Fast jedes KI-System verarbeitet personenbezogene Daten. Damit gelten AI Act und DSGVO gleichzeitig – und die Nachweise überschneiden sich erheblich: Die Datenherkunft im Anhang-IV-Dossier ist derselbe Sachverhalt wie die Datenkategorien im Verarbeitungsverzeichnis, und eine Grundrechte-Folgenabschätzung baut auf derselben Analyse auf wie eine Datenschutz-Folgenabschätzung. Die DSGVO-Suite hält beides in einem System, damit Sie diese Sachverhalte einmal pflegen statt zweimal.

Auf einen Blick

Enthalten ab: Professional; einzelne Module ab Enterprise
Wo in der App: Linke Navigation → Datenschutz
Ergebnis: Vollständige Datenschutzakte inkl. Gesamtexport als ZIP
API: /api/v1/processing-records, /toms, /dpia, …

Die Module im Überblick

Vierzehn Bausteine. Welche Sie brauchen, hängt an Größe, Branche und Datenlage – nicht jedes Unternehmen führt Behördenvorgänge oder Drittlandtransfers.

Modul	Rechtsbezug	Enthalten ab
Verarbeitungsverzeichnis (VVT)	Art. 30	Professional
TOMs	Art. 32	Professional
Datenschutz-Folgenabschätzung	Art. 35	Professional
Betroffenenanfragen	Art. 15–22	Professional
Datenpannen	Art. 33, 34	Professional
Einwilligungen & Cookie-Banner	Art. 7, TTDSG	Professional
Aufbewahrung & Löschung	Art. 5 Abs. 1 lit. e	Professional
Datenschutzhinweise	Art. 13, 14	Professional
Auftragsverarbeiter (AVV)	Art. 28	Professional
Awareness & Schulungen	Art. 39 Abs. 1 lit. b	Professional
DSGVO-Gesamtexport	Art. 5 Abs. 2 (Rechenschaft)	Professional
Datenschutzbeauftragter	Art. 37–39	Enterprise
Drittlandtransfers	Art. 44–49	Enterprise
Behördenanfragen & Eskalationen	Art. 31, 77	Enterprise

Wo AI Act und DSGVO ineinandergreifen

KI-System ↔ Verarbeitungstätigkeit

Ein VVT-Eintrag lässt sich direkt mit einem KI-System verknüpfen. Damit beantwortet dieselbe Verknüpfung zwei Fragen: „Welche personenbezogenen Daten verarbeitet dieses System?" und „Auf welchem System läuft diese Verarbeitung?"

DSFA ↔ FRIA

Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und die Grundrechte-Folgenabschätzung des AI Act sind nicht dasselbe, überschneiden sich aber stark: betroffene Personen, Eingriffstiefe, Abhilfemaßnahmen, Restrisiko. Wer die DSFA sauber führt, hat die halbe FRIA.

Datenpanne ↔ KI-Vorfall

Beide haben Meldefristen, aber unterschiedliche Adressaten und Auslöser. SimpleAct hält sie deshalb getrennt – ein Vorfall kann beides sein und wird dann in beiden Registern geführt, mit jeweils eigener Frist.

TOMs ↔ Controls

Die Art.-32-Maßnahmen und die EU-AI-Act-Kontrollen betreffen teils dieselben Schutzmaßnahmen. Ein TOM kann auf VVT-Einträge und Dienstleister verweisen und wird damit zum gemeinsamen Nachweis.

Der DSGVO-Gesamtexport

Ein Aufruf, ein ZIP-Archiv – für die Aufsichtsbehörde, den Wirtschaftsprüfer oder die eigene Revision:

index.html und index.pdf – die lesbare Übersicht über das gesamte Paket.
summaries/ – Kurzübersichten als PDF zu Verarbeitungsverzeichnis, DSFA, Betroffenenanfragen und Datenpannen.
data/compliance-export.json – die vollständigen Rohdaten für maschinelle Weiterverarbeitung.
data/ropa.csv – das Verarbeitungsverzeichnis als Tabelle, direkt in Excel zu öffnen.

Zwei Register für Auftragsverarbeiter?

Nein, eines: Das Vendor Register führt Anbieter sowohl in ihrer AI-Act-Rolle (GPAI-Anbieter, API-Dienst, eingebettete Komponente) als auch in ihrer DSGVO-Rolle (Auftragsverarbeiter mit AVV-Status, Unterauftragsverarbeitern und Drittlandtransfer). Sie pflegen einen Anbieter einmal und sehen beide Perspektiven.