IT- / Datenschutzrecht
DSFA Art. 35 DSGVO — Risiko-Matrix
anymize entfernt Mandanten-, Mitarbeiter- und Betroffenen-Klarnamen sowie konkrete Produkt- und System-Bezeichnungen automatisch aus der Verarbeitungs-Beschreibung, bevor sie an GPT, Claude oder Gemini geht — und setzt sie nach der KI-Antwort wieder ein. So strukturieren Sie eine vollständige DSFA nach Art. 35 Abs. 7 DSGVO mit achtdimensionaler Risiko-Matrix in einem Bruchteil der bisherigen Zeit, ohne § 43a BRAO oder § 203 StGB zu berühren.
Schwierigkeit: Spezialist · Datenklasse: Mandantendaten · Letztes Review:
Zur Orientierung gedacht. Die anwaltliche Würdigung im Einzelfall bleibt selbstverständlich bei Ihnen — KI-Outputs sind vor jeder Verwendung zu prüfen. Mehr dazu am Ende.
Anwendungsbereich
Worum geht es hier?
Die Datenschutz-Folgenabschätzung ist kein klassisches Vertragsdokument, aber ein strukturiertes rechtlich-technisches Prüfdokument — und damit das Schwester-Stück zum AVV-Review. Wer eine vollständige DSFA mit Verarbeitungs-Beschreibung, Notwendigkeits- und Verhältnismäßigkeits-Prüfung, achtdimensionaler Risiko-Matrix, technisch-organisatorischen Maßnahmen und Restrisiko-Bewertung manuell strukturiert, sitzt 8–16 Stunden am Skelett. Mit anymize geht die pseudonymisierte Verarbeitungs-Beschreibung an ein Frontier-Modell — Mandantenname, Produktbezeichnung, konkrete System- und Sub-Prozessor-Identitäten verlassen das Haus nicht. Die Strukturierung läuft auf pseudonymisiertem Text. Die juristische Verhältnismäßigkeits-Wertung bei neuartigen Verarbeitungen — Art. 22 DSGVO, Art. 9 Ausnahmegründe, DSK-Blacklist-Abgleich — bleibt anwaltliche Eigenleistung.
Für wen passt das?
Zielgruppe und Kontext
- Rolle
- Fachanwält:in für IT-Recht; externe:r Datenschutzbeauftragte:r mit anwaltlicher Beratungsfunktion; Inhouse-DSB bei Mandanten-Unternehmen ab 250 Mitarbeitenden mit DSB-Pflicht.
- Seniorität
- Berufserfahrung mittel bis Spezialist:in — die DSFA-Bewertung bei neuartigen Verarbeitungen verlangt geübten Blick auf DSK-Blacklist, EDPB-Leitlinie WP 248 rev.01, DSK-OH TOMs Juni 2025 und die Abgrenzung Art.-9-Ausnahmegründe (lit. a–j).
- Kanzleigröße
- Einzelkanzlei mit Datenschutz-Fokus bis Großkanzlei mit Compliance-Praxis; Inhouse-Teams bei Mandanten-Konzernen. Der Effizienz-Hebel ist beim Erst-Setup einer DSFA besonders hoch — wer einmal das Skelett strukturiert hat, kann gegen Folgen-Anpassungen mit deutlich kürzerer Drafting-Zeit reagieren.
- Spezifische Kontexte
- Erstmalige systematische KI-Einführung beim Mandanten (Recruiting-KI, Credit-Scoring, HR-Analytics, Profiling-Systeme); IoT- und Gesundheits-Plattformen mit Art.-9-Daten; biometrische Verfahren; großflächige öffentliche Überwachung; Scoring-Systeme nach Art. 22 DSGVO; Schnittstelle zur Hochrisiko-Einordnung nach Art. 6 KI-VO und FRIA nach Art. 27 KI-VO (ab 02.08.2026).
Die Situation in der Kanzlei
So bringen Sie Tempo und Sorgfalt zusammen
Die DSFA ist der Pflicht-Schritt bei voraussichtlich hohem Risiko (Art. 35 Abs. 1 DSGVO). Die DSK-Blacklist nennt neun Fallgruppen mit DSFA-Pflicht; Art. 35 Abs. 3 zählt drei weitere Regel-Konstellationen auf. Wer eine vollständige DSFA mit den sechs Art.-35-Abs.-7-Pflichtteilen strukturiert, sitzt ohne Vorlage 8–16 Stunden. Wer ChatGPT oder Claude direkt nutzen würde, kommt in Minuten zur Struktur — verletzt aber § 43a BRAO und § 203 StGB, sobald Mandantenname, Produktbezeichnung, konkrete System-Identitäten und Sub-Prozessor-Listen das Haus verlassen. anymize löst genau diesen Konflikt: Mandantenname, Produktnamen, IT-System-Bezeichnungen und Sub-Prozessor-Identitäten werden vor dem KI-Aufruf zu Platzhaltern; die KI-Antwort kommt strukturiert zurück, anymize re-identifiziert. Die juristische Risiko-Bewertung bei neuartigen Verarbeitungen — Art. 22, Art. 9, Verhältnismäßigkeit — bleibt anwaltliche Eigenleistung. Die KI strukturiert; die Wertung trifft die Kanzlei.
