| name | dsgvo-compliance-bausteine |
| title | DSGVO-Compliance-Bausteine |
| description | DSGVO-Textbausteine für KI-Nutzungsrichtlinien in Kanzleien: Anwendungsfall Kanzlei erstellt oder aktualisiert KI-Richtlinie und benoetigt prazise datenschutzrechtliche Formulierungen. Art. 2 Abs. 1 DSGVO Anwendungsbereich, Art. 6 DSGVO Rechtsgrundlage, Art. 9 DSGVO besondere Kategorien, Art. 28 DSGVO AVV. Prüfraster Datenminimierung, Zweckbindung, Drittlandtransfer, Anonymisierung, AVV-Pflicht, Löschkonzept. Output DSGVO-Bausteine-Sammlung anpassbar für Kanzlei-Profil mit Normreferenzen. Abgrenzung zu Auftragsverarbeitungsvertrag-Prüfen und zu Anonymisierung-Pseudonymisierung. |
| author | Klotzkette |
| author_url | https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/ki-richtlinie-kanzleien/skills/dsgvo-compliance-bausteine |
| license | Apache-2.0 |
| version | 0.1.0 |
| execution_mode | open |
| jurisdiction | de |
| practice | data-protection |
| language | de |
DSGVO-Compliance-Bausteine
Der datenschutzrechtliche Teil einer KI-Nutzungsrichtlinie muss die Grundsätze der DSGVO kohärent auf den Einsatz von KI-Systemen in der Kanzlei übertragen. Da KI-Systeme regelmäßig personenbezogene Daten verarbeiten, kommt Art. 2 Abs. 1 DSGVO zur Anwendung, was umfangreiche Dokumentations- und Rechtfertigungspflichten auslöst.
Rechtlicher Hintergrund
Zentrale Normen: Art. 2 Abs. 1 DSGVO (Sachlicher Anwendungsbereich), Art. 5 DSGVO (Grundsätze der Verarbeitung: Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung), Art. 6 DSGVO (Rechtmäßigkeit der Verarbeitung, insbesondere Art. 6 Abs. 1 lit. a Einwilligung, lit. b Vertragsdurchführung, lit. f berechtigtes Interesse), Art. 9 DSGVO (besondere Kategorien sensibler Daten), Art. 15 DSGVO (Auskunftsrecht Betroffener), Art. 28 DSGVO (Auftragsverarbeitung), Art. 44 ff. DSGVO (Drittlandtransfer, Angemessenheitsbeschluss USA, Standardvertragsklauseln, Transfer Impact Assessment). Art. 82 DSGVO begründet die Schadensersatzhaftung.
Vorgehen
- Anwendungsbereich prüfen: Werden personenbezogene Daten in KI-Systeme eingegeben? Wenn ja, gilt die DSGVO vollumfänglich.
- Erlaubnistatbestand bestimmen: Welcher Erlaubnisgrund nach Art. 6 DSGVO greift für den konkreten Verarbeitungsvorgang?
- Besondere Kategorien identifizieren: Bei Gesundheitsdaten, Strafverfahrensdaten, ethnischer Herkunft etc. ist Art. 9 DSGVO zu beachten (Ausnahme: Art. 9 Abs. 2 lit. f für Rechtsansprüche).
- Auftragsverarbeitungsvertrag abschließen: Mit jedem KI-Dienstleister, der personenbezogene Daten verarbeitet, ist ein AVV nach Art. 28 DSGVO zu schließen.
- Drittlandtransfer prüfen: Bei US-amerikanischen Anbietern: Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework), Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO oder Transfer Impact Assessment (TIA) nach Art. 46 DSGVO.
- Datenminimierung und Anonymisierung: Vor dem Upload von Dokumenten maximale Anonymisierung durchführen; nur die für die KI-Aufgabe notwendigen Daten eingeben.
Vorlagentext / Bausteine
Baustein DSGVO-Grundsätze:
Die Kanzlei stellt sicher, dass beim Einsatz von KI-Systemen die Grundsätze des Art. 5 DSGVO eingehalten werden: Personenbezogene Daten werden nur für festgelegte, eindeutige und legitime Zwecke erhoben (Zweckbindung) und beschränkt auf das notwendige Minimum (Datenminimierung). Mitarbeitende sind angewiesen, keine personenbezogenen Daten in KI-Systeme einzugeben, die nicht für die jeweilige Aufgabe erforderlich sind.
Baustein Erlaubnistatbestand:
Die Verarbeitung personenbezogener Daten durch KI-Systeme erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung mit dem Mandanten) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Kanzlei an effizienter Rechtsdienstleistung), soweit nicht im Einzelfall eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO erforderlich ist. Sensible Daten nach Art. 9 Abs. 1 DSGVO werden nur auf Grundlage von Art. 9 Abs. 2 lit. f DSGVO verarbeitet, wenn dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
