Datenschutz­beauftragter:
DSGVO umsetzen, KI-Einsatz datenschutz­konform begleiten

Tag 1 · KI-Governance, IT-Schutz und Rolle des Datenschutz­beauftragten

1. 01

   EU AI Act, KI-Assistenten und Datenschutz

   Ob ein KI-Tool eingeführt werden darf, entscheidet sich an der Schnittstelle von KI-Verordnung und DSGVO. Als Datenschutzbeauftragter bringst du beides zusammen. Dein Werkzeug: das Working Paper „Navigieren in der digitalen Landschaft: KI, ChatGPT und Datenschutz“.

   • Risikoklassen der KI-Verordnung: verbotene Praktiken (Art. 5), Hochrisiko-KI (Art. 6, Anhang III) und Transparenzpflichten (Art. 50)
   • Betreiberpflichten nach Art. 26 und KI-Kompetenz nach Art. 4 KI-Verordnung
   • Rechtsgrundlage für KI-Einsatz und Training nach Art. 6 DSGVO
   • Datenschutz-Folgenabschätzung nach Art. 35 DSGVO für KI-Projekte, verzahnt mit Art. 26 Abs. 9 KI-Verordnung
   • KI-Richtlinie für den Einsatz von Large Language Models im Unternehmen
   • Auftragsverarbeitung und Drittlandtransfer bei KI-Diensten (Art. 28, 44 ff. DSGVO)

   Seit 02.08.2026 · ab 02.12.2027: Transparenzpflichten nach Art. 50 KI-Verordnung gelten seit dem 02.08.2026; die Pflichten für Hochrisiko-KI nach Anhang III, etwa im Personalbereich, gelten nach der Änderung durch VO (EU) 2026/1744 ab dem 02.12.2027.

2. 02

   IT-Governance: Schutzbedarf, TOMs und Datenpannen

   Datenschutz ohne Informationssicherheit bleibt Papier. Du bewertest den Schutzbedarf und weißt, was zu tun ist, wenn etwas schiefgeht. Dein Werkzeug: das Toolkit zur Risikoanalyse des IT-Schutzbedarfs.

   • Schutzbedarfsfeststellung und Risikoanalyse nach Art. 32 DSGVO
   • Technische und organisatorische Maßnahmen auswählen, dokumentieren und wirksam prüfen
   • Datenpannen: Meldung binnen 72 Stunden (Art. 33 DSGVO) und Benachrichtigung der Betroffenen (Art. 34 DSGVO)
   • Schnittstellen zur Informationssicherheit: BSIG für NIS2-Einrichtungen, DORA im Finanzsektor
   • Cloud-Dienste wie Microsoft 365 und Azure: Risiken bewerten und Konfiguration prüfen
   • Zusammenarbeit mit Informationssicherheitsbeauftragtem und CISO

   Seit 06.12.2025 (BSIG): Besonders wichtige und wichtige Einrichtungen ergreifen Risikomanagementmaßnahmen nach § 30 BSIG und melden erhebliche Sicherheitsvorfälle an das BSI (§ 32 BSIG) – parallel zur Meldung von Datenpannen nach Art. 33 DSGVO.

3. 03

   Stellung, Aufgaben und Haftung des Datenschutz­beauftragten

   Deine Wirkung hängt davon ab, wie klar Stellung, Ressourcen und Berichtswege geregelt sind. Und davon, dass du deine Tätigkeit nachvollziehbar dokumentierst. Dein Werkzeug: die Governance-Vorlagen.

