Ein praktischer Rahmen für DSGVO- und EU-AI-Act-Compliance

Das Inventar beantwortet vier Fragen: Welche personenbezogenen Daten werden erhoben, auf welcher Rechtsgrundlage verarbeitet, wohin fließen sie und wie lange werden sie aufbewahrt. Am schwersten ist in der Praxis die dritte — Daten gelangen in den meisten Organisationen an mehr Orte als erwartet: Logs, Analysewerkzeuge, Backups und Supportsysteme. Fehlen diese Pfade, ist das Inventar im Audit unvollständig.

Es bedeutet nicht, dass das System verboten ist, sondern dass es dokumentationspflichtig wird. In der Hochrisikoklasse werden Risikomanagementprozess, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz und menschliche Aufsicht verbindlich. Jede dieser Anforderungen berührt die Architektur — die Einstufung ans Ende der Entwicklung zu schieben heißt, ein fertiges System neu zu schreiben.

Nein; der Bedarf ergibt sich aus Datenart und Übermittlungsvoraussetzungen. On-Premises ist richtig, wenn besondere Kategorien personenbezogener Daten verarbeitet werden, wenn Daten das Land nicht verlassen dürfen oder wenn das System auch bei einem Ausfall weiterlaufen muss. Sonst lassen sich Regionswahl, Verschlüsselung, Zugriffsrechte und Aufbewahrung vertraglich regeln. Die Entscheidung gehört vor den Architekturbeginn.