Datenverarbeitungsverzeichnis (VVT) für KI
DefinitionDokumentiert KI-Datenverarbeitung nach DSGVO – wer, was, warum.
Ein Datenverarbeitungsverzeichnis (VVT) für KI ist das DSGVO-Pflichtdokument, in dem Sie strukturiert festhalten, wie Ihr Unternehmen bei KI-Tools personenbezogene Daten verarbeitet – also wer die Daten nutzt, welche Daten es sind, zu welchem Zweck, auf welcher Rechtsgrundlage und mit welchen Schutzmaßnahmen. Für KMU ist es der „Spickzettel“ für Datenschutz, Audits und saubere Entscheidungen bei neuen KI-Anwendungsfällen.
Was bedeutet „VVT“ im KI-Kontext?
Das VVT (auch „Verzeichnis von Verarbeitungstätigkeiten“) ist nach Art. 30 DSGVO ein Überblick über Ihre Verarbeitungstätigkeiten. Sobald Sie KI einsetzen (z. B. für Kundenservice, Marketing, Recruiting oder interne Wissenssuche), entstehen oft neue Datenflüsse: Prompts, Anhänge, Chat-Verläufe, Logdaten, Trainings-/Verbesserungsdaten oder Weitergaben an Cloud-Anbieter. Ein KI-spezifisches VVT macht diese Flüsse transparent und prüfbar.
Wie funktioniert ein VVT für KI in der Praxis?
- 1) KI-Anwendungsfall beschreiben: z. B. „E-Mail-Entwürfe mit ChatGPT“, „Support-Antworten mit Generative KI (Generative AI)“, „Wissenssuche mit RAG (Retrieval-Augmented Generation)“.
- 2) Datenkategorien festhalten: Kundenstammdaten, Kommunikationsinhalte, Bewerberdaten, Mitarbeiterdaten; besonders kritisch: Gesundheitsdaten, Bankdaten, Ausweiskopien.
- 3) Zweck & Rechtsgrundlage dokumentieren: z. B. Vertragserfüllung, berechtigtes Interesse, Einwilligung; inkl. Interessenabwägung, wenn nötig.
- 4) Beteiligte Rollen klären: Verantwortlicher (Sie), Auftragsverarbeiter (KI-Provider), ggf. gemeinsame Verantwortlichkeit; inkl. AVV/DPA und Unterauftragnehmer.
- 5) Empfänger & Drittlandtransfer: Wo werden Daten verarbeitet (EU/USA)? Gibt es SCCs/DPF? Thema [[Data Residency]] und EU-US Data Privacy Framework (DPF) & KI.
- 6) Speicherdauer & Löschkonzept: Wie lange bleiben Prompts/Logs/Dateien beim Tool? Thema Data Retention (Datenaufbewahrung) bei KI-Providern und ggf. Zero Data Retention (ZDR).
- 7) Technische/organisatorische Maßnahmen (TOMs): Zugriffskontrolle, Rollen, Verschlüsselung, Protokollierung, Schulungen, Freigabeprozesse; z. B. PII Redaction (PII-Schwärzung) oder Data Minimization (Datenminimierung).
- 8) Risiken & Folgepflichten prüfen: Brauchen Sie eine Data Protection Impact Assessment (DPIA) für KI? Gibt es Vorgaben aus AI Governance oder EU AI Act?
Konkretes Beispiel für ein KMU
Sie nutzen ein KI-Tool, um eingehende Support-E-Mails zusammenzufassen und Antwortvorschläge zu erstellen. Im VVT steht dann u. a.: Zweck „schnellere Bearbeitung“, Daten „E-Mail-Inhalte inkl. Namen/Bestellnummern“, Empfänger „KI-Provider als Auftragsverarbeiter“, Speicherfristen „Logs 30 Tage“, Schutzmaßnahmen „PII-Schwärzung vor Upload, Zugriff nur Support-Team, regelmäßige Stichproben gegen Halluzinationen (Hallucinations)“.
Warum ist ein KI-VVT für Geschäftsführer wichtig?
Weil Sie damit KI-Einsatz skalierbar und rechtssicher steuern: Sie sehen sofort, welche Tools Daten bekommen, ob Verträge/Standorte passen, wo Risiken liegen und welche Prozesse (z. B. Freigaben, Schulungen) fehlen. Außerdem hilft es bei Kundenfragen („Wie geht ihr mit unseren Daten in KI um?“) und reduziert das Risiko von Datenschutzverstößen durch „Shadow AI“ oder unkontrollierte Prompt-Nutzung.