Was Sie davon haben
Zeit, Wert, Vertraulichkeit
Zeit pro DSFA-Skelett
~4 Std
Frontier-KI strukturiert die sechs Art.-35-Abs.-7-Pflichtteile inklusive achtdimensionaler Risiko-Matrix in unter 15 Minuten. Anwaltliche Verhältnismäßigkeits-Wertung und Art.-22-/Art.-9-Prüfung kommen wie gewohnt obendrauf.
Mehrwert pro DSFA
€ 800–1.600
Stundensatz IT-Recht (€ 250–450/h) angewandt auf 4 Stunden freigespielte Strukturierungs-Zeit. Bei DSFA-Mandaten mit Pauschal-Honorar wird der Hebel zum Marge- und Durchsatz-Gewinn.
Vertraulichkeit
strukturell
anymize entfernt 40+ Kategorien personenbezogener Daten — Mandantenname, Produktbezeichnung, IT-System-Identifier, Sub-Prozessor-Listen, Mitarbeitende — bevor der Text das Haus verlässt.
Erkennungsrate
>95 %
Dreifach geprüft (Algorithmus + zwei spezialisierte KI-Prüfungen). Restmenge kontrollieren Sie im Vorschau-Modus vor dem KI-Aufruf.
So gehen Sie vor
In 5 Schritten zum Antrag
Art.-35-Pflicht-Check und Mandatskontext erfassen. Ist eine DSFA nach Art. 35 Abs. 1 (voraussichtlich hohes Risiko), Abs. 3 (Regel-Liste) oder DSK-Blacklist (9 Fallgruppen) erforderlich? Welche Betroffenenkategorien? Art.-9-Daten? Neue Technologie (KI-System nach KI-VO)? Falls keine DSFA-Pflicht greift: kein DSFA-Workflow, sondern Art.-35-Nicht-Erforderlichkeits-Memo dokumentieren (Rechenschaftspflicht Art. 5 Abs. 2 DSGVO).
Sie
Art. 35 DSGVO Pflicht-Check · DSK-Blacklist
anymize anonymisiert automatisch. Über 40 Kategorien personenbezogener Daten — Mandantenname, Produktbezeichnung, Abteilungs-Bezeichner, IT-System-Identifier, Sub-Prozessor-Namen, Mitarbeitende, IBANs — werden durch semantische Platzhalter ersetzt. Sie sehen die Vorschau vor dem KI-Aufruf. Bei Art.-9-Daten (Gesundheit, biometrische Daten) empfiehlt sich Vier-Augen-Prinzip auf die Pseudonymisierung.
anymize
§ 43a BRAO Verschwiegenheit · § 203 StGB
Frontier-KI strukturiert. Die pseudonymisierte Verarbeitungs-Beschreibung geht an Ihr gewähltes Modell — GPT, Claude oder Gemini, alle in anymize verfügbar. Mit dem unten stehenden Prompt fragen Sie die sechs Art.-35-Abs.-7-Pflichtteile inklusive achtdimensionaler Risiko-Matrix (Vertraulichkeit, Integrität, Verfügbarkeit, Zweckfremdverwendung, Re-Identifikation, diskriminierende Wirkung, Kontextverlust, automatisierte Entscheidung) ab. Die KI sieht keine Klarnamen — sie arbeitet ausschließlich mit den Platzhaltern.
GPT / Claude / Gemini in anymize
Strukturierung in Minuten
anymize re-identifiziert. Die KI-Antwort kommt mit Platzhaltern zurück; anymize setzt automatisch die Originaldaten wieder ein. Sie erhalten ein DSFA-Skelett, das Sie anwaltlich würdigen: Verhältnismäßigkeits-Wertung bei neuartigen Verarbeitungen, Art.-22-Prüfung bei automatisierten Entscheidungen, Art.-9-Ausnahmegrund-Prüfung (lit. a–j), Restrisiko-Einstufung und Konsultationsentscheidung nach Art. 36 DSGVO.
anymize + Sie
Bidirektionale Anonymisierung · anwaltliche Wertung
Mandanten-Vorlage, DSB-Konsultation und ggf. Art.-36-Konsultation. Bei hohem Restrisiko trotz Maßnahmen: Konsultations-Anfrage an BfDI / LfDI vorbereiten (nach Sitz des Verantwortlichen). DSB-Stellungnahme einholen, Betroffenen-Standpunkt sichten (falls relevant), Beschluss durch Geschäftsleitung des Mandanten. Bei KI-Systemen mit Hochrisiko-Einordnung: FRIA nach Art. 27 KI-VO ab 02.08.2026 komplementär planen.
