Regulatorischer Kontext
Jedes der neun REALTRAX-Kriterien berührt konkrete Rechtsnormen. Hier steht, welche — mit Fundstelle und Link zum Volltext. Was der Befund für Ihren Einsatz bedeutet, bewerten Sie bzw. Ihre Rechtsberatung.
Art. 28 Abs. 3 lit. a DSGVO bindet Auftragsverarbeiter an die dokumentierte Weisung des Kunden. Die DSGVO verlangt für eine darüber hinausgehende Datenverarbeitung zu eigenen Zwecken des Anbieters (wie z. B. Modell-Training) eine gesonderte Rechtsgrundlage. Ob der hier dokumentierte Stand für Ihren Einsatz ausreicht, bewerten Sie bzw. Ihre Rechtsberatung.
Berührte Normen: Art. 28 Abs. 3 lit. a DSGVO · Art. 5 Abs. 1 lit. b DSGVO · Art. 10 KI-VO (Hochrisiko)Die DSGVO verlangt festgelegte, eindeutige Zwecke (Art. 5 Abs. 1 lit. b); eine Weiterverarbeitung zu anderen Zwecken ist an Art. 6 Abs. 4 gebunden. Der hier dokumentierte Vertragsstand zeigt, welche Zweckgrenzen der Anbieter selbst zusichert.
Berührte Normen: Art. 5 Abs. 1 lit. b DSGVO · Art. 6 Abs. 4 DSGVO · Art. 28 Abs. 3 lit. a DSGVOArt. 28 Abs. 2 DSGVO verlangt eine vorherige (allgemeine oder spezifische) Genehmigung für Unterauftragsverarbeiter samt Informations- und Einspruchsmöglichkeit bei Änderungen; die NIS2-Richtlinie adressiert die Sicherheit der Lieferkette. Der dokumentierte Stand zeigt, was der Vertrag dazu regelt.
Berührte Normen: Art. 28 Abs. 2, 4 DSGVO · Art. 21 Abs. 2 lit. d NIS2-RLEinseitige Änderungsklauseln unterliegen der AGB-Kontrolle (§§ 305 ff. BGB); für die Nachweisführung nach Art. 28 DSGVO ist maßgeblich, welche Vertragsfassung wann galt. Der dokumentierte Stand zeigt den Änderungsmechanismus dieses Vertrags (Zuordnung gemischter Klauseln: K4-Misch-Regel v1.0).
Berührte Normen: §§ 305 ff. BGB (AGB-Kontrolle) · Art. 28 Abs. 3 DSGVOArt. 28 Abs. 3 lit. g DSGVO verlangt Löschung oder Rückgabe nach Ende der Verarbeitung; der Data Act regelt zusätzlich den Wechsel zwischen Datenverarbeitungsdiensten. Der dokumentierte Stand zeigt, welche Export- und Löschzusagen dieser Vertrag enthält.
Berührte Normen: Art. 28 Abs. 3 lit. g DSGVO · Art. 20 DSGVO · Data Act (VO (EU) 2023/2854), Kap. VIArt. 28 Abs. 3 lit. h DSGVO gibt dem Verantwortlichen ein Nachweis- und Prüfrecht; Art. 26 Abs. 6 KI-VO verlangt vom Betreiber die Aufbewahrung automatisch erzeugter Protokolle über mindestens sechs Monate, soweit sie seiner Kontrolle unterliegen. Der dokumentierte Stand zeigt, welche Prüf- und Nachweiswege dieser Vertrag eröffnet.
Berührte Normen: Art. 28 Abs. 3 lit. h DSGVO · Art. 26 Abs. 5, 6 KI-VO · Art. 21 NIS2-RLÜbermittlungen in Drittländer sind nur unter den Voraussetzungen von Kapitel V DSGVO zulässig — der vertraglich zugesicherte Verarbeitungsort bestimmt, ob Kapitel V überhaupt eröffnet ist. Der dokumentierte Stand zeigt, was dieser Vertrag zum Ort zusichert.
Berührte Normen: Kap. V DSGVO (Art. 44 ff.) · Art. 28 Abs. 3 lit. a DSGVODer US CLOUD Act verpflichtet US-Anbieter zur Herausgabe von Daten in ihrem Besitz unabhängig vom Speicherort — maßgeblich ist die Konzernzugehörigkeit, nicht die Region des Rechenzentrums. Der dokumentierte Stand zeigt die Konzern- und Jurisdiktionslage dieses Anbieters.
Berührte Normen: Kap. V DSGVO · US CLOUD Act (18 U.S.C. § 2713) · FISA 702§ 2 Nr. 1 lit. b GeschGehG verlangt „angemessene Geheimhaltungsmaßnahmen“ zum Schutz von Geschäftsgeheimnissen. Zudem statuiert Art. 50 KI-VO Transparenzpflichten, die klare vertragliche Regelungen zu Urheberschaft und Output-Rechten erfordern. Der dokumentierte Stand zeigt, welche Rechte dieser Vertrag beim Kunden belässt.
Berührte Normen: § 2 Nr. 1 lit. b GeschGehG · UrhG (Rechteeinräumung) · Art. 50 KI-VOFristen der KI-Verordnung (EU) 2024/1689
In Kraft seit 01.08.2024. Wer KI-Systeme Dritter einsetzt, agiert meist als „Betreiber" im Sinne von Art. 3 Nr. 4 — sofern das System nicht wesentlich verändert oder unter eigenem Namen in Verkehr gebracht wird (Art. 25). Auch rein interne Nutzung entbindet nicht: beschäftigtenbezogene Anwendungen stehen ausdrücklich im Hochrisiko-Katalog (Anhang III Nr. 4).