Rahmenwerk und Governance:
Einleitung, Geltungsbereich und rechtlicher Rahmen
Diese Richtlinie zum Datenschutz und zur Governance von künstlicher Intelligenz (im Folgenden: Richtlinie) gilt für sämtliche Verarbeitungen personenbezogener Daten durch die Artificial Systems Kft. (eine ungarische Gesellschaft mit beschränkter Haftung, vertreten durch: Hoppál Júlia Réka, Geschäftsführerin, im Folgenden: Anbieter oder Verantwortlicher) sowie für die Nutzung von Systemen der künstlichen Intelligenz (KI) im Betrieb des Anbieters und in seinen Kundenprojekten.
Zweck dieser Richtlinie ist es, die Datenverarbeitungs- und KI-Anwendungspraxis des Anbieters an Governance-, Dokumentations- und Rechenschaftsanforderungen auf Unternehmensniveau (Enterprise) auszurichten und den Anbieter dadurch in die Lage zu versetzen, den Lieferantenprüfungen (Vendor Due Diligence) und den Compliance-Verfahren für Auftragsverarbeiter von Großunternehmen in regulierten Branchen (z. B. Logistik, Fertigung, finanznahe Dienstleister, Rechtsbranche) zu genügen.
1.1 Rechtlicher Rahmen
Der Anbieter übt seine Datenverarbeitungs- und KI-Governance-Tätigkeit im Einklang mit den folgenden Rechtsquellen und Rahmenwerken aus:
— Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (Datenschutz-Grundverordnung, DSGVO);
— Gesetz CXII von 2011 über das Recht auf informationelle Selbstbestimmung und über die Informationsfreiheit (Infotv.);
— Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-Verordnung, AI Act), einschließlich der darin vorgesehenen gestaffelten Geltungsfristen;
— die vertrags- und haftungsrechtlichen Bestimmungen des Gesetzes V von 2013 über das Bürgerliche Gesetzbuch (Ptk.);
— Gesetz C von 2000 über die Rechnungslegung sowie die damit zusammenhängenden steuerrechtlichen Vorschriften;
— das Rahmenwerk der Norm ISO/IEC 27001:2022 für Informationssicherheits-Managementsysteme (ISMS) als strukturelle Grundlage der technischen und organisatorischen Maßnahmen des Anbieters;
— das Rahmenwerk der Norm ISO/IEC 42001:2023 für KI-Managementsysteme (AIMS) als strukturelle Grundlage der KI-Risikomanagement- und Lebenszyklusmanagement-Praxis des Anbieters.
Konformitätsstatus: Der Anbieter hat diese Richtlinie im Einklang mit den Grundsätzen und der Kontrollstruktur der Normen ISO/IEC 27001 und ISO/IEC 42001 erstellt. Diese Richtlinie stellt für sich genommen keinen zertifizierten Konformitätsnachweis dar; im Falle einer formellen Zertifizierung dokumentiert der Anbieter diese als Anlage zu diesem Dokument durch eine von einer Zertifizierungsstelle ausgestellte Bescheinigung.
1.2 Rollen des Anbieters
Der Anbieter kann in Bezug auf die verarbeiteten personenbezogenen Daten und die eingesetzten KI-Systeme in mehreren, voneinander getrennten Rollen handeln, die für jedes Projekt und jede Verarbeitungstätigkeit gesondert zu bestimmen sind:
— Verantwortlicher (Controller im Sinne der DSGVO) — in Bezug auf seine eigenen geschäftlichen Kontakt-, Marketing-, Vertriebs- (Outbound-), Vertrags- und Rechnungsdaten sowie die Daten der Website-Besucher.
— Auftragsverarbeiter (Processor im Sinne von Art. 28 DSGVO) — sofern er im Rahmen eines Kundenprojekts im Eigentum des Kunden stehende personenbezogene Daten Dritter verarbeitet (z. B. KI-gestützte Verarbeitung von Lagerdokumenten, Kundenkorrespondenz, HR-Dokumenten). In diesem Fall schließen die Parteien gemäß Ziffer 8 einen gesonderten Auftragsverarbeitungsvertrag (AVV; engl. Data Processing Agreement, DPA), und der Anbieter darf ausschließlich auf schriftliche Weisung des Kunden handeln.
— Akteur im Sinne der KI-Verordnung — in den meisten Projekten handelt er als „Betreiber“ (Deployer) im Sinne von Art. 3 der KI-Verordnung, wenn er KI-Modelle mit allgemeinem Verwendungszweck von Dritten (z. B. OpenAI, Anthropic) zu geschäftlichen Zwecken in beruflicher Eigenschaft nutzt. Bei der Entwicklung und Lieferung einer individuellen, unter eigenem Namen in Verkehr gebrachten KI-Lösung kann der Anbieter – in Bezug auf das betreffende System – auch in die Rolle des „Anbieters“ (Provider) im Sinne der KI-Verordnung gelangen; dies ist vor Beginn jedes Projekts nach dem Verfahren gemäß Ziffer 7.2 dokumentiert zu klären.
