1.2.1 Datensammlung und -aufbereitung
Nr | Frage | Antwortoptionen oder Prüfschritte | Erläuterung |
1 | Sind die Datensätze personenbezogen? Art 4 Z 1 DSGVO | ja nein Gemischte Datensätze aus personenbezogenen und nicht-personenbezogenen Daten | Achtung: Die KI-Verordnung kennt auch gemischte Datensätze (ErwGr 10 KI-VO), die österreichische Rechtsprechung geht aber, sobald eine Information einer natürlichen Person zugeordnet wird, von personenbezogenen Daten aus. Für gemischte Datensätze verbleibt damit kein Raum. Ist in einem Datensatz eine Mischung aus personenbezogenen und nicht-personenbezogenen Daten enthalten, ist der Datensatz jedenfalls wie ein personenbezogener Datensatz zu behandeln. |
2 | Woher sind die personenbezogenen Daten? | Bei den betroffenen Personen erhoben Bei Dritten erhoben Vom Verantwortlichen generiert |
|
3 | Welche Arten von personenbezogenen Daten werden verarbeitet? | Keine besonderen Datenkategorien Besondere Datenkategorien Daten über strafrechtliche Verurteilungen und Straftaten | Besondere Datenkategorien sind Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung. Daten über strafrechtliche Verurteilungen und Straftaten sind keine besonderen Datenkategorien, sie genießen aber einen besonderen Schutz. Ein umfassendes Register der strafrechtlichen Verurteilungen darf nur unter behördlicher Aufsicht geführt werden. |
4 | Wer sind die betroffenen Personen? | Keine besonders schutzbedürftigen Personengruppen Besonders schutzbedürftige Personengruppen | Besonders schutzbedürftige Gruppen sind zB Kinder, Menschen mit Behinderung, Mitarbeitende, Patient:innen, Angehörige ethnischer, religiöser oder sexueller Minderheiten |
5 | Wofür wurden die personenbezogenen Daten erhoben? | Für den Zweck der KI-Modellierung/Entwicklung Für einen anderen Zweck | Sind die Daten ursprünglich für einen anderen Zweck erhoben worden und sollen sie für die KI-Modellierung weiterverarbeitet werden, ist zu prüfen, ob die Weiterverarbeitung zulässig ist (siehe Fragen 9, 10 und 11). |
6 | Werden die Datenverarbeitungsgrundsätze eingehalten? Art 5 Abs 1 DSGVO | Rechtmäßigkeit, Verarbeitung nach Treu und Glaube und Transparenz Zweckbindung Datenminimierung Datenrichtigkeit Speicherbegrenzung Integrität und Vertraulichkeit | Achtung: Für die Zulässigkeit der Verarbeitung sind alle Datenverarbeitungsgrundsätze einzuhalten. Das Einhalten dieser Grundsätze ist vom Verantwortlichen nachzuweisen (Rechenschaftspflicht; Art 5 Abs 2 DSGVO); siehe Register 4, Kapitel 1. |
7 | Auf welcher Grundlage wurden die Daten erhoben? Art 6 Abs 1 DSGVO | Einwilligung der betroffenen Person Vertragserfüllung oder Durchführung vorvertraglicher Maßnahmen Erfüllung einer rechtlichen Verpflichtung Schutz lebenswichtiger Interessen Wahrnehmung einer im öffentlichen Interesse liegenden Aufgabe oder Ausübung öffentlicher Gewalt Wahrung der berechtigten Interessen | Hinweis: Die Verarbeitung ist nur rechtmäßig, wenn alle zu Frage 6 genannten Datenverarbeitungsgrundsätze eingehalten werden und die Verarbeitung auf zumindest eine dieser Grundlagen gestützt werden kann; siehe Register 4, Kapitel 1. |
8 | Auf welcher Grundlage wurden besondere Datenkategorien (siehe Frage 3) erhoben? Art 9 DSGVO | Ausdrücklich Einwilligung der betroffenen Person Ausübung eines Rechts oder Erfüllung einer Pflicht aus dem Arbeitsrecht, dem Recht der sozialen Sicherheit oder des Sozialschutzes Schutz lebenswichtiger Interessen und die betroffene Person ist aus körperlichen oder rechtlichen Gründen außerstande, ihre Einwilligung zu geben Verarbeitung durch eine politisch, weltanschaulich, religiös oder gewerkschaftlich ausgerichtete Stiftung, Vereinigung oder sonstige Organisation ohne Gewinnerzielungsabsicht Verarbeitung offensichtlich von der betroffenen Person öffentlich gemachter Daten Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder im Rahmen der justiziellen Tätigkeit Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats Verarbeitung für Zwecke der Gesundheitsvorsorge, der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich Verarbeitung aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit Verarbeitung auf der Grundlage des Unionsrechts oder des Rechts für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke | Hinweis: Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nur rechtmäßig, wenn alle zu Frage 6 genannten Datenverarbeitungsgrundsätze eingehalten werden, die Verarbeitung auf zumindest eine der zu Frage 7 genannten Grundlagen gestützt werden kann und die Verarbeitung zusätzlich zumindest auf eine der hier genannten Grundlagen gestützt werden kann. Achtung: Bei den hier genannten Grundlagen ist zu prüfen, ob weitere Voraussetzungen zu erfüllen sind; siehe Register 4, Kapitel 1. |
9 | Auf welcher Grundlage erfolgt die Weiterverarbeitung? Art 6 Abs 4 DSGVO | Einwilligung der betroffenen Person Rechtsvorschrift des Unionsrechts oder eines EU/EWR-Mitgliedstaats Kompatibler Sekundärzweck | Diese Frage und die nächsten zwei Fragen können übersprungen werden, wenn die Daten ursprünglich für den Zweck der KI-Entwicklung rechtmäßig erhoben wurden. |
10 | Ist der Sekundärzweck mit dem Primärzweck kompatibel? Art 6 Abs 4 DSGVO | Für die Kompatibilitätsprüfung sind ua folgende Faktoren zu berücksichtigen:
| Siehe Register 4, Kapitel 1 |
11 | Dürfen die personenbezogenen Daten anonymisiert werden? | ja nein Die Daten wurden bereits anonymisiert erhoben (zB telefonische Umfrage). | Es ist strittig, ob für die Anonymisierung personenbezogener Daten ein eigenständiger Rechtfertigungsgrund erforderlich ist. Wird dies bejaht, ist wie unter den Fragen 6 bis 8 zu prüfen, ob die Datenweiterverarbeitung zur Anonymisierung zulässig ist. Wird das Erfordernis des Rechtfertigungsgrunds verneint oder mit der Maßgabe bejaht, dass Art 5 Abs 2 lit e DSGVO stets die Rechtsgrundlage der Anonymisierung bildet, dürfen personenbezogene Daten immer anonymisiert werden. Ist die Anonymisierung zulässig und faktisch möglich, oder wurden die Daten bereits anonymisiert erhoben, dürfen die Daten in anonymer Form für die Modellbildung auch dann verwendet werden, wenn ihre personenbezogene Weiterverarbeitung unzulässig ist. |
12 | Sind besondere Vorschriften zu beachten? | ja nein | Im Beschäftigungskontext kann etwa eine Betriebsvereinbarung oder mangels Betriebsrat eine Zustimmung der Mitarbeiter gem § 10 AVRAG erforderlich sein. |
Beachte zusätzlich die „Allgemeine DSGVO-Checkliste“ (unten).