Sie
Art. 35–36 DSGVO · ggf. Art. 27 KI-VO
Womit Sie arbeiten
So setzen Sie anymize konkret ein
Was anymize tut
- Erkennt 40+ Kategorien personenbezogener Daten — Mandantenname, Produktbezeichnung, IT-System-Identifier, Sub-Prozessor-Namen, Abteilungs-Bezeichner, Mitarbeitende, IBANs — mit über 95 % Erkennungsrate.
- Dreistufige Prüfung: Algorithmische Analyse, dann zwei spezialisierte KI-Prüfungen, die auch Kontext berücksichtigen (z. B. interne Abteilungs-Codes vs. allgemeine Begriffe).
- Bidirektionale Anonymisierung: Platzhalter werden eingesetzt, das Frontier-Modell antwortet mit Kontext, anymize re-identifiziert beim Empfang.
- Daten in deutschen Rechenzentren (Hetzner). Originaldokumente werden nicht gespeichert — nur die Zuordnung Platzhalter ↔ Klarname, mit Aufbewahrungsfrist nach Ihrer Wahl von 24 Stunden bis unbegrenzt.
Was Sie als Anwält:in tun
- Pflicht-Check Art. 35 DSGVO (DSK-Blacklist, Abs. 3 Regel-Liste) — bevor überhaupt eine DSFA gestartet wird.
- Vorschau der Anonymisierung sichten — bei Art.-9-Daten empfehlen wir Vier-Augen-Prinzip auf die Pseudonymisierung.
- Verhältnismäßigkeits-Wertung anwaltlich treffen — bei neuartigen Verarbeitungen ist das ausdrücklich nicht KI-delegierbar.
- Art.-22-Prüfung bei automatisierten Entscheidungen und Art.-9-Ausnahmegrund-Prüfung (lit. a–j) anwaltlich verantworten.
- Restrisiko-Bewertung und ggf. Art.-36-Konsultations-Entscheidung an Mandantschaft kommunizieren.
Daten-Input
Verarbeitungs-Beschreibung (häufig aus ROPA-Vorarbeit nach Art. 30 DSGVO), technische Architektur-Skizze, Datenflussdiagramme, geplanter Tool-Stack, Datenkategorien-Liste, Betroffenen-Schätzung. anymize akzeptiert PDFs, Word-Dokumente, Markdown und Klartext.
Output-Kontrolle
Pseudonymisierter Text geht an die KI. Re-identifiziertes DSFA-Skelett kommt zurück. anymize selbst trifft keine inhaltlichen Aussagen — die Strukturierung leistet das Frontier-Modell, die Verhältnismäßigkeits-Wertung machen Sie.
Freigabeprozess
Sie behalten jederzeit die Hoheit: Pflicht-Check, Sichtung der Anonymisierung, Risiko-Wertung, DSB-Konsultation, Mandanten-Vorlage — alles im üblichen Kanzlei-Workflow. anymize ist der Anonymisierungs-Layer, keine Workflow-Software und kein Ersatz für die anwaltliche Verhältnismäßigkeits-Wertung.
Die KI-Anweisung
Prompt zum Kopieren
So nutzen Sie diesen Prompt:
1. Verarbeitungs-Beschreibung und Architektur-Skizze in anymize einfügen — die Anonymisierung läuft automatisch (Mandantenname, Produktbezeichnung, IT-System-Identifier, Sub-Prozessor-Namen werden zu Platzhaltern).
2. Diesen Prompt kopieren und an die Verarbeitungs-Beschreibung anhängen.
3. In anymize unter „Tools → Reasoning“ auf „Thinking-Modus“ stellen, dann KI-Aufruf starten — der Output kommt re-identifiziert zurück.
4. Die mit [ANWALT-PRUEFUNG] markierten Stellen anwaltlich abarbeiten.
# Rolle
Du bist DSFA-Strukturierungs-Assistenz für eine IT-/Datenschutzrechts-Kanzlei.
Rechtsstand: <heutiges Datum — bitte aktuell ermitteln und hier einsetzen>.
# Aufgabe
Strukturiere für den vorliegenden Verarbeitungsvorgang eine vollständige
Datenschutz-Folgenabschätzung nach Art. 35 Abs. 7 DSGVO mit den sechs
Pflichtteilen (Verarbeitungsbeschreibung, Notwendigkeits- und
Verhältnismäßigkeits-Prüfung, achtdimensionale Risiko-Matrix,
technisch-organisatorische und rechtliche Abhilfemaßnahmen, Restrisiko-
Bewertung, DSB-/Betroffenen-Konsultation).
