Warum eine strukturierte Checkliste?
DSGVO-Compliance bei KI-Anwendungen ist nicht binär, sondern punktuell: viele Einzelpunkte müssen passen. Wer nur ein paar prüft („AVV haben wir, passt“), übersieht systematisch die Hälfte. Die Checkliste zwingt zur vollständigen Abarbeitung.
Aufsichtsbehörden gehen bei Anfragen ähnlich vor: ein strukturierter Fragebogen mit etwa 30 Punkten. Wer die internen Antworten parat hat, antwortet in 2 Tagen. Wer nicht, braucht Wochen — und gibt durch jede Verzögerung mehr Anlass zur Vertiefung.
Cluster 1: Rechtsgrundlage (5 Punkte)
- Welche Datenkategorien werden verarbeitet? Personenbezogen ja/nein? Besondere Kategorien (Gesundheit, Religion, Gewerkschaft) ja/nein?
- Welche Rechtsgrundlage greift? Vertragserfüllung (Art. 6 (1) b), berechtigtes Interesse (Art. 6 (1) f) mit Interessenabwägung, Einwilligung (Art. 6 (1) a), gesetzliche Pflicht?
- Bei berechtigtem Interesse: dokumentierte Interessenabwägung vorhanden?
- Bei Einwilligung: aktiv, informiert, granular, widerrufbar dokumentiert?
- Zweckbindung: ist der KI-Einsatz vom ursprünglichen Erhebungszweck gedeckt?
Cluster 2: AVV & Verträge (4 Punkte)
- AVV mit dem LLM-Anbieter (OpenAI / Anthropic / Mistral / Google) abgeschlossen und Stand 2026?
- Zero-Data-Retention oder zumindest „kein Training auf unseren Daten“ vertraglich vereinbart?
- Sub-Auftragnehmer-Liste vorhanden und Veränderungen melden vereinbart?
- Audit-Rechte wirksam vereinbart (Art. 28 Abs. 3 lit. h)?
Cluster 3: Datenschutz-Folgenabschätzung (DPIA) (5 Punkte)
- DPIA-Pflicht geprüft nach Art. 35 DSGVO und Liste der Aufsichtsbehörden? KI fällt fast immer unter eine der DPIA-Kategorien.
- Risiken systematisch erhoben (Modellfehler, Halluzination, Bias, Datenlecks, Re-Identifikation)?
- Schwellwertanalyse (Eintrittswahrscheinlichkeit × Schadenshöhe) dokumentiert?
- Mitigationsmaßnahmen definiert und Wirksamkeit bewertet?
- DPIA durch DSB freigegeben oder bei Restrisiko vorab Aufsicht konsultiert (Art. 36)?
Cluster 4: Drittlandtransfer (4 Punkte)
- Datenflüsse-Mapping: wo gehen die Daten hin? Server-Standort, Verarbeitungsort, ggf. Support-Zugriffe?
- Bei US-Anbietern: EU-US Data Privacy Framework-Zertifizierung des Anbieters geprüft?
- Standardvertragsklauseln (SCC) aktualisierte Version (2021er Module) abgeschlossen?
- Transfer Impact Assessment (TIA) dokumentiert mit Schrems II-Mapping? Mehr im Schrems-II-Glossareintrag.
Cluster 5: Betroffenenrechte (4 Punkte)
- Auskunftsrecht (Art. 15): Prozess vorhanden, der KI-bezogene Daten reproduzieren kann?
- Löschrecht (Art. 17): Lösch-Verfahren in Vektor-Datenbank, Logs, Trainings-Caches durchgängig?
- Recht auf Erklärung bei automatisierten Einzelentscheidungen (Art. 22): erklärbar gemacht oder bewusst Mensch-im-Loop eingebaut?
- Datenschutzhinweise: KI-Einsatz transparent in Datenschutzerklärung beschrieben?
Cluster 6: Dokumentation & Governance (6 Punkte)
- Verarbeitungsverzeichnis (Art. 30): KI-Anwendung mit allen Pflichtangaben eingetragen?
- KI-Inventar: alle eingesetzten Tools (auch Schatten-IT) erfasst und klassifiziert?
- Mitarbeiter-Schulung: dokumentierte DSGVO-Schulung speziell für KI-Nutzung erfolgt?
- Verbotene Eingaben: Negativliste sensibler Daten kommuniziert (Gehalts-, Gesundheits-, Strafrechtsdaten)?
- Vorfall-Meldeprozess: Verfahren für Datenpannen mit KI-Bezug definiert (72-Stunden-Frist Art. 33)?
- Regelmäßige Überprüfung: jährlicher DSGVO-Review der KI-Anwendungen geplant?
Vollständige Checkliste anfordern
Wir senden Ihnen die vollständige Checkliste als PDF (28 Seiten mit Erläuterungen, Best Practices und Mitigationsbeispielen) plus Excel-Tracker kostenfrei per E-Mail. Anfrage über die kostenfreie Potenzialanalyse mit Stichwort „DSGVO-Checkliste“.
Wenn Sie Unterstützung beim Durcharbeiten brauchen, ist unser KI-Audit die strukturierte Antwort — Compliance-Cluster ist der Kern jedes Audits.
Häufig gestellte Fragen
Reichen 28 Prüfpunkte für jede KI-Einführung?
Für 80 % der Mittelstands-Cases ja. Bei Hochrisiko-KI nach EU AI Act (Kreditscoring, HR-Entscheidungen, Kritische Infrastruktur) kommen weitere ca. 15 Prüfpunkte hinzu — die werden in einem separaten Compliance-Check abgearbeitet.
Wer sollte die Checkliste durchgehen?
Federführend Datenschutzbeauftragter (DSB) oder externe DPO. Mit Beteiligung von IT (technische Punkte), Fachbereich (Use-Case-Spezifika) und Geschäftsführung (Risiko-Akzeptanz). Idealerweise im Rahmen eines 2-stündigen Workshops.
Was, wenn wir Punkte nicht erfüllen?
Drei Optionen: (1) Mitigationsmaßnahme einführen (z. B. AVV nachverhandeln, Pseudonymisierung), (2) Use-Case-Anpassung (z. B. weniger sensible Daten verwenden), (3) Risiko bewusst akzeptieren und dokumentieren. Wichtig: keine Selbsttäuschung — offene Punkte sind keine erfüllten Punkte.
Hilft die Checkliste auch bei Bestandssystemen?
Ja, sogar besonders. Schatten-IT-KI ist 2026 das größte ungemanagte Risiko. Wir empfehlen, die Checkliste retrospektiv für jedes bereits eingesetzte KI-Tool anzuwenden — am effektivsten im Rahmen unseres KI-Audits.