Transfer Impact Assessment – Anthropic durchgehend hinzufügen

ISMS Copilot hat eine Transfer Impact Assessment (TIA) für internationale Datenübermittlungen in die Vereinigten Staaten gemäß den Anforderungen von Kapitel V der DSGVO durchgeführt.…

ISMS Copilot hat eine Transfer Impact Assessment (TIA) für internationale Datenübermittlungen in die Vereinigten Staaten gemäß den Anforderungen von Kapitel V der DSGVO durchgeführt. Dieser Artikel erläutert die Ergebnisse der Bewertung, die implementierten zusätzlichen Maßnahmen und wie der Erweiterte Datenschutzmodus Ihre Übermittlungspflichten beeinflusst.

Was ist eine Transfer Impact Assessment

Gemäß der DSGVO und dem Schrems-II-Urteil müssen Organisationen, die personenbezogene Daten in Länder außerhalb der EU/EWR übermitteln, bewerten, ob die Gesetze des Ziellandes einen angemessenen Schutz bieten. Standardvertragsklauseln (SCCs) allein reichen möglicherweise nicht aus – Sie müssen prüfen, ob zusätzliche Schutzmaßnahmen erforderlich sind.

Eine TIA bewertet:

Gesetze im Zielland, die staatlichen Zugriff auf Daten ermöglichen könnten
Ob Ihr Datenimporteur (Unterauftragsverarbeiter) diesen Gesetzen unterliegen könnte
Technische und organisatorische Maßnahmen, die identifizierte Risiken mindern
Ob die Kombination aus SCCs und zusätzlichen Maßnahmen einen angemessenen Schutz bietet

Diese Bewertung gilt, wenn der Erweiterte Datenschutzmodus AUSgeschaltet ist (Standard). Wenn er EINGeschaltet ist, verbleibt die KI-Verarbeitung in der EU, was die Übermittlungspflichten deutlich vereinfacht.

TIA von ISMS Copilot: KI-Anbieter-Übermittlungen

ISMS Copilot führt eine Transfer Impact Assessment für internationale Datenübermittlungen durch. Die aktuelle Routing-Strategie der KI-Anbieter ist in den maßgeblichen Rechtsdokumenten in unserem Trust Center dokumentiert:

Aktuelles Routing (Trust Center maßgeblich): • Erweiterter Datenschutz EIN: Mistral AI (EU, keine Speicherung) — keine internationale Übermittlung für die KI-Verarbeitung • Bezahlt + ADP AUS: Anthropic Claude (USA, bis zu 30-tägige Speicherung für Missbrauchsüberwachung) • Kostenlos/null-Plan + ADP AUS: OpenRouter-Aggregator leitet an geprüfte Anbieter weiter (Inceptron, DeepInfra, Cerebras, Google Vertex) • E-Mail-Anbieter: SendGrid, Kit (USA, SCCs)

Für die vollständige Liste der Unterauftragsverarbeiter mit Standorten und Speicherdetails siehe:

Diese maßgeblichen Dokumente werden aktualisiert, sobald sich die Vereinbarungen mit KI-Anbietern ändern.

Wie der Erweiterte Datenschutzmodus die TIA-Pflichten verändert

Standardmodus (Erweiterter Datenschutz AUS)

Wenn der Erweiterte Datenschutz deaktiviert ist:

Standort der KI-Verarbeitung: Vereinigte Staaten (xAI, OpenAI, Anthropic)
Übermittlungsmechanismus: Standardvertragsklauseln + zusätzliche Maßnahmen
TIA-Anforderung: Organisationen, die der DSGVO unterliegen, sollten eine TIA durchführen oder sich auf die TIA von ISMS Copilot stützen
Speicherung durch KI-Anbieter: 30 Tage (temporärer Cache für Missbrauchsüberwachung)
E-Mail-Übermittlungen: Finden weiterhin an US-Anbieter (SendGrid/Kit) statt, unabhängig von der KI-Einstellung

Wenn Sie den Standardmodus für die Verarbeitung personenbezogener Daten von EU-Bürgern verwenden, dokumentieren Sie diese Übermittlung in Ihrem Verzeichnis der Verarbeitungstätigkeiten und stützen Sie sich auf die TIA von ISMS Copilot oder führen Sie eine eigene Bewertung durch.