Liefere ein DSFA-Skelett mit allen Pflicht-Feldern. Die anwaltliche
Verhältnismäßigkeits-Wertung bei neuartigen Verarbeitungen, die
Art.-22-Prüfung und die Art.-9-Ausnahmegrund-Auswahl sind NICHT
deine Aufgabe — markiere die entsprechenden Stellen mit
[ANWALT-PRUEFUNG].
# Inhalt
Teil A — Verarbeitungsbeschreibung
A.1 Zweck und Rechtsgrundlage (Art. 6 DSGVO; bei Art.-9-Daten zusätzlich Art. 9 Abs. 2 lit. a–j — Auswahl mit [ANWALT-PRUEFUNG] markieren)
A.2 Kategorien personenbezogener Daten und Kategorien Betroffener
A.3 Empfänger (intern, extern, Auftragsverarbeiter-Kette)
A.4 Speicherdauer und Löschkonzept
A.5 Drittlandtransfer (Drittland identifiziert? SCC-Modul? TIA-Verweis?)
Teil B — Notwendigkeits- und Verhältnismäßigkeitsprüfung
B.1 Zweckbindung und Datenminimierung (Art. 5 Abs. 1 DSGVO)
B.2 Alternativ-Prüfung (gibt es mildere Mittel?)
B.3 Betroffenenrechte (Transparenz, Auskunft, Löschung, Widerspruch)
B.4 [ANWALT-PRUEFUNG] Verhältnismäßigkeits-Gesamt-Wertung bei neuartigen Verarbeitungen
Teil C — Achtdimensionale Risiko-Matrix
Tabelle mit Spalten: Risiko | Eintrittswahrscheinlichkeit | Schadensausmaß |
Anzahl Betroffener | Umkehrbarkeit | Restrisiko nach Maßnahmen | Ampel
Standard-Risiko-Dimensionen zu prüfen:
- Verletzung der Vertraulichkeit
- Verletzung der Integrität
- Verletzung der Verfügbarkeit
- Zweckfremdverwendung
- Re-Identifikation pseudonymisierter Daten
- Diskriminierende Wirkung (bei KI-/Profiling-Systemen besonders!)
- Kontextverlust
- Automatisierte Entscheidung ohne menschliche Überprüfung (Art. 22 DSGVO — [ANWALT-PRUEFUNG])
Teil D — Abhilfemaßnahmen
D.1 Technische Maßnahmen nach DSK-OH TOMs Juni 2025
D.2 Organisatorische Maßnahmen
D.3 Rechtliche Absicherung (AVV nach Art. 28, SCC, TIA bei Drittlandtransfer)
Teil E — Restrisiko-Bewertung
Grün (kein Restrisiko), Gelb (reduziertes Restrisiko), Rot (Art. 36 Konsultation erforderlich).
Bei Rot: konkrete Konsultations-Empfehlung an die zuständige Aufsicht (BfDI / LfDI nach Sitz).
Teil F — Konsultation und Dokumentation
F.1 DSB-Stellungnahme-Anforderung
F.2 Betroffenen-Standpunkt (Art. 35 Abs. 9 DSGVO, sofern angemessen)
F.3 Art.-36-Konsultations-Entscheidung [ANWALT-PRUEFUNG]
# Format
Markdown. Tabellen für Teil C (Risiko-Matrix) und Teil D (Maßnahmen).
Aufzählungen für Pflichtinhalte. Jede Risiko-Einstufung mit konkreter
Begründung. Bei zitierten Leitlinien (DSK, EDPB) immer Nummer und Datum
nennen oder "Primärquelle zu verifizieren" markieren.
# Verbote
KEINE Verhältnismäßigkeits-Wertung bei neuartigen Verarbeitungen.
KEINE eigenständige Art.-9-Ausnahmegrund-Auswahl.
KEINE Art.-22-Schlussfolgerung ohne [ANWALT-PRUEFUNG].
KEINE pauschale "Hochrisiko"-Einstufung ohne Begründung gegen DSK-Blacklist.
KEINE Bezugnahme auf KI-Modell-Versionen oder Hersteller-Marketing-Aussagen.So sieht der Sachverhalt aus
Pseudonymisierter Eingabetext
Verantwortlicher (Mandant):
[[Unternehmensname-5781]], ca. 1.800 Beschäftigte,
Hauptsitz [[Adresse-5781]].
Datenschutzbeauftragter: [[Vorname-b2e7]] [[Nachname-b2e7]],
Kontakt [[Email-b2e7]].
