Werkzeuge

Verzeichnis je Organisation nach Art. 30 Abs. 1 oder 2: Zwecke, Rechtsgrundlagen, Betroffene, Datenkategorien, Empfänger, Drittländer, Löschfristen, TOM. Vollständigkeitsprüfung je Buchstabe, Übernahme von DSFA-Schwellwertanalyse und Drittlandprüfung, Druckfassung für die Aufsichtsbehörde.

• Art. 30 DSGVO In den Normen öffnen
• Art. 5 Abs. 2 DSGVO In den Normen öffnen

Vollständige DSFA nach Art. 35 Abs. 7: Beschreibung, Notwendigkeit, fünf Risikoquellen vor und nach Abhilfemaßnahmen in der Risikomatrix, Rat des DSB, Freigabe oder vorherige Konsultation nach Art. 36 mit Frist für die Stellungnahme. Druckfassung als Bericht.

• Art. 35 DSGVO In den Normen öffnen
• Art. 36 DSGVO In den Normen öffnen

Ist eine Datenschutz-Folgenabschätzung erforderlich? Prüfung der Regelbeispiele des Art. 35 Abs. 3, der DSK-Muss-Liste und der neun Kriterien aus WP 248.

• Art. 35 Abs. 3 DSGVO In den Normen öffnen
• Art. 35 Abs. 4 DSGVO In den Normen öffnen
• WP29 WP 248 rev. 01

Trägt Art. 6 Abs. 1 lit. f DSGVO? Dreistufige Prüfung nach den EDSA-Leitlinien 1/2024: berechtigtes Interesse, Erforderlichkeit und eine gewichtete Abwägung mit Kindern, Art.-9-Daten, Erwartungen und Schutzmaßnahmen.

• Art. 6 Abs. 1 lit. f DSGVO In den Normen öffnen
• EDPB Leitlinien 1/2024

Braucht die Website eine Einwilligung nach § 25 TDDDG, und ist das Banner wirksam? Blockieren vor der Zustimmung, Ablehnen auf der ersten Ebene, keine Vorauswahl, Information, Widerruf, Nachweis und Drittlandübermittlung. Jeder Mangel mit Abhilfe.

• § 25 TDDDG In den Normen öffnen
• Art. 7 DSGVO In den Normen öffnen

Ist die Übermittlung außerhalb des EWR zulässig? Prüfung in der Reihenfolge von Kapitel V: Angemessenheitsbeschluss und Data Privacy Framework, Standardvertragsklauseln oder BCR mit Transfer Impact Assessment und ergänzenden Maßnahmen, Ausnahmen nach Art. 49.

• Art. 44–49 DSGVO In den Normen öffnen
• EuGH C-311/18 (Schrems II)

72-Stunden-Uhr ab Kenntnis, Risikobewertung (Meldung an die Behörde? Benachrichtigung der Betroffenen?), Inhalt nach Art. 33 Abs. 3, Status von der Erfassung bis zum Abschluss und Dokumentation nach Art. 33 Abs. 5.

• Art. 33 DSGVO In den Normen öffnen
• Art. 34 DSGVO In den Normen öffnen

Anträge nach Art. 15 bis 22 verfolgen: Monatsfrist ab Eingang mit Verlängerung um zwei Monate, Identitätsprüfung, Prüfliste je Recht, Ablehnung mit Begründung und Register aller Anträge.

• Art. 12 DSGVO In den Normen öffnen
• Art. 15–22 DSGVO In den Normen öffnen

Register der Auftragsverarbeiter mit Prüfliste nach Art. 28 Abs. 3 Satz 1 und lit. a bis h, Unterauftragsverarbeitern, Nachweis hinreichender Garantien und Wiedervorlage.

• Art. 28 DSGVO In den Normen öffnen
• EDPB Leitlinien 07/2020

Maßnahmen je System nach den sieben Gewährleistungszielen des Standard-Datenschutzmodells, mit Schutzbedarf, Prüfung gegen Art. 32 Abs. 1 lit. a bis d und Wiedervorlage der Wirksamkeitsprüfung.

