Verzeichnis der Verarbeitungstätigkeiten: KI-Systeme richtig erfassen

Das Wichtigste in Kürze: Jedes KI-System, das personenbezogene Daten verarbeitet, gehört ins Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 VO (EU) 2016/679. Gleichzeitig verlangt der AI Act mit Art. 26 Abs. 5 VO (EU) 2024/1689 ein KI-Inventar für Hochrisiko-Systeme. Wer beide Register klug verknüpft, vermeidet Doppeldokumentation, erfüllt seine Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und hat KI-Compliance und Datenschutz in einem einheitlichen System im Griff. Dieser Artikel zeigt Ihnen, wie Sie KI-Systeme im VVT korrekt erfassen -- mit Tabelle der Pflichtfelder, Muster-Einträgen und konkreten Praxis-Tipps.

---

Inhaltsverzeichnis

1. Warum KI-Systeme ins VVT gehören
2. Art. 30 Pflichtinhalte -- angewandt auf KI
3. Muster-Einträge: ChatGPT und Microsoft Copilot
4. VVT und KI-Inventar verknüpfen
5. Besonderheiten bei KI-Systemen
6. Praxis-Tipps für die Umsetzung
7. Häufig gestellte Fragen (FAQ)
8. Nächste Schritte

---

Warum KI-Systeme ins VVT gehören {#warum-ki-systeme-ins-vvt-gehoeren}

Das Verzeichnis der Verarbeitungstätigkeiten (VVT) ist kein neues Instrument -- Art. 30 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter seit Mai 2018, alle Verarbeitungen personenbezogener Daten systematisch zu dokumentieren. Doch mit dem zunehmenden Einsatz von KI-Systemen in Unternehmen stellt sich die Frage: Wie bildet man KI im VVT korrekt ab?

Die Antwort ist eindeutig: Sobald ein KI-System personenbezogene Daten verarbeitet -- sei es durch Eingaben der Nutzer, durch Trainingsdaten oder durch automatisiert generierte Ausgaben mit Personenbezug --, muss diese Verarbeitung im VVT erfasst werden. Das gilt für den internen ChatGPT-Einsatz ebenso wie für KI-gestützte Bewerbervorauswahl oder prädiktive Analytik.

Drei Gründe, warum das gerade jetzt wichtig ist

1. Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): Sie müssen die Einhaltung sämtlicher Datenschutzgrundsätze nachweisen können. Ein fehlendes oder lückenhaftes VVT ist einer der häufigsten Befunde bei Datenschutzprüfungen -- bei KI-Systemen wiegt das besonders schwer, weil die Datenflüsse komplex sind.

2. Regulatorische Konvergenz: Mit dem AI Act (VO (EU) 2024/1689) kommt eine zweite Dokumentationsebene hinzu. Art. 26 Abs. 5 verlangt von Betreibern von Hochrisiko-KI die Aufbewahrung automatisch erzeugter Protokolle. Wer das VVT von Anfang an KI-tauglich gestaltet, schafft die Brücke zwischen Datenschutz- und KI-Compliance.

3. Bußgeldrisiko: Verstöße gegen Art. 30 DSGVO können mit Geldbußen von bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 lit. a DSGVO). Für KI-Systeme, die zusätzlich unter den AI Act fallen, kommen potenzielle Sanktionen nach Art. 99 VO (EU) 2024/1689 hinzu.

---

Art. 30 Pflichtinhalte -- angewandt auf KI {#art-30-pflichtinhalte-ki}

Art. 30 Abs. 1 DSGVO listet die Pflichtangaben auf, die jeder VVT-Eintrag enthalten muss. Die folgende Tabelle zeigt, wie Sie diese Felder für KI-Systeme konkret ausfüllen:

---

Muster-Einträge: ChatGPT und Microsoft Copilot {#muster-eintraege}

Muster 1: ChatGPT Enterprise

Muster 2: Microsoft 365 Copilot

---

VVT und KI-Inventar verknüpfen {#vvt-und-ki-inventar-verknuepfen}

Mit dem AI Act entsteht neben dem VVT ein zweites Register: das KI-Inventar gemäß Art. 26 Abs. 5 VO (EU) 2024/1689. Beide Dokumentationen haben unterschiedliche Zielrichtungen, überschneiden sich aber erheblich. Die intelligente Verknüpfung spart Aufwand und vermeidet Widersprüche.

Synergien nutzen

Doppeldokumentation vermeiden

Der Schlüssel liegt in einer Referenzarchitektur: Führen Sie das KI-Inventar als eigenständiges Register, aber verlinken Sie jeden KI-Inventar-Eintrag mit dem zugehörigen VVT-Eintrag über eine gemeinsame Referenz-ID. So dokumentieren Sie KI-spezifische Informationen (Risikoklasse, Konformitätserklärung, Gebrauchsanweisung) im KI-Inventar und datenschutzspezifische Informationen (Rechtsgrundlage, Löschfristen, Betroffenenrechte) im VVT. Änderungen an einem System lösen eine Überprüfung in beiden Registern aus.

