Ropa Fuer Ki Anwendungen Besonderheiten

---
name: ropa-fuer-ki-anwendungen-besonderheiten
title: 'Verarbeitungstätigkeiten bei lernenden Systemen erfassen'
description: Erstellt Verzeichniseinträge für Training, Suche, Eingaben, Ausgaben und Protokolle eines Systems. Prüft die enge Bias-Ausnahme, Empfänger, Löschfristen und Transfers und trennt geltende Pflichten von Omnibus-Vorschlägen.
author: Klotzkette
author_url: https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/datenschutzrecht/skills/ropa-fuer-ki-anwendungen-besonderheiten
license: Apache-2.0
version: 0.1.0
execution_mode: open
jurisdiction: de
practice: data-protection
language: de
---

# 1. Verarbeitungstätigkeiten bei lernenden Systemen erfassen

## 1. Zweck und Anwendungsfall

Ergänze ein bestehendes Verarbeitungsverzeichnis um die tatsächlichen Datenwege eines Systems. Rechtsstand: 10. September 2026. Keine automatische Rechtsgrundlage oder feste Speicherfrist aus einem Beispiel übernehmen.

## 2. Eingaben

Verträge, Architektur, Datenfluss, Speicherorte, Löschkonzept, Trainingsoptionen und vorhandene Verzeichniseinträge lesen. Zuerst die konkret eingeführte Funktion bearbeiten, nicht das ganze Unternehmen neu inventarisieren.

## 3. Ablauf

1. Tätigkeiten trennen: Anbietertraining, kundenseitige Feinabstimmung, Dokumentensuche, laufende Eingaben, personenbezogene Ausgaben, Sicherheitsprotokolle und Bias-Prüfung. Dieselbe Anwendung kann mehrere Zwecke, Rollen und Fristen haben.
2. Für jede Tätigkeit Verantwortlichen und gegebenenfalls Auftragsverarbeiter bestimmen. Anbieter beziehungsweise Betreiber nach Verordnung (EU) 2024/1689 ist nicht automatisch dieselbe datenschutzrechtliche Rolle.
3. Artikel 6 und gegebenenfalls Artikel 9 der Datenschutz-Grundverordnung prüfen. Eine menschliche Letztentscheidung ist keine Rechtsgrundlage nach Artikel 22 Absatz 2 Buchstabe b. Ein bloßes Abzeichnen schließt Artikel 22 nicht zuverlässig aus.
4. Bei Bias-Korrektur Artikel 4a der Verordnung (EU) 2024/1689 in der Fassung 2026/1744 prüfen: zutreffende Absatz-1- oder Absatz-2-Rolle, strikte Notwendigkeit, keine gleich wirksamen anderen Daten, Nutzungsbeschränkung, Pseudonymisierung und Sicherheit, dokumentierte Zugriffe, keine Weitergabe an andere Parteien sowie frühestmögliche Löschung. Gründe der Unerlässlichkeit und Unzulänglichkeit anderer Daten im Verzeichnis festhalten. Nicht mehr Artikel 10 Absatz 5 alter Fassung verwenden.
5. Artikel 30 Absatz 5 der Datenschutz-Grundverordnung bleibt maßgeblich: Unter 250 Beschäftigten lösen unter anderem regelmäßige Verarbeitung oder sensible Daten die Verzeichnispflicht aus. COM(2025) 501, Verfahren 2025/0130(COD), ist noch keine geltende 750- oder 1000-Beschäftigten-Ausnahme.
6. Pflichtfelder nach Artikel 30 rollenabhängig ausfüllen. Rechtsgrundlage, Modellversion, Folgenabschätzung und Systemstatus als hilfreiche Zusatzfelder kennzeichnen, nicht alles zu gesetzlichen Pflichtspalten erklären.
7. Tatsächliche Empfänger, Unterauftragnehmer, Fernzugriff und Drittlandübermittlung erfassen. Angemessenheitsbeschluss und vertragliche Garantien nach ihrem jeweiligen Anwendungsbereich prüfen; nicht automatisch jedes Instrument kumulieren.
8. Löschung nach Zweck, Anspruchsabwehr und gesetzlichen Pflichten begründen. Mandatsende bedeutet nicht automatische Löschung jeder Aktenkopie. Embeddings, Sicherungen, Trainingskopien und Protokolle ausdrücklich zuordnen.
9. Datenschutz-Folgenabschätzung nach tatsächlichem hohen Risiko beurteilen. Hochrisikofristen aus Artikel 113 verschieben Datenschutzpflichten nicht: relevante Kapitel-III-Abschnitte bei Anhang III ab 2. Dezember 2027, bei Anhang I ab 2. August 2028. Eine Systemklassifikation ergänzt, ersetzt aber nicht das Verzeichnis.
10. COM(2025) 837, Verfahren 2025/0360(COD), bleibt Reformspur. Weder Pseudonymisierung als automatische Anonymisierung noch ein allgemeines Trainingsprivileg vorwegnehmen.

## 4. Quellenpflicht

Artikel 5, 6, 9, 22, 30, 32 und 35 der Datenschutz-Grundverordnung; [Rechtsstandkarte mit amtlichen Verfahren](../../references/digitaler-omnibus-2026.md). Die neue Datenregel ist keine Deepfake-Regel. Entscheidungen zur automatisierten Einzelentscheidung nur ihrer belegten Aussage entsprechend einordnen.

## 5. Ausgabeformat

Liefere ausgefüllte Einträge mit Zweck, Datenarten, Betroffenen, Empfängern, Übermittlungsgrund, Frist und konkreter Sicherheitsreferenz. Anschließend einen kurzen begründeten Änderungsvermerk. Unbekannte Werte als fehlend kennzeichnen statt Standardfristen zu erfinden. Dezimale Gliederung und Times New Roman 11 pt; bei Tabellen druckfähige Spaltenbreite sicherstellen.

## 6. Beispiele

Bei einem Recruiting-System bilden Vorauswahl und Bias-Auswertung unterschiedliche Verarbeitungszwecke. Bei einer Dokumentensuche gehören Eingaben, Suchindex und Sicherheitsprotokolle getrennt ins Löschkonzept; die bloße Zusage „kein Training“ beschreibt diese Datenwege noch nicht.