Vom kostenlosen Bericht zum Dossier: drei neue Unterlagen zu KI-Verordnung und DSGVO

Haben Sie unseren kostenlosen Fragebogen bereits ausgefüllt, wissen Sie in klarer Sprache, ob die KI-Verordnung oder die DSGVO für Ihr Unternehmen gelten. Dieser Fragebogen bleibt kostenlos und ändert sich nicht. Was sich ändert, ist das, was danach kommt. Zu wissen, was gilt, und es einer Fondsverwaltungsgesellschaft, einer Depotbank oder einem Prüfer beweisen zu können, sind zwei verschiedene Dinge. Bisher lag dazwischen ein mühsamer Schritt: das Ergebnis vom Bildschirm von Hand in ein eigenes Dokument übertragen und hoffen, dass es im Compliance-Fragebogen eines regulierten Auftraggebers standhält. Drei neue Einmalkäufe schliessen diese Lücke und machen aus dem kostenlosen Bericht ein Dokument, das Sie direkt weitergeben können.

Was ist neu

KI-Risikoklassifizierungsbericht — 49 €

Das ist Ihr kostenloser Anwendbarkeitsbericht, neu aufbereitet als markengeprägtes Exportdokument mit eingebauten Rechtsquellen. Dieselbe Analyse-Engine, dieselben Schlussfolgerungen, aber als eigenständiges, referenziertes Dokument statt als Bildschirmseite. Gedacht für den Moment, in dem eine Fondsverwaltungsgesellschaft, eine Depotbank oder ein CSSF-reguliertes Unternehmen im Rahmen ihrer eigenen Lieferkettenprüfung einen Nachweis will statt nur einer Aussage in einem Fragebogenfeld. Statt eines Screenshots übergeben Sie ein Dokument mit den passenden Rechtsverweisen.

DSFA-Generator — 69 €

Eine Datenschutz-Folgenabschätzung, von einem Sprachmodell erstellt und nach Art. 35 Abs. 7 DSGVO strukturiert: eine systematische Beschreibung der Verarbeitung, eine Bewertung von Notwendigkeit und Verhältnismässigkeit, eine Bewertung der Risiken für die Rechte und Freiheiten betroffener Personen, sowie bereits vorhandene oder geplante Abhilfemassnahmen. Die Erstellung stützt sich auf die Auslösekriterien aus Art. 35 Abs. 3 DSGVO und die WP248-Leitlinie, sodass das Dokument tatsächlich zu Ihrer konkreten Verarbeitung argumentiert, etwa einem Tool zur Bonitätsbewertung oder zur KYC-/AML-Prüfung, statt eine generische Vorlage zu füllen. Angefragt wird dieses Dokument typischerweise von der CNPD, von einem CSSF-regulierten Kunden im Rahmen einer Lieferantenprüfung, oder von der eigenen Datenschutzverantwortlichen Person.

Komplettpaket — 99 €

Beide Richtliniendokumente (KI-Nutzungsrichtlinie und Datenschutzerklärung), der Risikoklassifizierungsbericht, die DSFA, und ein neues Evidence & Audit Pack als Deckblatt, das alles zu einem einzigen Dossier indexiert. Dieses Deckblatt sorgt dafür, dass wer das Paket erhält, ein Prüfer, ein regulierter Kunde, eine Behörde, nicht selbst herausfinden muss, welches Dokument welche Frage aus dem eigenen Fragebogen beantwortet.

Wann braucht es wirklich eine DSFA?

Das lohnt sich unabhängig von einem Kauf zu verstehen, und die Frage stellt sich besonders scharf für KMU rund um den Luxemburger Fondsstandort, wo KI häufig für Bonitätsscoring oder KYC-/AML-Filterung eingesetzt wird. Art. 35 DSGVO verlangt eine DSFA, wenn eine Form der Verarbeitung, insbesondere bei neuen Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Art. 35 Abs. 3 DSGVO und die WP248-Leitlinie der ehemaligen Art.-29-Datenschutzgruppe legen fest, an welchen Kriterien Aufsichtsbehörden diese Schwelle in der Praxis messen. Erfüllt Ihre Verarbeitung zwei oder mehr der folgenden Punkte, ist eine DSFA sehr wahrscheinlich nötig; mehrere im Finanzumfeld eingesetzte KI-Systeme erfüllen gleich mehrere davon auf einmal:

• Bewertung oder Scoring, einschliesslich Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung für eine Person, etwa automatisierte Bonitätsprüfung oder eine KI-gestützte Vorprüfung von Zeichnungsanträgen.
• Umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten (Gesundheit, biometrische Daten, ethnische Herkunft, politische Meinung und Ähnliches) oder Daten zu strafrechtlichen Verurteilungen, relevant bei vertieften AML-Prüfungen.
• Systematische Überwachung von Personen, einschliesslich der Überwachung öffentlich zugänglicher Bereiche oder fortlaufender Beobachtung von Transaktionsverhalten.
• Verarbeitung, die schutzbedürftige betroffene Personen betrifft, etwa Beschäftigte, Kinder oder Personen in wirtschaftlicher oder sozialer Abhängigkeit vom Verantwortlichen.
• Innovativer Einsatz von Technologie oder organisatorischen Lösungen, etwa ein neu eingeführter KI-Copilot im Onboarding-Prozess, dessen Risiken für Betroffene noch nicht gut verstanden oder etabliert sind.
• Abgleich oder Zusammenführung von Datensätzen aus unterschiedlichen Quellen, über das hinaus, was eine Person vernünftigerweise erwarten würde, etwa wenn KYC-Daten mit externen Filterlisten verknüpft werden.

In der Praxis erfüllen die meisten KMU, die ein KI-Werkzeug zur Bewertung, Einstufung oder Filterung von Personen im Onboarding oder in der AML-Prüfung einsetzen, schon bei erster Durchsicht mindestens zwei dieser Kriterien. Genau diese Gruppe soll der kostenlose Fragebogen erkennen, und genau deshalb gehört die DSFA zu den ersten Unterlagen, die auf ein Ergebnis «betrifft Sie» folgen, insbesondere wenn ein regulierter Auftraggeber sie im eigenen Compliance-Dossier einfordert.

Diese Rechnung geht unabhängig davon auf, welches Dokument diese Woche am dringendsten gebraucht wird. Reicht der Risikobericht allein für den Fragebogen einer Fondsverwaltungsgesellschaft, kostet er einzeln 49 €. Fragt ein regulierter Kunde konkret nach einer DSFA, steht die für sich allein bei 69 €. Wer aber absehen kann, dass mehr als eines dieser Dokumente früher oder später nötig wird, was für viele Zulieferer und Dienstleister rund um den Luxemburger Finanzplatz zutrifft, kommt mit dem Komplettpaket günstiger zu denselben Unterlagen, statt draufzuzahlen.

Nichts davon ersetzt den kostenlosen Anwendbarkeits-Fragebogen, und nichts davon ist Rechtsberatung für Ihre konkrete Situation. Der Fragebogen beantwortet weiterhin, ob und was für Sie gilt, und bleibt kostenlos. Die drei neuen Käufe beantworten eine andere Frage: Wenn feststeht, was gilt, was geben Sie dann tatsächlich dem Kunden, dem Prüfer oder der Behörde in die Hand, die einen Nachweis verlangen.