Was kostet ein VVT für KI?
Wenn Sie nur 1–3 KI-Anwendungsfälle haben, ist ein erstes KI-VVT oft in wenigen Stunden intern erstellbar (Vorlage + Provider-Infos). Externe Unterstützung (Datenschutzberatung) lohnt sich vor allem bei sensiblen Daten, Drittlandtransfer oder wenn eine DPIA nötig wird; die Kosten hängen dann stark von Komplexität und Dokumentationsgrad ab.
- 3 von 5
fehlende KI-Dokumentation
Viele KMU erfassen KI-gestützte Verarbeitung noch nicht sauber im Verzeichnis von Verarbeitungstätigkeiten, was Prüfungen und Betroffenenanfragen erschwert.
- 32%
weniger Audit-Aufwand
Ein strukturiertes VVT für KI verkürzt in der Praxis oft die Vorbereitung auf Datenschutz- und Compliance-Prüfungen, weil Zwecke, Datenkategorien und Empfänger schneller nachweisbar sind.
- 2,1x
schnellere Freigaben
Unternehmen mit dokumentierten KI-Prozessen kommen bei internen Freigaben für neue Use Cases meist deutlich schneller voran, da Risiken, Verantwortlichkeiten und Rechtsgrundlagen bereits beschrieben sind.
KI-gestützten Kundenservice mit einem VVT sauber dokumentieren
Ein KMU führt einen KI-Chatbot für Serviceanfragen auf der Website ein und erfasst im Datenverarbeitungsverzeichnis, welche Kundendaten verarbeitet werden, zu welchem Zweck und wer Zugriff darauf hat. So kann das Unternehmen Datenschutzpflichten strukturiert nachweisen, Auftragsverarbeiter korrekt dokumentieren und Rückfragen von Kunden oder Behörden schneller beantworten.
Bewerber-Screening mit KI datenschutzkonform im HR-Prozess abbilden
Ein mittelständischer Betrieb nutzt KI, um eingehende Bewerbungen vorzusortieren und passende Profile für offene Stellen zu identifizieren. Im VVT wird festgehalten, welche Bewerberdaten verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht und wie lange die Daten gespeichert bleiben, damit der Einsatz der Lösung im Recruiting nachvollziehbar und prüfbar ist.
Marketing-Automation mit KI im VVT für Kampagnen und Lead-Scoring erfassen
Ein KMU setzt KI ein, um Newsletter zu personalisieren und Leads nach Abschlusswahrscheinlichkeit zu bewerten. Durch die Aufnahme dieser Prozesse ins Datenverarbeitungsverzeichnis wird transparent, welche personenbezogenen Daten in die Modelle einfließen, welche Tools beteiligt sind und wie Risiken im Datenschutz frühzeitig erkannt und gesteuert werden.
Häufig gestellte Fragen
Was ist ein Datenverarbeitungsverzeichnis (VVT) für KI?
Das VVT für KI ist das DSGVO-Verzeichnis, das alle KI-bezogenen Verarbeitungstätigkeiten mit personenbezogenen Daten dokumentiert. Es zeigt u. a. Zweck, Datenarten, Rechtsgrundlage, Empfänger (KI-Provider) und Schutzmaßnahmen.
Wann brauche ich ein VVT für KI in meinem Unternehmen?
Sobald Sie KI-Tools einsetzen, bei denen personenbezogene Daten in Prompts, Dateien, Logs oder Ergebnissen vorkommen können, sollten diese Vorgänge im VVT stehen. Spätestens bei Kundendaten, Bewerberdaten oder Mitarbeitendaten ist das praktisch immer relevant.
Wie erstelle ich ein VVT für KI, ohne IT-Abteilung?
Listen Sie zuerst alle KI-Anwendungsfälle und Tools auf, sammeln Sie die Provider-Infos (Speicherfristen, Datenstandorte, AVV/DPA) und dokumentieren Sie Zweck, Datenkategorien und TOMs. Starten Sie klein (1 Use Case) und erweitern Sie das VVT schrittweise.
Welche Angaben müssen im KI-VVT typischerweise drinstehen?
