KI und Daten — unter deutschem Recht gebaut

Das Prüfpaket

Was Ihre Prüfung von uns bekommt

Diese Seite ist kein Verkaufstext. Sie ist die Liste, die Ihre Datenschutzbeauftragte, Ihre Revision oder Ihre IT-Sicherheit braucht, um eine Entscheidung vorzubereiten.

Wer eine Fachanwendung einkauft, muss sie verantworten. In regulierten Umgebungen heißt das: Jemand muss belegen können, wo die Daten liegen, wer sie sehen kann, was protokolliert wird und was passiert, wenn die Zusammenarbeit endet. Diese Fragen kommen immer — nur meistens erst spät, wenn die Fachabteilung sich schon entschieden hat und die Antwort teuer wird.

Deshalb steht sie hier, vor dem ersten Gespräch. Die folgenden elf Punkte sind die Gliederung der Unterlagen, die Sie von uns bekommen.

Architektur und Betrieb

Welche Bestandteile es gibt, wie sie zusammenhängen und wer sie betreibt. Dazu gehört, welche Teile wir selbst entwickelt haben und welche Fremdbestandteile eingesetzt werden — mit Versionsstand und Herkunft. Wir betreiben, was wir bauen; es gibt keinen Dritten, der dazwischensteht und im Fehlerfall nicht erreichbar ist.

Serverstandort

Deutschland. Kein Ausweichen in andere Regionen, auch nicht für Zwischenspeicher, Protokolle oder Sicherungen. Für Systeme mit KI-Anteil gilt dasselbe: Die Verarbeitung findet auf Maschinen statt, deren Standort wir benennen können — und nicht bei einem Anbieter, dessen Rechenzentren je nach Auslastung wechseln.

Verschlüsselung

Verschlüsselte Übertragung durchgehend, verschlüsselte Ablage für personenbezogene Bestände und für Sicherungen. Die Unterlagen nennen die eingesetzten Verfahren und Schlüssellängen, damit Ihre Prüfung sie gegen den eigenen Katalog halten kann statt gegen eine Zusicherung.

Mandantentrennung

Wie die Daten verschiedener Auftraggeber getrennt sind — technisch, nicht nur organisatorisch. Für Verbünde ist zusätzlich zu klären, wie innerhalb eines Mandanten getrennt wird: Ein angeschlossener Betrieb darf die Zahlen des Nachbarbetriebs nicht sehen, auch wenn beide auf derselben Plattform arbeiten.

Rollen- und Rechtekonzept

Wer darf was, und wie ändert sich das, wenn jemand die Rolle wechselt oder das Unternehmen verlässt. Enthalten sind die vorhandenen Rollen, die Vergabewege und die Frage, wer Rechte vergeben darf — die in der Praxis wichtigste, weil sie über die Wirksamkeit aller anderen entscheidet.

Protokollierung und Auditlog

Was aufgezeichnet wird, wie lange es aufbewahrt wird und wer es einsehen kann. Bei Systemen mit KI-Anteil zusätzlich: welche Eingaben zu welcher Ausgabe geführt haben, soweit das nachvollziehbar zu halten ist. Ohne diese Spur lässt sich im Streitfall nichts belegen — weder von Ihnen noch von uns.

Löschkonzepte

Welche Daten nach welcher Frist verschwinden, und was „gelöscht" in der Praxis heißt: aus der laufenden Datenbank, aus den Sicherungen, aus den Protokollen. Die Fristen sind unterschiedlich, und genau diese Unterschiede sind der Teil, den eine Prüfung sehen will.

Auftragsverarbeitung

Ein Mustervertrag nach Artikel 28 DSGVO liegt bei, zusammen mit der Beschreibung der technischen und organisatorischen Maßnahmen. Sie können ihn vorab prüfen lassen, statt ihn am Tag der Unterschrift zum ersten Mal zu sehen.

Unterauftragnehmer

Eine vollständige Liste mit Zweck und Standort. Sie ist kurz, und das ist Absicht: Jeder zusätzliche Unterauftragnehmer ist eine weitere Stelle, an der Ihre Prüfung ansetzen muss und an der im Fehlerfall jemand auf einen Dritten zeigen kann.

Notfall und Wiederanlauf

Was passiert bei Ausfall, wie lange dauert der Wiederanlauf, wie oft wird gesichert und — die eigentliche Frage — wann wurde die Wiederherstellung zuletzt geübt. Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung.

Ausstieg und Datenexport

Wie Sie Ihre Daten bekommen, wenn die Zusammenarbeit endet: in welchem Format, in welcher Frist, zu welchen Kosten. Wir halten diesen Punkt für den ehrlichsten Prüfstein eines Anbieters. Wer den Ausstieg nicht beschreiben will, baut auf Abhängigkeit.

Setzen Sie KI-Modelle von Drittanbietern ein?

Für personenbezogene Daten nicht: Die verarbeiten wir ausschließlich mit Modellen, die lokal auf Servern in Deutschland laufen. Modelle von Drittanbietern setzen wir nur in Projekten ohne personenbezogene Daten ein, und nur auf Ihre Anfrage.

Wie schnell beantworten Sie eine Auskunft nach Artikel 15?

Innerhalb der gesetzlichen Frist von einem Monat. Technisch ist die Auskunft ein Export, kein Sonderprojekt — die Systeme sind so gebaut, dass sich die Daten einer Person zusammenführen lassen.

Bekommen wir die Unterlagen auch als PDF?

Ja, auf Anfrage per E-Mail an support@wwe-media.de.

Gilt das auch für kleine Vorhaben?

Ja. Die Bedingungen ändern sich nicht mit der Auftragsgröße. Was sich ändert, ist der Umfang der Unterlagen: Für eine Website ohne personenbezogene Verarbeitung sind mehrere Punkte dieser Liste schlicht nicht einschlägig.