Hinweis: Dieser Artikel ist eine Praxis-Einordnung, keine Rechtsberatung. Für konkrete Fälle sollten Sie Ihren Datenschutzbeauftragten oder Anwalt einbeziehen.
"DSGVO-konform" ist keine feste Produkteigenschaft. Ob ein digitaler Dienst rechtmäßig betrieben werden kann, hängt vom konkreten Zweck, den verarbeiteten Daten, den beteiligten Stellen, der technischen Ausgestaltung und dem tatsächlichen Betrieb ab. Datenschutz muss deshalb bereits bei der Prozessgestaltung beginnen.
Drei Bezugsrahmen
DSGVO und nationales Datenschutzrecht
Sobald personenbezogene Daten verarbeitet werden, braucht die Institution insbesondere einen klaren Zweck und eine Rechtsgrundlage. Hinzu kommen Informationspflichten, Betroffenenrechte, Speicherbegrenzung, Sicherheit und dokumentierte Verantwortlichkeiten. Bei voraussichtlich hohem Risiko kann eine Datenschutz-Folgenabschätzung erforderlich sein.
EU AI Act bei eingesetzter KI
Die Anforderungen des EU AI Act werden stufenweise anwendbar und richten sich nach Rolle und Risikokategorie des konkreten Systems. Eine Institution sollte deshalb dokumentieren, ob und wie KI eingesetzt wird, welche Rolle sie selbst einnimmt und welche Transparenz-, Kompetenz- oder Kontrollpflichten daraus folgen. Das ersetzt die Prüfung nach der DSGVO nicht.
Fach- und Sektorregeln
Sozial-, Bildungs-, Gesundheits- und Verwaltungsbereiche können zusätzlichen gesetzlichen, fachaufsichtlichen oder archivrechtlichen Vorgaben unterliegen. Diese Anforderungen müssen gemeinsam mit Datenschutz und Informationssicherheit in den Zielprozess übersetzt werden.
Sieben praktische Gestaltungsfelder
- Zweck und Rechtsgrundlage. Beschreiben Sie vor der technischen Auswahl, warum welche Daten für welchen institutionellen Auftrag benötigt werden.
- Datenminimierung und Speicherfristen. Erfassen Sie nur erforderliche Angaben und legen Sie Löschung, Archivierung und Sperrung nachvollziehbar fest.
- Rollen und Verträge. Klären Sie Verantwortlichkeit, gemeinsame Verantwortlichkeit oder Auftragsverarbeitung und prüfen Sie Unterauftragnehmer.
- Berechtigungen. Zugriffe müssen der tatsächlichen Aufgabe entsprechen, regelmäßig überprüft und bei Rollenwechseln angepasst werden.
- Technische und organisatorische Maßnahmen. Verschlüsselung, Protokollierung, Datensicherung, Wiederherstellung und Vorfallprozesse müssen zum Risiko passen.
- Transparenz und Betroffenenrechte. Informationen, Auskunft, Berichtigung, Löschung und Widerspruch müssen im realen Ablauf funktionieren.
- Prüfung und Nachweis. Verzeichnis von Verarbeitungstätigkeiten, Risikoabwägungen, Freigaben und Änderungen sollten aktuell und auffindbar bleiben.
Was Institutionen von einem Digitalisierungspartner benötigen
- eine verständliche Beschreibung von Datenflüssen, Verarbeitungsorten und Systemgrenzen,
- einen passenden Vertrag einschließlich transparenter Unterauftragnehmer,
- dokumentierte technische und organisatorische Maßnahmen,
- ein Rollen-, Lösch- und Berechtigungskonzept,
- Regelungen für Sicherheitsvorfälle, Wartung und Vertragsende,
- bei KI-Funktionen Angaben zu Modellen, Datenverwendung, menschlicher Kontrolle und einschlägigen Pflichten.
"Datenschutz wird belastbar, wenn Fachprozess, Rechtsgrundlage, Technik und Betrieb dieselbe Datenverarbeitung beschreiben."
Cloud, lokaler Betrieb oder Mischform?
Keine Betriebsform ist automatisch konform. Relevant sind unter anderem Datenarten, Anbieterrollen, Verarbeitungsorte, Übermittlungen in Drittländer, Sicherheitsmaßnahmen und vertragliche Kontrollmöglichkeiten. Lokaler Betrieb kann Kontrolle erhöhen, bringt aber eigene Pflichten für Absicherung, Updates und Verfügbarkeit mit sich. Die Entscheidung sollte aus einer dokumentierten Risiko- und Bedarfsanalyse folgen.
Fazit
DSGVO-konforme institutionelle Digitalisierung entsteht nicht durch ein einzelnes Zertifikat. Sie braucht einen klaren Zweck, möglichst wenige Daten, geregelte Verantwortlichkeiten, angemessene Sicherheit und einen prüfbaren Betrieb. Werden diese Punkte früh geklärt, lassen sich digitale Dienste verlässlich weiterentwickeln, ohne Datenschutz nachträglich anbauen zu müssen.
Datenschutz von Anfang an mitplanen
Wir strukturieren Datenflüsse und technische Optionen als Grundlage für die Prüfung durch Ihre Datenschutz- und Rechtsverantwortlichen.