2. Daten und Beteiligte erfassen
- Welche Daten werden eingegeben, erzeugt, protokolliert oder exportiert?
- Sind besondere Kategorien personenbezogener Daten oder vertrauliche Geschäftsinformationen betroffen?
- Wer ist verantwortlich, wer verarbeitet im Auftrag und welche Unterauftragnehmer wirken mit?
- Werden Daten für eigene Zwecke des Anbieters oder zum Modelltraining verwendet?
3. Vertrag und Datenwege gemeinsam prüfen
Prüfen Sie Datenschutzinformationen, AVV, Unterauftragnehmer, Speicher- und Verarbeitungsorte sowie mögliche Drittlandtransfers. Aussagen wie „DSGVO-konform“ oder „EU-Hosting“ sollten durch konkrete Vertrags- und Produktangaben nachvollziehbar sein.
Bei risikoreichen oder umfangreichen Verarbeitungen kann eine Datenschutz-Folgenabschätzung erforderlich sein. Ob das der Fall ist, muss anhand des konkreten Einsatzes beurteilt werden.
4. Sichere Einstellungen vor dem Start
- Training mit eigenen Inhalten deaktivieren, sofern möglich und nicht gewollt.
- Kurze Aufbewahrungsfristen und automatische Löschung konfigurieren.
- Zugriffe nach Rollen vergeben und Mehrfaktor-Authentisierung aktivieren.
- Nur freigegebene Konten und Integrationen verwenden.
- Beschäftigte zu zulässigen und unzulässigen Eingaben informieren.
- Ergebnisse bei wichtigen Entscheidungen menschlich kontrollieren.
5. Klein starten und regelmäßig nachprüfen
Starten Sie mit einem klar abgegrenzten Test ohne unnötige Echtdaten. Dokumentieren Sie Zweck, Verantwortliche, Einstellungen und Prüfdatum. Anbieterbedingungen, Modelle, Unterauftragnehmer und Datenwege können sich ändern und sollten deshalb regelmäßig erneut bewertet werden.
Beschaffungsblatt für eine konkrete Anwendung
Lade das editierbare Beschaffungsblatt als CSV herunter. Es trennt Speicher, Inferenz, Supportzugriff und Logs. Trage für jede Aussage Tarif, Primärquelle und tatsächliches Prüfdatum ein. Eine offene Angabe bleibt bis zur Klärung offen; sie wird nicht durch ein allgemeines Datenschutzlogo ersetzt.
Für Besprechungen führt der Weg zum Meetingvergleich, für Dateifragen zur Dokumentenanalyse, für selbstständige Aktionen zur Agenten-Governance.
| Feld | Beispiel ohne Echtdaten | Freigabeprüfung |
|---|---|---|
| Zweck | Drei interne Projektprotokolle zusammenfassen | Zweck und Nutzergruppe begrenzen |
| Daten | Synthetische Protokolle im Pilot | Echtdaten bis zur Freigabe sperren |
| Tarif und Beleg | Konkrete Edition und URL eintragen | Nicht aus einem anderen Tarif übertragen |
| Offene Frage | Zugriff des Supports und Löschung der Logs | Zuständige Rolle und Frist festlegen |
| Entscheidung | Pilot nur mit Testdaten | Fachverantwortliche und technische Grenze dokumentieren |