Begriffsbestimmungen
Personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).
Verantwortlicher: wer über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (Art. 4 Nr. 7 DSGVO).
Auftragsverarbeiter: wer personenbezogene Daten im Auftrag des Verantwortlichen und nach dessen Weisungen verarbeitet (Art. 4 Nr. 8 DSGVO).
Verletzung des Schutzes personenbezogener Daten (Datenschutzvorfall): eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung der verarbeiteten personenbezogenen Daten bzw. zum unbefugten Zugang zu ihnen führt.
KI-System: ein maschinengestütztes System im Sinne von Art. 3 Nr. 1 der KI-Verordnung, das mit unterschiedlichem Grad an Autonomie betrieben wird, anpassungsfähig ist und aus Zielen Ausgaben (Vorhersagen, Inhalte, Empfehlungen, Entscheidungen) erzeugt.
Hochrisiko-KI-System: ein KI-System, das in den in Anhang III der KI-Verordnung aufgeführten Bereichen (z. B. Beschäftigung, Kreditwürdigkeitsprüfung, Bildung, strafverfolgungsnahe Nutzung) eingesetzt wird und erhöhten Konformitätspflichten unterliegt.
KI-Modell mit allgemeinem Verwendungszweck (GPAI): ein mit großen Datenmengen trainiertes, für ein breites Spektrum von Aufgaben einsetzbares KI-Modell (z. B. große Sprachmodelle), das der Anbieter von Dritten (OpenAI, Anthropic) bezieht.
Betreiber (Deployer): eine Organisation, die ein KI-System in eigener Verantwortung im Rahmen einer beruflichen Tätigkeit verwendet (Art. 3 Nr. 4 der KI-Verordnung).
Anbieter (Provider, im Sinne der KI-Verordnung): wer ein KI-System entwickelt oder es unter eigenem Namen bzw. eigener Marke in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3 der KI-Verordnung). Je nach Kontext weicht dieser Begriff von dem in diesem Dokument allgemein verwendeten Begriff „Anbieter“ (Artificial Systems) ab — zur Unterscheidung der beiden weist die Richtlinie jeweils ausdrücklich darauf hin.
Menschliche Aufsicht (Human Oversight): die menschliche Kontrolle über den Betrieb und die Ausgaben eines KI-Systems, mit der Möglichkeit, diese zu übersteuern und das System anzuhalten.
Governance-Struktur, Grundsätze der Datenverarbeitung
ERFORDERLICHKEIT EINES DATENSCHUTZBEAUFTRAGTEN (DSB/DPO)
Der Anbieter überprüft jährlich, ob die Voraussetzungen für eine verpflichtende Benennung nach Art. 37 DSGVO vorliegen (relevant bei umfangreicher, regelmäßiger Überwachung oder bei umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten). Derzeit ist eine Benennung nicht verpflichtend; die Hinzuziehung eines externen Datenschutzbeauftragten ist projektabhängig zu erwägen.
TECHNISCHE DELIVERY / SICHERHEITSANSPRECHPARTNER
Verantwortung: operative Umsetzung der technischen und organisatorischen Maßnahmen auf Entwicklungsseite. Derzeit verantwortlich: Jakub Ákos (AI System Architect), Imets Tamás (AI System Architect), Balog István (AI System Architect), Kovács Bence (AI System Architect), Nagy Benjamin (AI System Architect), Vásárhelyi Milán (AI System Architect), Hajnal Bálint (AI System Architect), Horváth Dániel (AI System Architect), Kiss Domonkos (AI System Architect) — auf Grundlage der mit dem Anbieter vereinbarten Vertraulichkeits- und Datenschutzanlage.
Der Anbieter führt gemäß Art. 30 DSGVO ein Verzeichnis von Verarbeitungstätigkeiten (Records of Processing Activities, ROPA) sowie ein gesondertes KI-System-Register (AI Register) über die von ihm genutzten und an Kunden gelieferten KI-Systeme, gegliedert nach deren Zweck, Risikoeinstufung, Datenquellen und Punkten menschlicher Aufsicht. Diese Verzeichnisse bilden eine interne, nicht öffentliche Anlage zur Richtlinie und werden auf Auditanfrage einer Behörde oder eines Kunden vorgelegt.
Der Anbieter wendet bei allen Verarbeitungstätigkeiten die folgenden Grundsätze nach Art. 5 DSGVO an und überprüft deren Einhaltung dokumentiert, auch auf Projektebene:
— Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz — jede Verarbeitung hat eine bestimmte Rechtsgrundlage, und die betroffene Person erhält verständliche Informationen.
— Zweckbindung — die Daten dürfen nur in einer mit dem festgelegten, eindeutigen und rechtmäßigen Erhebungszweck vereinbaren Weise für weitere Zwecke verwendet werden.
