Wo Daten bei PrivacyMaster verarbeitet und gespeichert werden, hängt von der konkret eingesetzten Systemkonfiguration ab. Für eine belastbare Aussage zur KI-Datenverarbeitung müssen deshalb der Auftrag, die Datenarten, das Bereitstellungsmodell und die beteiligten Anbieter gemeinsam betrachtet werden. Eine pauschale Aussage wie „alle Daten bleiben immer an einem bestimmten Ort“ wäre ohne diese Prüfung nicht seriös.
Der gesamte Datenweg ist entscheidend
PrivacyMaster kann mehrere technische Komponenten verbinden. Neben der Arbeitsumgebung können KI-Modelle, Funktionen zur Dokumentenverarbeitung sowie Speicher- und Bereitstellungssysteme beteiligt sein. Für jede Aufgabe ist daher nachvollziehbar zu klären, an welchen Stellen Informationen verarbeitet werden.
- Bereitstellung der Unterlagen durch den Mandanten,
- mögliche Arbeitskopien oder reduzierte Fassungen,
- Übermittlung an eingesetzte KI-Dienste,
- Zwischenstände, Protokolldaten und Sicherungskopien,
- Ablage des fachlich geprüften Ergebnisses.
SaaS und On-Premises unterscheiden
Bei einer SaaS-Lösung werden technische Komponenten zentral oder durch externe Anbieter betrieben. Der tatsächliche Verarbeitungsort ergibt sich dann nicht nur aus dem Sitz des Vertragspartners, sondern auch aus Rechenzentren, Unterauftragnehmern und möglichen Supportzugriffen. Bei einer On-Premises-Lösung können einzelne Komponenten innerhalb einer vom Nutzer kontrollierten Infrastruktur betrieben werden. Dennoch ist zu prüfen, ob weitere externe Dienste eingebunden sind.
Auch mögliche Drittlandübermittlungen prüfen
Befinden sich Empfänger oder Verarbeitungssysteme außerhalb des Europäischen Wirtschaftsraums oder bestehen Zugriffsoptionen aus Drittländern, müssen die datenschutzrechtlichen Voraussetzungen gesondert bewertet werden. Entscheidend sind der konkrete Dienst, die Vertragsform, die technische Einstellung und der tatsächliche Datenweg. Der Name eines KI-Modells allein reicht für diese Bewertung nicht aus.
Speicherung ist nicht überall gleich
Originalunterlagen, Eingaben, Zwischenergebnisse, Protokolle und geprüfte Endergebnisse können unterschiedlichen Speicherzwecken und Fristen unterliegen. Auch eine Löschung im Benutzerkonto bedeutet nicht automatisch, dass sämtliche Sicherungskopien sofort entfernt sind. Anbieterbedingungen und dokumentierte Restfristen müssen deshalb in die Prüfung einbezogen werden.
DSBOK prüft die vorgesehene Konfiguration
Qualifizierte Mitarbeitende beurteilen, welche Informationen für die Aufgabe erforderlich sind, welche Systeme eingesetzt werden können und welche Angaben zum Datenweg dokumentiert werden müssen. PrivacyMaster unterstützt die Bearbeitung, übernimmt aber weder die datenschutzrechtliche Freigabe noch die Verantwortung für die Systemauswahl.
Konkrete Informationen zum Datenweg
Weitere Hinweise finden Sie unter Eingesetzte Anbieter und Systeme sowie im Speicher- und Löschkonzept. Für Angaben zu Ihrer vorgesehenen Konfiguration können Sie Kontakt mit uns aufnehmen.