Transfer-Impact-Bewertung (TIA) – AKTUALISIERT

ISMS Copilot hat eine Transfer-Impact-Bewertung (TIA) für internationale Datenübermittlungen in die Vereinigten Staaten gemäß den Anforderungen von Kapitel V der DSGVO durchgeführt. Dieser Artikel erklärt die Bewertungsergebnisse, die ergänzenden Maßnahmen sowie die Auswirkungen des erweiterten Datenschutzmodus auf Ihre Übermittlungspflichten.

Was ist eine Transfer-Impact-Bewertung

Nach DSGVO und dem Schrems-II-Urteil müssen Organisationen, die personenbezogene Daten in Länder außerhalb der EU/des EWR übermitteln, beurteilen, ob die Gesetze des Ziellandes einen angemessenen Schutz bieten. Die Standardvertragsklauseln (SCCs) allein sind möglicherweise nicht ausreichend – es muss bewertet werden, ob zusätzliche Schutzmaßnahmen erforderlich sind.

Eine TIA bewertet:

• Gesetze im Zielland, die Behörden Zugriff auf Daten erlauben könnten

• Ob Ihr Datenimporteur (Subprozessor) diesen Gesetzen unterliegen könnte

• Technische und organisatorische Maßnahmen, die festgestellte Risiken mindern

• Ob die Kombination aus SCCs und ergänzenden Maßnahmen einen angemessenen Schutz bietet

Überwachung des EU-US-Datenschutzrahmens

Im Juli 2023 hat die Europäische Kommission eine Angemessenheitsentscheidung für den EU-US-Datenschutzrahmen (DPF) verabschiedet. ISMS Copilot stützt sich jedoch nicht ausschließlich auf den DPF und implementiert unabhängig von Angemessenheitsentscheidungen ergänzende Maßnahmen.

Organisationen sollten etwaige Anfechtungen des DPF überwachen (ähnlich den Schrems-I/II-Urteilen).

TIA von ISMS Copilot: US-basierte KI-Anbieter

Bewertungsumfang

ISMS Copilot hat eine Transfer-Impact-Bewertung für US-amerikanische Subprozessoren durchgeführt, die verwendet werden, wenn der erweiterte Datenschutzmodus deaktiviert ist:

• Anthropic (Claude) [STANDARD]: KI-Konversationsverarbeitung

• OpenAI: KI-Konversations- und Dokumentenanalyse

• xAI (Grok): KI-Konversationsverarbeitung

• Google Gemini: KI-Konversationsverarbeitung

• SendGrid (Twilio): Versand von Transaktions-E-Mails

• Kit (ConvertKit): Onboarding- und Produktupdate-E-Mails

Rechtlicher Rahmen: Zugang der US-Regierung

Die TIA bewertete US-Überwachungsgesetze, die Regierungszugriff ermöglichen könnten:

FISA Sektion 702

• Erlaubt US-Geheimdiensten, US-Unternehmen zur Herausgabe von Kommunikationsdaten von Nicht-US-Personen zu verpflichten

• Gilt für "elektronische Kommunikationsdiensteanbieter"

• Ziel muss die ausländische Nachrichtendiensttätigkeit sein

Executive Order 12333

• Regelt ausländische Nachrichtendienstaktivitäten

• Kann Abfangen von Daten auf dem Übertragungsweg erlauben

CLOUD Act

• Ermöglicht US-Strafverfolgungsbehörden die Offenlegung von Daten, die US-Unternehmen besitzen, auch wenn die Daten im Ausland gespeichert sind

• Erfordert rechtliche Verfahren (Haftbefehl oder Vorladung)

Ergebnisse der Risikobewertung

Die TIA von ISMS Copilot kommt zu dem Schluss, dass Risiken durch folgende Faktoren gemindert werden:

Art der verarbeiteten Daten

• Anfragen im Zusammenhang mit Compliance und Entwürfe von Richtlinien

• In der Regel keine Kommunikationsinhalte, die unter FISA 702 fallen

• Unwahrscheinlich, dass die "ausländische Nachrichtendienst"-Schwelle erfüllt wird

