Datenschutz & Privacy
Eine klare Rechtsgrundlage, eine DSFA, wo nötig, und Schutzmaßnahmen, die vor dem Go-live eingebaut sind.
Die Ausgangslage
Neue Systeme, Anbieter und Datennutzungen kommen schneller, als Datenschutzteams sie prüfen können. Art. 25 DSGVO verlangt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, Art. 35 eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene birgt.
KI schafft neue Wege für personenbezogene Daten: Prompts und Uploads, Dokumente, die für die Suche indexiert werden (RAG), Trainings- und Fine-Tuning-Daten und Protokolle beim Anbieter. Jeder dieser Wege ist eine Verarbeitung nach DSGVO, und viele stehen in keinem Verzeichnis.
Was wir tun
Für jedes System, jeden Anbieter und jede KI-Nutzung verfolgen wir, welche personenbezogenen Daten erhoben werden, wohin sie gehen, wer sie verarbeitet und wo sie gespeichert werden, einschließlich Prompts, Suchindizes, Trainingsdaten und Protokollen.
Wir legen Zweck und Rechtsgrundlage nach Art. 5 und 6 fest, erkennen besondere Kategorien nach Art. 9 und prüfen, wo automatisierte Entscheidungen nach Art. 22 entstehen können.
Wir prüfen anhand der Listen der Aufsichtsbehörden, ob eine Datenschutz-Folgenabschätzung nach Art. 35 nötig ist, und führen sie durch, wo erforderlich, mit dokumentierten Risiken und Maßnahmen.
Wir prüfen Auftragsverarbeitungsverträge nach Art. 28, die eigene Nutzung Ihrer Daten durch den Anbieter, Speicherfristen und Übermittlungen außerhalb der EU nach Kapitel V.
Wir übersetzen die Ergebnisse in Anforderungen für Projekte und Software-Lebenszyklus: Datenminimierung, Pseudonymisierung, Zugriffskontrolle, Voreinstellungen und Löschfristen nach Art. 25 und 32.
Wir ergänzen jede Verarbeitung im Verzeichnis nach Art. 30 und prüfen Folgenabschätzungen erneut, wenn sich System, Anbieter oder Risiko ändern.
So arbeiten wir
Unsere Datenschutzberatung führt Datenschutz-Folgenabschätzungen durch und berät Ihre Datenschutzbeauftragten und Projektverantwortlichen bei jeder Entscheidung, auch bei KI-Nutzungen.
Mehr erfahrenUnsere Fachleute bauen die Schutzmaßnahmen in Ihre Systeme ein, etwa Vertraulichkeitslabels, Data Loss Prevention, Zugriffskontrolle auf RAG-Quellen und Pseudonymisierung.
Mehr erfahrenWir prüfen neue Systeme und KI-Nutzungen, halten Folgenabschätzungen und Verarbeitungsverzeichnis aktuell und überwachen, wie personenbezogene Daten in KI-Tools fließen.
Mehr erfahrenRegelwerke
Plattform
Wenn die Fidempli-Plattform im Dezember 2026 startet, setzt sie das Ergebnis in der täglichen KI-Nutzung um: Personen- und Gesundheitsdaten werden pseudonymisiert oder entfernt, bevor ein KI-Modell sie sieht, und jede Folgenabschätzung bleibt mit dem KI-System verknüpft, das sie betrifft.
Plattform entdecken
Nein. Art. 35 verlangt sie, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene birgt, etwa bei systematischer Überwachung, umfangreicher Verarbeitung besonderer Kategorien oder neuen Technologien wie vielen KI-Nutzungen. Wir prüfen jeden Fall und dokumentieren das Ergebnis in jedem Fall.
Nur mit Zweck, Rechtsgrundlage und einem passenden Vertrag mit dem Anbieter. Wir helfen Ihnen, klare Regeln je Tool festzulegen und technische Kontrollen zu ergänzen, damit die Regel nicht allein vom Gedächtnis abhängt.
Das hängt von Produkt, Vertrag und Einstellungen ab. Wir prüfen Bedingungen und Konfiguration jedes Anbieters und halten fest, was gilt.
Auch Dokumente, die für die Suche indexiert werden, und Daten für Training oder Fine-Tuning werden verarbeitet. Wir prüfen Zweck, Datenminimierung und Zugriffskontrolle, damit die KI nur liefert, was die jeweilige Person sehen darf.
Kapazität für Folgenabschätzungen, KI-spezifisches Wissen darüber, wie Copilots, Agenten und RAG-Systeme mit Daten umgehen, und Fachleute, die die Kontrollen umsetzen. Die Entscheidungen bleiben bei Ihren Datenschutzbeauftragten.
Fidempli bietet Governance-, Risiko- und Compliance-Beratung und arbeitet mit Ihrer Rechtsberatung zusammen. Wir erbringen keine Rechtsberatung.
Eine Senior-Beraterin oder ein Senior-Berater antwortet innerhalb eines Werktags. Oder gestalten Sie die Plattform als einer von 3–5 Design-Partnern vor dem Start mit.