— Datenminimierung — es dürfen ausschließlich die für die Zweckerreichung erforderlichen und angemessenen Daten verarbeitet werden; der Umfang der Eingabedaten von KI-Systemen ist vor diesem Hintergrund beim Projektstart zu überprüfen.
— Richtigkeit — Aktualität der Daten, Berichtigung oder Löschung unrichtiger Daten unverzüglich.
— Speicherbegrenzung — Einhaltung der Aufbewahrungsfristen gemäß Ziffer 14.
— Integrität und Vertraulichkeit — Anwendung der technischen und organisatorischen Maßnahmen gemäß Ziffer 10.
— Rechenschaftspflicht — laufende Führung einer zum Nachweis der Einhaltung geeigneten Dokumentation (ROPA, DSFAs, KI-Risikobewertungen, Verträge, Protokolle).
Datenverarbeitung in der Praxis:
Gegenstand und Zweck der Verarbeitung
Kategorien betroffener Personen und verarbeitete Datenkategorien
— Website-Besucher — IP-Adresse, Geräte- und Browserdaten, Cookie-Kennungen, Navigationsdaten. Quelle: Website (Webflow), Google Analytics.
— Personen, die das Kontaktformular ausfüllen / Angebote anfragen — Name, Firmenname, Position, E-Mail, Telefonnummer, Inhalt der Nachricht. Quelle: Kontaktformular der Website.
— Potenzielle Kunden (Outbound-Zielpersonen) — Name, Funktion, Firmenname, geschäftliche E-Mail, LinkedIn-Profil, Telefonnummer. Quelle: Apollo.io-Datenbank, LinkedIn, öffentlich zugängliche Unternehmensinformationen.
— Vertragskunden und deren Ansprechpartner — Identifikations- und Kontaktdaten, Vertrags- und Rechnungsdaten, Projektkommunikation. Quelle: Vertragsabschluss- und Projektprozess.
— Von Kunden bereitgestellte, im Rahmen eines Projekts verarbeitete personenbezogene Daten Dritter — projektabhängig (z. B. Daten von Beschäftigten, Partnerunternehmen, aus dem Kundenservice) — ausschließlich in dem Umfang und zu dem Zweck gemäß dem jeweiligen AVV. Quelle: vom Kunden zur Verfügung gestellte Systeme, Dokumente, Datenbestände.
— Subunternehmer, Mitglieder des Entwicklungsteams — Identifikations-, Kontakt-, Vertrags- und Rechnungsdaten. Quelle: unmittelbares Auftrags- bzw. Werkvertragsverhältnis.
Verarbeitungszwecke und Rechtsgrundlagen
— Beantwortung von Kontaktanfragen, Angebotserstellung — Rechtsgrundlage: (1) b) Vertragsanbahnung / (1) f) berechtigtes Interesse.
— B2B-Outbound-Akquise (Kalt-E-Mail, LinkedIn, Telefon) — Rechtsgrundlage: (1) f) berechtigtes Interesse. Eine dokumentierte Interessenabwägung wurde durchgeführt; in jeder Kontaktaufnahme wird eine Möglichkeit zur Abmeldung / zum Widerspruch angeboten.
— Erfüllung des Vertragsverhältnisses und Rechnungsstellung — Rechtsgrundlage: (1) b) Vertragserfüllung / (1) c) rechtliche Verpflichtung. Über das System Számlázz.hu.
— KI-gestützte Datenverarbeitung im Rahmen eines Kundenprojekts — Rechtsgrundlage: (1) b) auf Grundlage des Vertrags zwischen dem Kunden und dem Anbieter; in Bezug auf die betroffenen Personen ist die Rechtsgrundlage des Kunden als Verantwortlicher maßgeblich. Geregelt durch einen gesonderten AVV; der Anbieter handelt in diesen Fällen als Auftragsverarbeiter.
— Newsletter und Marketingkommunikation — Rechtsgrundlage: (1) a) Einwilligung, jederzeit widerruflich.
— Website-Analyse — Rechtsgrundlage: (1) f) berechtigtes Interesse, in anonymisierter, aggregierter Form.
— Erfüllung buchhalterischer und steuerrechtlicher Pflichten — Rechtsgrundlage: (1) c) rechtliche Verpflichtung, mit einer Aufbewahrungsfrist von 8 Jahren.
— Nutzung interner KI-Systeme (z. B. Anthropic Claude, OpenAI ChatGPT) für geschäftliche/administrative Aufgaben — Rechtsgrundlage: (1) f) berechtigtes Interesse, unter Beachtung der Datenminimierung und der Garantien gemäß Ziffer 7; mit Abonnements auf Unternehmens-/Enterprise-Niveau und unter Anwendung von Einstellungen zum Ausschluss vom Modelltraining.
