Dass bei dir etwas offen ist, heißt nicht, dass du geschlampt hast. Die Pflichten kamen in kurzer Folge: KI-Kompetenz seit Februar 2025, Kennzeichnung von KI-Inhalten seit August 2026. Und ein Handgriff reicht für zwei Lücken: Eine Projektmanagerin kopiert eine Kundenmail in ihr privates ChatGPT. Die Kundendaten liegen jetzt bei einem US-Anbieter ohne Vertrag, für KI geschult wurde sie nie. Der Unterschied liegt darin, wer es jetzt aufräumt.
ThemaMit IfDQIm Alleingang
VerarbeitungsverzeichnisVorlage liegt fertig da, du ergänzt nur deine ToolsLeeres Blatt und die Frage, was da rein muss
Verträge mit DienstleisternWir prüfen jeden einzelnen und holen, was fehlt"Müssten wir mal machen"
Schulung fürs TeamOnline, mit Zertifikat für jeden, auch für neue MitarbeiterDu erklärst es jedem neuen Mitarbeiter selbst
KI-PflichtenUnterweisung und KI-Regeln laufen mitEin zweiter Anbieter mit eigener Rechnung und eigenem Nachweis
DatenschutzbeauftragterOffiziell benannt und bei der Behörde gemeldetNiemand benannt, oder ein Mitarbeiter mit Kündigungsschutz
Wenn eine Beschwerde kommtFester Ansprechpartner, der Behördenbriefe kenntDu suchst einen Anwalt und zahlst nach Stunde
Datenpanne, 72 StundenDer Ablauf liegt fertig in der SchubladeGoogeln am Samstagabend
Nachweis für Audit oder GroßkundenBericht, Verzeichnis und Zertifikate auf AbrufDu sammelst zusammen, was du findest
Ganz ehrlich: Die Verantwortung für den Datenschutz bleibt in beiden Fällen bei deiner Firma. Die Vorbereitung kann dir aber jemand abnehmen.
