Technik und Organisation im Datenschutz: Warum KI, IT-Sicherheit und DSGVO zusammen gedacht werden müssen

 Der Abschnitt 'Technik und Organisation' im Tätigkeitsbericht des LfDI MV beginnt mit einem klaren Schwerpunkt: Künstliche Intelligenz prägt die Beratungsanfragen. Gleichzeitig macht der Bericht deutlich, dass sich technische Innovation nicht isoliert von Datenschutzrecht und Organisation betrachten lässt. Die europäische KI-Verordnung bildet einen Rahmen für KI, während der Umgang mit personenbezogenen Daten weiterhin nach der DSGVO beurteilt werden muss. Für Unternehmen ist diese Parallelität entscheidend. Ein KI-Projekt kann technisch überzeugend und regulatorisch trotzdem unvollständig sein. Umgekehrt kann eine formal saubere Datenschutzdokumentation wertlos sein, wenn technische Schutzmaßnahmen nicht funktionieren. Technik und Organisation müssen deshalb als gemeinsames System geplant werden.

Der Bericht beschreibt, dass viele KI-Projekte noch am Anfang oder in der Planungsphase stehen. Genau dort ist der günstigste Zeitpunkt, Anforderungen zu klären. Unternehmen sollten bei einem neuen KI-System mindestens zwei Fragen parallel stellen: Welche Anforderungen ergeben sich aus dem KI-Regelwerk und welche personenbezogenen Daten werden verarbeitet? Der Tätigkeitsbericht weist darauf hin, dass die KI-Verordnung den Datenschutz nicht ersetzt. Diese Trennung ist praktisch wichtig. Verantwortlichkeiten, Rechtsgrundlagen, Betroffenenrechte, Speicherfristen und technische Schutzmaßnahmen bleiben auch dann relevant, wenn ein System als KI-Anwendung klassifiziert wird.

Technische und organisatorische Maßnahmen funktionieren nur zusammen. Eine Mehr-Faktor-Authentifizierung ist beispielsweise technisch stark, hilft aber wenig, wenn Berechtigungen nie entzogen werden. Protokollierung kann Sicherheitsvorfälle sichtbar machen, ist aber wertlos, wenn niemand die Protokolle auswertet. Ein Berechtigungskonzept braucht Rollen, Genehmigungsprozesse und regelmäßige Kontrollen. Unternehmen sollten deshalb nicht fragen: 'Welche Technik kaufen wir?', sondern: 'Welches Risiko wollen wir mit welchem Prozess und welcher Technik beherrschen?' Der Tätigkeitsbericht unterstreicht diese Verzahnung in mehreren späteren Kapiteln, etwa bei elektronischen Akten, Schul-IT und KI.

Der Bericht verweist im Zusammenhang mit KI auf die Tatsache, dass viele Anbieter ihren Geschäftssitz außerhalb der Europäischen Union haben. Er verbindet das mit Fragen digitaler Souveränität. Für Unternehmen bedeutet das nicht, dass außereuropäische Dienste automatisch ungeeignet sind. Es zeigt aber, dass Abhängigkeiten bewusst bewertet werden sollten. Wo werden Daten verarbeitet? Welche Vertragsbeziehungen bestehen? Welche Möglichkeiten zum Wechsel gibt es? Wie stark hängt ein Prozess von einem einzelnen Anbieter ab? Diese Fragen sind nicht nur Datenschutzfragen, sondern auch Teil von Beschaffung, Risikomanagement und Business Continuity.

Datenschutz sollte Bestandteil technischer Architekturentscheidungen sein. Das gilt besonders für KI, Cloud-Dienste und zentrale Plattformen. Ein geeigneter Prozess beginnt mit einer Beschreibung des Zwecks, der Datenflüsse und der beteiligten Systeme. Danach werden Verantwortlichkeiten, Rechtsfragen, technische Risiken und Schutzmaßnahmen bewertet. Erst anschließend sollte eine Freigabe erfolgen. Wichtig ist, dass Änderungen erneut geprüft werden. Viele Digitalprojekte verändern sich während der Umsetzung. Neue Funktionen oder Datenquellen können eine frühere Bewertung überholen.

1. Führen Sie für neue digitale Systeme eine gemeinsame technische und datenschutzrechtliche Vorprüfung ein.

2. Dokumentieren Sie Datenflüsse, Schnittstellen und Anbieter frühzeitig.

3. Legen Sie fest, wer technische Risiken, Datenschutzfragen und KI-Anforderungen bewertet.

4. Prüfen Sie Abhängigkeiten von Cloud- und KI-Anbietern als Teil Ihres Risikomanagements.

5. Verbinden Sie Berechtigungen, Protokollierung und Authentifizierung mit klaren organisatorischen Prozessen.

6. Bewerten Sie wesentliche Änderungen eines Systems erneut.

7. Halten Sie Entscheidungen so fest, dass sie später nachvollzogen und gegenüber der Aufsicht erklärt werden können.

Für neue IT- und KI-Projekte lohnt ein verbindlicher Freigabepunkt, bevor Verträge unterschrieben oder produktive Daten verarbeitet werden. In dieser Phase sollten Fachbereich, IT, Datenschutz und Informationssicherheit gemeinsam prüfen, welche Daten benötigt werden, welche Systeme beteiligt sind und welche Risiken entstehen. Der Vorteil liegt in der frühen Gestaltbarkeit: Ein fehlendes Löschkonzept, unklare Rollen oder problematische Datenflüsse lassen sich vor dem Rollout meist leichter korrigieren als später. Wichtig ist auch ein Änderungsprozess. Wenn ein Anbieter neue Funktionen aktiviert, Daten in weiteren Regionen verarbeitet oder Schnittstellen hinzufügt, sollte die ursprüngliche Bewertung überprüft werden. Unternehmen können hierfür ein kurzes Änderungsformular verwenden. So entsteht ein belastbarer Lebenszyklus vom ersten Bedarf über Beschaffung und Betrieb bis zur Abschaltung eines Systems.

Zum Nachweis gehört schließlich eine kurze, belastbare Entscheidungsakte. Sie sollte festhalten, welcher Zweck verfolgt wird, welche Daten betroffen sind, wer beteiligt ist und welche Schutzmaßnahmen gewählt wurden. Bei Änderungen wird nicht die gesamte Dokumentation neu geschrieben, sondern nachvollziehbar ergänzt. So bleibt sichtbar, warum eine Entscheidung zu einem bestimmten Zeitpunkt vertretbar erschien. Das ist besonders bei schnelllebigen KI- und Cloud-Projekten wichtig, weil technische Funktionen und Vertragsbedingungen sich ändern können. Ein solcher Nachweis hilft zugleich bei internen Audits, bei Übergaben an neue Verantwortliche und bei Rückfragen der Aufsicht.

Datenschutz Prinz kann Unternehmen dabei begleiten, technische Projekte von Beginn an datenschutzgerecht zu strukturieren. Dazu gehören Datenflussanalysen, Prüfung von Rollen und Dienstleistern, TOM-Bewertungen, Datenschutz-Folgenabschätzungen sowie die Abstimmung mit IT und Informationssicherheit. Ziel ist eine integrierte Betrachtung statt getrennter Prüfpfade.

Der Tätigkeitsbericht zeigt, dass moderne Datenschutzarbeit technisch und organisatorisch zugleich ist. KI, Cloud, Sicherheit und Datenschutz lassen sich nicht sinnvoll voneinander trennen. Unternehmen profitieren deshalb von einem strukturierten Freigabe- und Änderungsprozess, in dem Recht, Technik und Organisation gemeinsam betrachtet werden.