Begrenzte Speicherung durch KI-Anbieter

• xAI/OpenAI: 30-Tage-Aufbewahrung ausschließlich zur Missbrauchsüberwachung

• Keine dauerhafte Speicherung oder Indexierung für Nachrichtendienstzwecke

• Vertragliches Verbot, Daten für das Modelltraining zu verwenden

Ende-zu-Ende-Verschlüsselung

• TLS 1.3 schützt Daten während der Übertragung

• Reduziert das Risiko einer Massenüberwachung unter EO 12333

Keine Hinweise auf Regierungsanfragen

• xAI, OpenAI und E-Mail-Anbieter haben keine Anfragen der Regierung auf Zugriff zu Kundendaten von ISMS Copilot gemeldet

• Transparenzberichte zeigen gezielte Strafverfolgungsanfragen, keine Massenüberwachung

Ergänzende Maßnahmen

Über die Standardvertragsklauseln hinaus implementiert ISMS Copilot ergänzende technische und organisatorische Maßnahmen:

Technische Maßnahmen

• Verschlüsselung während der Übertragung: TLS 1.3 für alle Datenübermittlungen

• Verschlüsselung im Ruhezustand: EU-Datenbank verschlüsselt mit AES-256

• Begrenzte Speicherung: 30-Tage-Cache beim KI-Anbieter statt dauerhafter Speicherung

• Benutzerkontrollierte Aufbewahrung: Kunden legen eigene Aufbewahrungsfristen fest (1 Tag bis 7 Jahre)

• Modus zur Reduzierung personenbezogener Daten: Optionale clientseitige Schwärzung persönlicher Daten vor KI-Verarbeitung

Vertragliche Maßnahmen

• Kein Training mit Daten: KI-Anbieter sind vertraglich verboten, Kundendaten für Modelltraining zu nutzen

• Standardvertragsklauseln: Von der EU-Kommission genehmigte SCCs mit allen US-Subprozessoren

• Nur Missbrauchsüberwachung: 30-Tage-Aufbewahrung ausschließlich zur Erkennung von Plattformmissbrauch, keine kommerzielle Nutzung

Benutzerkontrollmaßnahmen

• Erweiterter Datenschutzmodus: Nutzer können auf ausschließliche EU-Verarbeitung (Mistral AI, keine Speicherung) umstellen, um US-Übermittlungen komplett zu vermeiden

• Arbeitsbereich-Isolierung: Kundendaten werden getrennt gehalten, um Expositionsrisiken bei einzelnen Anfragen zu minimieren

• Datenminimierung: Es werden nur notwendige Daten erhoben; keine demographischen oder unnötigen persönlichen Informationen

Wie sich der Erweiterte Datenschutzmodus auf die TIA-Pflichten auswirkt

Standardmodus (Erweiterter Datenschutz AUS)

Wenn der Erweiterte Datenschutzmodus deaktiviert ist:

• Ort der KI-Verarbeitung: Vereinigte Staaten (Anthropic Claude [STANDARD], OpenAI, xAI oder Google Gemini – vom Nutzer wählbar)

• Übertragungsmechanismus: Standardvertragsklauseln plus ergänzende Maßnahmen

• TIA-Anforderung: Organisationen, die der DSGVO unterliegen, sollten ISMS Copilots TIA nutzen oder eigene Bewertungen durchführen

• Speicherung durch KI-Anbieter: 30 Tage (temporärer Zwischenspeicher zur Missbrauchsüberwachung)

• E-Mail-Übermittlungen: Finden unabhängig von der KI-Einstellung weiterhin zu US-Anbietern (SendGrid/Kit) statt

Erweiterter Datenschutz EIN (Nur EU-Modus)

Wenn der Erweiterte Datenschutzmodus aktiviert ist:

• Ort der KI-Verarbeitung: Europäische Union (Mistral AI, Frankfurt)

• Übertragungsmechanismus: Keine internationale Übermittlung bei der KI-Verarbeitung (EU-zu-EU)

• TIA-Anforderung: Nicht erforderlich für KI-Verarbeitung (keine Übermittlung außerhalb der EU/des EWR)

• Speicherung durch KI-Anbieter: Keine Speicherung – Daten werden in Echtzeit verarbeitet und verworfen