Erweiterter Datenschutz EIN (EU-Only-Modus)

Wenn der Erweiterte Datenschutz aktiviert ist:

Standort der KI-Verarbeitung: Europäische Union (Mistral AI, Frankfurt)
Übermittlungsmechanismus: Keine internationale Übermittlung für die KI-Verarbeitung (EU-intern)
TIA-Anforderung: Nicht erforderlich für die KI-Verarbeitung (keine Übermittlung außerhalb der EU/EWR)
Speicherung durch KI-Anbieter: Keine Speicherung – Daten werden in Echtzeit verarbeitet und verworfen
E-Mail-Übermittlungen: Finden weiterhin an US-Anbieter (SendGrid/Kit) statt; TIA weiterhin für E-Mails erforderlich

Der Erweiterte Datenschutzmodus macht eine TIA für die KI-Verarbeitung überflüssig und vereinfacht die DSGVO-Konformität erheblich. Allerdings bleiben E-Mail-Übermittlungen an US-Anbieter bestehen und erfordern weiterhin eine Bewertung.

E-Mail-Übermittlungen bleiben unabhängig vom Modus bestehen

Auch bei aktiviertem Erweitertem Datenschutzmodus umfassen E-Mail-Kommunikationen Übermittlungen in die USA:

SendGrid (Twilio): Transaktions-E-Mails (Kontobestätigung, Passwortrücksetzung, Sicherheitswarnungen)
Kit (ConvertKit): Onboarding-Sequenzen und Produktaktualisierungen (optional, Nutzer können sich abmelden)
Übermittelte Daten: E-Mail-Adressen, Interaktionsdaten (Öffnungen, Klicks), Metadaten der Nachrichten
Schutzmaßnahmen: Standardvertragsklauseln, Verschlüsselung während der Übertragung, DSGVO-konforme DVAs

Um E-Mail-Übermittlungen zu minimieren, können Nutzer sich von nicht essenziellen Mitteilungen abmelden.

Durchführung Ihrer eigenen TIA

Wann Sie eine eigene Bewertung benötigen

Organisationen sollten eine eigene TIA durchführen, wenn:

Sie besondere Kategorien personenbezogener Daten (Artikel 9 DSGVO) über ISMS Copilot verarbeiten
Ihre Risikotoleranz von der Bewertung von ISMS Copilot abweicht
Ihre Datenschutzbehörde organisationsspezifische TIAs verlangt
Kundenverträge unabhängige Übermittlungsbewertungen vorschreiben
Sie große Mengen personenbezogener Daten von EU-Bürgern verarbeiten

Wichtige Fragen für Ihre TIA

Bei der Durchführung Ihrer eigenen Bewertung sollten Sie Folgendes berücksichtigen:

Datenempfindlichkeit

Welche Arten personenbezogener Daten laden Sie hoch?
Enthalten diese besondere Kategorien von Daten (Gesundheit, biometrische Daten, politische Meinungen)?
Wie würde ein unbefugter staatlicher Zugriff den betroffenen Personen schaden?

Wahrscheinlichkeit des Zugriffs

Könnten Ihre Compliance-Daten die Schwelle für „ausländische Geheimdienste“ gemäß FISA 702 erfüllen?
Sind Sie oder Ihre Kunden potenzielle Ziele staatlicher Überwachung?
Verarbeiten Sie Daten im Zusammenhang mit nationaler Sicherheit, Terrorismus oder organisierter Kriminalität?

Ergänzende Maßnahmen

Sind die technischen Maßnahmen von ISMS Copilot (Verschlüsselung, begrenzte Speicherdauer) für Ihren Anwendungsfall ausreichend?
Sollten Sie den Modus „Erweiterter Datenschutz“ für die Verarbeitung ausschließlich in der EU aktivieren?
Sollten Sie den Modus „PII-Reduktion“ aktivieren, um personenbezogene Daten vor der KI-Verarbeitung zu schwärzen?
Benötigen Sie zusätzliche Anonymisierung vor dem Hochladen von Dokumenten?

Alternative Lösungen

Falls Risiken nicht gemindert werden können, können Sie den Transfer vermeiden, indem Sie den Modus „Erweiterter Datenschutz“ aktivieren?
Können Sie Daten vor der Nutzung von ISMS Copilot anonymisieren?
Sollten Sie die Nutzung von ISMS Copilot auf nicht-personenbezogene Daten beschränken?

Ressourcen für Ihre TIA

UK ICO: Transfer Risk Assessments
EDPB-Empfehlungen 01/2020 zu ergänzenden Maßnahmen
CNIL: Durchführung einer Transfer-Folgenabschätzung
ISMS Copilot Datenverarbeitungsvereinbarung (Abschnitt 3: Internationale Datenübermittlungen)
Verzeichnis der Verarbeitungstätigkeiten für detaillierte Informationen zu Unterauftragsverarbeitern

Entscheidungshilfe: Welchen Modus sollten Sie verwenden?

