Das Verzeichnis von Verarbeitungstätigkeiten ist die Liste aller Verarbeitungen personenbezogener Daten in Ihrem Haus, geführt vom Verantwortlichen, vorzulegen auf Verlangen der Aufsichtsbehörde. Art. 30 DSGVO schreibt vor, was darin stehen muss. Sobald Ihr Team ein KI-Tool mit Personenbezug nutzt, ist das eine Verarbeitungstätigkeit wie jede andere und gehört ins Verzeichnis.
In der Praxis fehlt genau dieser Eintrag fast überall. Das Verzeichnis wurde 2018 einmal angelegt, seitdem hat sich die IT dreimal verändert, und Copilot läuft seit einem Jahr in Word und Outlook, ohne dass es irgendwo dokumentiert wäre. Das ist kein Randproblem: Ein fehlender oder unvollständiger Eintrag ist ein eigenständiger Verstoß, unabhängig davon, ob die KI-Nutzung selbst rechtmäßig ist. Und es ist meistens das Erste, was eine Aufsichtsbehörde anfordert, weil es der billigste Prüfpunkt überhaupt ist.
Dieser Beitrag zeigt, was Art. 30 fordert, wann Sie überhaupt betroffen sind und wie ein KI-Eintrag aussieht, den Sie in einer Stunde schreiben können.
Was verlangt Art. 30 DSGVO genau?
Art. 30 Abs. 1 DSGVO listet die Pflichtangaben für Verantwortliche auf. Für jede Verarbeitungstätigkeit brauchen Sie:
- Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Vertreters und des Datenschutzbeauftragten
- Zwecke der Verarbeitung
- Kategorien betroffener Personen und Kategorien personenbezogener Daten
- Kategorien von Empfängern, gegenüber denen die Daten offengelegt wurden oder werden, einschließlich Empfängern in Drittländern
- Übermittlungen in Drittländer, mit Angabe des Landes und der Dokumentation geeigneter Garantien
- Vorgesehene Löschfristen für die verschiedenen Datenkategorien, wenn möglich
- Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1
Das Verzeichnis ist schriftlich zu führen, elektronisch reicht. Eine Excel-Tabelle erfüllt die Anforderung, wenn der Inhalt stimmt. Sie müssen es nicht veröffentlichen und nicht einreichen, sondern der Aufsichtsbehörde auf Anfrage zur Verfügung stellen.
Wichtig für das Verständnis: Das Verzeichnis dokumentiert, was Sie tun. Es rechtfertigt nicht, dass Sie es tun dürfen. Rechtsgrundlage, AVV und gegebenenfalls DSFA sind separate Pflichten. Ein sauberer Eintrag über eine rechtswidrige Verarbeitung macht die Verarbeitung nicht rechtmäßig, er dokumentiert sie nur besser.
Gilt die Pflicht auch für kleine Kanzleien?
Fast immer ja, und der Grund überrascht viele.
Art. 30 Abs. 5 enthält eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten. Diese Ausnahme entfällt aber, sobald eine der folgenden Bedingungen erfüllt ist:
- Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, oder
- die Verarbeitung erfolgt nicht nur gelegentlich, oder
- es werden besondere Kategorien von Daten nach Art. 9 oder Daten über strafrechtliche Verurteilungen nach Art. 10 verarbeitet.
Die zweite Bedingung erledigt die Ausnahme für praktisch jeden Betrieb. Personalverwaltung ist nicht gelegentlich. Kundenverwaltung ist nicht gelegentlich. Ein KI-Assistent, den Ihr Team täglich in Outlook benutzt, ist erst recht nicht gelegentlich. Die Ausnahme greift nur bei wirklich punktuellen Verarbeitungen, etwa einer einmaligen Aktion ohne Wiederholung.
Für Kanzleien, Steuerberater und Finanzdienstleister kommt hinzu, dass Sie regelmäßig mit Daten arbeiten, deren Offenlegung erheblichen Schaden anrichten kann. Die Diskussion, ob die 250er-Grenze gilt, lohnt sich einfach nicht. Führen Sie das Verzeichnis.
Wie sieht ein Eintrag für ein KI-Tool aus?
Hier ist die Struktur eines Eintrags für einen KI-Assistenten im Büroalltag. Die Klammern zeigen, was Sie durch Ihre eigenen Angaben ersetzen.
