Datenschutz vor dem Projekt konkret klären

Projektklärung und Datenschutzerklärung haben unterschiedliche Aufgaben

Die Datenschutzerklärung dieser Website beschreibt den Umgang mit Daten beim Besuch von enaudo.de und bei der Nutzung der dort genannten Dienste. Sie regelt nicht automatisch, wie eine individuelle Betriebslösung Ihre Kunden-, Mitarbeiter- oder Auftragsdaten verarbeitet.

Für ein Projekt müssen deshalb der tatsächliche Datenfluss, die Aufgaben der Beteiligten und die erforderlichen vertraglichen Regelungen gesondert geklärt werden. Die folgenden Punkte helfen bei dieser Vorbereitung. Sie sind keine Rechtsberatung, Zertifizierung oder pauschale Zusicherung der DSGVO- oder AI-Act-Konformität.

• Datenschutzerklärung der Website

  Die rechtlichen Informationen zu Besuch, Kontaktformular und weiteren Diensten dieser Website.

• Ablauf eines Projekts

  Wann Anforderungen, Umfang, Prüfung und Betriebsverantwortung gemeinsam festgelegt werden.

Welche Daten werden für den Ablauf wirklich gebraucht?

• Zweck: Welches konkrete Arbeitsergebnis soll die Verarbeitung ermöglichen?
• Umfang: Welche Dokumente und Felder sind dafür nötig, welche können entfallen?
• Betroffene Personen: Geht es um Kunden, Beschäftigte, Ansprechpartner oder andere Personen?
• Besondere Anforderungen: Enthalten Unterlagen sensible Angaben oder gelten besondere Vertraulichkeitspflichten?
• Datenfluss: Wo entstehen Daten, wohin werden sie übertragen und in welchem System bleibt der maßgebliche Stand?
• Testdaten: Lassen sich Entwicklung und erste Prüfungen mit künstlichen oder anonymisierten Beispielen durchführen?

Schon eine einfache Übersicht der beteiligten Programme und benötigten Felder hilft, unnötige Kopien und unklare Übergaben zu erkennen. Wenn der Umfang später wächst, muss auch die Datenklärung auf die neue Funktion angepasst werden.

Wer trägt welche Verantwortung?

Vor der Umsetzung ist zu klären, wer über Zweck und Mittel der Verarbeitung entscheidet, welche Aufgaben enaudo übernimmt und welche weiteren Anbieter beteiligt sind. Daraus ergibt sich, welche Vereinbarungen, Weisungen und Nachweise für den jeweiligen Auftrag benötigt werden. Ihre Datenschutzverantwortlichen oder rechtliche Beratung sollten offene rechtliche Fragen beurteilen.

• Ansprechpartner für fachliche Freigaben, Datenschutz und technischen Betrieb festlegen.
• Prüfen, ob und in welchem Umfang eine Vereinbarung zur Auftragsverarbeitung erforderlich ist.
• Leistungsumfang, Zuständigkeiten und erlaubte Verarbeitung im jeweiligen Vertrag festhalten.
• Unterauftragnehmer und externe Dienste einschließlich ihrer konkreten Aufgaben erfassen.
• Vorgehen bei Änderungen, Sicherheitsvorfällen und erforderlichen Auskünften vereinbaren.

Hosting und EU-Verarbeitung anhand der konkreten Dienste prüfen

Ein Standort in der EU ist ein Auswahlkriterium für die geplante Umgebung. Vor einer Zusage müssen die tatsächlich verwendeten Dienste und ihre Bedingungen betrachtet werden. Dazu gehören Anwendung, Datenbank, Dateispeicher, Sicherungen sowie externe Schnittstellen. Ein einzelner EU-Server beantwortet noch nicht alle Fragen zum gesamten Datenfluss.

• Wo werden Daten verarbeitet und gespeichert, einschließlich Protokollen und Sicherungen?
• Welche Anbieter und Unterauftragnehmer erhalten Daten oder technischen Zugriff?
• Gibt es Supportzugriffe oder Übermittlungen außerhalb der vorgesehenen Region?
• Welche Einstellungen, Verträge und Nachweise stützen die gewählte Verarbeitung?
• Wer betreibt die Umgebung und wer verantwortet Updates, Überwachung und Wiederherstellung?

