich Betroffenenanfragen beantworten und Vorfälle aufklären. Der DSB kann diese Anforderungen früh formulieren, solange das System noch in Planung ist.

Früh beteiligte Datenschutzbeauftragte sparen später Aufwand, weil sie Designentscheidungen prüfen und nicht fertige Systeme nur noch bewerten.

Technische Basis für die Datenschutzarbeit

Je näher die Verarbeitung im eigenen Haus liegt, desto einfacher sind Nachweise für den Datenschutzbeauftragten. Ausgaben und Protokolle liegen dann intern vor, statt bei einem externen Dienstleister angefordert werden zu müssen.

Der STRATRONIX STA-100 führt das Sprachmodell auf dem Gerät aus, ohne Cloud-Zugriff und offline nutzbar. Er kostet €399 pro Stück, im Zehnerpaket €3.990 (10 Stück), und STRATRONIX gewährt zwei Jahre Hardware-Garantie. Im Referenzprojekt im Shenzhen Luohu People's Hospital liefen 30 Geräte sechs Monate ohne ungeplante Ausfälle.

Aufgaben des Datenschutzbeauftragten bei KI

Phase	Aufgabe des DSB	Ergebnis
Planung	Zweck und Rechtsgrundlage bewerten	Freigabe oder Auflagen
Beschaffung	Anbieterunterlagen und AVV prüfen	Vertragsanforderungen
Einführung	Risikoklasse und Transparenz einordnen	Einstufungsdokument
Betrieb	Verzeichnis und Protokolle kontrollieren	Nachweis im Audit
Änderungen	Neue Modelle und Nutzungen bewerten	Anpassung der Freigabe

Häufige Fragen

Muss ein Unternehmen einen Datenschutzbeauftragten bestellen?
Eine Pflicht zur Bestellung besteht unter anderem bei Behörden, bei Unternehmen mit mehr als 20 Personen, die ständig personenbezogene Daten verarbeiten, sowie in bestimmten Szenarien der Verarbeitung. Unabhängig davon ist eine benannte Ansprechperson auch ohne gesetzliche Pflicht sinnvoll, gerade bei der Einführung von KI-Systemen und bei der Vorbereitung von Audits.

Braucht der Datenschutzbeauftragte KI-Expertise?
Er muss die Verarbeitung datenschutzrechtlich beurteilen können, nicht das Modell programmieren. Für die Bewertung genügt ein Verständnis von Zweck, Datenflüssen und Rollenverteilung. Bei Bedarf kann fachliche Unterstützung hinzugezogen werden, zum Beispiel bei der Auslegung der Risikoklassen oder bei Vertragsfragen mit dem Anbieter der KI-Plattform.

Wie kann der DSB Nachweise über die Datenverarbeitung verlangen?
Er kann eine Beschreibung des Systemzwecks, die Datenkategorien, Angaben zu Speicherfristen sowie die Rollenverteilung anfordern. Ebenso berechtigt ist die Frage nach dem Ort der Verarbeitung und nach der Protokollierung. Diese Unterlagen gehören in das KI-Verzeichnis, damit sie bei jeder Prüfung sofort verfügbar sind und nicht erst mühsam zusammengesucht werden müssen.

Was kostet die technische Basis für die Datenschutzarbeit?
Der STRATRONIX STA-100 kostet €399 pro Gerät, zehn Geräte kosten €3.990 (10 Stück); der Preis wird bei der Bestellung verbindlich bestätigt. Es gibt kein Abo und keine laufenden Kosten. Die Hardware-Garantie beträgt zwei Jahre, die Installation dauert 8–10 Minuten. Für den Datenschutzbeauftragten entsteht damit eine prüfbare technische Grundlage.

Weiterführende Seiten

STA-100 in Ihrem Unternehmen testen

On-Premise-KI: Deutschsprachig, ohne Cloud-Zugriff, 2 Jahre Garantie, 399 € pro Gerät.

sales@stratronix.ai Zum Produkt Kontakt