Technische und organisatorische Maßnahmen
Der Verantwortliche trifft Maßnahmen, die dem Risiko angemessen sind, um ein dem Risiko entsprechendes Schutzniveau zu gewährleisten (Art. 32 Abs. 1 DSGVO): unter anderem Pseudonymisierung und Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, Wiederherstellung nach einem Zwischenfall und regelmäßige Überprüfung. Art. 25 DSGVO verlangt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen.
Für Deinen KI-Server
- Verschlüsselte Datenplatte, Zugriff nur über Tunnel, persönliche Konten, Trennung je Nutzer, Updates, Protokolle ohne Inhalte, verschlüsselte Sicherungen.
- Die DSK hat 2025 eine Orientierungshilfe zu empfohlenen Maßnahmen für KI-Systeme veröffentlicht.
- Das TOM-Dokument dieses Systems übernimmt Nachweise aus der Rückmeldung des Servers.
Rechtsgrundlagen
- Art. 32 DSGVO
- Art. 25 DSGVO
- § 22 Abs. 2 BDSG
Quellen
- Art. 32 DSGVO Sicherheit der Verarbeitung: dsgvo-gesetz.de, eur-lex.europa.eu
- Art. 25 DSGVO Datenschutz durch Technikgestaltung und Voreinstellungen: dsgvo-gesetz.de, eur-lex.europa.eu
- § 22 BDSG Verarbeitung besonderer Kategorien personenbezogener Daten: www.gesetze-im-internet.de, dsgvo-gesetz.de
- DSK Orientierungshilfe Empfohlene technische und organisatorische Maßnahmen bei der Entwicklung und dem Betrieb von KI-Systemen, 17.06.2025: www.datenschutzkonferenz-online.de, www.baden-wuerttemberg.datenschutz.de
- DSK Orientierungshilfe Datenschutzrechtliche Aspekte generativer KI-Systeme mit RAG, Version 1.0, Oktober 2025: www.datenschutzkonferenz-online.de, www.baden-wuerttemberg.datenschutz.de