Automatisierte Entscheidungsfindung und Profiling
Der Anbieter setzt im Rahmen seiner eigenen Datenverarbeitung keine ausschließlich automatisierte Entscheidungsfindung ohne menschliches Eingreifen ein, die gegenüber der betroffenen Person rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Sollte eine solche Funktion im Rahmen eines Kundenprojekts in Betracht kommen, stellt der Anbieter sicher, dass: die betroffene Person vorab ausdrücklich informiert wird; die betroffene Person berechtigt ist, das Eingreifen einer Person zu erwirken, ihren Standpunkt darzulegen und die Entscheidung anzufechten; und die Gestaltung des Systems den zusätzlichen Pflichten für Hochrisiko-KI-Systeme gemäß Ziffer 7 entspricht, sofern diese anwendbar sind.
Grenzen und Garantien
Aufbewahrung und Löschung von Daten
— Kontakt- und Angebotsanfragedaten — Aufbewahrungsfrist: 2 Jahre ab dem letzten inhaltlichen Kontakt.
— Outbound-Kampagnendaten — Aufbewahrungsfrist: 2 Jahre oder, bei Widerspruch/Abmeldung, sofortige Löschung.
— Vertragsdaten — Aufbewahrungsfrist: 5 Jahre ab Beendigung des Vertrags, aus Gründen der Verjährung und der Haftung.
— Buchhaltungsbelege — Aufbewahrungsfrist: 8 Jahre, gemäß dem Rechnungslegungsgesetz.
— Im Rahmen eines Kundenprojekts verarbeitete personenbezogene Daten Dritter — Aufbewahrungsfrist: die im AVV festgelegte Dauer, standardmäßig Löschung/Rückgabe nach Abschluss des Projekts; maßgeblich ist die Weisung des Kunden.
— Betriebsprotokolle von KI-Systemen (Nachvollziehbarkeit von Eingaben/Ausgaben) — Aufbewahrungsfrist: 12 Monate, bei Hochrisiko-Systemen die im Projekt festgelegte längere Dauer — zu Zwecken der Vorfalluntersuchung und der Rechenschaftspflicht.
— Daten von Newsletter-Abonnenten — Aufbewahrungsfrist: bis zum Widerruf der Einwilligung.
— Protokolle von Website-Besuchen — Aufbewahrungsfrist: höchstens 90 Tage.
Rechte der betroffenen Personen und Verfahren
Den betroffenen Personen stehen nach Kapitel III der DSGVO die folgenden Rechte zu, die über die E-Mail-Adresse des Anbieters info@artificialsystems.hu oder über die Kontaktseite geltend gemacht werden können:
— Recht auf Auskunft (Art. 15);
— Recht auf Berichtigung (Art. 16);
— Recht auf Löschung (Art. 17);
— Recht auf Einschränkung der Verarbeitung (Art. 18);
— Recht auf Datenübertragbarkeit (Art. 20);
— Widerspruchsrecht, einschließlich des bedingungslosen Widerspruchs gegen die Verarbeitung zum Zwecke der Direktwerbung (so auch gegen Outbound-Kontaktaufnahmen) (Art. 21);
— Recht auf jederzeitigen Widerruf der Einwilligung.
Der Anbieter überprüft die Identität der antragstellenden Person — zur Verhinderung von Datenmissbrauch — in einer der Art des Antrags angemessenen Weise und beantwortet den Antrag anschließend innerhalb von 30 Tagen inhaltlich; bei komplexen Anträgen kann diese Frist unter Angabe von Gründen um weitere 60 Tage verlängert werden. Die betroffene Person kann sich zur Durchsetzung ihrer Rechte an die NAIH (www.naih.hu) oder an ein Gericht wenden.
Schutz von Kindern
Die Dienstleistungen des Anbieters sind ausschließlich für die geschäftliche (B2B-)Nutzung bestimmt und richten sich nicht an Personen unter 16 Jahren. Der Anbieter erhebt wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren; erlangt er gegenteilige Kenntnis, löscht er die Daten unverzüglich.
KI- und Technologie-Compliance:
Regulatorische Konformität nach der KI-Verordnung
Dieser Abschnitt regelt die KI-Anwendungspraxis des Anbieters sowohl in Bezug auf den eigenen internen Betrieb als auch in Bezug auf die an Kunden gelieferten KI-Lösungen.
Umfang der KI-Systeme
Der Anbieter setzt KI-Systeme in zweierlei Eigenschaft ein:
— Interne Nutzung für administrative und Delivery-Zwecke — KI-Modelle mit allgemeinem Verwendungszweck von Dritten (z. B. Anthropic Claude, OpenAI ChatGPT) für Kommunikation, Dokumentenerstellung, Recherche und Entwicklungsunterstützung.
— Für Kunden entwickelte und gelieferte KI-Lösungen — RAG-basierte Wissensdatenbanksysteme, Prozessautomatisierung, auf Computer Vision basierende Anwendungsfälle zur Qualitätskontrolle und Überwachung, Systeme zur Dokumentenverarbeitung und -extraktion.