Welche Umgebung eingesetzt wird und welche Anforderungen sie erfüllen muss, gehört in die Projektentscheidung und die passenden Vereinbarungen. Ein bestimmter Anbieter oder ein Vertragspaket wird durch diese Informationsseite nicht zugesichert.

Zugriffe, Zugangsdaten und nachvollziehbare Änderungen

Für jedes beteiligte System ist zu bestimmen, welche Personen und technischen Verbindungen welche Rechte benötigen. Ebenso wichtig ist, wer diese Rechte vergibt, regelmäßig prüft und nach einem Aufgabenwechsel oder Projektende entzieht.

• Zugriffe auf die benötigten Vorgänge und Funktionen begrenzen.
• Persönliche Zugänge und technische Verbindungen getrennt betrachten.
• Einen geeigneten Weg für die Bereitstellung und Aufbewahrung von Zugangsdaten festlegen.
• Bestimmen, welche Bearbeitungs- und Freigabeschritte protokolliert werden sollen.
• Klären, wer Protokolle lesen darf und wie lange sie benötigt werden.

Bitte senden Sie keine Passwörter, API-Schlüssel oder vertraulichen Originalunterlagen in einer ersten Kontaktanfrage. Wenn Daten oder Zugriff für das Projekt erforderlich werden, wird ein dafür geeigneter Weg vereinbart.

Zusätzliche Fragen, wenn KI beteiligt ist

KI ist ein möglicher Baustein, zum Beispiel für die Zuordnung von Dokumentinhalten. Vor ihrem Einsatz muss die konkrete Aufgabe benannt sein. Danach lässt sich prüfen, welche Daten ein Modell erhalten müsste und ob eine einfachere Methode die Aufgabe bereits erfüllt.

• Welche Eingaben gehen an welchen Modellanbieter und über welchen Dienst?
• Wo erfolgt die Verarbeitung und welche Speicher- oder Protokollierungsbedingungen gelten?
• Wie ist eine mögliche Verwendung der Eingaben für Training oder andere Anbieterzwecke geregelt?
• Welche Daten können vorher entfernt oder durch weniger sensible Angaben ersetzt werden?
• Wer prüft die Ausgabe und stoppt fehlerhafte oder unklare Ergebnisse?
• Welche Anforderungen müssen Ihre zuständigen Fachleute für den konkreten Anwendungsfall zusätzlich beurteilen?

Eine KI-Ausgabe kann inhaltlich falsch sein. Für verbindliche Dokumente, Kommunikation und Änderungen sind deshalb die vorgesehenen Prüfungen und Freigaben festzulegen. Die Auswahl eines Modells allein beantwortet weder die fachlichen noch die rechtlichen Fragen des Gesamtprozesses.

Aufbewahrung, Sicherung und Projektende vorab regeln

• Aufbewahrungsdauer für Originaldateien, Arbeitskopien, Ergebnisse und Protokolle festlegen.
• Prüfen, welche fachlichen oder rechtlichen Aufbewahrungspflichten zu berücksichtigen sind.
• Umfang, Speicherort und Zugriff auf Backups sowie das Wiederherstellungsverfahren klären.
• Beschreiben, wie Löschanforderungen mit Sicherungen und deren Aufbewahrungszyklen zusammenwirken.
• Datenexport, Übergabe, Zugriffsende und Löschung nach Projektabschluss vereinbaren.

Eine Sicherung ist eine zusätzliche Datenkopie mit eigenen Zugriffs- und Aufbewahrungsfragen. Löschung in der Anwendung und Ablauf von Sicherungen müssen deshalb gemeinsam betrachtet werden. Welche Nachweise und Fristen erforderlich sind, wird für die konkrete Lösung festgelegt.

Was Sie für die erste Klärung mitbringen können

Hilfreich sind eine Liste Ihrer Programme, eine Beschreibung des Ablaufs, die benötigten Datenarten und vorhandene interne Vorgaben. Ein anonymisiertes Muster kann die fachliche Besprechung erleichtern. Noch offene Punkte werden gesammelt, bevor echte Daten und Zugriffe für die Umsetzung bereitgestellt werden.

• Projekt besprechen

  Mit einer kurzen Beschreibung Ihres Vorhabens beginnen und die offenen Fragen einordnen.

• Dokumentenautomatisierung

  Wie Erkennung, menschliche Prüfung und kontrollierte Ausgabe zusammenarbeiten können.

Häufige Fragen