Bezeichnung der Verarbeitungstätigkeit: Einsatz eines KI-Assistenten zur Text- und Dokumentenbearbeitung (Produktname, Tarif, zum Beispiel Microsoft 365 Copilot im Business-Tarif).
Zweck: Unterstützung bei Entwurf, Zusammenfassung, Übersetzung und Recherche in der internen Sachbearbeitung. Zwecke bitte konkret benennen. “Effizienzsteigerung” ist kein Zweck im Sinne der DSGVO, “Erstellung von Entwürfen für Mandantenkorrespondenz” schon.
Rechtsgrundlage: je nach Fall Art. 6 Abs. 1 lit. b (Vertragserfüllung), lit. c (rechtliche Verpflichtung) oder lit. f (berechtigtes Interesse mit dokumentierter Abwägung). Art. 30 verlangt die Rechtsgrundlage nicht ausdrücklich, aber jedes brauchbare Verzeichnis führt sie mit, weil die Behörde ohnehin danach fragt. Welche Grundlage wann passt, habe ich in den fünf Fragen vor der Verarbeitung personenbezogener Daten mit KI ausgeführt.
Kategorien betroffener Personen: Mandanten und deren Angehörige, Beschäftigte, Ansprechpartner bei Geschäftspartnern, Dritte, die in bearbeiteten Dokumenten genannt werden. Die letzte Gruppe wird oft vergessen und ist bei Kanzleien die größte.
Kategorien personenbezogener Daten: Stammdaten, Kontaktdaten, Vertrags- und Abrechnungsdaten, Inhalte der Korrespondenz, gegebenenfalls Gesundheits- oder andere Art.-9-Daten, wenn solche in bearbeiteten Dokumenten vorkommen.
Kategorien von Empfängern: der KI-Anbieter als Auftragsverarbeiter, dessen Unterauftragsverarbeiter (die Liste steht im AVV und ändert sich, also mit Datum des Standes vermerken), gegebenenfalls Ihr IT-Dienstleister.
Drittlandübermittlung: Ja oder Nein, und wenn ja: Zielland, Rechtsgrundlage der Übermittlung (Angemessenheitsbeschluss, Standardvertragsklauseln), Fundstelle der Dokumentation. Wenn Sie eine EU-Region gebucht haben, gehört das hier hinein, samt der Einschränkung, dass Support- oder Missbrauchsprüfung trotzdem außerhalb stattfinden kann. Die Prüfschritte dazu stehen in meinem Beitrag zum Datenstandort bei Cloud-KI.
Löschfristen: Aufbewahrungsdauer von Chatverläufen und Prompt-Historie beim Anbieter (steht in der Dokumentation des Tarifs), Löschfristen für Ergebnisse, die Sie in Ihre Akten übernehmen. Wenn Sie den Wert nicht kennen, ist das ein Befund, kein Grund, das Feld leer zu lassen.
Technische und organisatorische Maßnahmen: Zugriffssteuerung und Rollenkonzept, Verschlüsselung in Übertragung und Speicherung, Berechtigungen auf den Datenquellen, aus denen die KI liest, Protokollierung, Nutzungsrichtlinie und Schulung, Deaktivierung der Nutzung von Eingaben zum Modelltraining.
Der letzte Punkt verdient eine Bemerkung. Bei KI-Assistenten, die auf Ihre bestehenden Ablagen zugreifen, sind die Berechtigungen auf diesen Ablagen selbst eine technische Maßnahme im Sinne von Art. 32. Wer schlecht gepflegte SharePoint-Freigaben hat, hat mit Copilot ein Oversharing-Problem, und das gehört ehrlich in die Beschreibung der Maßnahmen, solange es nicht behoben ist.
Ein Eintrag oder mehrere?
Faustregel: ein Eintrag pro Zweck, nicht pro Tool.
Wenn Sie denselben KI-Assistenten für Mandantenkorrespondenz und für interne Personalthemen einsetzen, sind das zwei Verarbeitungstätigkeiten mit unterschiedlichen betroffenen Personen, unterschiedlichen Rechtsgrundlagen und unterschiedlichen Löschfristen. Zwei Einträge sind dann klarer als einer mit vielen Wenn-dann-Klauseln.
Umgekehrt brauchen Sie keinen eigenen Eintrag für jedes Feature. Copilot in Word und Copilot in Outlook innerhalb desselben Zwecks ist eine Verarbeitungstätigkeit.
