DSGVO mit einem KI Assistenten und MCP: was geht, was nicht

Welche DSGVO Unterlagen ein KI Assistent entwerfen kann

Ein KI Assistent wie Claude, ChatGPT oder Copilot schreibt Entwürfe aus dem, was Sie ihm geben. Über MCP (Model Context Protocol), einen offenen Standard, liest er dafür direkt in Programmen, die einen MCP Server anbieten, statt dass Sie Dateien in den Chat kopieren.

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO enthält unter anderem die Zwecke der Verarbeitung, die Kategorien betroffener Personen und Daten und die Kategorien von Empfängern. Wenn möglich, gehören Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOMs) nach Art. 32 dazu. Aus einer Liste Ihrer Abläufe und Programme kann ein Assistent erste Einträge anlegen.

Einen Vertrag zur Auftragsverarbeitung kann er mit den Punkten aus Art. 28 Abs. 3 abgleichen. Dazu gehören Weisungen, Vertraulichkeit, die Maßnahmen nach Art. 32 und Löschung oder Rückgabe am Ende des Auftrags.

Eine Datenschutzfolgenabschätzung, also die Bewertung einer riskanten Verarbeitung vor ihrem Beginn, gliedert er nach den Mindestinhalten aus Art. 35 Abs. 7. Aus Notizen zu einer Datenschutzverletzung macht er einen Eintrag mit Fakten, Auswirkungen und Abhilfemaßnahmen, wie Art. 33 Abs. 5 ihn verlangt.

Art. 28 Abs. 3 · Art. 30 Abs. 1 · Art. 33 Abs. 5 · Art. 35 Abs. 7 DSGVO

Was beim Verantwortlichen und beim Datenschutzbeauftragten bleibt

Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO), also Ihr Unternehmen. Es ist für die Einhaltung der Grundsätze aus Art. 5 Abs. 1 verantwortlich und muss sie nachweisen können (Art. 5 Abs. 2). Ein Entwurf des Assistenten ändert daran nichts.

Ihr Unternehmen entscheidet deshalb, ob Maßnahmen dem Risiko angemessen sind (Art. 32 Abs. 1). Es wählt Auftragsverarbeiter, die hinreichende Garantien bieten (Art. 28 Abs. 1). Es entscheidet, ob eine Verarbeitung eine Folgenabschätzung braucht (Art. 35 Abs. 1) und ob eine Verletzung gemeldet werden muss (Art. 33 Abs. 1).

Ist ein Datenschutzbeauftragter benannt, unterrichtet und berät er, überwacht die Einhaltung und berät auf Anfrage zur Folgenabschätzung (Art. 39 Abs. 1). Ein Assistent kann ihm zuarbeiten. Die Aufgaben selbst weist die DSGVO dem Datenschutzbeauftragten zu.

Art. 4 Nr. 7 · Art. 5 Abs. 2 · Art. 39 Abs. 1 DSGVO

Was nisd2.eu dabei tut, und was nicht

nisd2.eu hilft bei den Pflichten aus NIS 2. Die Pflichten aus der DSGVO deckt es nicht ab. Der NIS 2 Durchgang führt kein Verzeichnis von Verarbeitungstätigkeiten, keine TOMs nach Art. 32 DSGVO, keine Datenschutzfolgenabschätzung und keine Dokumentation von Datenschutzverletzungen.

Der MCP Server von nisd2.eu gibt einem Assistenten Zugriff auf die 21 Punkte des Durchgangs, mit den Rechten der Person, die ihn verbunden hat. Lesen kann der Assistent auch Punkte, die schon abgeschlossen oder freigegeben sind, in den Bereichen, die dieser Person zugewiesen sind. Erlaubt ein Admin Assistenten das Lesen der Aufzeichnungen und darf die Person exportieren, liest er auch die Aufzeichnungen des Unternehmens so, wie der Export sie enthält, auch Vorfälle und Schulungsteilnehmer.

Den Entwurf für die DSGVO schreibt der Assistent außerhalb des Durchgangs, als Antwort im Chat oder als Datei. Sie legen ihn dort ab, wo Ihr Unternehmen seine Datenschutzunterlagen führt. Im Durchgang gibt es dafür keinen Bildschirm.

Welche Angaben aus dem Durchgang dabei helfen

In 2.2 halten Sie fest, was Ihr Unternehmen jeden Tag tut, etwa „Personal- und Lohnverwaltung“, und welche Programme Sie von welchem Anbieter nutzen. Daraus lassen sich nach unserer Lesart Verarbeitungstätigkeiten ableiten. Welche personenbezogenen Daten ein Ablauf verarbeitet, steht allerdings nicht in der Liste.

Die Liste in 5.1 nennt jeden Lieferanten mit dem, was er für Sie tut. Ob er personenbezogene Daten in Ihrem Auftrag verarbeitet und damit Auftragsverarbeiter ist (Art. 4 Nr. 8 DSGVO), fragt der Bildschirm nicht. Das prüfen Sie für jeden.

Der Notfallplan in 3.1 sagt, dass Sie einen Vorfall mit personenbezogenen Daten auch der Datenschutzaufsicht melden, außer ein Risiko ist unwahrscheinlich (Art. 33 DSGVO). Einen Platz für die Dokumentation nach Art. 33 Abs. 5 hat der Durchgang nicht.

Art. 4 Nr. 8 · Art. 33 DSGVO