Ein Inventar statt drei Listen

Das Verzeichnis von Verarbeitungstätigkeiten gehört zu den zentralen Nachweisdokumenten der DSGVO. Viele Unternehmen verfügen inzwischen über gut gepflegte Verzeichnisse mit Informationen zu Verarbeitungsvorgängen, eingesetzten Anwendungen, Dienstleistern und Datenflüssen. Gleichzeitig entstehen durch neue regulatorische Anforderungen weitere Dokumentationen, etwa im Rahmen von NIS-2 oder künftig des EU AI Act.

In der Praxis werden diese Verzeichnisse häufig unabhängig voneinander aufgebaut. Zuständig sind unterschiedliche Bereiche, etwa Datenschutz, Informationssicherheit oder eine KI-Governance. Obwohl sich zahlreiche Angaben überschneiden, werden dieselben Informationen mehrfach erhoben und gepflegt. Ändert sich beispielsweise der Betreiber eines Cloud-Dienstes oder der Speicherort einer Anwendung, müssen mehrere Dokumentationen angepasst werden. Erfolgt die Aktualisierung nicht überall gleichzeitig, entstehen Inkonsistenzen, die spätestens bei Audits oder Sicherheitsvorfällen sichtbar werden.

Gerade Datenschutzbeauftragte erleben diese Situation regelmäßig. Zwar führen sie das Verzeichnis von Verarbeitungstätigkeiten rechtlich nicht selbst, begleiten dessen Erstellung aber häufig fachlich und werden bei Änderungen früh eingebunden. Dadurch fällt schnell auf, wenn dieselben Informationen an mehreren Stellen mit unterschiedlichem Detaillierungsgrad dokumentiert werden.

Ausgangspunkt bleibt das Verzeichnis nach Art. 30 DSGVO

Für Datenschutzbeauftragte bietet sich das bestehende Verzeichnis von Verarbeitungstätigkeiten als Ausgangspunkt an. Es enthält bereits viele Informationen, die auch außerhalb der DSGVO benötigt werden. Dazu gehören beispielsweise Angaben zu eingesetzten Anwendungen, Dienstleistern, Datenkategorien, Empfängern oder internationalen Datenübermittlungen.

Weitere Regelwerke bauen häufig auf denselben Informationen auf, verfolgen jedoch andere Schutzziele. NIS-2 richtet den Blick vor allem auf die Sicherheit und Resilienz wesentlicher Einrichtungen. Der EU AI Act ergänzt Anforderungen an den Einsatz von KI-Systemen. Die zugrunde liegenden Stammdaten bleiben jedoch häufig identisch.

Statt mehrere voneinander unabhängige Listen zu pflegen, kann daher ein gemeinsames Inventar aufgebaut werden. Dabei werden Systeme, Anwendungen oder Dienstleister nur einmal erfasst. Ergänzend werden die jeweils erforderlichen Angaben für die einschlägigen Regelwerke hinterlegt. So lassen sich Doppelarbeit und unterschiedliche Datenstände vermeiden, ohne die rechtlichen Anforderungen zu vermischen.

Ein gemeinsames Inventar bündelt die gemeinsamen Stammdaten und ergänzt diese um die jeweils regulatorisch erforderlichen Angaben. Die fachliche Bewertung erfolgt weiterhin getrennt nach DSGVO, NIS-2 und EU AI Act.

Ein gemeinsames Inventar bedeutet allerdings nicht, dass DSGVO, NIS-2 und EU AI Act zu einem einheitlichen Regelwerk verschmelzen. Jedes dieser Regelwerke verfolgt eigene Ziele und stellt unterschiedliche Anforderungen. Die DSGVO schützt die Rechte und Freiheiten natürlicher Personen. NIS-2 dient dem Schutz der Informationssicherheit und der Widerstandsfähigkeit kritischer Einrichtungen. Der EU AI Act regelt den sicheren Einsatz von Systemen künstlicher Intelligenz. Deshalb müssen die jeweiligen Bewertungen weiterhin getrennt erfolgen, auch wenn sie auf identischen Stammdaten basieren.

Typische Fallstricke

Ein gemeinsames Inventar vereinfacht die Dokumentation, ersetzt aber nicht die regulatorische Bewertung. Datenschutzbeauftragte sollten deshalb insbesondere auf drei Punkte achten. Erstens verfolgen die einzelnen Regelwerke unterschiedliche Schutzziele. Die DSGVO bewertet Risiken für die Rechte und Freiheiten natürlicher Personen. NIS-2 richtet den Blick auf die Verfügbarkeit und Widerstandsfähigkeit von IT-Systemen. Ein System kann daher datenschutzrechtlich unkritisch, aus Sicht der Informationssicherheit aber von hoher Relevanz sein. Die jeweiligen Bewertungen sollten deshalb getrennt dokumentiert werden.