Rollen- und Risikoeinstufungsverfahren vor jedem Projekt
Der Anbieter nimmt vor Beginn jedes neuen Kundenprojekts eine dokumentierte vorläufige KI-Einstufung vor, in der Folgendes festgehalten wird:
— die Rolle nach der KI-Verordnung (Betreiber / Anbieter) in Bezug auf das betreffende System;
— die Risikokategorie des Systems gemäß Art. 5 und 6 sowie Anhang III der KI-Verordnung: unannehmbares Risiko (verboten), hohes Risiko, begrenztes Risiko (mit Transparenzpflichten) oder minimales Risiko;
— fiele der Anwendungsfall in die Kategorie des unannehmbaren Risikos (z. B. biometrische Kategorisierung anhand sensibler Merkmale, Social Scoring, gezielte manipulative Techniken), setzt der Anbieter das Projekt nicht um;— fällt der Anwendungsfall in die Hochrisiko-Kategorie (typischerweise: automatisierte Entscheidungsunterstützung im Zusammenhang mit Beschäftigung, Kreditwürdigkeitsprüfung, kritischer Infrastruktur oder Strafverfolgung), informiert der Anbieter den Kunden schriftlich über die zusätzlichen Pflichten (Risikomanagementsystem, technische Dokumentation, Protokollierung, menschliche Aufsicht, Konformitätsbewertung, Registrierung in der EU-Datenbank) und hält deren Erfüllung im Projektvertrag fest.
TYPISCHE RISIKOEINSTUFUNGEN
— RAG-basierte interne Wissensdatenbank / Kundenservice-Assistent — begrenztes / minimales Risiko. Hauptpflicht: Transparenz — Hinweis darauf, dass der Nutzer mit einem KI-System kommuniziert.
— Computer-Vision-basierte fertigungsbegleitende Qualitätskontrolle (identifiziert keine Personen) — minimales / je nach Fall begrenztes Risiko. Hauptpflicht: Punkt menschlicher Aufsicht zur Übersteuerung der Ausgabe.
— Datenextraktion aus Dokumenten und Frachtpapieren (OCR/LLM) — minimales Risiko. Hauptpflicht: Datenminimierung, Genauigkeitsprüfung.
— Automatisierung mit Bezug zu HR- oder Recruiting-Prozessen — potenziell hohes Risiko (KI-Verordnung Anhang III Nr. 4). Hauptpflicht: zusätzliche Konformitätsbewertung und Information sind vor Projektbeginn verpflichtend.
— Automatisierung im Zusammenhang mit Kreditwürdigkeitsprüfung oder Risikobewertung bei Versicherungen — potenziell hohes Risiko (KI-Verordnung Anhang III Nr. 5). Hauptpflicht: zusätzliche Konformitätsbewertung und Information sind vor Projektbeginn verpflichtend.
Transparenzpflichten (Art. 50 der KI-Verordnung)
Wird ein KI-System eingeführt, das unmittelbar mit dem Kunden oder dessen betroffenen Personen kommuniziert (z. B. ein Chatbot), stellt der Anbieter sicher, dass der Endnutzer klar darüber informiert wird, dass er mit künstlicher Intelligenz kommuniziert, es sei denn, dies ist aus dem Kontext offensichtlich. Bei durch KI erzeugten oder wesentlich veränderten Bild-, Audio- oder Videoinhalten (Deepfake-artige Inhalte) sorgt der Anbieter für eine maschinenlesbare Kennzeichnung der Inhalte.
Menschliche Aufsicht
Der Anbieter integriert in jede von ihm entwickelte oder gelieferte KI-Lösung die Möglichkeit menschlicher Aufsicht: die menschliche Freigabe von KI-Ausgaben vor einer Verwendung mit erheblichen geschäftlichen, rechtlichen oder sicherheitsrelevanten Auswirkungen, die Möglichkeit zur Abschaltung des Systems (Kill Switch) sowie eine auf die Nachvollziehbarkeit der Ausgaben ausgerichtete Protokollierung.
Daten-Governance für KI-Systeme
Erfordert ein Projekt die Feinabstimmung (Fine-Tuning) oder das Training des KI-Systems mit Kundendaten, erstellt der Anbieter einen gesonderten Daten-Governance-Plan, der die Prüfung der Datenqualität, die Bewertung des Risikos von Verzerrungen (Bias) sowie die getrennte, zugriffsbeschränkte Speicherung der Trainingsdaten umfasst. Produktive Kundendaten fließen standardmäßig nicht in den Trainingsdatensatz eines KI-Modells von Dritten ein.
