Ein Unternehmen plant, eingehende Formulare von einem externen Dienst strukturieren zu lassen. Auf der Startseite steht, dass das Angebot sicher sei. Für eine fachliche und rechtliche Prüfung braucht es genauere Angaben zur Verarbeitung.
Den Datenweg als Grundlage aufzeichnen
Nennen Sie Formular, Modellanbieter, Speicher und zugelassene Mitarbeitende. Halten Sie fest, welche personenbezogenen Daten wirklich erforderlich sind und wer über den Zweck entscheidet. Ermitteln Sie, welche Dienste im Auftrag handeln und an welcher Stelle eigene Zwecke des Dienstes denkbar sind. Offen bleibt, ob die dafür vorgesehenen Vertragsunterlagen den Einsatz abdecken.
Sammeln Sie für die Prüfung Angaben zu Weisungen, Vertraulichkeit, Unterauftragnehmern, Speicherorten, Rückgabe oder Löschung und Unterstützung bei Vorfällen. Die Mustervereinbarung der BfDI verdeutlicht, welche Punkte eine Auftragsverarbeitung betreffen können. Nutzen Sie sie als Orientierung für Fragen, nicht als fertigen Vertrag für jedes Angebot.
Entscheidungen dokumentieren
Lassen Sie den tatsächlichen Ablauf und die Unterlagen von den zuständigen Stellen prüfen. Erfassen Sie Datum, Vertragsversion, verantwortliche Person und offene Fragen. Beginnen Sie bis zur Freigabe nur mit freigegebenen künstlichen Beispielen. KI-Werkzeuge können anhand ihres tatsächlichen Betriebsmodells verglichen werden.