DSGVO-KI-Self-Check - 43 Prüfpunkte in vier Sektionen.
Dieser DSGVO-Compliance-Test für KI ist ein kostenloses Audit-Tool für die Selbsteinschätzung: ein strukturierter Selbst-Audit entlang der Prüfkriterien des Bayerischen Landesamts für Datenschutzaufsicht zur DSGVO-konformen KI. Sie arbeiten die Punkte einmal durch, vergeben pro Punkt einen Status (erfüllt / teilweise / offen / nicht anwendbar), optional mit Notiz - und bekommen am Ende einen Score je Sektion und eine Lückenliste mit Bezug auf DSGVO- und EU-KI-VO-Artikel.
Alles läuft lokal in Ihrem Browser. Keine Anmeldung, kein Tracking, kein Upload. Ihr Zwischenstand bleibt dabei lokal im Browser gespeichert - öffnen Sie die Seite später erneut, wird er automatisch wieder angeboten. Für die dauerhafte Ablage exportieren Sie die Lückenliste am Ende zusätzlich als Markdown.
Anwendungsprofil
Einordnung
Bevor Sie in die Detail-Prüfung gehen: Welche Rolle spielen Sie überhaupt - und wo greifen DSGVO und EU-KI-VO bei Ihnen?
Wir wissen, ob wir KI-Modelle selbst trainieren oder lediglich als Anwendung einsetzen (Inferenz).
Diese Unterscheidung verändert den Pflichten-Umfang erheblich.
Unsere Rolle (Anbieter, Betreiber, Importeur, Händler) im Sinne der EU-KI-VO ist je System dokumentiert.
Wir haben einen Verantwortlichen für KI-Governance / einen AI Officer benannt - mit Befugnis und Erreichbarkeit.
Beim KI-Einsatz verarbeitete personenbezogene Daten sind erfasst und beschrieben.
Wir kennen die für uns geltenden Fristen aus EU-KI-VO und DSGVO und haben sie im Compliance-Plan terminiert.
02.02.2025 Verbote + KI-Kompetenz · 02.08.2025 GPAI · nach dem Digital Omnibus (2026): 02.12.2027 Hochrisiko Anhang III · 02.08.2028 Anhang I.
Risikomodell & Schutzziele
Sechs Schutzziele, an denen sich Datenschutzrisiken bei KI orientieren - in Anlehnung an die Ethik-Leitlinien der EU-Kommission.
Schutzziel Fairness adressiert: Es gibt keine unvertretbaren Diskriminierungs- oder Ungleichbehandlungs-Risiken.
Schutzziel Autonomie & Kontrolle: Eingriffsmöglichkeiten existieren; rechtswirksame Entscheidungen erfolgen nicht ohne menschliche Kontrolle.
Schutzziel Transparenz: Betroffene werden informiert, KI-Anwendungen werden als solche erkennbar gemacht.
Schutzziel Verlässlichkeit: Halluzinationen, Adversarial-Attacks und Prompt-Injection sind im Risikomodell adressiert.
Schutzziel Sicherheit: Safety (technische Störungen) und Security (unbefugter Zugriff) sind betrachtet.
Schutzziel Datenschutz: Rechtsgrundlage, Zweckbindung, Betroffenenrechte sind explizit im Risikomodell.
Das Risikomodell ist dokumentiert und wird regelmäßig auf Aktualität und Vollständigkeit geprüft.
Einsatz einer KI-Anwendung
Auch wenn Sie kein eigenes Modell trainieren: Sobald Sie eine KI-Anwendung im Betrieb nutzen, gelten substantielle Pflichten.
Zweck der KI-Anwendung ist dokumentiert (z. B. Chatbot, Klassifikation von Beschwerden, Texterzeugung).
Es ist geklärt, ob ein eigenes Modell betrieben oder ein KI-as-a-Service-Anbieter genutzt wird.
Beim KaaS-Modell trägt der Anbieter Verantwortung für Modell, Filter und Vor-/Nachverarbeitung - rechtlich relevant für Betroffenenrechte.
Der Einsatz ist im Verzeichnis der Verarbeitungstätigkeiten eingetragen.
Kategorien personenbezogener Eingabedaten und Rechtsgrundlage sind festgelegt.
Bei besonderen personenbezogenen Daten als Eingabe: Einwilligung oder Ausnahme nach Art. 9 Abs. 2.
Risikomodell für den konkreten Einsatz wurde erstellt.
Umgang mit Halluzinationen und nicht-deterministischen Restrisiken ist festgelegt (z. B. menschliche Prüfung kritischer Outputs).
Informationspflichten gegenüber Betroffenen sind erfüllt (auch bei KI-as-a-Service).
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sind im DS-Mgmt operationalisiert.
AVV mit dem KI-Anbieter (insbesondere bei KaaS) liegt vor.
Drittland-Transfer ist geprüft (Standardvertragsklauseln, Data Privacy Framework, Transfer Impact Assessment).
Vertraglich sichergestellt, dass der KI-Anbieter Eingabe- und Ausgabedaten nicht für eigene Zwecke verwendet (kein Nachtraining, kein Marketing).
Vor Inbetriebnahme wurde ein Freigabetest durchgeführt und dokumentiert.
KI-Datenschutz ist Bestandteil des Schulungsprogramms (rollenspezifisch).
Protokollierung des Einsatzes implementiert; personenbezogene Daten in Logs nur pseudonymisiert.
Anpassungen am Modell im laufenden Betrieb (Updates, neue Funktionen) werden in Risikobeurteilung und Freigabetests berücksichtigt.
Was der Self-Check prüft - und was er nicht leistet.