   • Benennungspflicht nach Art. 37 DSGVO und § 38 BDSG; berufliche Qualifikation und Fachwissen nach Art. 37 Abs. 5 DSGVO
   • Weisungsfreiheit, Ressourcen und Abberufungsschutz (Art. 38 DSGVO, § 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG; EuGH, Urteil vom 22.06.2022, C-534/20)
   • Interessenkonflikte vermeiden (EuGH, Urteil vom 09.02.2023, C-453/21)
   • Aufgaben nach Art. 39 DSGVO: unterrichten, beraten, überwachen
   • Berichte an die Geschäftsleitung und Dokumentation der eigenen Tätigkeit
   • Schadensersatz nach Art. 82 DSGVO (EuGH, Urteil vom 04.05.2023, C-300/21) und Bußgelder nach Art. 83 DSGVO

Tag 2 · Datenschutz in Vertrieb, HR und Compliance

1. 04

   Datenschutz im Vertrieb: Werbung, Tracking und Drittland­transfer

   Im Vertrieb treffen Kundennähe und Datenhunger aufeinander. Du zeigst, wie Marketing funktioniert, ohne Einwilligungen und Transparenz zu verlieren. Dein Werkzeug: der Datenschutz-Leitfaden für kundenorientierten Vertrieb und HR.

   • Werbung und Einwilligung: Art. 6 und 7 DSGVO, § 7 UWG und berechtigtes Interesse
   • Cookies und Tracking nach § 25 TDDDG
   • CRM, Lead-Generierung und Newsletter datenschutzkonform gestalten
   • Profiling und Predictive Analytics: Transparenz und Grenzen nach Art. 22 DSGVO
   • Drittlandtransfer: EU-US Data Privacy Framework, Standardvertragsklauseln und Transfer Impact Assessment
   • Data Act: Zugang zu Daten vernetzter Produkte und Verhältnis zur DSGVO

   Seit 12.09.2025 (Data Act): Die VO (EU) 2023/2854 regelt den Zugang zu Daten vernetzter Produkte; bei personenbezogenen Daten bleibt die DSGVO maßgeblich.

2. 05

   Beschäftigten­datenschutz von der Bewerbung bis zum Austritt

   Beschäftigtendaten sind besonders sensibel, und die Rechtsgrundlagen sind seit 2023 im Fluss. Du berätst HR und Betriebsrat auf belastbarer Grundlage. Dein Werkzeug: der Datenschutz-Leitfaden für kundenorientierten Vertrieb und HR.

   • Art. 88 DSGVO und § 26 BDSG nach dem Urteil des EuGH vom 30.03.2023 (C-34/21)
   • Bewerbung bis Austritt: Datenminimierung und Löschfristen
   • E-Mail, Homeoffice und IT-gestützte Leistungskontrolle; Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG
   • Betriebliches Eingliederungsmanagement und Gesundheitsdaten (Art. 9 DSGVO)
   • KI im Personalbereich: Hochrisiko-KI nach Anhang III Nr. 4 KI-Verordnung
   • Auskunftsersuchen von Beschäftigten nach Art. 15 DSGVO bearbeiten

   Ab 02.12.2027 (KI-Verordnung): KI-Systeme für Einstellung, Auswahl und Leistungsbewertung von Beschäftigten sind Hochrisiko-KI nach Anhang III Nr. 4; Betreiber haben dann die Pflichten nach Art. 26.

3. 06

   Daten­verarbeitung für Compliance-Zwecke und Datenschutz-Audit

   Compliance braucht Daten – aber nicht alle und nicht um jeden Preis. Du ziehst die Grenze und bereitest dein Haus auf Prüfungen vor. Dein Werkzeug: die Audit-Fragen und Datenschutz-Checks.

   • Screening und Monitoring: Grenzen bei internen Untersuchungen und Betrugsprävention
   • Interne Untersuchungen datenschutzkonform planen und begrenzen
   • Hinweisgebersysteme: Vertraulichkeit nach § 8 HinSchG und Rechte der Betroffenen
   • Sanktions- und PEP-Screening auf geeigneter Rechtsgrundlage
   • Schnittstellen zwischen Datenschutzbeauftragtem, IT, HR, Compliance und Geschäftsleitung
   • Datenschutz-Audit vorbereiten: Verzeichnis von Verarbeitungstätigkeiten (Art. 30) und Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO)