Unzureichende Dokumentation der Herkunft und der Rechtsgrundlagen personenbezogener Daten bei der Beschaffung für Scoring- und Klassifikationssysteme
Im Rahmen der Datenbeschaffung für Scoring- und Klassifikationssysteme fehlt häufig eine strukturierte, für Aufsichtsbehörden und Betroffene nachvollziehbare Dokumentation der Datenherkunft und der jeweiligen Rechtsgrundlage.
Kontext
- Branche
- Branchenübergreifend
- Prozess
- Daten und Beschaffung
- Schutzgut
- Rechtmäßigkeit Transparenz
Ursachen
- Verzicht auf transparentes Data Sourcing
- mangelhafte oder nicht auditierbare Zuordnung von Datenquellen und der Rechtsgrundlagen aufgrund organisatorischer oder technischer Defizite.
Auswirkungen
- Gefahr unrechtmäßiger Datenverarbeitung
- mangelhafte Transparenz für Betroffene
- regulatorische Sanktionen
- Reputationsrisiko.
Praxisbeispiel
- Historische Kreditdaten werden aus mehreren externen Quellen bezogen
- ohne dass für jede Quelle eine dokumentierbare Rechtsgrundlage oder Herkunft hinterlegt ist.
Stakeholder
- Datenschutzkoordinator
- Data Owner
- IT-Compliance
- Betroffene
Maßnahmen
Noch nicht hinterlegt.
Präventive Maßnahmen
- Pflicht zur strukturierten Dokumentation der Datenherkunft und aller zugehörigen Rechtsgrundlagen vor Import in das KI-System
Detektive Maßnahmen
- Stichprobenartige Prüfung aller Beschaffungsvorgänge auf vollständig hinterlegte Herkunfts- und Rechtsgrundlagenangaben
Korrektive Maßnahmen
- Nachholung der Dokumentation für bereits genutzte Daten und Anpassung der Beschaffungsprozesse
Pruefziele
- Alle personenbezogenen Daten sind transparent auf Herkunft und rechtliche Grundlage dokumentiert.
Auditfragen
- Ist für jede Datenquelle im Scoring/ Klassifikationssystem die Herkunft und die Rechtsgrundlage lückenlos hinterlegt?
Normbezüge
- DSGVO Artikel 30
- 5 ISO/IEC 27701 Kapitel 8.2 ISO/IEC 42001 Kapitel 8.5
Normhinweise
- DSGVO schreibt die umfassende Nachweis- und Dokumentationspflicht zur Herkunft und Rechtmäßigkeit vor; ISO/IEC 27701 und 42001 ergänzen organisatorische Nachweispflicht für Data-Sourcing-Prozesse.
Nachweise
- Data-Source-Dokumentation
- Verarbeitungsverzeichnisse nach Art. 30 DSGVO
- Beschaffungsvorlagen
Nachweistypen
- Nachweisdokumentation
Kontrollen
- Verpflichtende Dokumentationsprüfung vor Integration neuer Datenquellen
Verwandte Risiken
Noch keine Beziehungen hinterlegt.