Hintergrundprüfungen, Screening und erweiterte Sorgfaltspflicht (OSINT)

• Regulation (EU) 2016/679 — GDPR, Articles 10, 14 and 27
• Directive (EU) 2015/849 — anti-money laundering
• Regulation (EU) 2024/1689 — AI Act
• Regulation (EU) 2022/2065 — DSA where reports are hosted

Wer muss benennen

Anbieter, die außerhalb der Union ansässig sind und Sorgfaltspflichtberichte, Screening-Ergebnisse oder Ermittlungsdossiers über Personen in der EU erstellen: OSINT-Plattformen, Anbieter von negativem Medien- und Sanktions-Screening, Hintergrundprüfungsdienste und Ermittlungsfirmen, die an Banken, Anwaltskanzleien und Unternehmen verkaufen. Die Verpflichtung besteht unabhängig davon, ob das Subjekt ein Kunde Ihres Mandanten oder ein Dritter ist, der nie mit jemandem in Kontakt war: entscheidend ist, ob Sie personenbezogene Daten von Personen in der Union verarbeiten, nicht ob sie Sie darum gebeten haben.

Schwellen und Ausnahmen

Keine Schwelle. Was die Analyse ändert, ist die Rolle: Ein Anbieter, der nur die Suche des Mandanten auf dessen Anweisung ausführt, kann ein Auftragsverarbeiter sein, aber in dem Moment, in dem Sie Entitätsgraphen über Mandanten hinweg erstellen, gesammeltes Material über die Lieferung hinaus aufbewahren oder Berichte zur Schulung oder Verbesserung Ihrer Modelle verwenden, sind Sie für diese Zwecke ein Verantwortlicher und benötigen einen eigenen Vertreter.

Was auf das Etikett gehört

Kein physisches Etikett. Was veröffentlicht werden muss, sind die Identität und Kontaktdaten des Vertreters in der Datenschutzerklärung, zusammen mit den Informationen, die gemäß Artikel 14 für Personen erforderlich sind, deren Daten Sie aus anderen Quellen als aus deren eigenen erhalten haben — was in diesem Sektor fast alle betrifft.

Marktplatz-Felder

Banken, Anwaltskanzleien und regulierte Institutionen führen vor der Aufnahme von Anbietern eine Sorgfaltspflichtprüfung durch, und die Antworten zum Datenschutz entscheiden über Verträge. Mehrere nationale Aufsichtsbehörden haben Anbieter von Screening und negativem Medien-Screening untersucht, und die Ergebnisse betrafen die Aufbewahrung, Genauigkeit und das Fehlen der Artikel 14-Mitteilung und nicht das Screening selbst.

Unterlagen, die Sie vorhalten müssen

Artikel 30 Aufzeichnungen, die jede Quelle, jeden Anreicherungsschritt und jedes Ergebnis abbilden. Die Artikel 27 Bezeichnung mit einem Umfang, der ausdrücklich Artikel 10 Daten abdeckt, wenn Sie diese verarbeiten. Eine Datenschutz-Folgenabschätzung, die hier obligatorisch ist: Profiling, systematische Überwachung und großangelegte Daten besonderer Kategorien oder zu Straftaten stehen alle auf der Liste gemäß Artikel 35(3). Dokumentation der Artikel 14(5) Ausnahme, auf die Sie sich stützen, und der Begründung dafür. Genauigkeits- und Berichtigungsverfahren, einschließlich wie ein falsches Ergebnis in den gelieferten Berichten korrigiert wird. Aufbewahrungsfristen pro Datenkategorie. Übertragungsdokumentation. Wo ein KI-System verwendet wird, die technische Dokumentation und Klassifizierung gemäß dem KI-Gesetz.

Normen und Prüfungen

Kein Produkttest, sondern zwei evidenzbasierte Prüfungen entscheiden über die Durchsetzungsergebnisse. Genauigkeit: Falsch-positive Ergebnisse im Screening verursachen echten Schaden, daher muss die Matching-Logik, ihre Fehlerquote und der menschliche Überprüfungsschritt dokumentiert werden. Und Bias-Bewertung, wo das System Personen profiliert oder bewertet, was das KI-Gesetz für Hochrisikosysteme verlangt und was das Diskriminierungsrecht unabhängig davon verlangt.

Sprachanforderungen

Die Datenschutzerklärung, die Artikel 14 Informationen und jegliche Kommunikation mit betroffenen Personen in der Sprache der betroffenen Person. Die Berichte selbst sind Geschäftsdokumente und folgen der Sprache des Mandanten.

Ab wann es gilt

Der Vertreter vor Beginn der Verarbeitung. Artikel 14 Informationen innerhalb eines angemessenen Zeitraums und spätestens innerhalb eines Monats nach Erhalt der Daten, es sei denn, eine Ausnahme gilt. KI-Gesetz Hochrisiko-Verpflichtungen ab dem 2. August 2026, wenn das System in Anhang III fällt.

