Unvollständige Klärung der datenschutzrechtlichen Rechtsgrundlage bei KI-gestützter Scoring- und Klassifikation bereits in der Planungsphase

Kontext

Branche

Branchenübergreifend

Prozess

Planung und Klassifizierung

Schutzgut

Rechtskonformität Vertraulichkeit Betroffenenrechte

Ursachen

• Versäumte Prüfung
• ob und auf welcher Rechtsgrundlage personenbezogene Daten verarbeitet werden dürfen; keine Datenschutzfolgeabschätzung oder Betroffenenanalyse im Planungsstadium.

Auswirkungen

• Unzulässige oder nicht nachvollziehbare Datenverarbeitung
• spätere Bußgelder
• Betriebsuntersagungen oder Reputationsschäden; erheblicher Nachbesserungsaufwand.

Praxisbeispiel

• Ein Scoring-System zur Bonitätsbewertung wird entwickelt
• ohne im Vorfeld zu klären
• ob eine ausdrückliche Einwilligung oder ein berechtigtes Interesse als Rechtsgrundlage genügt; im laufenden Betrieb wird das System wegen ungenügender Rechtsgrundlage bemängelt.

Stakeholder

• Projektplanung
• Datenschutzbeauftragter
• Rechtsabteilung

Maßnahmen

Noch nicht hinterlegt.

Präventive Maßnahmen

• Pflicht zur Festlegung und Dokumentation der Rechtsgrundlage bei Projektstart
• Integration von Datenschutzfolgeabschätzung in die Planungsphase
• Verankerung datenschutzrechtlicher Prüfungen im Projektprozess

Detektive Maßnahmen

• Frühe Reviewpflicht der Datenschutzbeauftragten
• Projekt-QS mit explizitem Prüfpunkt auf Rechtsgrundlage
• Nachvollziehbare Protokollierung der Prüfergebnisse

Korrektive Maßnahmen

• Nachholung/Dokumentation der rechtlichen Grundlage
• Ergänzende Datenschutzfolgeabschätzung (DPIA)
• Korrektur/ggf. Projektstopp bis zur Rechtsklarheit

Pruefziele

• Bereits zum Projektstart ist die datenschutzrechtliche Grundlage für Scoring/Klassifikationssysteme eindeutig dokumentiert und geprüft.

Auditfragen

• Existiert eine festgelegte und dokumentierte Rechtsgrundlage für die geplante Verarbeitung?
• Wurde eine Datenschutzfolgeabschätzung in der Planungsphase durchgeführt?
• Sind die Rollen und Verantwortlichkeiten (DSB, Legal) im Planungsdokument nachvollziehbar fixiert?

Normbezüge

• DSGVO Artikel 635 ISO/IEC 27701 Kapitel 6.4 ISO/IEC 42001 Kapitel 5

Normhinweise

• DSGVO fordert, dass die Rechtsgrundlage vor Beginn der Datenverarbeitung lückenlos feststeht.
• ISO/IEC 27701 und ISO/IEC 42001 unterstreichen Datenschutz und Rechtsklärung als zentrales Planungsziel.

Nachweise

• Projektplan mit dokumentierter Rechtsgrundlage
• DPIA/DSFA-Unterlagen aus der Planung
• DSB- oder Legal-Reviewprotokoll

Nachweistypen

• Projektdokumentation
• Prüfprotokolle
• DSFA-Bericht

Kontrollen

• Pflichtfelder im Projektstartformular zur Rechtsgrundlage
• DSB-Check vor Development-Freigabe
• Prozessorientierte Kontrollpunkte in der Planung

Verwandte Risiken

Noch keine Beziehungen hinterlegt.