Inanspruchnahme von Drittanbietern von KI mit allgemeinem Verwendungszweck
Der Anbieter nutzt für die interne und die Delivery-bezogene KI-Nutzung ausschließlich API-Zugänge auf Geschäfts-/Enterprise-Niveau, die vertraglich garantieren, dass Eingabe- und Ausgabedaten standardmäßig nicht zum Training der eigenen Modelle des jeweiligen KI-Dienstleisters verwendet werden, und für die ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Data Processing Addendum) verfügbar ist und unterzeichnet wurde.
Managementsysteme (ISO-Rahmenwerke)
Datensicherheitsmaßnahmen — Rahmenwerk ISO/IEC 27001
Der Anbieter wendet die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO in einer Struktur an, die sich an den Kontrollgruppen von Anhang A der Norm ISO/IEC 27001:2022 orientiert:
ORGANISATORISCHE MASSNAHMEN
— dokumentierte Rollen und Verantwortlichkeiten für die Informationssicherheit (Ziffer 3);
— Verfahren für das Lieferanten- und Unterauftragsverarbeiter-Management vor der Einbindung eines neuen Technologiepartners;
— dokumentierter Plan zur Vorfallbehandlung (Ziffer 13);
— grundlegende Maßnahmen zur Geschäftskontinuität (regelmäßige Datensicherung, redundanter Zugang zu Schlüsselsystemen).
PERSONALSICHERHEIT
— Unterzeichnung einer Vertraulichkeitserklärung und einer Datenschutzanlage mit allen Subunternehmern und Entwicklern vor ihrer Einbindung in das Projekt;
— grundlegende Sensibilisierung für Datenschutz und KI-Ethik für Mitwirkende mit Zugang zu wesentlichen Daten.
TECHNISCHE MASSNAHMEN
— Zugriffsverwaltung nach dem Prinzip der geringsten Berechtigung, mit einem rollenbasierten Berechtigungssystem;
— Multi-Faktor-Authentifizierung (MFA) für alle kritischen Systeme (E-Mail, Cloud-Speicher, Entwicklungsumgebungen, KI-Plattformen);
— verschlüsselte Datenübertragung (TLS/SSL) auf allen Kommunikationskanälen sowie verschlüsselte Speicherung im Ruhezustand, soweit die Technologieplattform dies ermöglicht;
— Protokollierung und Überwachung der Zugriffe auf kritische Systeme;
— regelmäßige, dokumentierte Datensicherung und Wiederherstellungstests;
— Praxis des Schwachstellenmanagements: regelmäßige Aktualisierung der verwendeten Softwarekomponenten und Abhängigkeiten.
ÜBERPRÜFUNG
Der Anbieter führt jährlich eine interne Überprüfung der tatsächlichen Anwendung der oben genannten Maßnahmen durch und dokumentiert das Ergebnis. Bei größeren Kundenprojekten oder Lieferantenaudits wird die Überprüfung zusätzlich anlassbezogen vor dem Audit durchgeführt.
KI-Managementsystem — Rahmenwerk ISO/IEC 42001
Der Anbieter hat seine KI-Risikomanagement- und Lebenszyklusmanagement-Praxis im Einklang mit den Grundsätzen der Norm ISO/IEC 42001:2023 (AI Management System) mit den folgenden Elementen gestaltet:
— KI-Richtlinie und Zielsetzungen — Ziffer 7 dieser Richtlinie und die darin festgelegten Grundsätze, die von der Leitung des Anbieters jährlich überprüft werden.
— KI-Risikomanagementprozess — dokumentierte Risikobewertung auf Ebene des Anwendungsfalls vor jedem Projekt-Kickoff (Ziffer 7.2).
— Auslöser für eine KI-Folgenabschätzung (AIA) — verpflichtend bei einem als hochriskant eingestuften System, bei erheblicher automatisierter Entscheidungsunterstützung, bei KI-Verarbeitung sensibler Datenkategorien oder auf ausdrücklichen Wunsch des Kunden.
— Lebenszyklusmanagement — dokumentierter, in Phasen gegliederter Prozess: Planung → Entwicklung/Validierung → Inbetriebnahme → Überwachung → bei Bedarf Außerbetriebnahme.
— Leistungs- und Bias-Monitoring — regelmäßige, dokumentierte Überprüfung der Qualität der KI-Ausgaben und etwaiger Verzerrungen, insbesondere bei produktiv laufenden entscheidungsunterstützenden Systemen.
— KI-spezifische Vorfallbehandlung — fehlerhafte Modellausgaben, unbefugter Zugriff oder unbeabsichtigter Datenabfluss über ein KI-System als Teil des allgemeinen Verfahrens zur Vorfallbehandlung gemäß Ziffer 13, ergänzt um KI-spezifische Untersuchungsschritte.
— Dokumentation und Nachvollziehbarkeit — Führung einer technischen Dokumentation und — soweit relevant — einer Modellbeschreibung (Model Card) für jedes an Kunden gelieferte KI-System.