Vorhaben:
Einführung eines HR-Analytics-Systems [[Produktname-e8a2]] zur
Fluktuations-Prognose. Datenbasis:
- Stamm- und Vergütungsdaten aus dem HR-System [[Produktname-0503]]
- Krankenstand-Historie (Art. 9 DSGVO!)
- Sentiment-Analyse aus internem Messaging [[Produktname-ee4a]]
- Leistungsbewertungs-Daten der letzten 3 Jahre
Ziel:
Risiko-Scores pro Beschäftigtem. Ab Score > 0,7 automatisierte
Auslösung eines Retention-Interviews durch das Team [[Abteilung-1d9e]].
Technische Architektur:
- Datenhaltung auf [[Produktname-7403]] (Cloud-Anbieter EU-Tenant)
- ML-Modell als Managed Service bei [[Unternehmensname-ea87]]
- Integration via API mit [[Produktname-0503]]
Datenlöschung:
- Rohdaten nach 24 Monaten
- Score-Ergebnisse nach 36 Monaten
Betriebsratsbeteiligung nach § 87 BetrVG geplant.
Betroffenen-Standpunkt: nicht eingeholt (Art. 35 Abs. 9 DSGVO).So liefert anymize zurück
Der Antrags-Entwurf
# DSFA — Strukturierter Entwurf
## Teil A — Verarbeitungsbeschreibung
### A.1 Zweck und Rechtsgrundlage
| Feld | Angabe |
|---|---|
| Zweck | Fluktuations-Prognose und Retention-Management |
| Rechtsgrundlage allgemein | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) — Interessenabwägung streng wegen Beschäftigten-Profiling-Kontext |
| Beschäftigten-Datenschutz | § 26 BDSG; bei Krankenstand zusätzlich Art. 9 Abs. 2 lit. b DSGVO (arbeitsrechtliche Pflichten) [ANWALT-PRUEFUNG] |
| Alternativ | Betriebsvereinbarung nach § 26 Abs. 4 BDSG als eigenständige Rechtsgrundlage — dringend empfohlen |
### A.2 Kategorien Daten und Betroffene
| Kategorie | Umfang |
|---|---|
| Stamm- und Vergütungsdaten | ja |
| Leistungsbewertungs-Daten | ja |
| Krankenstand-Historie (Art. 9) | ja — [ANWALT-PRUEFUNG] Ausnahmegrund |
| Sentiment-Daten aus Messaging | ja |
| Betroffene | ca. 1.800 Beschäftigte [[Unternehmensname-5781]] |
### A.3–A.5
- Empfänger: HR-Recruiter, ML-Anbieter [[Unternehmensname-ea87]] als Auftragsverarbeiter
- Speicherdauer: 24 Monate Rohdaten / 36 Monate Score-Ergebnisse
- Drittlandtransfer: bei US-Sitz von [[Unternehmensname-ea87]] [ANWALT-PRUEFUNG] TIA + SCC-Modul 2
## Teil B — Notwendigkeit und Verhältnismäßigkeit
| Prüfung | Stand |
|---|---|
| Zweckbindung | gegeben — Fluktuations-Prognose ist legitimer HR-Zweck |
| Datenminimierung | offen — Sentiment-Analyse aus Messaging ist eingriffsintensiv [ANWALT-PRUEFUNG] |
| Mildere Mittel | Mitarbeiter-Befragung, Exit-Interviews, anonymisierte Aggregat-Auswertung |
| Betroffenenrechte | Transparenz-Pflicht nach Art. 13 DSGVO; Widerspruch nach Art. 21; bei automatisierten Entscheidungen Art. 22 |
| Gesamt-Wertung | [ANWALT-PRUEFUNG] — neuartige Verarbeitung mit Profiling-Charakter |
## Teil C — Achtdimensionale Risiko-Matrix
| Risiko | EW | Schaden | Betroffene | Umkehrbar | Restrisiko n. Maßnahmen | Ampel |
|---|---|---|---|---|---|---|
| Verletzung Vertraulichkeit | mittel | hoch | 1.800 | nein | mittel | gelb |
| Verletzung Integrität | niedrig | mittel | 1.800 | teilweise | niedrig | grün |
| Verletzung Verfügbarkeit | niedrig | niedrig | 1.800 | ja | niedrig | grün |
| Zweckfremdverwendung (Personal-Entscheidung statt Retention) | mittel | hoch | 1.800 | nein | mittel | gelb |
| Re-Identifikation pseudonymisierter Aggregate | niedrig | mittel | 1.800 | nein | niedrig | grün |
| Diskriminierende Wirkung des ML-Modells (Alter, Schwangerschaft) | mittel | hoch | 1.800 | schwer | mittel (mit Bias-Audit) | rot → gelb |