Empfehlung: Nutzen Sie ein Feld "KI-Inventar-Referenz" im VVT und ein Feld "VVT-Referenz" im KI-Inventar. Bei gemeinsamer Tool-Lösung genügt ein bidirektionaler Link.

---

Besonderheiten bei KI-Systemen {#besonderheiten-ki}

KI-Systeme werfen datenschutzrechtliche Fragen auf, die in herkömmlichen VVT-Einträgen nicht vorkommen. Diese Besonderheiten sollten Sie gezielt adressieren:

1. Trainingsdaten

Wenn Ihr Unternehmen eigene Modelle trainiert oder Fine-Tuning durchführt, sind die Trainingsdaten eine eigenständige Verarbeitungstätigkeit. Dokumentieren Sie:

• Herkunft der Trainingsdaten (intern erhoben, zugekauft, öffentlich verfügbar)
• Rechtsgrundlage für die Nutzung zum Training (häufig Art. 6 Abs. 1 lit. f DSGVO; bei besonderen Kategorien Art. 9 Abs. 2 lit. j DSGVO i.V.m. § 27 BDSG)
• Anonymisierung/Pseudonymisierung vor dem Training
• Ob der KI-Anbieter Ihre Eingabedaten zum Modelltraining nutzt -- bei Enterprise-Verträgen meist vertraglich ausgeschlossen, bei kostenlosen Versionen oft Standard

2. Drittlandtransfer

Die meisten großen KI-Anbieter haben ihren Sitz in den USA. Art. 44 ff. DSGVO verlangen angemessene Garantien für jede Übermittlung in Drittländer. Dokumentieren Sie im VVT:

• Den genauen Transfermechanismus (EU-US Data Privacy Framework nach Angemessenheitsbeschluss der EU-Kommission, EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, oder Binding Corporate Rules)
• Ob eine Transfer Impact Assessment (TIA) durchgeführt wurde
• Ob EU-Datenresidenz beim Anbieter verfügbar und aktiviert ist
• Welche ergänzenden Maßnahmen getroffen wurden (Verschlüsselung, Pseudonymisierung)

3. Subauftragsverarbeiter (Sub-Processors)

KI-Dienste haben häufig verschachtelte Lieferketten: OpenAI nutzt Microsoft Azure, Google Cloud AI nutzt eigene Rechenzentren, Anthropic setzt auf AWS. Erfassen Sie im VVT die gesamte Kette der Auftragsverarbeiter -- Art. 28 Abs. 2 DSGVO verlangt, dass jeder Einsatz eines weiteren Auftragsverarbeiters genehmigt wird. Prüfen Sie die Sub-Processor-Listen der Anbieter regelmäßig auf Änderungen.

4. Automatisierte Entscheidungen (Art. 22 DSGVO)

Setzt Ihr KI-System automatisierte Entscheidungen mit rechtlicher Wirkung ein -- etwa bei Kreditscoring, automatisierter Bewerbervorauswahl oder Leistungsbeurteilung --, greift Art. 22 DSGVO. Im VVT sollten Sie dokumentieren:

• Ob eine ausschließlich automatisierte Entscheidungsfindung vorliegt
• Die Logik der Entscheidung und ihre Tragweite für Betroffene (Art. 13 Abs. 2 lit. f DSGVO)
• Ob und wie eine menschliche Überprüfung (Human-in-the-Loop) gewährleistet ist
• Ob die Betroffenen gemäß Art. 22 Abs. 3 DSGVO das Recht auf Anfechtung und menschliche Überprüfung ausüben können

5. Zweckänderung und Zweckbindung

KI-Systeme werden häufig zunächst für einen Zweck eingeführt und dann auf weitere Anwendungsfälle ausgedehnt. Jede wesentliche Zweckänderung erfordert eine Kompatibilitätsprüfung nach Art. 6 Abs. 4 DSGVO und einen neuen oder aktualisierten VVT-Eintrag.

---

Praxis-Tipps für die Umsetzung {#praxis-tipps}

Tipp 1 -- Beginnen Sie mit einer Bestandsaufnahme. Bevor Sie VVT-Einträge für KI erstellen, inventarisieren Sie alle KI-Systeme im Unternehmen. Nutzen Sie dafür unseren Leitfaden zum KI-Inventar erstellen. Shadow AI -- also KI-Tools, die ohne Genehmigung genutzt werden -- ist die größte Lücke im VVT.

Tipp 2 -- Nutzen Sie Vorlagen, aber passen Sie sie an. Die Muster-Einträge oben sind Ausgangspunkte. Jedes Unternehmen hat individuelle Prozesse, Rechtsgrundlagen und TOMs. Ein Copy-Paste ohne Anpassung erfüllt nicht die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Tipp 3 -- Binden Sie die Fachabteilungen ein. Die IT-Abteilung kennt die technischen Details, die Fachabteilung den Verarbeitungszweck, der Datenschutzbeauftragte die rechtlichen Anforderungen. Gute VVT-Einträge entstehen im Zusammenspiel aller drei Perspektiven.