Und eine dritte Variante ist oft die schnellste: Wenn Sie bereits einen Eintrag “Mandantenverwaltung” haben und KI nur ein neues Verarbeitungsmittel innerhalb dieses Zwecks ist, ergänzen Sie den bestehenden Eintrag um Empfänger, Drittlandangabe und Maßnahmen. Wichtig ist nur, dass die KI-Verarbeitung sichtbar wird und nicht zwischen den Zeilen verschwindet.
Was Art. 30 nicht abdeckt
Das Verzeichnis ist eine von mehreren Dokumentationspflichten, und die anderen erledigt es nicht mit.
Die DSFA. Bei voraussichtlich hohem Risiko brauchen Sie zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35. Das Verzeichnis ersetzt sie nicht, aber es liefert die halbe Vorarbeit, weil Zwecke, Datenkategorien und Empfänger dort schon stehen. Der Ablauf steht in meiner DSFA-Anleitung für KI-Tools.
Der AVV. Der Auftragsverarbeitungsvertrag nach Art. 28 ist ein Vertrag mit dem Anbieter, kein Verzeichniseintrag. Das Verzeichnis nennt den Anbieter als Empfänger, der AVV regelt die Bedingungen.
Der Kompetenznachweis nach dem EU AI Act. Art. 4 der KI-Verordnung verlangt, dass Beschäftigte, die KI-Systeme einsetzen, über ausreichende KI-Kompetenz verfügen. Das ist eine eigene Pflicht mit eigener Nachweisführung, mehr dazu in meinem Beitrag zur KI-Kompetenzpflicht.
Die interne Regel. Das Verzeichnis beschreibt, was passiert. Es sagt Ihren Mitarbeitern nicht, was erlaubt ist. Dafür brauchen Sie eine KI-Nutzungsrichtlinie, und in Betrieben mit Betriebsrat gegebenenfalls eine Betriebsvereinbarung.
Die drei häufigsten Fehler
Fehler 1: Das Verzeichnis kennt nur die Tools, die die IT eingekauft hat. Wenn drei Mitarbeiter privat ChatGPT für dienstliche Texte nutzen, findet eine Verarbeitung statt, die im Verzeichnis fehlt und für die kein AVV existiert. Bevor Sie dokumentieren, sollten Sie wissen, was tatsächlich läuft. Wie man das herausfindet, steht in meinem Beitrag zu Schatten-KI im Unternehmen.
Fehler 2: Der Eintrag beschreibt den Wunschzustand. Ich sehe Verzeichnisse, in denen unter Maßnahmen ein Rollen- und Berechtigungskonzept steht, das es nicht gibt. Das ist schlechter als eine Lücke, weil es im Prüfungsfall wie eine Falschangabe aussieht. Schreiben Sie den Ist-Zustand und führen Sie offene Punkte separat als Maßnahmenliste mit Datum.
Fehler 3: Einmal geschrieben, nie wieder angefasst. KI-Anbieter ändern Unterauftragsverarbeiter, Regionen und Aufbewahrungsfristen häufiger als klassische Software-Anbieter. Ein fester Termin, an dem Sie die KI-Einträge gegen die aktuelle Anbieterdokumentation prüfen, ist der einzige Weg, das Verzeichnis aktuell zu halten. Zweimal im Jahr reicht in den meisten Häusern, bei größeren Änderungen früher.
Der nächste Schritt
Nehmen Sie sich Ihr bestehendes Verzeichnis vor und prüfen Sie eine einzige Frage: Taucht irgendwo ein KI-Tool auf? Wenn nein, ist der Eintrag oben Ihre Vorlage, und Sie brauchen dafür weder Kanzleibudget noch ein Projekt, sondern eine Stunde und die Anbieterdokumentation.
Wenn Sie wissen wollen, welche Dokumentationspflichten bei Ihnen sonst noch offen sind, machen Sie meinen kostenlosen KI-Compliance-Check. Dauert 2 Minuten und zeigt Ihnen, wo die Lücken zwischen Nutzung und Nachweis liegen.
Jose Lugo ist CISSP-zertifizierter KI-Compliance-Berater. Er berät Kanzleien, Steuerberater und Finanzdienstleister in Deutschland bei der DSGVO-konformen Einführung von KI-Tools.