• Art. 32 DSGVO In den Normen öffnen
• DSK Standard-Datenschutzmodell

Aufbewahrungsfristen je Datenart mit gesetzlicher Grundlage (HGB, AO, EStG, AGG), Fristbeginn, Löschregel und Löschläufen als Fristen; prüft zu kurze und zu lange Fristen.

• Art. 5 Abs. 1 lit. e DSGVO In den Normen öffnen
• Art. 17 DSGVO In den Normen öffnen
• § 35 BDSG In den Normen öffnen

Datenschutzschulungen mit Themen, Zielgruppe, Teilnahme und Nachweis; die Wiederholung erscheint als Frist.

• Art. 39 Abs. 1 lit. b DSGVO In den Normen öffnen
• Art. 32 Abs. 4 DSGVO In den Normen öffnen

In welche Risikoklasse der KI-Verordnung fällt ein KI-System? Entscheidungsbaum von Art. 5 über Anhang I und III und die Ausnahme des Art. 6 Abs. 3 bis Art. 50, mit Pflichten und Geltungsdatum nach der Omnibus-Verordnung 2026/1744.

• Art. 5 KI-VO In den Normen öffnen
• Art. 6 KI-VO In den Normen öffnen
• Anhang III KI-VO In den Normen öffnen
• Art. 50 KI-VO In den Normen öffnen
• Art. 113 KI-VO In den Normen öffnen

Welche Hinweise verlangt Art. 50 KI-VO? Chatbot-Hinweis und Kennzeichnung synthetischer Inhalte für Anbieter, Offenlegung von Emotionserkennung, Deepfakes und KI-Texten für Betreiber, mit den Ausnahmen und Fristen.

• Art. 50 Abs. 1–5 KI-VO In den Normen öffnen
• Verordnung (EU) 2026/1744 KI-VO

Prüfliste für Betreiber von Hochrisiko-KI-Systemen: Betriebsanleitung, menschliche Aufsicht, Eingabedaten, Überwachung, Protokolle, Information von Beschäftigten und Betroffenen, DSFA, Grundrechte-Folgenabschätzung. Jede Lücke mit Abhilfe.

• Art. 26 KI-VO In den Normen öffnen
• Art. 4, 27, 86 KI-VO In den Normen öffnen

Was verlangt die DSGVO, wenn ein KI-System personenbezogene Daten verarbeitet? Rechtsgrundlage je Phase, Art.-9-Daten, automatisierte Entscheidungen, Datenminimierung, Richtigkeit, Transparenz, Betroffenenrechte, DSFA, Auftragsverarbeitung und Drittlandbezug.

• Art. 5, 6, 22, 35 DSGVO In den Normen öffnen
• EDPB Stellungnahme 28/2024

Ist die technische Dokumentation eines Hochrisiko-KI-Systems vollständig? Die neun Abschnitte des Anhangs IV, laufende Aktualisierung und zehnjährige Aufbewahrung, mit Abhilfe für jeden fehlenden Teil und dem Hinweis auf die vereinfachte Form für KMU.

• Art. 11 KI-VO In den Normen öffnen
• Anhang IV KI-VO In den Normen öffnen

Entwurf einer internen Richtlinie für generative KI aus zwölf Entscheidungen: freigegebene Werkzeuge, private Konten, personenbezogene und vertrauliche Daten, Prüfung, Kennzeichnung, Code, Entscheidungen über Personen, Schulung, Zuständigkeit, Vorfälle, Betriebsrat. Riskante Entscheidungen werden markiert.

• Art. 4 KI-VO In den Normen öffnen
• Art. 5, 22, 28 DSGVO In den Normen öffnen
• § 87 Abs. 1 Nr. 6 BetrVG

Lückenanalyse gegen ISO/IEC 42001: Kontext, Führung, Planung, die Maßnahmenbereiche des Anhangs A und Verbesserung; jede Lücke mit Bezug zu den Pflichten der KI-Verordnung.

