Wer nicht genau weiß, wo im eigenen Produkt personenbezogene Daten verarbeitet werden, kann auch nicht sagen, ob dafür eine Rechtsgrundlage besteht oder wie lange die Daten aufbewahrt werden dürfen. Die Bestandsaufnahme schafft hier Klarheit, Funktion für Funktion.
Jede Funktion wird einzeln durchleuchtet: Rechtsgrundlage, Zweck und Aufbewahrungsdauer je Datenkategorie, dazu eine Liste offener Punkte bei Auftragsverarbeitungsverträgen, Datenübermittlungen in Drittländer, Betroffenenrechten und der Löschfunktion. Wenn eine KI-Anfrage personenbezogene Daten enthält, werden Namen und andere echte Angaben vorher durch anonyme Kennungen ersetzt. So erreichen echte Kundendaten den KI-Anbieter nie, auch nicht nach einem Wechsel des Anbieters.
Am Ende steht eine veröffentlichungsfertige Datenschutzerklärung, dazu zwei Checklisten für unterschiedliche Zielgruppen.
Was sich unverändert portieren lässt
- Jede Funktion wird gegen die sieben DSGVO-Grundsätze geprüft
- Für jeden Verarbeitungszweck wird die passende Rechtsgrundlage festgelegt
- Eine Liste aller Auftragsverarbeiter mit offenen Punkten bei den Art.-28-Verträgen
- Die Prüfung von Datenübermittlungen in Drittländer, mit anonymisierten Kennungen direkt an der Schnittstelle statt echter Daten
- Die Prüfung, ob Betroffenenrechte technisch umsetzbar sind: Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch
- Die Feststellung, wie lange Daten gespeichert bleiben, und ob sich Löschungen technisch auch wirklich umsetzen lassen
- Die Grundabsicherung nach Art. 32 und die technischen und organisatorischen Maßnahmen
- Zwei Checklisten, eine für alle Beteiligten und eine zur Abzeichnung durch die Geschäftsführung
Was wir für Sie bauen
- Das eigene Datenmodell und die Liste der Funktionen
- Die Rechtsgrundlage je Zweck, bestätigt durch die Geschäftsführung
- Die Liste der Auftragsverarbeiter mit dem Stand ihrer Verträge
- Das Übermittlungsverfahren für jeden Drittland-Aufruf
- Der Text der Datenschutzerklärung in der eigenen Sprache und im eigenen Ton
- Die rechtliche Prüfung oder die Prüfung durch den Datenschutzbeauftragten, bevor eine Aussage nach außen als Compliance-Nachweis verwendet wird
