Verzeichnis von Verarbeitungstätigkeiten bei KI: Was hineingehört

Muss KI ins Verzeichnis von Verarbeitungstätigkeiten?

Ja, sobald die KI personenbezogene Daten verarbeitet. Art. 30 Abs. 1 DSGVO verpflichtet jeden Verantwortlichen, alle Verarbeitungstätigkeiten zu dokumentieren. Eine KI-Plattform ist dabei kein eigener Zweck, sondern ein Werkzeug: Eingetragen wird, wofür Sie sie nutzen. Die Ausnahme für Organisationen unter 250 Beschäftigten (Art. 30 Abs. 5) greift bei KI im Arbeitsalltag selten, weil die Nutzung nicht nur gelegentlich erfolgt und oft Gesundheits- oder Sozialdaten betrifft.

Welche Angaben verlangt Art. 30 Abs. 1?

Pflichtangabe	Art. 30 Abs. 1	Bei KI typischerweise
Name und Kontakt des Verantwortlichen, des Datenschutzbeauftragten	lit. a	wie in Ihrem übrigen Verzeichnis
Zwecke	lit. b	konkret: Entwürfe von Arztbriefen, Antworten auf Bürgeranfragen, Zusammenfassung von Akten
Kategorien Betroffener und Daten	lit. c	Patienten, Bürger, Beschäftigte; Stammdaten, Gesundheitsdaten, Inhalte von Anträgen, Anmelde- und Protokolldaten
Empfänger	lit. d	KI-Anbieter als Auftragsverarbeiter, seine Unterauftragsverarbeiter, Rechenzentrum, Modellanbieter
Drittlandübermittlungen	lit. e	ob ein Anbieter außerhalb der EU beteiligt ist, mit Garantie (Angemessenheitsbeschluss, Standardvertragsklauseln)
Löschfristen	lit. f	Chats, hochgeladene Dokumente, Protokolle, Sicherungen
Technische und organisatorische Maßnahmen	lit. g	allgemeine Beschreibung, Verweis auf TOMs des Anbieters

Ein Eintrag oder viele?

Die Datenschutzaufsicht empfiehlt, das Verzeichnis nach Zwecken zu gliedern. Für KI heißt das: ein Eintrag je Einsatzfeld mit eigener Rechtsgrundlage und eigenen Datenarten. Ein Sammeleintrag „KI-Plattform“ verdeckt, dass ein Assistent für Arztbriefe Gesundheitsdaten verarbeitet, ein Assistent für Ausschreibungstexte dagegen kaum Personenbezug hat.

Bewährt hat sich eine Zweiteilung:

• Grundeintrag für die Plattform: Anmeldung, Rechte, Protokoll, Betrieb. Betroffene sind die Beschäftigten, Zweck ist der sichere Betrieb.
• Je Anwendung ein Eintrag: Zweck, Datenarten, Rechtsgrundlage und Löschfrist dieser Anwendung, mit Verweis auf den Grundeintrag für Technik und Empfänger.

Beispiel: Eintrag für einen Assistenten für Arztbriefe

• Zweck: Entwürfe für Entlassbriefe aus Befunden und Verlaufsnotizen, Prüfung und Freigabe durch die Ärztin oder den Arzt
• Rechtsgrundlage: Art. 9 Abs. 2 lit. h DSGVO mit dem Behandlungsvertrag und Landesrecht
• Betroffene und Daten: Patienten (Gesundheitsdaten, Stammdaten), Beschäftigte (Kennung, Zeitpunkt der Nutzung)
• Empfänger: Anbieter der KI-Plattform als Auftragsverarbeiter, laut Liste seine Unterauftragsverarbeiter
• Drittland: keine Übermittlung (oder: Anbieter und Garantie nennen)
• Löschung: Entwurf nach Übernahme in die Patientenakte, Protokolle nach der eingestellten Frist
• Maßnahmen: Zugriff nur für die freigegebene Gruppe, Protokoll, Verschlüsselung der Übertragung, Verweis auf TOMs

Welche Lücken sehen Prüfer oft?

• Modellanbieter fehlt als Empfänger, weil nur die Plattform eingetragen ist.
• Löschfristen nur für Chats, nicht für Protokolle und Sicherungen.
• Keine Angabe, ob ein Anbieter aus den USA beteiligt ist.
• Websuche oder andere Zusatzdienste nicht erfasst.
• Kein Bezug zur DSFA, obwohl Gesundheitsdaten verarbeitet werden (DSFA für KI).

Wie geht das mit basebox?

Für Ihr Verzeichnis gibt es eine Vorlage als PDF mit den Angaben zu basebox, dazu die Liste der Unterauftragsverarbeiter und die TOMs, alle auf /sicherheit. In der Liste steht, welche Dienstleister je Betriebsweg beteiligt sind; die Websuche über Staan.ai kommt nur hinzu, wenn Sie sie freischalten. Löschfristen für das Protokoll stellen Sie selbst ein: Das Audit-Log wird standardmäßig 6 Monate aufbewahrt, einstellbar von 3 bis 36 Monaten. Mehr dazu: Protokollierung und Aufbewahrung.

Keine Rechtsberatung: Das Beispiel zeigt eine mögliche Gliederung, keine Musterlösung für Ihr Haus. Rechtsgrundlagen und Fristen hängen von Land, Träger und Einsatz ab. Stand der Recherche: 11. Oktober 2026.