Das Betreiben von Agenten gemäß den EU-Datenvorschriften, ohne so zu tun, als wäre es einfach

Viele Anbieter betrachten den europäischen Datenschutz als Compliance-Anhang. Da wir von Barcelona aus operieren, legen wir einfach Wert auf die Umgebung, und das Design orientiert sich daran und nicht an einer Nachrüstung.

Das macht es nicht einfach. Es macht es vertraut, was anders ist.

Die Unterscheidung, die am meisten Verwirrung stiftet

Das Datenschutzrecht trennt einen Verantwortlichen, der entscheidet, warum und wie personenbezogene Daten verarbeitet werden, von einem Auftragsverarbeiter, der auf Weisung eines Verantwortlichen handelt.

Für die Daten unserer eigenen Kunden sind wir der Verantwortliche. Für die Inhalte, die unsere Kunden über die Plattform senden, sind sie der Verantwortliche und wir der Auftragsverarbeiter. Dabei handelt es sich um unterschiedliche Verpflichtungen, deren Verschmelzung sowohl zu übertriebenen als auch zu zu geringen Erwartungen führt.

Praktisch: Wenn eine Person uns auffordert, Daten zu löschen, die ein Kunde in die Plattform eingegeben hat, gehört die Anfrage diesem Kunden, und wir teilen ihm dies mit, anstatt einseitig zu handeln.

Überweisungen werden eher vermieden als übertüncht

Der übliche Ansatz besteht darin, die Übertragung dort abzuwickeln, wo es zweckmäßig ist, und die Übertragung durch Vertragsklauseln abzusichern. Das ist rechtmäßig und nicht unsere Vorgabe.

Unser Standard ist die Verarbeitung innerhalb der Europäischen Union, wobei Barcelona die Hauptregion ist, was für die meisten Kunden die Frage beseitigt, anstatt sie zu beantworten. Wenn ein Vertrag einen bestimmten Standort erfordert, kann die Verarbeitung diesem zugeordnet werden. Wenn eine Übertragung außerhalb des EWR wirklich unvermeidbar ist, wird sie durch die Standardvertragsklauseln zusammen mit der Verschlüsselung im Ruhezustand und während der Übertragung sowie der rollenbasierten Zugriffskontrolle abgedeckt.

Agenten verursachen ein Aufbewahrungsproblem, das bei Dokumenten nicht der Fall ist

Ein herkömmliches System speichert, was Sie hineingeben. Ein Agentensystem speichert auch, was es getan hat: den Plan, die Zwischenschritte, die Tool-Aufrufe, den Audit-Trail.

Diese Aufzeichnung ist wirklich notwendig. Es ist das, was Governance ermöglicht und was einer Regulierungsbehörde elf Monate später antwortet. Auch wenn es sich um identifizierbare Personen handelt, handelt es sich um personenbezogene Daten, und diese sammeln sich schneller an, als man erwartet.

Unser Standpunkt ist, dass Prüfdaten für den zur Erfüllung gesetzlicher und vertraglicher Verpflichtungen erforderlichen Zeitraum aufbewahrt und anschließend gelöscht oder unwiderruflich anonymisiert werden und dass Kunden sehen können, was gespeichert ist, anstatt danach fragen zu müssen.

Wir trainieren nicht anhand Ihrer Daten

Das ist kurz, weil es sein sollte. Inhalte, die die Plattform passieren, werden nicht zum Trainieren von Modellen verwendet. Es ist keine Einstellung, die Sie finden und deaktivieren müssen.

Wobei die Schwierigkeit tatsächlich bestehen bleibt

Ehrlich gesagt, zwei Orte.

Das erste ist die Datenminimierung in einem Abrufsystem. Ein Agent arbeitet besser, wenn er Zugriff auf mehr Kontext hat, und der Datenschutz fordert Sie auf, nur das Nötigste zu verarbeiten. Diese ziehen in entgegengesetzte Richtungen und die Lösung ist eher eine Beurteilung des Umfangs als eine technische Kontrolle. Wir helfen, indem wir Zugriffsgrenzen durchsetzbar machen, aber die Entscheidung darüber, was ein Agent erreichen soll, liegt beim Kunden.

Die zweite besteht darin, ein Ergebnis zu erklären. Das Recht, eine Entscheidung zu verstehen, ist für eine Regelmaschine leichter zu erfüllen als für einen Agenten, der einen Plan über mehrere Schritte hinweg zusammengestellt hat. Ein vollständiger Audit-Trail ist die beste verfügbare Antwort und eine Aufzeichnung dessen, was passiert ist, und nicht nur eine einfache Erklärung dafür, warum.

Etwas anderes zu sagen wäre sauberer und weniger wahr.

Als nächstes

Die Datenschutzerklärung deckt unsere eigene Verarbeitung ab und das Trust Center deckt Unterauftragsverarbeiter, Übertragungen und Sicherheitsberichte ab. Datenverarbeitungsvereinbarungen und Fragebögen können unter contact@capconsultor.eu angefordert werden.