SimpleAct führt zwei Arten von Pflicht-Checklisten. Im AI-Act-Bereich hat jedes KI-System eine eigene Checkliste, die zu Risikoklasse und Rolle passt. Im DSGVO-Bereich gibt es eine Checkliste für die ganze Organisation. Beide trennen „erledigt“ sauber von „trifft nicht zu“, und Letzteres geht nur mit Begründung.

Auf einen Blick

Enthalten ab: AI-Act-Checkliste ab Starter, DSGVO-Checkliste ab Professional
Wo in der App: Nachweisen → Pflicht-Checkliste (AI Act bzw. DSGVO)
Ergebnis: Status je Pflicht mit Nachweis; Grundlage des Kriteriums „Pflicht-Checkliste“ im Compliance-Score
Rechtsbezug: KI-VO Kapitel III, Art. 4, 5, 50; DSGVO; § 38 BDSG; § 25 TDDDG
API: /api/v1/compliance-checklists

AI-Act-Checkliste für Hochrisiko-Systeme nach Rolle

Die Hochrisiko-Checkliste ist in vier Gruppen geteilt. Die App zeigt nur die Gruppen für die Rolle aus „Einstufung & Rollen“; ohne Rolle zeigt sie alle, damit nichts verloren geht. Die Aufteilung nach Rolle ist als Beta gekennzeichnet.

Gruppe	Inhalt
Rolle (R1–R3)	Sind Sie Anbieter, Betreiber oder beides, einschließlich der Frage, ob Sie nach Art. 25 zum Anbieter werden.
Gemeinsam	Pflichten jedes Akteurs: Art. 4, 5, 50, Lieferkette, Änderungsmanagement, Behördenanfragen.
Anbieter	Art. 16 und die Artikel, auf die er verweist (Art. 9–15, 17–21, 43, 47–49, 72, 73).
Betreiber	Art. 26 Abs. 1–12, Art. 27 (Grundrechte-Folgenabschätzung, nur wo vorgeschrieben) und Art. 86.

DSGVO-Checkliste V3

Die DSGVO-Checkliste ist eine einzige Vorlage für jede Organisation mit 18 Punkten: zwölf Grundpflichten, die jeder Verantwortliche hat, und sechs bedingte Pflichten, die von der Verarbeitung abhängen. Frühere Punkte, die nur die Bedienung von SimpleAct beschrieben, sind entfallen; ihre gespeicherten Antworten werden beim passenden Rechtspunkt als Vorschlag angeboten und tauchen dort als „So erledigen Sie das in SimpleAct“ wieder auf.

Zwölf Grundpflichten

Punkt	Rechtsgrundlage
Rechtmäßigkeit der Verarbeitung (Rechtsgrundlage)	Art. 6, 7, 9, 10
Grundsätze und Rechenschaftspflicht	Art. 5, 24
Informationspflichten (Datenschutzhinweise)	Art. 12, 13, 14
Betroffenenrechte (Prozess und Fristen)	Art. 12, 15–21
Verzeichnis von Verarbeitungstätigkeiten	Art. 30
Auftragsverarbeitung	Art. 28
Sicherheit der Verarbeitung (TOMs)	Art. 32
Datenschutz durch Technikgestaltung und Voreinstellungen	Art. 25
Datenpannen	Art. 33, 34
Speicherbegrenzung und Löschung	Art. 5 Abs. 1 lit. e, 17
Zusammenarbeit mit der Aufsichtsbehörde	Art. 31, 58
Sensibilisierung und Schulung (organisatorische Maßnahme)	Art. 24, 32 Abs. 4, 39 Abs. 1 lit. b

Sechs bedingte Pflichten und ihre automatische Ableitung

Jede bedingte Pflicht hat eine Anwendbarkeitsfrage. Wo SimpleAct die Fakten bereits kennt, leitet es die Antwort selbst ab. Ein vorhandener Eintrag zeigt, dass die Pflicht gilt; „trifft nicht zu“ leitet die App nur aus der DSB-Pflichtprüfung und der Prüfung zum EU-Vertreter ab. Alles andere beantworten Sie selbst.

Pflicht	Grundlage	Abgeleitet aus
Datenschutzbeauftragter	Art. 37–39 DSGVO, § 38 BDSG	DSB-Profil oder DSB-Pflichtprüfung
Datenschutz-Folgenabschätzung	Art. 35	Vorhandene DSFA-Einträge
Übermittlungen in Drittländer	Art. 44–49	Drittland-Tracker oder VVT-Einträge mit Drittlandtransfer
Einwilligung für Cookies und ähnliche Technologien	§ 25 TDDDG	Einwilligungs-Einträge, die eine Einwilligung erfordern
Automatisierte Entscheidungen einschließlich Profiling	Art. 22	VVT-Einträge mit automatisierter Entscheidung
Vertreter in der Union	Art. 27	Prüfung zum EU-Vertreter

„Trifft nicht zu“ nur mit Begründung

Wer in der DSGVO-Checkliste eine bedingte Pflicht als „trifft nicht zu“ markiert, muss eine Begründung angeben; dasselbe gilt dort für jeden Punkt, der auf „nicht anwendbar“ gesetzt wird. Ohne Begründung lehnt die App das Speichern ab. In einer Prüfung ist das die erste Frage: Warum gilt das bei Ihnen nicht?

Information

Die Checklisten ersetzen keine Rechtsberatung. Sie strukturieren Nachweise und Zuständigkeiten. Der Anteil erledigter anwendbarer Pflichten der AI-Act-Checkliste fließt mit 35 % in den Compliance-Score ein; nicht zutreffende Punkte zählen dabei nicht mit.

Compliance-Checklisten