Öffentliches Portfolio
Website, veröffentlichte Inhalte und ein KI-Tourguide.
- KI-Einsatz verständlich kennzeichnen.
- Besucherdaten und Chat-Eingaben berücksichtigen.
- Keine internen Datenbestände anbinden.
Recht, Datenschutz & Ethik
KI einsetzen.
Daten schützen.
Verantwortung klären.
Wie ich verantwortliche KI in meinem Projekt plane – von der Datenquelle bis zur menschlichen Freigabe.
Welche Regeln gelten? Welche Daten dürfen wohin? Und was muss vor einem echten Kundeneinsatz nachgewiesen sein?
Die Freigabe beginnt
vor dem ersten Prompt.
- Zweck und Verantwortung klären.
- Daten und Verarbeitungswege prüfen.
- Entscheidungen nachvollziehbar festhalten.
Diese Seite beschreibt meinen Beratungsansatz und den erkennbaren Projektstand. Sie ist kein Nachweis einer abgeschlossenen rechtlichen oder technischen Freigabe.
01 · Den Einsatz einordnen
Eine Arbeitsprobe ist noch kein Bankbetrieb.
Die Anforderungen richten sich nach dem tatsächlichen Zweck, den Daten und den beteiligten Rollen. Deshalb unterscheide ich drei Situationen.
Abgegrenzter Pilot
Ein Berichtsteil mit vereinbarten Zielen und Testdaten.
- Datenfreigabe vor dem Start.
- Prüfrollen und Qualitätskriterien festlegen.
- Zunächst synthetische oder geeignete öffentliche Daten nutzen.
Echter Bankbetrieb
Vertrauliche Informationen und betriebliche Abhängigkeiten.
- Datenschutz, IT und Compliance einbinden.
- Anbieter, Verträge und Ausfallwege prüfen.
- Freigabe für den konkreten Umfang dokumentieren.
Meine vorläufige Einordnung: Recherche und Nachhaltigkeitsberichtsentwürfe werden nicht allein durch den Einsatz in einer Bank zu Hochrisiko-KI. Kreditwürdigkeitsbewertungen natürlicher Personen oder Personalentscheidungen können eine andere Einstufung erfordern. Zweckänderungen lösen eine neue Prüfung aus. [1]
02 · EU AI Act & Kennzeichnung
KI erkennbar machen. Zuständigkeit festhalten.
Der Zeitplan wurde 2026 geändert. Für meinen öffentlichen Auftritt sind insbesondere die bereits anwendbaren Transparenzregeln wichtig. [1]
Seit 02.02.2025
KI-Kompetenz
Maßnahmen zur Unterstützung der KI-Kompetenz; ursprüngliche Verbote.
Seit 02.08.2026
Transparenz
Artikel 50: KI-Interaktion und bestimmte synthetische Inhalte kenntlich machen.
Ab 02.12.2027
Hochrisiko · Anhang III
Zentrale Pflichten für die dort erfassten Anwendungen.
Ab 02.08.2028
Hochrisiko · Produkte
Entsprechende Pflichten für erfasste produktbezogene Systeme.
Für bestimmte vor dem 02.08.2026 angebotene Systeme gilt zur technischen Kennzeichnung nach Art. 50 Abs. 2 eine Übergangsfrist bis 02.12.2026. Dies verschiebt nicht allgemein die sichtbaren Nutzerhinweise. [1]
Was auf meiner Website sichtbar sein soll
- Chatbot: „KI-gestützter Portfolio-Assistent“ vor oder bei der ersten Interaktion.
- Realistische KI-Bilder: ein Hinweis direkt an erfundenen Beratungsszenen; diese können unter die Deepfake-Regel fallen.
- Öffentliche Texte: Anwendungsbereich und Ausnahme bei menschlicher Prüfung, redaktioneller Kontrolle und Verantwortung dokumentieren.
Nicht jeder KI-korrigierte Satz ist kennzeichnungspflichtig. Maschinenlesbare Kennzeichnung durch Systemanbieter und sichtbare Hinweise sind getrennt zu prüfen. [2]
Vorschlag für den Chat-Einstieg
KI-gestützter Portfolio-Assistent
Ich bin ein KI-gestützter Assistent für Annettes öffentliche Projektseiten. Meine Antworten können Fehler enthalten.
Bitte gib keine Kunden-, Personal-, Konto- oder sonstigen vertraulichen Daten ein.
Dazu gehört ein erreichbarer Datenschutzhinweis mit tatsächlichen Empfängern und Speicherfristen. Der Hinweis allein verhindert keine vertraulichen Eingaben.
03 · Datenlandkarte & Vertraulichkeit
Welche Daten gehen wohin?