| Kontextverlust (Score ohne Begründung) | hoch | mittel | 1.800 | teilweise | niedrig (mit Erklärbarkeit) | gelb |
| Art.-22-Risiko automatisierte Auslösung | hoch | hoch | 1.800 | nein | mittel (mit menschlicher Vorprüfung) | rot → gelb [ANWALT-PRUEFUNG] |
## Teil D — Abhilfemaßnahmen
### D.1 Technische Maßnahmen (TOMs)
- Pseudonymisierung der Trainings-Daten (DSK-OH TOMs Juni 2025)
- Bias-Audit auf geschützten Merkmalen (Alter, Geschlecht, Schwerbehinderung)
- Erklärbarkeits-Komponente für jeden Score (SHAP / LIME)
- Zugangs-Steuerung auf Score-Ebene (Need-to-know)
- Verschlüsselung at-rest und in-transit
- Drittlandtransfer-Härtung bei [[Unternehmensname-ea87]]: TIA, EU-Key-Management, SCC-Modul 2
### D.2 Organisatorische Maßnahmen
- Betriebsvereinbarung nach § 26 Abs. 4 BDSG als Rechtsgrundlage und Schutzmechanismus
- Menschliche Vorprüfung jeder automatisch ausgelösten Maßnahme (Art. 22 Abs. 3 DSGVO)
- Quartalsweises Bias-Monitoring mit Reporting an DSB
### D.3 Rechtliche Absicherung
- AVV nach Art. 28 DSGVO mit [[Unternehmensname-ea87]]
- TIA-Dokumentation und SCC-Modul 2
- Information der Beschäftigten nach Art. 13 DSGVO
## Teil E — Restrisiko-Bewertung
Ohne Betriebsvereinbarung und ohne Art.-22-Abs.-3-Schutzmaßnahmen: **rot** —
Konsultation nach Art. 36 DSGVO bei LfDI des Sitz-Bundeslandes [[Adresse-5781]]
erforderlich.
Mit Betriebsvereinbarung, Bias-Audit, vorgelagerter menschlicher Entscheidung
und EU-Key-Management bei [[Unternehmensname-ea87]]: **gelb** — keine
Konsultationspflicht, aber laufende Überwachung. [ANWALT-PRUEFUNG]
## Teil F — Konsultation und Dokumentation
| Feld | Angabe |
|---|---|
| DSB-Stellungnahme | anfordern bei [[Vorname-b2e7]] [[Nachname-b2e7]] ([[Email-b2e7]]) |
| Betroffenen-Standpunkt (Art. 35 Abs. 9) | Betriebsrat einbinden; ggf. Beschäftigten-Befragung |
| Art.-36-Konsultation | [ANWALT-PRUEFUNG] — abhängig von der Restrisiko-Einstufung gelb / rot |
[ANWALT-PRUEFUNG: Verhältnismäßigkeits-Wertung bei dieser neuartigen
Beschäftigten-Profiling-Verarbeitung erfolgt anwaltlich auf Basis dieser
Strukturierung. Die KI hat strukturiert, nicht entschieden.]Was das Berufsrecht verlangt
Pflichten — und wie anymize sie abdeckt
§ 43a BRAO Verschwiegenheit
Verarbeitungs-Beschreibungen enthalten Mandanten-interne Prozess-, Produkt- und Sicherheits-Informationen. anymize ersetzt 40+ Kategorien personenbezogener Daten durch Platzhalter, bevor irgendein KI-Anbieter den Text sieht. Mandantenname, Produktbezeichnung, IT-System-Identifier, Sub-Prozessor-Namen, beteiligte Mitarbeitende — alles automatisch erkannt mit über 95 % Erkennungsrate.
§ 43e BRAO Auftragsverarbeitung
Sie schließen einen AVV mit anymize ab. Datenverarbeitung ausschließlich in deutschen Rechenzentren (Hetzner). Originaldokumente speichern wir nicht — nur die Zuordnung Platzhalter ↔ Originaldaten, mit Aufbewahrungsfrist nach Ihrer Wahl. Die Meta-Ironie ist offen: Sie strukturieren die Mandanten-DSFA mit demselben Werkzeug, das Sie selbst nach § 43e BRAO einsetzen.
§ 203 StGB Geheimnisschutz
Indem Mandantenname, Produktbezeichnung und IT-System-Identitäten das Haus nicht verlassen, vermeiden Sie das Offenbarungsproblem grundsätzlich. Die anymize-Mitarbeitenden sind nach § 203 belehrt und sehen ohnehin nur die Zuordnungstabelle, nicht den Inhalt der Verarbeitungs-Beschreibung.
