Leseprobe · Teil I · Abschnitte 1 – 5 · Die fünf Nachweise

Die Nutzungsrichtlinie und die Kurzfassung zum Aushängen

Die Nutzungsrichtlinie ist die schriftliche Fassung von Entscheidungen, die die Leitung vorher getroffen hat. Das Handbuch sagt es in einem Satz: Wer eine Regelung formuliert, bevor er entschieden hat, schreibt Wünsche auf. Deshalb steht in der Datei nutzungsrichtlinie.docx zu jedem Regelbereich nicht ein fertiger Absatz, sondern ein Absatz mit einer oder mehreren gelb hinterlegten Stellen — und neben jeder Stelle ein Satz dazu, was die Entscheidung bedeutet.

1.1 Woher die neun Regelbereiche stammen

Die Richtlinie folgt dem Handbuch, nicht umgekehrt. Abschnitt 7 des Handbuchs geht die Gegenstände durch, die in eine Nutzungsregelung gehören, und benennt zu jedem, woher die Anforderung kommt und was passiert, wenn der Punkt fehlt. Die Auswahl stützt sich auf drei veröffentlichte Stellen: die Orientierungshilfe der deutschen Datenschutzkonferenz, die klare interne Weisungen, deren Dokumentation und konkrete Beispiele zugelassener und untersagter Einsatzszenarien empfiehlt; die Maßnahme M16 des deutschen Bundesamts für Sicherheit in der Informationstechnik, nach der Nutzende erfahren sollen, welche Anwendungen sie wofür verwenden, welche Eingaben sie tätigen und wie sie Ausgaben weiterverwenden dürfen; und das Muster der Wirtschaftskammer Österreich mit seinen neun Paragrafen.

Beide Behörden sind deutsche Stellen; ihre Empfehlungen sind fachlicher Stand, keine Rechtspflicht, und in anderen Mitgliedstaaten nicht verbindlich. Das Handbuch hält in Abschnitt 3 fest, dass eine ausdrückliche Rechtspflicht, eine KI-Nutzungsrichtlinie zu führen, in der KI-Verordnung und im Datenschutzrecht nicht ersichtlich ist. Die Richtlinie in diesem Kit ist deshalb kein Pflichtdokument, sondern das Mittel, mit dem der Betrieb seine Entscheidungen an die Belegschaft weitergibt und später belegen kann, dass er sie getroffen hat.

Die neun Regelbereiche, in der Reihenfolge des Handbuchs: zugelassene Tools und Zugänge · zulässige und unzulässige Verwendungen · unzulässige Eingaben · Umgang mit unvermeidbaren personenbezogenen Daten · Prüfung vor Verwendung · Freigabe nach außen gerichteter Erzeugnisse · Kennzeichnung · Meldung von Vorfällen · Zuständigkeit für Zweifelsfälle.

1.2 Die Lücken, Bereich für Bereich

Kopf. Name des Betriebs, Geltungsbeginn, Fassungszeile, verantwortliche Person. Der Geltungsbeginn sollte nach der Einweisung liegen, weil eine Regelung, die niemand kennt, nach dem Handbuch schlechter ist als keine — sie täuscht Sicherheit vor (Abschnitt 1). Die Fassungszeile trägt ein Datum, damit bei einer späteren Änderung erkennbar bleibt, welche Fassung wann galt (Abschnitt 9).

Bereich 1 — Zugelassene Tools und Zugänge. Zwei Lücken: der Verweis auf das Register als die Stelle, an der die zugelassenen Tools stehen, und die Entscheidung, ob private Konten für dienstliche Aufgaben zulässig sind. Die Aufsicht empfiehlt betriebliche Geräte und Konten, weil über private Konten Profile zu einzelnen Beschäftigten entstehen können; das Handbuch zieht daraus, dass eine Regelung Tool und Zugangsweg benennen muss — wer nur das Tool nennt, erlaubt die Nutzung über den privaten Zugang mit (Abschnitte 6 und 7). Im Beispielbetrieb sind die zwei Monteure mit dem privat eingerichteten Tool der Grund, warum diese Lücke nicht mit „wie bisher“ gefüllt werden kann: Entweder bekommen sie Zugang über ein betriebliches Konto, oder die dienstliche Nutzung auf dem privaten Telefon endet mit dem Geltungsbeginn.