Eine Datenlandkarte verbindet Inhalte, Systeme, Empfänger und Nachweise. Offene Fragen bleiben als offen gekennzeichnet.
Öffentlicher Portfolio-Chat
Website & Browser
GitHub Pages
Lokaler Sitzungsspeicher
n8n Cloud
Nachricht, Sitzungs-ID
und aktuelle Seite
KI-Modell & weitere Speicher
Anbieter, Region, Logs,
Memory und Backups
Browser → n8n: Übertragung im Code erkennbar.n8n → KI / weitere Speicher: konkrete Verarbeitung nicht verifiziert.
Der geprüfte Widget-Code überträgt message, sessionId und page. Er legt Sitzungsspeicher bereits beim Laden an. Das ist eine Codeprüfung, kein Test des Backends und kein Nachweis einer Verbindung zu echten Bankdaten. [4]
Europa oder woanders?
| System | Was bekannt ist | Was ich daraus ableite |
|---|---|---|
| GitHub Pages | Website öffentlich; GitHub nennt auch Verarbeitung personenbezogener Daten in den USA und weiteren Ländern. [5] | Keine ausschließliche EU-Verarbeitung zugesichert. Veröffentlichte Inhalte sind weltweit zugänglich. |
| n8n Cloud | Der Anbieter nennt Frankfurt für gehostete Pläne. Seine Unterauftragnehmerliste enthält EU- und US-Standorte. [6] | Tarif, Funktionen und tatsächliche Datenwege des Bildungsaccounts nachweisen lassen. |
| KI-API, Logs & Backups | Für den konkreten Workflow nicht verifiziert. | Anbieter, Verarbeitungsländer, Zugriffe, Aufbewahrung und Trainingseinstellungen klären. |
EU-Speicherort ist nur ein Teil der Antwort.
- KI-Berechnung und Supportzugriff können anderswo stattfinden.
- Unterauftragnehmer und externe KI-APIs gesondert prüfen.
- „Kein Training“ bedeutet nicht „keine Speicherung“.
Geschützte Daten brauchen einen belegten Weg.
- EU/EWR und Drittländer konkret benennen.
- Übermittlungsgrundlage und Schutzmaßnahmen prüfen.
- Verschlüsselung schützt nicht vor einem Anbieter, der zur Berechnung Klartext erhält.
US-Verarbeitung ist nicht pauschal verboten. Ein einschlägiger Angemessenheitsbeschluss – etwa das EU-US Data Privacy Framework für einen erfassten, zertifizierten Empfänger – oder geeignete Garantien können eine Grundlage bilden. Bei Standardvertragsklauseln die konkrete Übermittlung und nötige ergänzende Maßnahmen bewerten. Rechtsgrundlage und erforderliche Auftragsverarbeitung bleiben zusätzlich zu prüfen. Die n8n-Liste belegt nicht, dass jede Nachricht an alle aufgeführten Anbieter fließt. [7]
Vier Klassen für einen verständlichen Umgang mit Daten
Mein vorgeschlagenes internes Schema – an die Vorgaben des Auftraggebers anzupassen.
Öffentlich
Freigegebene Website, veröffentlichte Berichte, zugängliche Quellen.
Regel: Nutzungsrechte prüfen, dann als öffentliche Wissensbasis freigeben.
Intern
Eigene Methoden, unveröffentlichte allgemeine Vorlagen und Abläufe.
Regel: Nur in einer freigegebenen Arbeitsumgebung verwenden.
Vertraulich
Unveröffentlichte Kennzahlen, Verträge, Gremienvorlagen und Prüfkommentare.
Regel: Benannte Rollen, geprüfte Anbieter und dokumentierte Transferfreigabe.
Streng vertraulich
Identifizierbare Kunden-/Kontodaten, Gesundheitsdaten und Zugangsdaten.
Regel: Aus öffentlichem und ungeprüftem Bildungs-Chat ausschließen. Zugangsdaten in eine Geheimnisverwaltung.
Die Schutzklasse reist mit. Entwürfe, Zusammenfassungen, Embeddings, Suchindizes und Logs übernehmen zunächst die höchste enthaltene Schutzklasse. Eine Zusammenfassung ist nicht automatisch anonym. Zusätzlich erfasse ich Personenbezug, besondere Datenkategorien, Geschäftsgeheimnisse, Nutzungsrechte sowie Integritäts- und Verfügbarkeitsbedarf.