Konformitätsstatus: Die vorstehend beschriebene Praxis stellt die Anwendung der Grundsätze der ISO/IEC 42001 dar; über die Erlangung einer formellen ISO-Zertifizierung entscheidet der Anbieter gesondert und informiert seine Kunden schriftlich darüber, sofern diese erfolgt.
Risikobewertung und Folgenabschätzung
Datenschutz-Folgenabschätzung (DSFA; engl. DPIA)
Der Anbieter führt gemäß Art. 35 DSGVO vor jeder geplanten Verarbeitung oder KI-Anwendung, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, eine Datenschutz-Folgenabschätzung durch, insbesondere in den folgenden Fällen:
— Einführung eines Hochrisiko-KI-Systems (auf Grundlage der Einstufung gemäß Ziffer 7.2);
— systematische und umfassende Bewertung natürlicher Personen mit automatisierten Mitteln, sofern darauf eine Entscheidung beruht;
— umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten;
— systematische Überwachung öffentlich zugänglicher Bereiche (z. B. kamerabasierte Computer-Vision-Anwendung, sofern diese auch zur Identifizierung von Personen geeignet ist).
Der Anbieter dokumentiert das Ergebnis der DSFA und leitet, falls das verbleibende Risiko hoch bleibt, gemäß Art. 36 DSGVO eine vorherige Konsultation der ungarischen Nationalen Behörde für Datenschutz und Informationsfreiheit (Nemzeti Adatvédelmi és Információszabadság Hatóság, NAIH) ein.
Dritte, Vorfall- und Betriebsebene
Den laufenden Betrieb des Systems sicherstellen: externe Abhängigkeiten, Fehlerbehandlung und Verfügbarkeit
Auftragsverarbeiter, Subunternehmer und Datenübermittlung
Unterauftragsverarbeiter / Technologiepartner
— DotRoll Kft. — Domainregistrierung, Hosting, E-Mail-Infrastruktur. Sitz: Ungarn (EWR). Übermittlungsmechanismus: nicht relevant (innerhalb des EWR).
— Webflow, Inc. — Website-Infrastruktur, CMS. Sitz: USA. Übermittlungsmechanismus: EU–USA Data Privacy Framework / SCC.
— Google Ireland Limited — Analyse (Google Analytics), geschäftliche Cloud-Dienste. Sitz: Irland / US-Infrastruktur. Übermittlungsmechanismus: SCC, gegebenenfalls DPF.
— Microsoft Ireland Operations Limited — geschäftliche Kommunikation, Cloud-Dienste. Sitz: Irland / US-Infrastruktur. Übermittlungsmechanismus: SCC, gegebenenfalls DPF.
— KBOSS.hu Kft. (Számlázz.hu) — Online-Rechnungsstellung. Sitz: Ungarn (EWR). Übermittlungsmechanismus: nicht relevant (innerhalb des EWR).
— OpenAI, LLC / OpenAI Ireland Ltd. — KI-basierter Sprachmodell-Dienst (Business-API). Sitz: USA / Irland. Übermittlungsmechanismus: SCC; AVV unterzeichnet; Ausschluss vom Modelltraining auf API-Ebene.
— Anthropic PBC / Anthropic Ireland Ltd. — KI-basierter Sprachmodell-Dienst (Business-API). Sitz: USA / Irland. Übermittlungsmechanismus: SCC; AVV unterzeichnet; Ausschluss vom Modelltraining auf API-Ebene.
— Apollo.io (Apollo Technologies, Inc.) — B2B-Kontaktdatenbank, Verwaltung von Outbound-Kampagnen. Sitz: USA. Übermittlungsmechanismus: eigenständiger Verantwortlicher; gemäß dessen Vertragsbedingungen und DPF-Teilnahme.
Die Plattformen LinkedIn und Apollo.io handeln nach ihren jeweils eigenen Bedingungen in der Regel als eigenständige Verantwortliche; der Anbieter ist in diesen Fällen für die von ihm festgelegten Targeting-Kriterien und Nachrichteninhalte verantwortlich, nicht jedoch für die interne Datenverarbeitung der Plattform.
Auftragsverarbeitungsvertrag (AVV) für Kundenprojekte
Vor Beginn jedes Projekts, in dessen Rahmen der Anbieter im Eigentum des Kunden stehende personenbezogene Daten Dritter verarbeitet, schließen die Parteien einen Auftragsverarbeitungsvertrag (AVV) mit dem Inhalt gemäß Art. 28 Abs. 3 DSGVO, der mindestens Folgendes festlegt:
— Gegenstand, Dauer, Art und Zweck der Verarbeitung;
— die betroffenen Datenkategorien und Kategorien betroffener Personen;
— dass der Anbieter ausschließlich auf schriftliche Weisung des Kunden handeln darf, auch in Bezug auf die Übermittlung von Daten in ein Drittland;
— Vertraulichkeitsverpflichtung des zugriffsberechtigten Personals und der Subunternehmer;
— Anwendung der technischen und organisatorischen Maßnahmen gemäß Ziffer 10;
— Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern sowie vorherige oder allgemeine Genehmigung des Kunden;
— Unterstützung bei der Wahrnehmung der Rechte betroffener Personen und bei der Datenschutz-Folgenabschätzung;
— im Falle einer Verletzung des Schutzes personenbezogener Daten unverzügliche Benachrichtigung des Kunden (spätestens innerhalb von 24–48 Stunden nach Kenntniserlangung);
— Gewährung eines Auditrechts für den Kunden oder einen von ihm Beauftragten;
— Löschung oder Rückgabe der Daten bei Beendigung des Vertrags.