Art. 35 Abs. 7 DSGVO Pflichtteile
Die sechs Pflichtteile (Beschreibung, Notwendigkeit, Risiko, Maßnahmen, Restrisiko, Konsultation) sind nicht verhandelbar — sie sind DSGVO-Pflicht. Die KI strukturiert sie, der Anwalt prüft die Vollständigkeit. Lücken sind nicht „weglassbar“, sondern Mängel.
Art. 22 DSGVO automatisierte Entscheidungen
Bei jeder DSFA mit Profiling- oder Scoring-Anteil ist Art. 22 zu prüfen. Die KI markiert die Stelle mit [ANWALT-PRUEFUNG]; die Wertung — automatisierte Entscheidung mit Rechtswirkung oder „erheblich ähnlich beeinträchtigend“? — trifft die Kanzlei. Das ist ausdrücklich nicht KI-delegierbar.
Art. 9 DSGVO Ausnahmegründe
Werden besondere Datenkategorien verarbeitet (Gesundheit, biometrische Daten, ethnische Herkunft), ist die präzise Auswahl des Ausnahmegrunds (lit. a–j) anwaltliche Eigenleistung. Häufige Verwechslung: Art. 9 Abs. 2 lit. b (arbeitsrechtliche Pflichten) vs. lit. h (Gesundheitsversorgung). Die KI darf nicht das letzte Wort haben.
DSK-Blacklist und neuartige Verarbeitungen
Die DSK-Blacklist führt neun Fallgruppen mit DSFA-Pflicht auf. Bei echten Neuartigkeiten (generative KI in HR-Entscheidungen, neuartige Biometrie-Verfahren) ist die DSFA-Wertung anwaltlich — die KI darf hier strukturieren, aber nicht klassifizieren. Halluzinierte Blacklist-Nummern („Nr. 11“ gibt es nicht) sind ein Pflicht-Stopp im Citation-Check.
Datenschutz und Vertraulichkeit
So funktioniert das mit anymize
Die juristisch entscheidende Frage bei der DSFA-Strukturierung: Sieht der KI-Anbieter den Mandantenname, die Produktbezeichnung, die IT-System-Identitäten und die Sub-Prozessor-Listen? Antwort mit anymize: nein. Mandantenname, Produktbezeichnung, IT-System-Identifier, Sub-Prozessor-Namen, Abteilungs-Bezeichner und beteiligte Mitarbeitende werden vor dem KI-Aufruf durch Platzhalter ersetzt; nach der KI-Antwort identifiziert anymize zurück. Verarbeitung in deutschen Rechenzentren (Hetzner), AVV nach Art. 28 DSGVO und § 43e BRAO ist Teil des Standardvertrags, Originaldokumente werden nicht gespeichert. Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Mandatsvertrag); bei DSFAs zu Verarbeitungen mit Art.-9-Daten — etwa Gesundheits-Plattformen oder Biometrie-Systeme — zusätzlich Art. 9 Abs. 2 lit. f i.V.m. § 43a BRAO. Mandanten-Klarnamen werden aus dem KI-Kontext gehalten, was § 203 StGB strukturell entlastet. Die EDPB Opinion 28/2024 erkennt funktionale Anonymität gegenüber Cloud-Diensten an — anymize setzt diese funktionale Anonymität operativ um.
Was anymize konkret leistet
- Erkennt Mandantenname, Produktbezeichnung, IT-System-Identifier, Sub-Prozessor-Namen, Mitarbeitende und IBANs mit über 95 % Genauigkeit.
- Ersetzt sie durch semantische Platzhalter, bevor die Verarbeitungs-Beschreibung an GPT, Claude oder Gemini geht.
- Re-identifiziert die KI-Antwort automatisch — Sie sehen das DSFA-Skelett mit den richtigen Klarnamen zurück.
- Verarbeitung in deutschen Rechenzentren (Hetzner). AVV nach Art. 28 DSGVO mit § 43e BRAO-Erklärung im Standardvertrag.
- Originaldokumente werden nicht gespeichert — nur die Zuordnung Platzhalter ↔ Klarname, mit Aufbewahrungsfrist nach Ihrer Wahl von 24 Stunden bis unbegrenzt.
Sicherheitscheck vor der Einreichung
Was anymize liefert — was Sie souverän entscheiden
Vor dem KI-Aufruf
- Art.-35-Pflicht-Check abgeschlossen (DSK-Blacklist, Abs. 3 Regel-Liste, Abs. 1 Schwellwert)?
- Verarbeitungs-Beschreibung vollständig — Zweck, Datenkategorien, Empfänger, Speicherdauer?
- Anonymisierungs-Vorschau gesichtet — Produkt- und System-Identitäten vollständig anonymisiert?
- Bei Art.-9-Daten: Vier-Augen-Prinzip auf die Pseudonymisierung?
Nach der KI-Antwort
- Re-Identifikation korrekt — alle Platzhalter zurückgesetzt?