Mein Datensteckbrief je Verarbeitung
Inhalt & Zweck
- Datenquelle und verantwortliche Rolle
- Schutzklasse und Personenbezug
- Zweck, Rechte und Rechtsgrundlage
Weg & Zugriff
- Quell- und Zielsystem, KI-API
- Speicher-, Rechen- und Supportländer
- Empfänger, Verträge und Berechtigungen
Ende & Nachweis
- Fristen für Inhalt, Logs und Backups
- Export, Löschung und Wiederanlauf
- Freigabe, Version und Prüftermin
Die Datenlandkarte unterstützt das Verzeichnis der Verarbeitungstätigkeiten. Sie ersetzt weder das vollständige Verzeichnis noch eine erforderliche Datenschutz-Folgenabschätzung. [3]
04 · Datenschutz & weitere Regeln
Aus Anforderungen werden konkrete Prüfpunkte.
Vertraulichkeit schützt auch Unternehmensinformationen ohne Personenbezug. Die DSGVO schützt personenbezogene Daten – auch dann, wenn sie öffentlich abrufbar sind.
Zweck, Daten & Verträge
- Rechtsgrundlage je Verarbeitung klären; bei sensiblen Daten Art. 9 beachten.
- Nur benötigte Informationen verarbeiten.
- Rollen und erforderliche Auftragsverarbeitung nach Art. 28 regeln.
- Bei voraussichtlich hohem Risiko eine DSFA durchführen; zuerst Bedarf prüfen.
DSGVO, insbesondere Art. 5, 6, 9, 28, 30 und 35. [3]
Zugriff, Löschung & Sicherheit
- Personenbezogene Konten, MFA und minimale Berechtigungen.
- Speicherfristen und Löschwege auch für Logs und Memory.
- Geschützte Backups und getesteter Wiederanlauf.
- Datenschutzhinweise, Betroffenenrechte und Vorfallprozess.
Gesetzliche Aufbewahrungspflichten bei Löschentscheidungen berücksichtigen. [3] [8]
Auf meiner Website konkret: Für
sessionStorage prüfen, ob Einwilligung oder die enge Erforderlichkeitsausnahme nach § 25 TDDDG greift. Ich empfehle, Chat-Speicher erst bei bewusster Chat-Aktivierung anzulegen. Externe Videos, Schriften und Analysedienste gehören ebenfalls ins Inventar. [9]Je nach Anwendungsfall zusätzlich prüfen
DORA · Bankbetrieb
IKT-Anbieter, Verträge, Ausfall- und Exit-Szenarien mit der Bank bewerten. Eine Beratungswebsite wird durch ihre Zielgruppe allein nicht zum DORA-pflichtigen Finanzunternehmen. [10]
CSRD / ESRS · Berichtspflichten
Institut, Berichtsperiode, nationale Umsetzung und Übergangsregeln bestimmen. Nicht jede Sparkasse hat identische Pflichten. [11]
Urheberrecht & Geschäftsgeheimnisse
Rechte an Berichten, Fotos und Kursmaterialien prüfen. Öffentliche Abrufbarkeit erlaubt nicht jede Nutzung. Vertrauliche Gremienunterlagen brauchen konkrete Schutzmaßnahmen. [12]
Beschäftigte & Barrierefreiheit
Mitbestimmung bei einschlägigen Systemen prüfen; gegebenenfalls Personalvertretungsrecht beachten. BFSG-Anwendungsbereich klären. Zugänglichkeit und verständliche Bedienung mitgestalten. [13]
Data Act · Wechsel ermöglichen
Exportierbare Daten, Wechselbedingungen und technische Abhängigkeiten prüfen. Ein Anbieterwechsel garantiert kein identisch funktionierendes KI-System. [14]
Impressum, Vertrag & Haftung
Anbieterinformationen, Leistungen, Mitwirkung und Freigaben regeln. Die Kundenfreigabe beseitigt eigene Pflichtverletzungen nicht automatisch. [15]
Weitere institutsspezifische Vorgaben, insbesondere Auslagerung, Informationssicherheit und gegebenenfalls NIS2, ergänzen die zuständigen Fachfunktionen. Die Übersicht ist keine abschließende Rechtsprüfung.
05 · Ethik & gesellschaftliche Verantwortung
Menschen müssen wirksam entscheiden können.
Teilhabe ermöglichen
- Fachbereiche früh beteiligen.
- KI-Kompetenz an realen Aufgaben aufbauen.
- Entlastung und zusätzliche Prüfarbeit gemeinsam betrachten.
Menschen schützen
- Quellen und KI-Ausgaben nebeneinander prüfen.
- Angemessene Prüfzeit und echte Ablehnung ermöglichen.
- Prozesswirkung ohne individuelle Leistungsranglisten messen.
