DSGVO und KI in der Industrie: Pflichten im Überblick
DSGVO und KI in der Industrie bedeuten zehn Pflichten, die über die reine Datenschutzprüfung hinausgehen: sieben aus der DSGVO, von Verzeichnis der Verarbeitungstätigkeiten bis Meldepflicht bei Vorfällen, dazu Mitbestimmung des Betriebsrats nach Betriebsverfassungsgesetz, die Kompetenzpflicht der KI-Verordnung nach Artikel 4 und Transparenz gegenüber Betroffenen. Jede Pflicht hat ein eigenes Nachweisdokument und eine übliche Zuständigkeit im Betrieb.
DSGVO und KI in der Industrie verlangen zehn Pflichten: sieben aus der DSGVO (Verzeichnis der Verarbeitungstätigkeiten, Rechtsgrundlage je Zweck, Auftragsverarbeitungsvertrag, Datenschutz-Folgenabschätzung, Löschkonzept, Auskunftsrecht, Meldepflicht binnen 72 Stunden), dazu Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG, Kompetenzpflicht nach Art. 4 KI-Verordnung und Transparenz gegenüber Betroffenen. Jede Pflicht hat ein Nachweisdokument, vom Verfahrensverzeichnis bis zum Schulungsnachweis, und eine übliche Zuständigkeit zwischen Datenschutzbeauftragtem, Betriebsrat, IT und Fachbereich. Am häufigsten übersehen wird die Mitbestimmung, weil sie nicht im Datenschutzrecht steht. Ein strukturierter Ablauf in sieben Schritten deckt alle zehn Pflichten vor dem Produktivstart ab.
Kurz beantwortetDSGVO und KI-Verordnung überschneiden sich in der Industrie an einer Stelle, die oft übersehen wird: Ein Wissenssystem ist zugleich eine Verarbeitung personenbezogener Daten und ein KI-System im Sinn der Verordnung, mit eigener Kompetenzpflicht für die Beschäftigten, die es nutzen. Zehn Pflichten decken beide Rechtsrahmen ab, jede mit einem Dokument, das sie belegt.
Welche zehn Pflichten gelten für DSGVO und KI in der Industrie?
Sieben aus der DSGVO, drei darüber hinaus: Verzeichnis der Verarbeitungstätigkeiten, Rechtsgrundlage je Zweck, Auftragsverarbeitungsvertrag, Datenschutz-Folgenabschätzung, Löschkonzept, Auskunftsrecht und Meldepflicht bei Vorfällen aus der DSGVO; Mitbestimmung des Betriebsrats aus dem Betriebsverfassungsgesetz, Kompetenzpflicht aus Artikel 4 der KI-Verordnung und Transparenz gegenüber Betroffenen aus beiden Rahmen zusammen.
Welches Dokument belegt welche Pflicht, und wer ist zuständig?
Pflicht Nachweisdokument Übliche Zuständigkeit Verzeichnis der Verarbeitungstätigkeiten Eintrag im Verfahrensverzeichnis Datenschutzbeauftragter Rechtsgrundlage je Zweck Vermerk im Verzeichnis, ein Satz je Zweck Fachbereich mit Datenschutzbeauftragtem Auftragsverarbeitungsvertrag Unterschriebener AVV mit Subunternehmerliste Einkauf, Rechtsabteilung Datenschutz-Folgenabschätzung DSFA-Dokument mit Risikoeinschätzung Datenschutzbeauftragter, Fachbereich Löschkonzept Löschfristentabelle je Datenart IT, Datenschutzbeauftragter Mitbestimmung Betriebsvereinbarung Betriebsrat, Geschäftsführung Kompetenzpflicht KI-Verordnung Schulungsnachweis je Nutzergruppe Personalabteilung, Fachbereich
Was ist die Kompetenzpflicht der KI-Verordnung, und was bedeutet sie im Betrieb?
Artikel 4 der KI-Verordnung verlangt, dass Beschäftigte, die ein KI-System bedienen, über ausreichende Kompetenz verfügen, angepasst an ihre Rolle. Für ein Wissenssystem heißt das praktisch: eine kurze Schulung, die zeigt, wie eine Antwort mit Quelle geprüft wird und wo die Grenzen des Systems liegen, dokumentiert je Nutzergruppe. Was diese Pflicht konkret verlangt und wie ein Schulungsnachweis aussieht, der einer Prüfung standhält, steht in KI-Kompetenzpflicht: Artikel 4 der KI-Verordnung.
Welche Pflicht wird am häufigsten übersehen?
Die Mitbestimmung des Betriebsrats. Ein System, das jede Anfrage protokolliert, kann Verhalten oder Leistung überwachen, und damit greift § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz, unabhängig davon, ob eine Überwachung beabsichtigt ist. Wer den Betriebsrat erst nach der Kaufentscheidung einbindet, verliert Wochen; wer ihn in Woche eins an den Tisch holt, verliert sie nicht. Wie das gelingt, zeigt KI und Betriebsrat im Mittelstand einbinden.
