Ein Gespräch über den Ablauf, und die Datenschutzpflichten stehen fest

Ein Ablauf soll aufgeschrieben werden, weil ein neuer Mitarbeiter oder ein Zertifizierer danach fragt. Jemand will wissen, was ein Vorgang kostet, bevor Geld in Software oder KI fließt. Und der Datenschutz verlangt, dass dokumentiert ist, welche Daten wo verarbeitet werden. Drei Aufgaben, die in kleinen Betrieben meist getrennt angegangen werden, oft gar nicht. Dabei stellen alle drei dieselben Fragen: Wer macht was, in welcher Reihenfolge, mit welchen Informationen, in welchem Programm?

Die Prozessaufnahme, an der ich in den letzten Wochen gearbeitet habe, beantwortet diese Fragen einmal und liefert daraus alle drei Ergebnisse: den Ablaufplan, die Kennzahlen und die Pflichten aus Datenschutz-Grundverordnung und KI-Verordnung. Dieser Beitrag zeigt, wie sie arbeitet, an einem Ablauf, den jeder Betrieb hat.

Das Beispiel: von der Anfrage zum Angebot

Ein Interessent meldet sich. Jemand legt die Anfrage an. Eine Fachkraft klärt den Bedarf und kalkuliert. Jemand schreibt das Angebot, eine zweite Person prüft es, es geht raus. Jedes vierte kommt mit Rückfragen zurück. Ob Agentur, Steuerbüro, Handwerk oder Handel: Der Ablauf ist derselbe, jeder kennt ihn, niemand hat ihn aufgeschrieben.

Die Aufnahme: fragen statt zeichnen

Die Aufnahme ist ein geführtes Gespräch von etwa einer Stunde. Erst wenige Fragen zum ganzen Ablauf: Auslöser, Ergebnis, Häufigkeit, beteiligte Rollen und Programme, Zweck der Daten. Dann je Schritt dieselben Fragen: Wer macht das (Rolle, nie Person)? Wie lange dauert es, wie lange liegt es danach? Welche Informationen gehen rein und raus, sind Daten von Personen dabei, in welcher Form: Zettel, E-Mail, Datei, Programm? Wird geprüft, wie oft kommt etwas zurück? Ist schon KI im Spiel?

Während des Gesprächs entsteht daneben das Diagramm, berechnet aus den Antworten: eine Bahn je Rolle, die Schritte in Reihenfolge, die Prüfschleife als Rückpfeil. Wer befragt wird, sieht seinen Ablauf wachsen und korrigiert sofort. Niemand muss zeichnen können.

Im Beispiel: Die Anfrage enthält Kontaktdaten. Bedarfsklärung 30 Minuten, dann liegen die Notizen zwei Tage. Kalkulieren und Schreiben 45 Minuten, Prüfung 15. Vom Eingang bis zum Versand fünf Arbeitstage.

Ergebnis 1: der Ablaufplan gehört dem Betrieb

Das Diagramm wird im Standard BPMN gespeichert, den jedes Prozessmanagement-Programm liest, etwa die kostenlosen Werkzeuge von bpmn.io oder Camunda. Dort lässt es sich weiterbearbeiten, ohne dass etwas verloren geht. An jedem Schritt hängen die Zeiten, die Datenklasse und die Form der Informationen mit dran. Dieselben Inhalte gibt es als Excel-Tabelle, Word-Datenblatt und PDF mit Diagramm.

Ergebnis 2: die Baseline

Aus den Zeiten entsteht die Baseline, die Kennzahlentafel des Ist-Zustands. Im Beispiel:

• Arbeitszeit je Vorgang: 90 Minuten, plus die Schleife bei jedem vierten Angebot
• Durchlaufzeit: 5 Arbeitstage
• Flusseffizienz: 4 Prozent. Der Vorgang ist nicht langsam, weil jemand langsam arbeitet, sondern weil er liegt.
• Kosten pro Jahr: 35.000 bis 55.000 Euro bei fünfzehn Angeboten pro Woche
• Rückläufer: jedes vierte Angebot, mit den Kosten dafür als Teil der Summe
• Medienbrüche: 3, vom Anruf über den Zettel ins Programm

Die Kosten stehen als Spanne, weil jede Zeitangabe ihre Herkunft trägt: geschätzt (plus minus 30 Prozent), selbst aufgeschrieben (15), gemessen (5). Eine Zahl mit zwei Nachkommastellen aus Schätzungen wäre Scheinpräzision. Die abgenommene Baseline wird eingefroren; wer später etwas ändert, misst gegen Zahlen, die niemand nachträglich schöngerechnet hat.