Bereich 2 — Zulässige und unzulässige Verwendungen. Die Lücke für die zulässigen Verwendungen verlangt Tätigkeiten, die im Betrieb tatsächlich vorkommen, nicht Kategorien aus einer Vorlage. Die Lücke für die unzulässigen Verwendungen ist vorbelegt mit dem einen Fall, den das Handbuch aus dem Anhang III der KI-Verordnung ableitet — abschließende Entscheidungen über Personen werden nicht auf ein KI-Ergebnis gestützt —, und lässt Raum für betriebseigene Fälle. Verwendungen im Personalbereich sind im Anhang III als Hochrisikofälle geführt; die Richtlinie ist die Stelle, an der ein Betrieb das ausschließt, bevor die Pflichten dafür anwendbar werden (Abschnitte 3 und 7). Das Verbot benennt Verwendungen, nicht Tools. Im Beispielbetrieb sind zulässig: Entwürfe für Angebotstexte, Zusammenfassungen von Herstellertexten, Übersetzungen für zwei fremdsprachige Monteure, Formulierungshilfe bei Mängelrügen. Unzulässig: alles, was Bewerbungen oder die Beurteilung einzelner Beschäftigter betrifft.

Bereich 3 — Unzulässige Eingaben. Die Lücke ist eine Aufzählung von Datenarten, die im eigenen Betrieb vorkommen, plus eine Zweifelsregel. Das Kit gibt fünf Arten vor, die in praktisch jedem Betrieb vorkommen — Angaben zu Kunden, Beschäftigten und Bewerbern; Zugangsdaten und Schlüssel; Kalkulationen, Preise, Verträge und Kundenlisten; Gesundheitsangaben; Unterlagen Dritter unter Vertraulichkeit — und lässt Raum für weitere. Die Zweifelsregel ist das Entscheidende: Eine Aufzählung ohne sie ist unvollständig, weil kein Katalog alle Fälle trifft. Der stärkste Grund für diesen Bereich ist das Geschäftsgeheimnis: Nach der Richtlinie (EU) 2016/943 ist eine Information nur dann ein Geschäftsgeheimnis, wenn sie Gegenstand angemessener Geheimhaltungsmaßnahmen ist. Ob eine KI-Richtlinie als solche Maßnahme anerkannt wird, ist nicht entschieden — das Handbuch sagt das ausdrücklich —, aber ohne eine Regel fehlt jedenfalls der Anhaltspunkt, dass der Betrieb überhaupt eine getroffen hat. Der Beispielbetrieb trägt ein: die Kalkulationsblätter je Auftrag und die Zutrittscodes zu Kundenobjekten.

Bereich 4 — Umgang mit unvermeidbaren personenbezogenen Daten. Die Lücke fragt, welche Vorgänge mit Personenbezug überhaupt in ein Tool dürfen und mit welcher Vorbereitung. Das Handbuch gibt die Aufsicht wieder: Es genügt regelmäßig nicht, Namen und Anschriften zu entfernen, weil sich der Bezug über den Zusammenhang wiederherstellen lässt. Die Regel muss deshalb sagen, wann ein Vorgang gar nicht in ein fremdes System gehört (Abschnitt 7). Der Beispielbetrieb entscheidet: Kundendaten kommen nicht in das Tool; die Mängelrüge wird mit Platzhaltern formuliert, und die Büroleitung setzt die Angaben nachher ein.

Bereich 5 — Prüfung vor Verwendung. Die Lücke benennt, was zu prüfen ist — Zahlen, Namen, Fristen, Fundstellen, Normbezeichnungen —, nicht nur, dass zu prüfen ist. Eine allgemeine Prüfpflicht wird als Formsache gelesen; das BSI verlangt, dass Nutzende in die Lage versetzt werden, Ausgaben kritisch zu hinterfragen, anzupassen und ihre Weiterverwendung einzuschränken. Der Beispielbetrieb ergänzt Normverweise in Angeboten, weil das Tool Normnummern in korrektem Format erfindet.