• Kap. 4–10 ISO 42001
• Anhang A ISO 42001

Inventar der KI-Systeme: Zweck, Rolle (Anbieter/Betreiber), Modell, Datenkategorien, Risikoklasse mit übernommener Risikoklassifizierung, Verantwortliche und Wiedervorlage. Mit Pflichtenübersicht, Verlauf, CSV-Export und Druckfassung.

• Art. 3 KI-VO In den Normen öffnen
• Art. 6 KI-VO In den Normen öffnen
• Art. 26 KI-VO In den Normen öffnen

Maßnahmen zur KI-Kompetenz je Rolle: genutzte Systeme, Vorkenntnisse, Einsatzkontext, Inhalte, Nachweis und Auffrischung als Frist; strengere Prüfung für die menschliche Aufsicht nach Art. 26 Abs. 2.

• Art. 4 KI-VO In den Normen öffnen
• Art. 26 Abs. 2 KI-VO In den Normen öffnen

Schwerwiegende Vorfälle mit Hochrisiko-KI-Systemen: Einordnung nach Art. 3 Nr. 49, Meldefrist von 15, 10 oder 2 Tagen ab Kenntnis, Information des Anbieters durch Betreiber, Untersuchung und Hinweis auf eine parallele Datenpanne.

• Art. 73 KI-VO In den Normen öffnen
• Art. 26 Abs. 5 KI-VO In den Normen öffnen

Abschätzung nach Art. 27 für öffentliche Stellen, private Stellen mit öffentlichen Aufgaben sowie Kredit- und Versicherungsbetreiber: Anwendbarkeit, Elemente lit. a bis f, berührte Grundrechte, Verweis auf die DSFA, Mitteilung an die Marktüberwachungsbehörde und erste Verwendung als Frist.

• Art. 27 KI-VO In den Normen öffnen
• Anhang III Nr. 5 KI-VO In den Normen öffnen

Audits planen und verfolgen: Gegenstand, Kriterien (DSGVO, BDSG, KI-VO, ISO 27001, ISO 42001, TISAX), unabhängige Auditoren, Methoden und Termine; Prüfkatalog, Feststellungen und Bericht verknüpfen sich mit dem Audit.

• Kap. 9.2 ISO 27001
• Kap. 9.2 ISO 42001

Prüfthemen je Audit mit Fragensätzen für DSGVO, TOM, Betroffenenrechte, Auftragsverarbeitung, Datenpannen, KI-VO, ISMS und AIMS sowie Stichproben, Interviewnotizen, Nachweisen und Ergebnis.

• Kap. 9.2 ISO 27001
• Art. 39 Abs. 1 lit. b DSGVO In den Normen öffnen

Wesentliche und geringfügige Abweichungen, Verbesserungspotenzial und positive Feststellungen mit Nachweis, Ursache, Korrekturmaßnahme, Frist und Wirksamkeitsprüfung.

• Kap. 10.2 ISO 27001
• Kap. 10.2 ISO 42001

Bericht je Audit mit Zusammenfassung, Gesamturteil, Stärken und Empfehlungen; Audit, Prüfkatalog und Feststellungen werden angefügt und mitgedruckt.

• Kap. 9.2.2 ISO 27001
• Kap. 9.2 ISO 42001

Quellcode im Browser auf Geheimnisse, personenbezogene Muster, Aufrufe externer KI-Dienste und Tracker prüfen; Befundliste mit maskierten Auszügen für den DSB, als CSV exportierbar. Nichts wird hochgeladen.

• Art. 25 DSGVO In den Normen öffnen
• Art. 32 DSGVO In den Normen öffnen

Prompt-Sätze zu Injection, Datenabfluss, Diskriminierung und Missbrauch sowie Kontrollfragen gegen einen Chatbot prüfen, per eingefügter Antworten oder direkt gegen einen OpenAI-kompatiblen Endpunkt; Verweigerungs-, Leck- und Überverweigerungsrate als Nachweis im Risikomanagement.

• Art. 9 KI-VO In den Normen öffnen
• Art. 15 KI-VO In den Normen öffnen