Tipp 4 -- Planen Sie regelmäßige Reviews. KI-Anbieter ändern ihre Dienste, Sub-Processor-Listen und Nutzungsbedingungen häufig. Setzen Sie einen vierteljährlichen Review-Zyklus für alle KI-bezogenen VVT-Einträge an. Abonnieren Sie die Änderungsmitteilungen Ihrer KI-Anbieter.

Tipp 5 -- Dokumentieren Sie den Ausschluss vom Modelltraining. Viele Unternehmen wissen nicht, ob ihre Eingabedaten zum Training des KI-Modells verwendet werden. Halten Sie die vertragliche Regelung im VVT fest und prüfen Sie, ob technische Opt-out-Optionen aktiviert sind.

Tipp 6 -- Verknüpfen Sie VVT mit DSFA. Für KI-Systeme, die ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellen, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO verpflichtend. Verweisen Sie im VVT auf die zugehörige DSFA für KI-Systeme und halten Sie den Status aktuell.

---

Häufig gestellte Fragen (FAQ) {#faq}

1. Muss jedes KI-Tool einen eigenen VVT-Eintrag bekommen?

Nicht zwingend. Wenn mehrere KI-Tools denselben Verarbeitungszweck verfolgen, dieselben Datenkategorien betreffen und beim selben Anbieter laufen, können Sie sie in einem Eintrag zusammenfassen. In der Praxis empfiehlt es sich jedoch, für jedes KI-System mit eigenem Anbietervertrag einen separaten Eintrag anzulegen -- das erleichtert die Pflege und Zuordnung.

2. Brauche ich ein VVT auch für KI-Systeme ohne Personenbezug?

Nein. Das VVT nach Art. 30 DSGVO bezieht sich ausschließlich auf die Verarbeitung personenbezogener Daten. Allerdings ist der Personenbezug bei KI oft weiter gefasst, als man denkt: Selbst ein KI-System zur Bildklassifizierung kann personenbezogene Daten verarbeiten, wenn auf den Bildern Personen erkennbar sind. Prüfen Sie sorgfältig. Unabhängig vom VVT kann ein Eintrag im KI-Inventar nach dem AI Act erforderlich sein.

3. Welche Rechtsgrundlage trage ich für KI-Systeme ein?

Das hängt vom konkreten Einsatzzweck ab. Häufig kommt Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) zum Einsatz -- etwa bei der internen Nutzung von ChatGPT für Textarbeit. Bei KI in der Bewerberverwaltung kann Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) i.V.m. § 26 BDSG greifen. Eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) ist bei KI im Beschäftigtenkontext wegen des Machtungleichgewichts selten tragfähig.

4. Wie dokumentiere ich KI-Systeme, bei denen der Anbieter Daten zum Training nutzt?

Wenn der Anbieter Eingabedaten zum Modelltraining verwendet, liegt in der Regel eine eigenständige Verarbeitung durch den Anbieter vor -- er handelt insoweit als eigener Verantwortlicher. Dokumentieren Sie dies im VVT unter "Empfänger" und "Übermittlungen". Prüfen Sie, ob eine Rechtsgrundlage für diese Datenweitergabe besteht, und ob der Anbieter vertragliche Opt-out-Möglichkeiten bietet.

5. Wie oft muss ich das VVT für KI-Systeme aktualisieren?

Art. 30 DSGVO schreibt keine feste Aktualisierungsfrequenz vor. Sie sind jedoch verpflichtet, das VVT stets aktuell zu halten. Bei KI-Systemen empfiehlt sich ein vierteljährlicher Review-Zyklus sowie eine anlassbezogene Aktualisierung bei Anbieterwechsel, neuen Features, Änderungen der Sub-Processor-Liste oder neuen Einsatzzwecken. Dokumentieren Sie das Datum der letzten Überprüfung in jedem Eintrag.

---

Nächste Schritte {#naechste-schritte}

Ein VVT, das KI-Systeme korrekt abbildet, ist kein einmaliges Projekt, sondern ein laufender Prozess. Starten Sie mit diesen drei Schritten:

1. Bestandsaufnahme durchführen: Identifizieren Sie alle KI-Systeme mit Personenbezug in Ihrem Unternehmen -- nutzen Sie dafür unser Leitfaden zum KI-Inventar.
2. VVT-Einträge erstellen: Verwenden Sie die Pflichtfeld-Tabelle und Muster-Einträge aus diesem Artikel als Vorlage und passen Sie sie an Ihre Situation an.
3. Register verknüpfen: Etablieren Sie eine gemeinsame Referenz-ID zwischen VVT und KI-Inventar, damit Änderungen in beiden Registern synchron bleiben.

Sie möchten KI-Compliance und Datenschutz effizient in den Griff bekommen? KI Comply unterstützt Sie mit einer integrierten Plattform für KI-Inventar, Risikobewertung und Schulungen -- damit Dokumentation kein Papiertiger bleibt, sondern gelebte Compliance wird.

KI Comply kostenlos testen{.cta-button}