Zweitens lassen sich KI-Systeme nicht immer eindeutig einer einzelnen Verarbeitungstätigkeit zuordnen. Ein Sprachmodell kann beispielsweise gleichzeitig im Kundenservice, im Personalwesen und im Wissensmanagement eingesetzt werden. Die Verarbeitungstätigkeiten unterscheiden sich, das eingesetzte System bleibt jedoch dasselbe. Das Inventar sollte diese Zusammenhänge nachvollziehbar abbilden.

Drittens sollte vermieden werden, neue Dokumentationsstrukturen aufzubauen, obwohl die erforderlichen Informationen bereits vorhanden sind. Häufig enthalten das Verzeichnis von Verarbeitungstätigkeiten, Vertragsunterlagen oder Dokumentationen der Informationssicherheit bereits einen Großteil der benötigten Angaben. Der Mehrwert liegt deshalb meist nicht in neuen Listen, sondern in einer besseren Verknüpfung bestehender Informationen.

Das Brain-Media Audit Model (BAM) setzt den „Collect Once, Comply Many“-Ansatz praktisch um. Ein gemeinsamer Datenbestand bildet die Grundlage für Dokumentations- und Nachweispflichten aus DSGVO, NIS-2, /IEC 27001 und dem EU AI Act. Darauf aufbauend werden Controls dokumentiert, der Umsetzungsstand bewertet und Maßnahmen priorisiert.

Handlungsempfehlungen für Datenschutzbeauftragte

Der Einstieg gelingt häufig einfacher als erwartet. In den meisten Unternehmen existieren bereits belastbare Informationen, die sich weiterverwenden lassen. Beginnen Sie mit einer Bestandsaufnahme des Verzeichnisses von Verarbeitungstätigkeiten. Prüfen Sie anschließend gemeinsam mit Informationssicherheit und den verantwortlichen Fachbereichen, welche Systeme, Anwendungen oder Dienstleister bereits an anderer Stelle dokumentiert sind. Daraus lässt sich schrittweise ein gemeinsamer Datenbestand entwickeln, ohne bestehende Prozesse vollständig neu aufzusetzen.

Ebenso wichtig sind klare Verantwortlichkeiten. Nicht jede Organisationseinheit muss dieselben Informationen pflegen. Sinnvoll ist vielmehr, jedem Datenfeld einen eindeutigen Verantwortlichen zuzuordnen. Änderungen werden dadurch nur einmal vorgenommen und stehen anschließend allen beteiligten Bereichen zur Verfügung.

Methodische Ansätze wie das Brain-Media Audit Model (BAM) und seine Open-Source-Implementierung BAM Core leisten dabei einen bedeutenden Beitrag. Sie helfen zunächst bei der Einordnung, welche regulatorischen Anforderungen überhaupt relevant sind. Anschließend werden die erforderlichen Controls dokumentiert, der Umsetzungsstand bewertet und daraus priorisierte Maßnahmen abgeleitet. Für Datenschutzbeauftragte entsteht so ein strukturierter Überblick über den datenschutzrechtlichen Reifegrad und die nächsten Handlungsschritte.

Fazit

Die Zahl regulatorischer Anforderungen wächst stetig. Gleichzeitig überschneiden sich viele der dafür benötigten Informationen. Für Datenschutzbeauftragte bietet sich deshalb die Chance, bestehende Dokumentationen stärker miteinander zu verzahnen, statt weitere Einzelverzeichnisse aufzubauen.

Ausgangspunkt sollte dabei stets das Verzeichnis von Verarbeitungstätigkeiten sein. Es enthält bereits zahlreiche Informationen, die auch für NIS-2 oder den EU AI Act benötigt werden. Ein gemeinsames Inventar ersetzt weder die unterschiedlichen rechtlichen Bewertungen noch die jeweiligen Zuständigkeiten. Es schafft jedoch eine einheitliche Datenbasis, reduziert Doppelarbeit und erleichtert die Zusammenarbeit zwischen Datenschutz, Informationssicherheit und KI-Governance.

Weblinks

• Brain Media Audit-Modell: https://brain-media.de/executable_compliance.html
• BAM Core Open Source: https://github.com/BrainMediaDe/brain-media-audit-model

Dr. Holger Reibold