Aufbewahrungsfristen

Dies ist der schärfste Punkt in der Kategorie. Berichte und das zugrunde liegende gesammelte Material dürfen nur so lange aufbewahrt werden, wie es notwendig ist, und die Aufbewahrungspflicht des Mandanten gemäß AML liegt beim Mandanten, nicht bei Ihnen: Dossiers unbegrenzt aufzubewahren, weil sie später nützlich sein könnten, hat keine rechtliche Grundlage. Wo Sie als Auftragsverarbeiter handeln, muss die Löschung auf Anweisung des Mandanten real und nachweisbar sein.

Was bei Verstößen passiert

Bis zu 20 Millionen Euro oder 4 % des gesamten weltweiten Jahresumsatzes. Die Haftung in diesem Sektor wird verstärkt, da Betroffene, die einen Bericht entdecken, ihre Zugriffsrechte aggressiv ausüben, und eine Zugriffsanforderung offenbart die gesamte Verarbeitung: Quellen, Schlussfolgerungen, Aufbewahrung und Empfänger. Verleumdungs- und Berichtigungsansprüche laufen parallel durch nationale Gerichte, auf kürzeren Zeitrahmen als eine Aufsichtsuntersuchung.

Wer kontrolliert

Datenschutzbehörden in jedem Mitgliedstaat, in dem sich die Betroffenen befinden, da ein Verantwortlicher ohne eine EU-Niederlassung keine federführende Behörde hat. Finanzaufsichtsbehörden, wenn der Mandant eine regulierte Institution ist. KI-Gesetz Marktüberwachungsbehörden ab 2026. Nationale Gerichte für Genauigkeits- und Rufansprüche.

Wo die Grenze verläuft

Artikel 10 ist die Grenze. Die Verarbeitung personenbezogener Daten im Zusammenhang mit strafrechtlichen Verurteilungen und Straftaten darf nur unter der Kontrolle einer offiziellen Behörde oder wenn sie durch das Recht der Union oder des Mitgliedstaats, das angemessene Schutzmaßnahmen vorsieht, autorisiert ist, erfolgen. Ein privates Unternehmen, das nach Strafregistern sucht, benötigt diese nationale Genehmigung, und sie variiert je nach Mitgliedstaat: Einige erlauben es für AML-verpflichtete Stellen, andere erlauben es für kommerzielle Anbieter überhaupt nicht. Sanktions- und PEP-Listen sind eine andere Angelegenheit und sind im Allgemeinen rechtmäßig, aber negative Medien enthalten routinemäßig Anschuldigungen wegen kriminellen Verhaltens, was Artikel 10 wieder durch die Hintertür einführt. Ein Vertretermandat, das dies nicht ausdrücklich abdeckt, ist in einer Untersuchung wertlos.

Häufige Fragen

Wir suchen nur öffentliche Quellen — ist das trotzdem Verarbeitung?

Ja. Das Sammeln, Strukturieren und Analysieren öffentlich verfügbarer Informationen über identifizierbare Personen ist Verarbeitung, und die Tatsache, dass eine Quelle öffentlich ist, schafft keine rechtliche Grundlage oder hebt die Pflicht gemäß Artikel 14 auf.

Müssen wir dem Betroffenen mitteilen, dass wir ihn profiliert haben?

Artikel 14 verlangt dies, mit Ausnahmen in Artikel 14(5), einschließlich der Fälle, in denen eine Benachrichtigung unmöglich wäre oder unverhältnismäßigen Aufwand erfordern würde, oder wo sie die Ziele der Verarbeitung unmöglich machen oder erheblich beeinträchtigen würde. Diese Ausnahmen müssen dokumentiert und fallweise bewertet werden, nicht für das gesamte Unternehmen angenommen werden.

Sind wir ein Verantwortlicher oder ein Auftragsverarbeiter?

Wenn der Mandant das Subjekt und den Zweck definiert und Sie nur ausführen, ist Auftragsverarbeiter argumentierbar. Wenn Sie über Mandanten hinweg anreichern, Material danach aufbewahren oder Ihre Modelle damit verbessern, sind Sie für diese Zwecke ein Verantwortlicher, egal was der Vertrag sagt.

Ist unser System hochriskant gemäß dem KI-Gesetz?

Es hängt von der Nutzung ab. Systeme, die die Kreditwürdigkeit oder den Zugang zu wesentlichen Dienstleistungen bewerten, fallen unter Anhang III. Systeme, die von der Strafverfolgung zur Risikobewertung verwendet werden, ebenfalls. Ein Werkzeug, das nur an private Compliance-Teams verkauft wird, könnte außerhalb liegen, aber die Klassifizierung muss dokumentiert werden, nicht angenommen.