Verwenden Sie den Modus „Erweiterter Datenschutz (nur EU)“, wenn:

Ihr Unternehmen verbindliche Anforderungen an die Datenresidenz in der EU hat
Sie personenbezogene Daten von EU-Bürgern verarbeiten und die TIA-Compliance vereinfachen möchten
Kundenverträge eine Datenverarbeitung in den USA untersagen
Sie besondere Kategorien von Daten verarbeiten (Artikel 9 DSGVO)
Ihre Datenschutzbehörde eine Verarbeitung ausschließlich in der EU verlangt
Ihre Risikobewertung zu dem Schluss kommt, dass US-Übermittlungen unannehmbare Risiken bergen
Sie keine Speicherung durch den KI-Anbieter für maximalen Datenschutz wünschen

Compliance-Berater, die mit europäischen Kunden arbeiten, sollten standardmäßig den Modus „Erweiterter Datenschutz“ verwenden, um strenge Anforderungen an die Datensouveränität zu erfüllen und die DSGVO-Compliance zu vereinfachen.

Der Standardmodus kann akzeptabel sein, wenn:

Sie nur Compliance-Dokumentation ohne personenbezogene Daten verarbeiten
Ihre TIA zu dem Schluss kommt, dass ergänzende Maßnahmen einen angemessenen Schutz bieten
Sie nicht der DSGVO unterliegen (nicht-europäische Organisation, keine betroffenen Personen in der EU)
Sie nur nicht-sensible Compliance-Inhalte verarbeiten (allgemeine Richtlinien, Frameworks)
Eine 30-tägige Speicherdauer durch den KI-Anbieter gemäß Ihren Richtlinien akzeptabel ist

Dokumentation von Übermittlungen in Ihrem VVT

Wenn Sie ISMS Copilot zur Verarbeitung personenbezogener Daten nutzen, dokumentieren Sie dies in Ihrem Verzeichnis der Verarbeitungstätigkeiten:

Standardmodus (Erweiterter Datenschutz AUS)

Unterauftragsverarbeiter: ISMS Copilot (EU), xAI (USA), OpenAI (USA), SendGrid (USA), Kit (USA)
Übermittlungsziele: Vereinigte Staaten
Übermittlungsmechanismen: Standardvertragsklauseln, Verschlüsselung, begrenzte Speicherdauer
TIA-Referenz: „Basierend auf der Transfer-Folgenabschätzung von ISMS Copilot vom [Datum]“ oder „Interne TIA durchgeführt am [Datum]“

Modus „Erweiterter Datenschutz“ (EIN)

Unterauftragsverarbeiter: ISMS Copilot (EU), Mistral AI (EU), SendGrid (USA), Kit (USA)
Übermittlungsziele: Vereinigte Staaten (nur E-Mail)
Übermittlungsmechanismen: Standardvertragsklauseln für E-Mail-Anbieter
TIA-Referenz: „KI-Verarbeitung erfolgt in der EU (keine Übermittlung); E-Mail-Übermittlungen durch SCCs abgedeckt“

Weitere Informationen finden Sie im Verzeichnis der Verarbeitungstätigkeiten von ISMS Copilot als Vorlage.

Best Practices

Für EU-Organisationen

Aktivieren Sie standardmäßig den Modus „Erweiterter Datenschutz“, um die Komplexität der TIA zu vermeiden
Dokumentieren Sie ISMS Copilot in Ihrem VVT mit den entsprechenden Unterauftragsverarbeiter-Details
Informieren Sie betroffene Personen darüber, dass Sie KI-Tools für die Compliance-Verarbeitung nutzen (Datenschutzerklärung)
Anonymisieren Sie personenbezogene Daten vor dem Hochladen, wenn möglich
Führen Sie eine DSFA durch, wenn Sie besondere Kategorien von Daten oder personenbezogene Daten in großem Umfang verarbeiten

Für Compliance-Berater

Prüfen Sie die Anforderungen Ihrer Kunden an die Datenresidenz, bevor Sie einen Modus auswählen
Erstellen Sie separate Arbeitsbereiche pro Kunde, um Daten zu isolieren
Fügen Sie ISMS Copilot als Unterauftragsverarbeiter in Ihre Kunden-DVAs ein
Informieren Sie Kunden über den verwendeten Modus und die Gründe dafür
Aktivieren Sie den Modus „PII-Reduktion“ für zusätzlichen Schutz, wenn Sie Prüfberichte mit Mitarbeiternamen verarbeiten

