DAX-DSP-001 Datenschutz Rechtsgrundlagenrisiko RAG und Wissenssysteme Kritisch medium

Unbestimmte Rechtsgrundlage bei der Klassifizierung personenbezogener Daten für RAG- und Wissenssysteme

Bereits in der Planungs- und Klassifizierungsphase von KI-Anwendungen besteht ein Risiko, dass für die beabsichtigte Nutzung personenbezogener Daten im Kontext von RAG- und Wissenssystemen keine klare Rechtsgrundlage oder keine ausreichende Zweckbindung definiert und dokumentiert wird. Dies gefährdet die Einhaltung der DSGVO und führt zu Haftungs- und Sanktionsrisiken.

Kontext

Branche: Branchenübergreifend
Prozess: Planung und Klassifizierung
Schutzgut: Rechtmäßigkeit Transparenz

Ursachen

Fehlende Einbindung der Datenschutzbeauftragten
keine Definition von Nutzungs- und Speicherzwecken
mangelnde Transparenz bei der Klassifizierung von Datenarten und -flüssen.

Auswirkungen

Illegale Verarbeitung personenbezogener Daten
Verstöße gegen die DSGVO
Reputations- und Haftungsschäden
massive Strafzahlungen.

Praxisbeispiel

Ein Wissenssystem wird mit Nutzeranfragen (inklusive personenbezogener Daten) trainiert
ohne dass eine spezifische Rechtsgrundlage nach Art. 6 DSGVO festgelegt wurde; die Datenklassifizierung bleibt vage.

Stakeholder

Datenschutzbeauftragte
KI-Produktmanager
IT/Security
Rechtsabteilung

Maßnahmen

Noch nicht hinterlegt.

Präventive Maßnahmen

Frühzeitige Einbindung der Datenschutzfunktion bei Festlegung von Datenhunger und Systemzielen
Dokumentation der Rechtsgrundlage je Datenart und -zweck bereits in der Planungsphase

Detektive Maßnahmen

Überprüfung der Klassifizierungs-/Planungsdokumente auf Rechtsgrundlagennachweis und Zweckbindung vor Entwicklung

Korrektive Maßnahmen

Nachdokumentation und ggf. Korrektur der Zweckbestimmung
Notifizierung an Datenschutzaufsicht bei Verstößen

Pruefziele

Sicherstellung
dass vor Verarbeitung personenbezogener Daten im Rahmen von RAG- und Wissenssystemen eine Rechtsgrundlagenprüfung und Dokumentation erfolgt.

Auditfragen

Ist die Rechtsgrundlage für jede eingesetzte Datenkategorie dokumentiert?
Wurde die Datenschutzfunktion frühzeitig einbezogen und dokumentiert?

Normbezüge

DSGVO Artikel 5630 ISO/IEC 27701 Kapitel 6.4 ISO/IEC 42001 Kapitel 5

Normhinweise

DSGVO verlangt umfassende Rechtmäßigkeit und Transparenz bereits bei Planung (Art. 5
6). ISO/IEC 27701 und ISO/IEC 42001 fordern die Dokumentation der Datenklassifizierung und -grundlage.

Nachweise

Datenschutzfolgeabschätzung (DSFA)
Rechtsgrundlagen- und Zweckbindungsdokumente
Klassifizierungsprotokolle

Nachweistypen

Klassifizierungsunterlagen
Planungsprotokolle
DSFA

Kontrollen

Festlegung verpflichtender Datenschutz-Checkpoints in der Planungsphase
Dokumentationspflicht zur Rechtsgrundlage pro Datenart vor Systementwicklung