EU AI Act · DSGVO
Das KI-Recruiting-Tool steht im Verarbeitungsverzeichnis der Datenschutzbeauftragten und in der KI-Liste der IT. In zwei Dateien, mit zwei Ständen, gepflegt von zwei Personen, die selten miteinander sprechen.
So sieht es in den meisten mittelständischen Unternehmen aus, die beide Themen ernst nehmen. Und es ist der teuerste Weg, beide Pflichten zu erfüllen: doppelte Erfassung, widersprüchliche Angaben und ein Datenschutzbeauftragter, der von der Hälfte der eingesetzten KI-Systeme nichts weiß.
Der Grund dafür ist strukturell. Die beiden Verzeichnisse haben eine unterschiedliche rechtliche Herkunft, und genau das führt dazu, dass sie getrennt entstehen.
Nur eines der beiden Register ist ausdrücklich vorgeschrieben
Diese Unterscheidung wird in der Praxis oft übergangen, sie ist aber der Kern des Problems.
Verarbeitungsverzeichnis
Ausdrückliche Pflicht nach Art. 30 DSGVO
Der Gesetzestext sagt genau, welche Angaben enthalten sein müssen. Das Verzeichnis ist der Aufsichtsbehörde auf Anfrage vorzulegen.
KI-Inventar
Kein eigener Artikel, aber praktisch unverzichtbar
Die KI-Verordnung kennt keine Vorschrift „führe ein KI-Register". Sie setzt es an mehreren Stellen voraus: Art. 4 verlangt risikoangemessene Schulung, Art. 50 die richtige Kennzeichnung je System, Art. 26 die Betreiberpflichten, Art. 72 die Beobachtung im Betrieb.
Für die Praxis heißt das: Das eine Verzeichnis entsteht, weil ein Gesetz es verlangt. Das andere entsteht, weil ohne es keine der KI-Pflichten sauber erfüllbar ist. Zwei Entstehungswege, zwei Abteilungen, zwei Dateien.
Zur Ausnahme in Art. 30 Abs. 5
Unternehmen mit weniger als 250 Beschäftigten sind vom Verarbeitungsverzeichnis befreit, aber nur wenn die Verarbeitung nicht risikobehaftet ist, nur gelegentlich erfolgt und keine besonderen Kategorien personenbezogener Daten umfasst. Bei KI-gestützter Verarbeitung von Beschäftigten- oder Bewerberdaten sind diese Bedingungen praktisch nie alle erfüllt. Die im Digital Omnibus vorgeschlagene Anhebung auf 750 Beschäftigte ist bislang nicht in Kraft, der allgemeine Omnibus befindet sich weiterhin im Gesetzgebungsverfahren.
Ein Beispiel: das KI-gestützte Bewerber-Screening
Ein mittelständisches Unternehmen setzt ein zugekauftes Tool ein, das eingehende Bewerbungen vorsortiert und den Personalverantwortlichen eine Rangfolge vorschlägt. Ein Standardfall, und einer, der beide Regelwerke gleichzeitig auslöst.
Aus Sicht der DSGVO ist das eine Verarbeitungstätigkeit mit Bewerberdaten, mit einem Auftragsverarbeiter im Hintergrund und einer Rechtsgrundlage, die begründet werden muss. Aus Sicht der KI-Verordnung ist es ein KI-System im Bereich Beschäftigung, für das die Rolle zu klären ist, das eine Risikoeinstufung braucht und das ab Dezember 2027 als Hochrisiko-System einzuordnen sein dürfte.
Beide Sichten beschreiben denselben Gegenstand. Sie fragen nur Unterschiedliches ab.
Was doppelt anfällt, was nicht
Die Hälfte der Felder ist deckungsgleich. Genau diese Hälfte wird in den meisten Unternehmen zweimal erhoben, zweimal gepflegt und irgendwann nur noch an einer Stelle aktualisiert.
Die Falle: Die Rollen sind nicht deckungsgleich
Wer beide Register zusammenführt, stolpert an einer Stelle fast zwangsläufig. Beide Regelwerke kennen ein Rollenpaar, und beide Paare klingen ähnlich, meinen aber nicht dasselbe.
DSGVO: Verantwortlicher und Auftragsverarbeiter
Die Zuordnung richtet sich danach, wer über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
KI-Verordnung: Anbieter und Betreiber
Die Zuordnung richtet sich danach, wer das System entwickelt und unter eigenem Namen bereitstellt und wer es in eigener Verantwortung einsetzt.