Typisch sind: Zweck, Kategorien betroffener Personen und Daten, Rechtsgrundlage, Empfänger/Provider, Drittlandtransfer, Löschfristen und Sicherheitsmaßnahmen. Zusätzlich sinnvoll bei KI: Prompt-/Log-Handling, Datenminimierung und Freigabeprozesse.
Reicht ein VVT aus oder brauche ich zusätzlich eine DPIA für KI?
Das VVT ist Pflichtdokumentation, eine DPIA ist nur bei erhöhtem Risiko erforderlich (z. B. sensible Daten, umfangreiche Überwachung, automatisierte Entscheidungen mit großer Wirkung). Wenn Sie unsicher sind, ist eine Vorprüfung sinnvoll, bevor Sie den Use Case ausrollen.
Gilt ein VVT für KI auch für kleine Unternehmen und KMU?
Ja, auch KMU brauchen ein Datenverarbeitungsverzeichnis für KI, sobald sie personenbezogene Daten mit KI-Tools verarbeiten. Entscheidend ist nicht die Unternehmensgröße, sondern ob Daten verarbeitet werden, zu welchem Zweck und wie diese Verarbeitung dokumentiert und abgesichert ist.
Welche KI-Tools sollten im VVT für KI erfasst werden?
Im VVT für KI sollten alle Tools auftauchen, die personenbezogene Daten verarbeiten oder darauf zugreifen können – zum Beispiel Chatbots, Transkriptionsdienste, CRM-Automationen, KI-Assistenten oder RAG-Systeme. Auch scheinbar kleine Anwendungsfälle wie E-Mail-Zusammenfassungen oder Meeting-Notizen können relevant sein, wenn dabei Mitarbeiter-, Kunden- oder Bewerberdaten verarbeitet werden.
Ich habe kein IT-Team – kann ich mein VVT für KI trotzdem sauber aufsetzen?
Ja, genau dafür ist meine KI-Beratung & Hilfestellung gedacht: Wir prüfen gemeinsam, welche KI-Anwendungen bei dir wirklich im Einsatz sind, welche Daten dort verarbeitet werden und was dokumentiert werden muss. Du bekommst keine abstrakte Theorie, sondern eine klare Struktur, mit der du auch ohne eigene IT-Abteilung zu einem belastbaren VVT kommst.
Wie finde ich heraus, welche Tools und KI-Prozesse überhaupt in mein VVT gehören?
Mit dem Tech-Gutachten (Setup & Analyse) analysiere ich in kurzer Zeit deine bestehende Tool-Landschaft, Nutzungen, Prozesse und KI-Potenziale. So wird sichtbar, welche Systeme personenbezogene Daten verarbeiten, wo Dokumentationslücken bestehen und was in dein VVT für KI aufgenommen werden sollte.
Ist die Erstellung eines VVT für KI nicht viel zu aufwendig für ein kleines Unternehmen?
Der Aufwand wirkt oft größer, als er ist – vor allem, wenn Tools, Verantwortlichkeiten und Prozesse ungeordnet gewachsen sind. Ich helfe dir dabei, das Thema pragmatisch anzugehen, Prioritäten zu setzen und aus Tool-Chaos eine nachvollziehbare Dokumentation zu machen, statt dich mit Datenschutz-Buzzwords allein zu lassen.
Können Sie auch helfen, wenn wir KI schon nutzen, aber keine saubere Dokumentation haben?
Ja, das ist ein typischer Ausgangspunkt. In meiner Tech-Partnerschaft als externer CTO begleite ich dich dabei, bestehende KI-Nutzung zu prüfen, Risiken zu ordnen, Prozesse nachzuziehen und eine saubere Grundlage für VVT, Tool-Entscheidungen und zukünftige Audits zu schaffen.
Bekomme ich nur Empfehlungen oder auch Unterstützung bei der technischen Umsetzung datenschutzfreundlicher KI-Prozesse?
Du bekommst auf Wunsch beides: strategische Einordnung und konkrete Umsetzung. Mit Tech-Umsetzung auf OrbitOS oder im Rahmen meiner KI-Beratung richte ich Systeme, Automationen und KI-Assistenten so ein, dass Prozesse nicht nur effizient, sondern auch nachvollziehbar und dokumentierbar aufgebaut sind.