Bereich 6 — Freigabe nach außen gerichteter Erzeugnisse. Die Lücke benennt eine Person oder Funktion, keine Abteilung. Das Handbuch sagt offen, dass es keine Quelle gefunden hat, die eine Freigabe durch eine zweite Person ausdrücklich fordert; es begründet den Punkt als organisatorische Entsprechung zur Prüfpflicht (Abschnitte 7 und 13). Wer diesen Bereich streicht, legt die Prüfung allein auf die verfassende Person. Der Beispielbetrieb trägt die Büroleitung ein, bei Abwesenheit die Inhaberin.

Bereich 7 — Kennzeichnung. Die Lücke verlangt eine verantwortliche Person und verweist auf die Kennzeichnungs-Checkliste (Abschnitt 4 dieser Anleitung). Das Handbuch nennt zwei entgegengesetzte Fehler: gar nichts kennzeichnen, wo es geboten ist, oder vorsorglich alles kennzeichnen. Ein Satz wie „soweit gesetzlich vorgeschrieben“ gibt die Entscheidung an die Belegschaft zurück und ist deshalb keine Regel.

Bereich 8 — Meldung von Vorfällen. Die Lücke benennt, an wen gemeldet wird. Der Satz, dass die Meldung selbst keine Folgen hat, ist in der Datei nicht als Lücke gesetzt, sondern fest — mit dem Hinweis, dass ein Betrieb, der ihn streicht, von Vorfällen zuletzt erfährt. Keine der herangezogenen Quellen fordert einen solchen Meldeweg ausdrücklich; die Empfehlung folgt aus der Anreizlage (Abschnitte 7 und 10).

Bereich 9 — Zuständigkeit für Zweifelsfälle. Die Lücke nennt einen Namen oder eine Funktion und einen Weg, auf dem die Person erreichbar ist. Die Aufsicht empfiehlt, Datenschutzbeauftragte einzubinden; in Betrieben ohne diese Funktion — wie dem Beispielbetrieb — ist eine Person zu benennen (Abschnitt 7).

Schluss. Bekanntgabe, Wiedervorlage, Ort, Datum, Unterschrift der Leitung. Das Handbuch nennt drei Anlässe für eine Überprüfung — ein neues oder geändertes Tool, geänderte Bedingungen eines Anbieters, eine geänderte Rechtslage — und dazu einen festen Termin, damit die Überprüfung nicht davon abhängt, dass jemand die Änderung bemerkt (Abschnitt 9). Wie oft, ist im Handbuch nicht belegt und im Kit deshalb eine Lücke.

1.3 Die Kurzfassung zum Aushängen

Die Datei kurzfassung-aushang.docx (und dieselbe Seite als PDF) ist die eine Seite, die tatsächlich gelesen wird. Sie enthält keinen Regelbereich vollständig, sondern drei Dinge: was nie in ein Tool hinein darf, mit gezeichneten Ankreuzfeldern, damit die Seite bei der Einweisung Punkt für Punkt durchgegangen werden kann; was vor der Verwendung geprüft wird; und wen man im Zweifel fragt und wem man einen Vorfall meldet. Die Lücken auf dieser Seite sind dieselben wie in den Bereichen 1, 3, 5, 8 und 9 der Richtlinie; sie werden aus der Richtlinie übernommen, nicht neu entschieden. Wer beide Dateien unabhängig voneinander ausfüllt, riskiert, dass Aushang und Richtlinie sich widersprechen.

Die Gestaltung folgt den Regeln des Selbstbewertungsblatts zu Band 1: gezeichnete Ankreuzfelder, genug Zeilenabstand, keine dunklen Flächen, damit das Blatt auf jedem Bürodrucker lesbar bleibt.

1.4 Was der Beispielbetrieb am Ende hat

Drei Seiten Richtlinie, unterschrieben von der Inhaberin, Geltungsbeginn zwei Wochen nach der Einweisung, Wiedervorlage in zwölf Monaten und bei jedem neuen Tool. Der Aushang hängt neben dem Drucker und liegt als PDF im Fahrzeugordner der Monteure. Niemand musste dafür ein Gesetz lesen — aber jede Zeile der Richtlinie lässt sich mit der Abschnittsnummer im Handbuch begründen.