Im Recruiting-Beispiel ist Ihr Unternehmen Verantwortlicher nach DSGVO und zugleich Betreiber nach KI-Verordnung. Der Toolhersteller ist Auftragsverarbeiter und zugleich Anbieter. Das passt hier zusammen, aber es ist kein Naturgesetz. Ein Anbieter kann personenbezogene Daten ausschließlich für eigene Zwecke verarbeiten und damit selbst Verantwortlicher sein. Ein Betreiber kann im Auftrag eines Kunden handeln und damit Auftragsverarbeiter sein.
Konsequenz für die Umsetzung: Legen Sie zwei getrennte Rollenfelder an, nicht eines. Wer beide Rollen in einer Spalte zusammenzieht, produziert genau die Fehler, die im Audit auffallen.
Drei Fehler, die getrennte Register zuverlässig erzeugen
Der blinde Fleck
Fachbereiche führen KI-Tools ein, ohne den Datenschutz einzubinden. Das System landet in der IT-Liste, aber nie im Verarbeitungsverzeichnis. Schatten-KI ist damit gleichzeitig ein KI-Act- und ein DSGVO-Problem.
Der Widerspruch
Der Zweck ist im Verarbeitungsverzeichnis eng formuliert und in der KI-Liste weit. Wenn die Aufsicht beide Dokumente sieht, ist die Abweichung der erste Ansatzpunkt für Rückfragen.
Der Versionsverlust
Der Anbieter aktualisiert das Modell, der Funktionsumfang ändert sich. Die IT bemerkt es, der Datenschutz nicht. Beide Bewertungen beruhen ab diesem Moment auf einem Stand, den es nicht mehr gibt.
Einmal erfassen, zwei Sichten ausgeben
Die Zusammenführung ist keine Softwarefrage, sondern eine Frage der Reihenfolge. Fünf Schritte, die auch in einer gut gepflegten Tabelle funktionieren.
Das System als gemeinsamen Anker setzen
Nicht die Verarbeitungstätigkeit und nicht das Tool, sondern das konkrete KI-System mit Version und Einsatzzweck. Beide Sichten hängen daran.
Die gemeinsamen Felder einmal definieren
Zweck, Datenkategorien, betroffene Personen, Dienstleister, Sicherheitsmaßnahmen. Eine Formulierung, die beiden Anforderungen genügt, statt zwei Varianten, die auseinanderlaufen.
Die spezifischen Felder getrennt halten
Rechtsgrundlage und Löschfristen auf der einen Seite, Risikoklasse, Rolle und Kennzeichnung auf der anderen. Getrennte Felder, gemeinsamer Datensatz.
Einen gemeinsamen Aufnahmeprozess etablieren
Neue KI-Tools durchlaufen eine Meldung, nicht zwei. Der Datenschutzbeauftragte und die für KI zuständige Person sehen denselben Eingang. Das ist der wirksamste Hebel gegen Schatten-KI.
Zwei Exporte aus einer Quelle erzeugen
Die Datenschutzaufsicht bekommt das Verarbeitungsverzeichnis in der Form des Art. 30, die Marktüberwachung die KI-Sicht. Zwei Dokumente, ein Stand.
Der eigentliche Punkt
Die Diskussion um KI-Compliance dreht sich meist um neue Pflichten. Der praktische Aufwand entsteht aber selten durch die Pflicht selbst, sondern durch die Frage, wo die Information steht und ob sie noch stimmt.
Unternehmen, die ihr Verarbeitungsverzeichnis ordentlich führen, haben für das KI-Inventar bereits die halbe Arbeit erledigt. Sie wissen es nur oft nicht, weil beide Themen in unterschiedlichen Zuständigkeiten liegen. Wer beide zusammenführt, spart nicht nur die Doppelerfassung. Er hat auch die Grundlage für den nächsten Schritt, an dem sich die beiden Regelwerke wieder begegnen: die Frage, wann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und wann eine Grundrechte-Folgenabschätzung nach Art. 27 KI-Verordnung erforderlich ist.
Mit SimpleAct
Ein System erfassen, zwei Pflichten bedienen.
EU AI Act und DSGVO in einer Plattform: KI-Systeme zentral erfassen, regelbasiert einstufen, Verantwortlichkeiten festlegen und jederzeit audit-fähige Nachweise exportieren. Made in Germany, gehostet in Deutschland.
KI-Systeme jetzt erfassen →Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Stand: 13. August 2026.
Tags
EU AI Act Compliance in Ihrem Unternehmen umsetzen?
SimpleAct hilft Ihnen, KI-Systeme zu erfassen, Risiken einzustufen und die geforderte Dokumentation automatisch zu erstellen.
Yannick | SimpleAct Team
Autor · SimpleAct Team