Internationale Datenübermittlung
Übermittlungen von Daten außerhalb des Europäischen Wirtschaftsraums (EWR) — insbesondere in die Vereinigten Staaten — erfolgen ausschließlich unter Anwendung der von der Europäischen Kommission angenommenen Angemessenheitsmechanismen (EU–USA Data Privacy Framework) oder von Allgemeinen Geschäftsbedingungen / Standardvertragsklauseln (SCC). Bei Datenübermittlungen mit hohem Risiko oder großem Umfang erstellt der Anbieter eine Bewertung der Auswirkungen der Übermittlung (Transfer Impact Assessment) zur ergänzenden Beurteilung der Rechtsordnung des betreffenden Drittlands.
Behandlung von Datenschutzvorfällen
Der Anbieter verfügt über ein dokumentiertes internes Verfahren zur Erkennung, Untersuchung und Meldung von Datenschutz- und KI-Sicherheitsvorfällen:
— ab Erkennung eines Vorfalls beginnt der Anbieter unverzüglich mit der Untersuchung und der Risikobewertung;
— birgt der Vorfall ein Risiko für die Rechte und Freiheiten der betroffenen Personen, meldet der Anbieter ihn innerhalb von 72 Stunden nach Kenntniserlangung der NAIH;
— bei hohem Risiko benachrichtigt er die betroffenen natürlichen Personen unverzüglich;
— bei einem Vorfall, der im Rahmen eines Kundenprojekts verarbeitete Daten betrifft, benachrichtigt er den betroffenen Kunden innerhalb der im AVV festgelegten Frist (in der Regel innerhalb von 24–48 Stunden);
— jeden Vorfall erfasst er — unabhängig von einer Meldepflicht — in einem internen Vorfallregister unter Angabe der Umstände, der Auswirkungen und der ergriffenen Maßnahmen;
— bei einem Vorfall, der ein KI-System betrifft (z. B. fehlerhafte oder schädliche Modellausgabe, unbefugter Zugriff auf eine KI-Plattform, unbeabsichtigter Datenabfluss über Prompts), erstreckt sich die Untersuchung auch auf die Überprüfung des betroffenen Modells, des Eingabe-/Ausgabeprotokolls und der Funktionsfähigkeit des Punkts menschlicher Aufsicht.
Überprüfung und Versionsverwaltung der Richtlinie
Der Anbieter überprüft die Richtlinie jährlich sowie bei Rechtsänderungen (insbesondere den gestaffelten Geltungsphasen der KI-Verordnung), technologischen Entwicklungen oder wesentlichen geschäftlichen/organisatorischen Veränderungen. Änderungen veröffentlicht er mindestens 15 Tage vor ihrem Inkrafttreten auf seiner Website; über wesentliche Änderungen benachrichtigt er die betroffenen Kunden und Ansprechpartner zusätzlich per E-Mail.
— v1.0 — gültig ab 2026.02.01 — Veröffentlichung der grundlegenden Datenschutzrichtlinie.
— v2.0 — gültig ab 2026.05.09 — Enterprise-Governance-Ausgabe: Rollen- und Risikoeinstufung nach der KI-Verordnung, an den Rahmenwerken ISO/IEC 27001 und 42001 ausgerichtete Kontrollstruktur, AVV-Rahmenwerk für Kundenprojekte, DSFA/AIA-Verfahren, Erweiterung des Kreises der Unterauftragsverarbeiter, Präzisierung der Regeln zur Vorfallbehandlung und zur Aufbewahrung.
Kontakt
Verantwortlicher: Artificial Systems Kft. — vertreten durch: Hoppál Júlia Réka, Geschäftsführerin
Sitz: 1118 Budapest, Maléter Pál utca 2. C/1 1/1
Steuernummer: 33157812-2-43
Handelsregisternummer: 01-09-472043
E-Mail: info@artificialsystems.hu
Telefon: +36 30 923 0323
Website: www.artificialsystems.hu
Kontaktformular: www.artificialsystems.hu/kapcsolat
Aufsichtsbehörde: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH; ungarische Nationale Behörde für Datenschutz und Informationsfreiheit) — www.naih.hu
Artificial Systems | Datenschutz- und KI-Governance-Richtlinie | Gültig ab: 9. Mai 2026