Der Self-Check ist ein DSGVO-Compliance-Test für KI in Selbst-Regie: Sie arbeiten 43 Prüfpunkte in vier Sektionen durch - Einordnung, Training eigener Modelle, Risikomodell mit sechs Schutzzielen und laufender Einsatz - und vergeben pro Punkt einen Status. Am Ende stehen ein Score je Sektion und eine Lückenliste mit Bezug auf die einschlägigen DSGVO- und EU-KI-VO-Artikel.
Die Struktur folgt der KI-Checkliste des Bayerischen Landesamts für Datenschutzaufsicht (Konsultationsstand v0.9, Januar 2024). Die Behörde hat darin Soll-Ist-Prüfpunkte zur DSGVO-konformen KI veröffentlicht; wir haben sie für den KMU-Kontext kuratiert, zusammengefasst und mit Verweisen auf konkrete DSGVO- und EU-KI-VO-Artikel angereichert. Wer eigene KI-Modelle nicht trainiert (der Regelfall in 10 – 250-Personen-Unternehmen), blendet die Trainings-Sektion aus und arbeitet sich durch die übrigen drei.
Was der Self-Check nicht leistet: ein förmliches oder zertifiziertes Audit, ein Testat oder eine rechtsanwaltliche Einzelfallprüfung. Er ersetzt weder Ihren Datenschutzbeauftragten noch eine Rechtsberatung, sondern macht Handlungsbedarf sichtbar, bevor Sie dorthin gehen. Den rechtlichen Rahmen dazu liefert unser EU-KI-VO-Leitfaden; für die Auswahl datenschutzkonformer Anbieter hilft der Vendor-Check für KI-Anbieter. Für die strukturierte Umsetzung der erkannten Lücken - Inventar, Klassifizierung, Richtlinien, Schulungsnachweise - empfehlen wir den KI-Kompass.
Self-Audit, Kriterien, Abgrenzung - kurz beantwortet.
Was ist ein DSGVO-Self-Check für KI?
Ein DSGVO-Self-Check für KI ist eine strukturierte Selbstprüfung, mit der ein Unternehmen den eigenen Umgang mit personenbezogenen Daten in KI-Anwendungen bewertet. Sie arbeiten Prüfpunkte zu Rollen, Rechtsgrundlage, Betroffenenrechten, Auftragsverarbeitung und Risiken durch und vergeben je Punkt einen Status. Das Ergebnis ist eine Standortbestimmung mit erkannten Lücken - eine Selbsteinschätzung, die eine förmliche Datenschutzprüfung ausdrücklich nicht ersetzt.
Wie prüfe ich, ob unsere KI-Nutzung DSGVO-konform ist?
Verschaffen Sie sich zuerst einen Überblick, welche KI-Werkzeuge im Einsatz sind und welche personenbezogenen Daten dort verarbeitet werden. Prüfen Sie dann je Anwendung Rechtsgrundlage, Zweckbindung, Informationspflichten, Betroffenenrechte, Auftragsverarbeitung und Drittland-Transfer. Der Self-Check auf dieser Seite führt Sie mit 43 Prüfpunkten entlang der BayLDA-Prüfkriterien strukturiert durch diese Fragen und zeigt am Ende offene Lücken - jeweils mit Verweis auf die einschlägigen DSGVO- und EU-KI-VO-Artikel.
Ist ein Self-Check ein offizielles DSGVO-Audit?
Nein. Ein Self-Check ist eine Selbsteinschätzung zur eigenen Standortbestimmung, kein förmliches oder zertifiziertes Audit. Er wird von keiner Behörde geprüft, stellt kein Testat aus und ersetzt weder eine anwaltliche Rechtsberatung noch Ihren Datenschutzbeauftragten. Sein Wert liegt darin, Lücken früh sichtbar und Handlungsbedarf greifbar zu machen - als solide Vorbereitung, bevor Sie in eine förmliche Prüfung oder externe Beratung gehen.
Welche Kriterien prüft ein DSGVO-Check für KI-Systeme?
Dieser Check umfasst 43 Prüfpunkte in vier Sektionen: Einordnung (Rollen, Verantwortliche, betroffene Daten, Fristen), Training eigener Modelle, ein Risikomodell mit sechs Schutzzielen und den laufenden Einsatz einer KI-Anwendung. Grundlage sind die Prüfkriterien des Bayerischen Landesamts für Datenschutzaufsicht, jeder Punkt verknüpft mit konkreten DSGVO- und EU-KI-VO-Artikeln. Die Trainings-Sektion blenden Sie aus, wenn Sie keine eigenen Modelle trainieren - der Regelfall im Mittelstand.
Vom Wissen zur Umsetzung.
KI-Leitlinien-Generator
Geführter Konfigurator für eine interne Mitarbeiter-Richtlinie zur KI-Nutzung - in unter 10 Minuten als Markdown-Vorlage zum Download.
Richtlinie generieren →Prozess-Audit-Checkliste
Strukturierte Bestandsaufnahme der Geschäftsprozesse - in einem halben Tag zur priorisierten Liste der drei besten Automatisierungs-Kandidaten.
Zur Checkliste →Vendor-Check für KI-Anbieter
Fünf Prüfpunkte vor Vertragsabschluss - AVV, Modelltraining-Opt-out, Account-Tier, EU-Region, Berechtigungskonzept. Live-Score und Lückenliste als Markdown-Export.
Zum Vendor-Check →AI-Officer-Probetest
60 Multiple-Choice-Fragen zu EU-KI-VO, DSGVO und Praxis im Unternehmen - 90 Minuten, mit Auswertung pro Themenbereich.
Probetest starten →