Verarbeitungstätigkeiten

Typische HR-Anwendungsfälle zeigen: Die rechtliche Einordnung künstlicher Intelligenz (KI) im Personalwesen hängt von den Funktionen einer KI-Anwendung ab. Datenschutzbeauftragte (DSB) müssen KI-Anwendungen künftig häufiger gemeinsam mit HR, Compliance, Betriebsräten und dem Arbeitsschutz bewerten.

In einem Seminar für Datenschutzbeauftragte ging es um Auftragsverarbeitungsverträge und, anhand von Klauseln aus echten Verträgen, deren Anforderungen. Bei denen haben sich sicher schon einige Datenschutzbeauftragte den Kopf zerbrochen, wie sich das alles realistisch und ohne Gewaltanwendung erfüllen lässt.

Monitoring im Netzwerk, in der Cloud und auf Endgeräten gehört zu den zentralen IT-Sicherheits-Maßnahmen. Unternehmen dürfen es aber nicht übertreiben: Der Datenschutz verlangt eine klare Beschränkung und eine Information der Betroffenen, damit das Monitoring nicht zur Spionage wird.

Wer etwa mit Aufträgen der Bundeswehr wirtschaftlich an der „Zeitenwende“ teilhaben will, muss die Daten von Beschäftigten und Bewerbern mit den Sanktionslisten der EU abgleichen. Dabei ergeben sich Herausforderungen für den Datenschutz.

Unternehmen pflegen dieselben Informationen häufig mehrfach: im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, im IT-Asset-Inventar und künftig zusätzlich in Übersichten zu eingesetzten KI-Systemen. Für Datenschutzbeauftragte bedeutet das vor allem eines: hoher Abstimmungsaufwand und die Gefahr widersprüchlicher Dokumentationen. Ein gemeinsames Inventar kann Doppelarbeit vermeiden, ohne die unterschiedlichen rechtlichen Anforderungen zu vermischen.

Ein gemeinsames Inventar für Verarbeitungstätigkeiten, IT-Assets und KI-Systeme reduziert Doppelarbeit und widersprüchliche Dokumentationen – unsere Checkliste zeigt, wie sich die unterschiedlichen Anforderungen sinnvoll zusammenführen lassen.

Lange Verträge, aber wenig Zeit: KI kann Datenschutzbeauftragte bei der Prüfung erheblich entlasten. Aber nur, wenn man sie richtig verwendet: fünf Grundregeln für den sicheren, smarten Einsatz.

Chinas Datenschutzrecht besteht aus einer Troika von Gesetzen: Cybersecurity Law (CSL), Data Security Law (DSL) und Personal Information Protection Law (PIPL). Diese Gesetze sehen einen sog. Datenlokalisierungsgrundsatz vor, d.h. ein Datentransfer aus China in Drittländer unterliegt Beschränkungen (Art. 39 CSL, Art. 31 DSL, Art. 38 PIPL).

Beim Datentransfer in Drittstaaten geraten zwei Aspekte leicht aus dem Blick: Erstens fließen Daten innerhalb von Unternehmens­gruppen regelmäßig in beide Richtungen, zweitens haben auch Drittstaaten Vorschriften für grenzüberschreitende Datenübertragungen.

Lange Vertragstexte zu prüfen, kostet viel Zeit. Richtig eingesetzt, unterstützt KI die Vertragsprüfung effizient und zuverlässig. Damit Datenschutz und Qualität gewährleistet bleiben, zeigt unsere Checkliste die wichtigsten Punkte auf einen Blick.