Wie erfülle ich alle zehn Pflichten in einem strukturierten Ablauf?
- Verzeichnis anlegen. Jede Verarbeitung mit Zweck, Datenkategorien, Empfängern und Löschfrist, als lebendes Dokument.
- Rechtsgrundlage je Zweck festhalten. Ein Satz je Verarbeitung, mit Datenschutzbeauftragtem abgestimmt.
- Auftragsverarbeitungsvertrag prüfen und unterschreiben. Mit Subunternehmerliste, vor dem ersten gelesenen Dokument.
- Folgenabschätzung durchführen. Bei neuer KI-Technologie im großen Umfang verpflichtend, in der Praxis meist ohnehin sinnvoll.
- Löschkonzept und Auskunftsprozess einrichten. Fristentabelle je Datenart, ein Ablauf für Auskunftsanfragen binnen Monatsfrist.
- Betriebsvereinbarung mit dem Betriebsrat abschließen. Vor dem Produktivstart, mit Ausschluss der Leistungskontrolle.
- Schulungsnachweis für die Kompetenzpflicht erstellen. Je Nutzergruppe, mit Datum und Inhalt dokumentiert.
Begriffe kurz erklärt
- Kompetenzpflicht
- Pflicht aus Artikel 4 der KI-Verordnung, dass Beschäftigte, die ein KI-System bedienen, über ausreichende, rollenangepasste Kompetenz verfügen.
- Verfahrensverzeichnis
- Register aller Verarbeitungstätigkeiten nach Art. 30 DSGVO, mit Zweck, Kategorien, Empfängern und Fristen je Eintrag.
- Datenschutz-Folgenabschätzung
- Risikoprüfung nach Art. 35 DSGVO vor Einführung einer Verarbeitung mit voraussichtlich hohem Risiko.
- Auftragsverarbeitungsvertrag
- Vertrag nach Art. 28 DSGVO zwischen Verantwortlichem und Auftragsverarbeiter, mit Pflichten und Subunternehmerliste.
Weiterführend
- Welche KI-Lösungen sind DSGVO-konform? und Datenschutz bei KI in der Fertigung.
- EU-Hosting für KI-Lösungen: Anbieterkriterien und Wie hoste ich KI-Systeme rechtskonform?.
- KI-Kompetenzpflicht: Artikel 4 der KI-Verordnung und KI und Betriebsrat im Mittelstand einbinden.
- DSFA für KI-Wissenssysteme und EU-KI-Verordnung: Fahrplan für den Mittelstand.
- Themen-Hub: DSGVO-konforme KI im Maschinenbau und die Leistungsseite Hosting und Wartung.
Häufige Fragen
Welche Pflichten gelten für KI und Datenschutz in der Industrie?
Zehn: sieben aus der DSGVO wie Verzeichnis der Verarbeitungstätigkeiten und Auftragsverarbeitungsvertrag, dazu Mitbestimmung des Betriebsrats, die Kompetenzpflicht der KI-Verordnung nach Artikel 4 und Transparenz gegenüber Betroffenen.
Was ist die Kompetenzpflicht nach Artikel 4 der KI-Verordnung?
Die Pflicht, dass Beschäftigte, die ein KI-System nutzen, über ausreichende, an ihre Rolle angepasste Kompetenz verfügen. Praktisch bedeutet das eine dokumentierte Schulung je Nutzergruppe.
Muss der Betriebsrat bei jedem KI-System zustimmen?
Bei Systemen, die Verhalten oder Leistung überwachen könnten, greift § 87 Abs. 1 Nr. 6 BetrVG, und das trifft auf die meisten Wissenssysteme mit Anfrageprotokoll zu. Eine Betriebsvereinbarung vor dem Produktivstart ist die Regel.
Welches Dokument fehlt am häufigsten bei einer Prüfung?
Der Schulungsnachweis für die Kompetenzpflicht und die Betriebsvereinbarung zur Mitbestimmung, weil beide außerhalb des klassischen Datenschutzrechts liegen und deshalb seltener mitgedacht werden.
Reicht die Datenschutz-Folgenabschätzung für alle zehn Pflichten?
Nein. Sie deckt eine von zehn Pflichten ab. Auftragsverarbeitungsvertrag, Löschkonzept, Betriebsvereinbarung und Schulungsnachweis sind eigene Dokumente mit eigenen Zuständigkeiten.
Welche der zehn Pflichten haben Sie schon dokumentiert, welche fehlen noch?
Rozalia Karbowniczek geht im Erstgespräch die Liste mit Ihnen durch und zeigt, welches Dokument in Ihrem Betrieb zuerst fehlt.
Gespräch vereinbaren →Vom Pilot in den Regelbetrieb: Hosting, Berechtigungen und Rollout je Abteilung stehen auf der Seite KI-Implementierung.