Ergebnis 3: die Pflichtenliste

Daten, Programme, Zweck und Betroffene je Schritt bilden ein Profil, und daraus folgen die Pflichten. Im Beispiel: Der Ablauf verarbeitet Kundendaten, also entsteht die Zeile für das Verzeichnis der Verarbeitungstätigkeiten fertig ausgefüllt: Zweck, Rechtsgrundlage, Datenarten, Betroffene, Empfänger, Löschfrist. Läuft das CRM in der Cloud, fragt die Liste nach dem Auftragsverarbeitungsvertrag; sitzt der Anbieter außerhalb der EU, nach dem Drittlandtransfer. Sie prüft auf automatisierte Entscheidungen, auf besonders geschützte Daten und damit die Datenschutz-Folgenabschätzung, auf Berufsgeheimnisse.

Kommt KI dazu, auch erst als Planung: Kennzeichnung nach Artikel 50, verbotene Praktiken, Hochrisiko nach Anhang III. Beim Angebotstext nein, beim Bewerbungs-Vorsortieren ja. Dazu die Pflichten, die am Betrieb hängen: Datenschutzbeauftragter, TOM-Dokumentation, Datenpannen-Verzeichnis, KI-Kompetenz nach Artikel 4.

Aus der Liste werden Unterlagen: Die Verzeichnis-Zeile wandert als Entwurf in die Compliance-Akte, die übrigen Dokumente entstehen aus Vorlagen, von der AVV-Übersicht bis zum KI-Risikoregister. Bestehendes wird nicht überschrieben, Widersprüche werden gemeldet.

Die wichtigste Regel: nicht raten

Ein Werkzeug, das Rechtspflichten ableitet, steht ständig vor der Wahl: eine plausible Annahme treffen, damit die Liste vollständig aussieht, oder zugeben, dass es etwas nicht weiß. Eine Liste mit erratenen Zeilen ist wertlos, weil danach niemand mehr weiß, welche Zeile belastbar ist.

Deshalb zeigt jede Pflicht auf die Stelle im Gespräch, die sie ausgelöst hat, mit einer kurzen Erklärung, was zu tun ist. Wo das Gespräch keine Antwort geliefert hat, steht eine offene Frage mit Ort: „Gibt es mit dem Anbieter des CRM einen Auftragsverarbeitungsvertrag?“ Der Schritt bekommt im Diagramm ein Fragezeichen. Ein Katalog gängiger Programme, von Microsoft 365 bis DATEV, hilft bei der Antwort. Die Rechtsinhalte selbst, Rechtsgrundlagen, Fristen, Erklärtexte, stehen in kuratierten Tabellen mit Freigabedatum; wird dort etwas geändert, trägt jeder Export „noch nicht freigegeben“, bis jemand erneut geprüft hat.

Das nimmt dem Betrieb die Angst vor der Fehlentscheidung. Niemand muss im Gespräch wissen, ob eine Datenschutz-Folgenabschätzung nötig ist. Er muss nur sagen, welche Daten in welchem Schritt verarbeitet werden. Die Rechtsprüfung bleibt beim Datenschutzbeauftragten, der jetzt konkrete Fragen zu konkreten Schritten bekommt.

KI hilft, entscheidet aber nicht

Die Prozessaufnahme ist zum großen Teil mit KI-Unterstützung entstanden. Die Auswertung selbst ist reine Rechenarbeit: Dieselben Antworten ergeben heute und in einem Jahr dieselbe Liste. Im Gespräch kann eine Vorschlagsschicht helfen, ein Programm einzuordnen oder den Zweck zu formulieren; jeder Vorschlag bleibt markiert, bis ein Mensch ihn übernimmt. Für Datenklasse, Berufsgeheimnis und Zeiten gibt es keinen Vorschlag. Diese Antworten kommen von den Menschen, die den Ablauf kennen.

Was das bringt

Eine Stunde mit den Leuten, die den Ablauf kennen, und der Betrieb hat einen Ablaufplan im Standardformat, Kennzahlen mit ehrlicher Unsicherheit und eine Pflichtenliste, die direkt in die Unterlagen wandert. Die Frage „Dürfen wir das überhaupt?“ lässt sich pauschal nicht beantworten. Für einen konkreten Schritt in einem konkreten Ablauf dagegen schon.

Was noch fehlt: die Zerlegung der Schritte in Teiltätigkeiten, die Bewertung, welche sich für KI eignen, und die Soll-Variante mit Messung gegen die Baseline. Das ist die nächste Stufe.

Quellen:

[1] ISO/IEC 19510:2013, Business Process Model and Notation (BPMN)

[2] Verordnung (EU) 2016/679 (DSGVO), Art. 22, 28, 30, 35, 37

[3] Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 4, 5, 50, Anhang III