Minimierung von Übermittlungsrisiken

Aktivieren Sie den Modus „Erweiterter Datenschutz“: Verhindert Übermittlungen für die KI-Verarbeitung vollständig
Aktivieren Sie den Modus „PII-Reduktion“: Schwärzt personenbezogene Daten, bevor sie die KI-Anbieter erreichen
Abmelden von nicht essenziellen E-Mails: Reduziert Übermittlungen an E-Mail-Anbieter
Kurze Speicherfristen festlegen: Begrenzt die Dauer der Datenspeicherung
Vor dem Hochladen anonymisieren: Entfernen oder pseudonymisieren Sie personenbezogene Identifikatoren

Häufig gestellte Fragen

Muss ich eine eigene TIA durchführen, wenn ich ISMS Copilot nutze?

Das kommt darauf an. Wenn Sie den Standardmodus verwenden und personenbezogene Daten von EU-Bürgern verarbeiten, sollten Sie entweder eine eigene TIA durchführen oder sich auf die Bewertung von ISMS Copilot stützen. Wenn Sie den Modus „Erweiterter Datenschutz“ aktivieren, bleibt die KI-Verarbeitung in der EU und erfordert keine TIA (E-Mail-Übermittlungen allerdings schon).

Eliminiert der Modus „Erweiterter Datenschutz“ vollständig die Übermittlungspflichten?

Nein. Er eliminiert Übermittlungen für die KI-Verarbeitung, aber E-Mail-Kommunikationen beinhalten weiterhin US-basierte Anbieter (SendGrid, Kit). Diese E-Mail-Übermittlungen unterliegen weiterhin den Anforderungen von Kapitel V der DSGVO und sollten in Ihrem Verzeichnis von Verarbeitungstätigkeiten (VVT) dokumentiert werden.

Was passiert, wenn meine Datenschutzbehörde die TIA von ISMS Copilot ablehnt?

Falls Ihre Aufsichtsbehörde zu dem Schluss kommt, dass US-Übermittlungen ein inakzeptables Risiko darstellen, aktivieren Sie den Modus „Erweiterter Datenschutz“, um KI-Workloads ausschließlich in der EU zu verarbeiten. Dadurch entfällt die Notwendigkeit einer TIA für die KI-Verarbeitung.

Kann ich ISMS Copilot für besondere Kategorien personenbezogener Daten nutzen?

Ja, allerdings mit Vorsichtsmaßnahmen. Aktivieren Sie den Modus „Erweiterter Datenschutz“ für die ausschließliche Verarbeitung in der EU, aktivieren Sie den Modus „PII-Reduzierung“, legen Sie kurze Aufbewahrungsfristen fest und führen Sie eine Datenschutz-Folgenabschätzung (DSFA) gemäß Artikel 35 DSGVO durch. Stellen Sie sicher, dass Sie über eine rechtliche Grundlage nach Artikel 9 verfügen.

Wie oft sollte ich meine TIA überprüfen?

Überprüfen Sie Ihre TIA immer dann, wenn:

ISMS Copilot Unterauftragsverarbeiter oder Datenflüsse ändert
sich US-Überwachungsgesetze ändern
Ihre Datenschutzbehörde neue Leitlinien herausgibt
sich Art oder Umfang der von Ihnen verarbeiteten Daten erheblich ändern

Wo finde ich die Standardvertragsklauseln von ISMS Copilot?

Die Standardvertragsklauseln (SCCs) sind in die Vereinbarungen mit Unterauftragsverarbeitern integriert. Wenden Sie sich über das Help Center an den Support, um Kopien der SCCs für Ihre Anbieterbewertung oder Prüfungszwecke anzufordern.

Hilfe erhalten

Bei Fragen zu Transfer-Folgenabschätzungen oder internationalen Datenübermittlungen:

Prüfen Sie die Datenverarbeitungsvereinbarung auf rechtliche Übermittlungsmechanismen
Wenden Sie sich über das Help Center an den Support, um TIA-Dokumentation oder SCC-Kopien anzufordern
Geben Sie im Betreff „TIA-Anfrage“ oder „Transfer-Folgenabschätzung“ an
Besuchen Sie die Sicherheits-Sammlung für umfassende Compliance-Dokumentation