- Alle sechs Art.-35-Abs.-7-Pflichtteile abgedeckt?
- Achtdimensionale Risiko-Matrix konsistent — keine Dimension ausgelassen?
- Citation-Check bei zitierten DSK-/EDPB-Leitlinien (Nummer + Datum)?
- [ANWALT-PRUEFUNG]-Markierungen anwaltlich abgearbeitet?
Vor der Mandanten-Vorlage
- Verhältnismäßigkeits-Wertung bei neuartigen Verarbeitungen anwaltlich getroffen?
- Art.-22-Prüfung bei automatisierten Entscheidungen durchgeführt?
- Art.-9-Ausnahmegrund präzise zitiert (lit. a–j)?
- Restrisiko-Einstufung mit Art.-36-Konsultations-Entscheidung verknüpft?
- Bei Hochrisiko-KI-System: FRIA nach Art. 27 KI-VO (ab 02.08.2026) komplementär eingeplant?
Typische Fehlermuster — und wie anymize gegensteuert
- →KI halluziniert DSK-Blacklist-Nummern („Nr. 11“ oder „Nr. 12“ — die Blacklist hat 9 Fallgruppen). Citation-Check zwingend.
- →KI verwechselt Art. 9 Abs. 2 lit. b (arbeitsrechtlich) und lit. h (Gesundheitsversorgung). Die präzise Auswahl ist anwaltlich.
- →KI vergisst die Art.-22-Prüfung bei verdeckter Teilautomatisierung („Score-basierte Vorauswahl“) — der Prompt setzt explizite [ANWALT-PRUEFUNG]-Marker; bei Verstoß den Output verwerfen.
- →KI gibt Restrisiko-Einstufung „gelb“ ohne dokumentierte Maßnahmen — Restrisiko-Einstufung ohne Maßnahmen-Begründung ist nicht belastbar.
- →KI verwechselt Art.-35-DSGVO-DSFA und Art.-27-KI-VO-FRIA — beide sind komplementär, nicht identisch. Bei Hochrisiko-KI-Systemen ab 02.08.2026 sind beide erforderlich.
Rechtsgrundlagen
Normen, Urteile, Belege
Primärnormen
- Datenschutz-Folgenabschätzung — insbesondere Abs. 7 Pflichtteile
- Vorherige Konsultation der Aufsichtsbehörde
- Besondere Kategorien personenbezogener Daten — Abs. 2 lit. a–j
- Automatisierte Entscheidungen im Einzelfall einschließlich Profiling
- Sicherheit der Verarbeitung — TOMs
- Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses
- Art. 27 FRIA (ab 02.08.2026) komplementär zur DSFA
Berufsrechtliche Grundlagen
- Anwaltliche Verschwiegenheit
- Auftragsverarbeitung und IT-Auslagerung
- Verletzung von Privatgeheimnissen
Sekundärquellen
- Leitlinie zur DSFA-Methodik
- Neun Fallgruppen mit DSFA-Pflicht — DSK-Website
- Technische und organisatorische Maßnahmen bei KI-Systemen
- AI-/Modell-Verarbeitung und funktionale Anonymität
- Mandantentransparenz und KI-Einsatz
- KI in der anwaltlichen Praxis
Stand: · Nächste Überprüfung:
Hinweis zur Nutzung
Zur Orientierung — nicht als Mandatsersatz
Diese Anleitung beschreibt einen Arbeitsablauf, den Sie mit anymize umsetzen können. Sie ist zur Orientierung gedacht und ersetzt weder die anwaltliche Würdigung im Einzelfall noch eine fachanwaltliche Prüfung. Welche Rechtsprechung einschlägig ist, wie der Sachverhalt rechtlich zu bewerten ist, welche Anträge in Ihrem konkreten Mandat richtig sind — das bleibt selbstverständlich bei Ihnen.
KI-Outputs müssen vor jeder Verwendung anwaltlich geprüft werden. Insbesondere Urteils-Aktenzeichen, Norm-Verweise und Fristen sind gegen Primärquellen zu verifizieren. anymize gewährleistet die Vertraulichkeit der Mandantendaten gegenüber dem KI-Anbieter; die fachliche Richtigkeit des Outputs liegt in Ihrer Verantwortung.
Jetzt starten.
14 Tage kostenlos testen.
Alle Modelle. Alle Features. Keine Kreditkarte.
Wir sind überzeugt von anymize. Und wir wissen: Bei einem KI-Werkzeug, das Mandanten-, Patienten- oder Mitarbeiter-Daten berührt, reicht ein Demo-Video nicht. Deshalb 14 Tage voller Zugang – alle Modelle, alle Features, keine Kreditkarte. Genug Zeit, um sicher zu sein, bevor du uns vertraust.
Dein KI-Arbeitsplatz wartet.