• E-Mail-Übermittlungen: Finden weiterhin zu US-Anbietern (SendGrid/Kit) statt; TIA ist hier weiterhin erforderlich

E-Mail-Übermittlungen bleiben unabhängig vom Modus bestehen

Selbst mit aktiviertem erweitertem Datenschutzmodus beinhalten E-Mail-Kommunikationen Übermittlungen in die USA:

• SendGrid (Twilio): Transaktions-E-Mails (Konto-Verifizierung, Passwort-Reset, Sicherheitsbenachrichtigungen)

• Kit (ConvertKit): Onboarding-Sequenzen und Produktupdates (optional, Nutzer kann abbestellen)

• Übertragene Daten: E-Mail-Adressen, Engagement-Daten (Öffnungen, Klicks), Metadaten der Nachrichten

• Schutzmaßnahmen: Standardvertragsklauseln, Verschlüsselung während der Übertragung, DSGVO-konforme Datenverarbeitungsvereinbarungen

Um E-Mail-Übermittlungen zu minimieren, können Nutzer nicht-essentielle Nachrichten abbestellen.

Eigene TIA durchführen

Wann eine eigene Bewertung benötigt wird

Organisationen sollten eine eigene TIA durchführen, wenn:

• Sie besondere Kategorien personenbezogener Daten (Artikel 9 DSGVO) über ISMS Copilot verarbeiten

• Ihre Risikotoleranz von der Bewertung von ISMS Copilot abweicht

• Ihre Datenschutzbehörde organisationsspezifische TIAs verlangt

• Kundenverträge unabhängige Überprüfungen vorschreiben

• Sie große Mengen personenbezogener EU-Daten verarbeiten

Wichtige Fragen für Ihre TIA

Berücksichtigen Sie bei der eigenen Bewertung:

Datensensitivität

• Welche Arten personenbezogener Daten laden Sie hoch?

• Beinhaltet dies besondere Kategorien (Gesundheitsdaten, biometrisch, politische Meinungen)?

• Welchen Schaden könnte unbefugter Regierungszugriff für Betroffene haben?

Zugriffs-Wahrscheinlichkeit

• Könnten Ihre Compliance-Daten den "ausländische Nachrichtendienst"-Schwellenwert gemäß FISA 702 erfüllen?

• Sind Sie oder Ihre Kunden potenzielle Ziele von Überwachung?

• Verarbeiten Sie Daten zu nationaler Sicherheit, Terrorismus oder organisierter Kriminalität?

Ergänzende Maßnahmen

• Sind die technischen Maßnahmen von ISMS Copilot (Verschlüsselung, begrenzte Speicherung) für Ihren Anwendungsfall ausreichend?

• Sollten Sie den erweiterten Datenschutzmodus für ausschließliche EU-Verarbeitung aktivieren?

• Sollten Sie den Modus zur Reduzierung personenbezogener Daten aktivieren, um Daten vor KI-Verarbeitung zu schwärzen?

• Benötigen Sie zusätzliche Anonymisierung vor dem Hochladen von Dokumenten?

Alternative Lösungen

• Wenn Risiken nicht gemindert werden können, können Sie die Übermittlung vermeiden, indem Sie den erweiterten Datenschutzmodus aktivieren?

• Können Sie Daten vor der Nutzung von ISMS Copilot anonymisieren?

• Sollten Sie ISMS Copilot auf nicht-personenbezogene Daten beschränken?

Ressourcen für Ihre TIA

• UK ICO: Transfer Risk Assessments

• EDPB Empfehlungen 01/2020 zu ergänzenden Maßnahmen

• CNIL: Wie führt man eine Transfer-Impact-Bewertung durch

• ISMS Copilot Datenverarbeitungsvereinbarung (Abschnitt 3: Internationale Datenübermittlungen)

• Verzeichnis von Verarbeitungstätigkeiten mit ausführlichen Subprozessor-Informationen

Entscheidungshilfe: Welchen Modus sollten Sie wählen

Nutzen Sie den erweiterten Datenschutzmodus (Nur EU), wenn:

• Ihre Organisation zwingende EU-Datenresidenzanforderungen hat

• Sie personenbezogene Daten von EU-Bewohnern verarbeiten und die TIA-Konformität vereinfachen wollen