Folgen mittragen: Ich trenne Konzept, Test und tatsächlichen Nachweis. Wirkungs- oder Nachhaltigkeitsversprechen brauchen Messung; weniger Tokens belegen allein keine feste CO₂-Ersparnis. Verantwortung schließt den Aufwand der beteiligten Menschen ein.
Human-in-the-Loop
Beratung, technische Umsetzung und Freigabe sind klar zugeordnet.
Die Zuordnung konkretisiere ich vertraglich und im Prozess. Jede Partei bleibt für ihre eigenen Aufgaben verantwortlich.
Meine sechs Prüfschritte – um Datenschutz und Recht ergänzt
Datenprüfung
Klasse, Zweck, Personenbezug und erlaubte Zielsysteme.
Nachweis: DatensteckbriefQuellenprüfung
Herkunft, Aktualität, Fundstelle und Nutzungsrechte.
Nachweis: QuellenverzeichnisRegulatorikprüfung
Berichtspflicht, KI-Rolle, Datenschutz und Drittlandtransfer.
Nachweis: datierter PrüfvermerkPlausibilitäts-
prüfungZahlen, Widersprüche, Verzerrungen und vertrauliche Ausgaben.
Nachweis: Tests und KorrekturenFachliche Freigabe
Richtigkeit, Vollständigkeit und fachliche Grenzen bestätigen.
Nachweis: Person und VersionFinale Freigabe
Empfängerkreis, Rechte, KI-Hinweise und Archivierung klären.
Nachweis: Zweck, Datum, Version, Person
Offene Fragen blockieren den betroffenen Schritt. Die sechs Prüfschritte sind mein Prozessmodell, keine gesetzliche Zertifizierung.
06 · Vom Konzept zum Nachweis
Was ich als Nächstes absichere.
Am öffentlichen Projekt
- Chat-Einstieg und realistische KI-Bilder kennzeichnen.
- Datenschutzhinweise mit den tatsächlichen Datenwegen abgleichen.
- Chat-Speicherung und externe Einbindungen prüfen.
Vor einem vertraulichen Pilot
- Anbieter- und Speicherinformationen bei der IT klären.
- Datenlandkarte, Verträge und Rollen freigeben lassen.
- Export, Wiederanlauf und Löschung mit synthetischen Daten testen.
Meine entscheidende Frage an die IT
Welche Dienste verarbeiten unsere Chatdaten tatsächlich – in welchen Ländern, mit welchen Zugriffsrechten und wie lange?
Benötigt werden auch KI-Modell/API, Backup- und Log-Standorte, Trainingseinstellungen, Unterauftragnehmer, Übermittlungsgrundlagen sowie Export- und Löschwege zum Kursende. Keine Passwörter oder API-Schlüssel per Chat übermitteln.
Quellen & Einordnung
Nachvollziehbar statt pauschal zugesichert.
Rechts- und Anbieterstand: 10.09.2026. Anforderungen ändern sich; vor einem echten Einsatz sind Zweck, Verträge und technische Konfiguration erneut zu prüfen. Diese Projektseite ersetzt keine fallbezogene Rechtsberatung.
- EU AI Act: Grundverordnung 2024/1689, Änderungsverordnung 2026/1744, Zeitplan der Kommission und Anhang III.
- Transparenz: Artikel 50, mit den Änderungen und Übergangsregeln aus Quelle 1 lesen.
- Datenschutz: DSGVO, Verordnung 2016/679.
- Projektbeobachtung: Öffentliche Projektseite und öffentliches Chatbot-Widget; keine Einsicht in Workflow oder Kontoverträge.
- Hosting: GitHub-Datenschutzerklärung; allgemeine Anbieterangabe, kein exklusiver Regionsnachweis.
- n8n: FAQ zu Hosting und Speicherort und Unterauftragnehmer; konkrete Dienste hängen von Nutzung und Vertrag ab.
- Drittlandtransfer: EDPB: ergänzende Schutzmaßnahmen und EU-Kommission: EU-US-Datentransfers.
- Praktische DSGVO-Umsetzung: EDPB zu Betroffenenrechten und Datensicherheit.
- Endgeräte: § 25 TDDDG.
- Finanzsektor: DORA und Vorgaben zu IKT-Drittdienstleistungen für kritische oder wichtige Funktionen.
- Nachhaltigkeitsberichterstattung: EU-Kommission: CSRD.
- Rechte an Inhalten: § 2 GeschGehG, § 2 UrhG und § 44b UrhG.
- Teilhabe: § 87 BetrVG und § 1 BFSG; institutsabhängige Anwendbarkeit prüfen.
- Cloud-Wechsel: EU-Kommission: Data Act.
- Beratungsauftritt und Vertrag: § 5 DDG und § 280 BGB.