• Kundenverträge US-basierte Datenverarbeitung untersagen

• Sie besondere Kategorien personenbezogener Daten (Artikel 9 DSGVO) verarbeiten

• Ihre Datenschutzbehörde ausschließliche EU-Verarbeitung verlangt

• Ihre Risikobewertung unakzeptable Risiken bei US-Übermittlungen ergibt

• Sie Null-Speicherung bei KI-Anbietern für maximalen Datenschutz wünschen

Der Standardmodus kann akzeptabel sein, wenn:

• Sie ausschließlich Compliance-Dokumentation ohne personenbezogene Daten verarbeiten

• Ihre TIA zu dem Schluss kommt, dass ergänzende Maßnahmen angemessenen Schutz bieten

• Sie nicht der DSGVO unterliegen (Organisation außerhalb der EU, keine EU-Betroffenen)

• Sie nur nicht-sensible Compliance-Inhalte (generische Richtlinien, Frameworks) verarbeiten

• Die 30-Tage-Speicherung beim KI-Anbieter in Ihren Richtlinien akzeptabel ist

Dokumentation der Übermittlungen im ROPA

Wenn Sie ISMS Copilot zur Verarbeitung personenbezogener Daten nutzen, dokumentieren Sie dies im Verzeichnis der Verarbeitungstätigkeiten:

Standardmodus (Erweiterter Datenschutz AUS)

• Subprozessoren: ISMS Copilot (EU), xAI (USA), OpenAI (USA), SendGrid (USA), Kit (USA)

• Übermittlungsziele: Vereinigte Staaten

• Übertragungsmechanismen: Standardvertragsklauseln, Verschlüsselung, begrenzte Speicherung

• TIA-Verweis: "Verlassend auf ISMS Copilots Transfer-Impact-Bewertung vom [Datum]" oder "Interne TIA am [Datum] durchgeführt"

Erweiterter Datenschutzmodus (EIN)

• Subprozessoren: ISMS Copilot (EU), Mistral AI (EU), SendGrid (USA), Kit (USA)

• Übermittlungsziele: Vereinigte Staaten (nur E-Mail)

• Übertragungsmechanismen: Standardvertragsklauseln für E-Mail-Anbieter

• TIA-Verweis: "KI-Verarbeitung erfolgt in der EU (keine Übermittlung); E-Mail-Übermittlungen durch SCCs abgedeckt"

siehe ISMS Copilots Verzeichnis der Verarbeitungstätigkeiten für eine Vorlage zur Referenzierung.

Beste Praktiken

Für EU-Organisationen

• Aktivieren Sie standardmäßig den erweiterten Datenschutzmodus, um die Komplexität der TIA zu vermeiden

• Dokumentieren Sie ISMS Copilot in Ihrem ROPA mit entsprechenden Subprozessor-Details

• Informieren Sie die Betroffenen, dass Sie KI-Tools zur Compliance-Verarbeitung nutzen (Datenschutzhinweis)

• Anonymisieren Sie personenbezogene Daten vor dem Hochladen, wenn möglich

• Führen Sie eine Datenschutz-Folgenabschätzung (DPIA) durch, wenn besondere Kategorien oder umfangreiche personenbezogene Daten verarbeitet werden

Für Compliance-Berater

• Bewerten Sie die Datenresidenzanforderungen jedes Kunden vor der Moduswahl

• Erstellen Sie separate Arbeitsbereiche pro Kunde zur Datenisolation

• Beziehen Sie ISMS Copilot als Subprozessor in die Kundendatenverarbeitungsvereinbarungen ein

• Informieren Sie Kunden über den eingesetzten Modus und dessen Gründe

• Aktivieren Sie den Modus zur Reduktion personenbezogener Daten für zusätzlichen Schutz bei der Verarbeitung von Auditberichten mit Mitarbeiternamen

Minimierung von Übertragungsrisiken

• Erweiterter Datenschutzmodus einschalten: Vermeidet KI-Verarbeitungsübermittlungen komplett

• Modus zur Reduktion personenbezogener Daten aktivieren: Schwärzt personenbezogene Daten vor KI-Verarbeitung

• Nicht-essentielle E-Mails abbestellen: Reduziert E-Mail-Anbieter-Übermittlungen

• Kurze Aufbewahrungszeiten festlegen: Beschränkt Speicherdauer von Daten

• Vor dem Hochladen anonymisieren: Entfernen oder Pseudonymisieren von personenbezogenen Kennungen

Häufig gestellte Fragen

Muss ich eine eigene TIA durchführen, wenn ich ISMS Copilot nutze?

Das kommt darauf an. Wenn Sie den Standardmodus nutzen und personenbezogene Daten von EU-Bewohnern verarbeiten, sollten Sie entweder eine eigene TIA durchführen oder die TIA von ISMS Copilot dokumentieren. Wenn Sie den erweiterten Datenschutzmodus aktivieren, erfolgt die KI-Verarbeitung in der EU und benötigt keine TIA (E-Mail-Übermittlungen jedoch schon).

Eliminiert der Erweiterte Datenschutzmodus vollständig die Übermittlungspflichten?

Nein. Er beseitigt Übermittlungen bei der KI-Verarbeitung, aber E-Mail-Kommunikation erfolgt weiterhin über US-basierte Anbieter (SendGrid, Kit). Diese E-Mail-Übermittlungen unterliegen weiterhin Kapitel V der DSGVO und sollten im ROPA dokumentiert werden.

Was, wenn meine Datenschutzbehörde die TIA von ISMS Copilot ablehnt?

Wenn Ihre Datenschutzbehörde zu dem Schluss kommt, dass US-Übermittlungen untragbare Risiken bergen, aktivieren Sie den erweiterten Datenschutzmodus, um die KI-Arbeitslasten ausschließlich in der EU zu verarbeiten. Dies hebt die TIA-Pflicht für die KI-Verarbeitung auf.

Kann ich ISMS Copilot für besondere Kategorien personenbezogener Daten verwenden?

Ja, jedoch mit Vorsicht. Aktivieren Sie den erweiterten Datenschutzmodus für EU-only-Verarbeitung, schalten Sie den Modus zur Reduzierung personenbezogener Daten ein, setzen Sie kurze Aufbewahrungsfristen und führen Sie eine Datenschutz-Folgenabschätzung (DPIA) nach Artikel 35 DSGVO durch. Stellen Sie zudem sicher, dass Sie eine Rechtsgrundlage gemäß Artikel 9 haben.

Wie oft sollte ich meine TIA überprüfen?

Überprüfen Sie Ihre TIA immer dann, wenn:

• ISMS Copilot Subprozessoren oder Datenflüsse ändert

• US-Überwachungsgesetze sich verändern

• Ihre Datenschutzbehörde neue Leitlinien veröffentlicht

• Die Art oder Menge der verarbeiteten Daten sich signifikant ändert

Wo finde ich die Standardvertragsklauseln von ISMS Copilot?

SCCs sind in Subprozessorverträge integriert. Kontaktieren Sie den Support über das Hilfezentrum, um Kopien der SCCs für Ihre Anbieterevaluierung oder Audit-Zwecke zu erhalten.

Verwandte Ressourcen

• Datenverarbeitungsvereinbarung (DPA) – Vollständiger rechtlicher Rahmen für ISMS Copilot Datenverarbeitung

• Erweiterter Datenschutzmodus – Anleitung zur Aktivierung der ausschließlichen EU-Verarbeitung

• Übersicht Datenkontrollen – Aufbewahrung, Reduzierung personenbezogener Daten, Datenschutzeinstellungen

• Datenschutz & DSGVO-Konformität – Ihre Rechte und DSGVO-Umsetzung

• Verzeichnis der Verarbeitungstätigkeiten (ROPA) – Subprozessorenliste und Verarbeitungseinzelheiten

Hilfe erhalten

Bei Fragen zu Transfer-Impact-Bewertungen oder internationalen Datenübermittlungen:

• Lesen Sie die Datenverarbeitungsvereinbarung bezüglich rechtlicher Übertragungsmechanismen

• Kontaktieren Sie den Support über das Hilfezentrum für TIA-Dokumentation oder SCC-Kopien

• Geben Sie "TIA-Anfrage" oder "Transfer Impact Assessment" im Betreff an

• Besuchen Sie die Security Collection für umfassende Compliance-Dokumentation