Pflichten · was das Gesetz bereits verlangt
Das Gesetz verlangt die Aufzeichnung bereits. Es sagt nicht, wie Sie sie beweisen.
Fünf EU-Gesetze verlangen von einem regulierten Unternehmen, etwas zu tun und später nachzuweisen, dass es das getan hat: die Bedürfnisse eines Kunden ermitteln, eine Empfehlung begründen, die Protokolle eines KI-Systems aufbewahren, einen Vorfall erfassen. Jedes lässt Sie diese Aufzeichnung in Ihren eigenen Systemen führen. Keines sagt, wie Sie Jahre später zeigen, dass die Aufzeichnung, die Sie vorlegen, die damals bestehende ist. Jedes System, das eine Aufzeichnung speichert, kann sie auch ändern: Am Tag, an dem sie bestritten wird, entscheidet diese Frage.
Diese Seite zeigt je Gesetz, was seine Artikel verlangen, wann die Aufzeichnung auf die Probe gestellt wird und was eine im Nachweisprotokoll versiegelte Aufzeichnung hinzufügt. Die Zusammenfassungen sind unsere; maßgeblich ist der Text auf EUR-Lex. Es ist eine Orientierung, keine Rechtsberatung: Ob ein Artikel für Sie gilt, und ab wann, stellen Sie selbst fest.
Fünf Gesetze, eine Frage
| Gesetz | Wann die Aufzeichnung auf die Probe gestellt wird | Was eine versiegelte Aufzeichnung hinzufügt |
|---|---|---|
| Versicherungsvertriebsrichtlinie (IDD) | Eine Beschwerde beim Versicherer oder beim Ombudsmann, ein abgelehnter Schaden, weil der Schutz nicht zum Bedarf passte, eine Prüfung durch die Aufsicht. | Die Notiz zu Wünschen und Bedürfnissen und die Empfehlung werden versiegelt, wenn sie geschrieben werden: Die Notiz, die Sie vorlegen, ist nachweislich die, die vor dem Vertrag bestand, und nicht eine, die nach der Beschwerde geschrieben wurde. |
| MiFID II | Ein Kunde bestreitet die Beratung nach einem Verlust; die Aufsicht verlangt, dass Sie jeden Schritt davon rekonstruieren. | Eine Berichtigung ist eine neue versiegelte Aufzeichnung, die die berichtigte benennt, und die frühere bleibt bestehen: Was geändert wurde und was vorher galt, lässt sich feststellen, wie es Artikel 72 Absatz 1 beschreibt. |
| KI-Verordnung (AI Act) | Eine von einer Entscheidung betroffene Person verlangt eine Erklärung; eine Marktüberwachungsbehörde verlangt die Protokolle. | Jedes Protokollsegment wird beim Schreiben versiegelt, mit seiner Ereigniszahl und dem vorangehenden Segment: Ein gekürztes, geändertes oder fehlendes Segment fällt auf. |
| DSGVO, Artikel 22 | Eine Person ficht eine automatisierte Entscheidung an; die Datenschutzbehörde verlangt den Nachweis, dass Sie die Vorschriften einhalten. | Die Grundlage der Entscheidung und jedes menschliche Eingreifen sind nachweislich zum damaligen Zeitpunkt aufgezeichnet, während die Aufzeichnung, die personenbezogene Daten enthält, bei Ihnen bleibt und gelöscht werden kann. |
| DORA | Ihre Behörde untersucht einen schwerwiegenden Vorfall; ein Prüfer vergleicht den Bericht, den Sie besitzen, mit dem Bericht, den Sie eingereicht haben. | Die Aufzeichnung des Vorfalls und jeder Bericht werden versiegelt, wenn sie erstellt werden: Der Bericht, den Sie heute besitzen, ist nachweislich der, den Sie am Tag der Einreichung besaßen. |
Versicherungsvertriebsrichtlinie (IDD)
- Wen es betrifft
- Versicherungsvertreiber: Makler, Vertreter und Versicherer, die direkt vertreiben. Ob es für Sie gilt, und ab wann, stellen Sie selbst anhand des Textes fest.
- Wann es auf die Probe gestellt wird
- Eine Beschwerde beim Versicherer oder beim Ombudsmann, ein abgelehnter Schaden, weil der Schutz nicht zum Bedarf passte, eine Prüfung durch die Aufsicht.
- Was eine versiegelte Aufzeichnung hinzufügt
- Die Notiz zu Wünschen und Bedürfnissen und die Empfehlung werden versiegelt, wenn sie geschrieben werden: Die Notiz, die Sie vorlegen, ist nachweislich die, die vor dem Vertrag bestand, und nicht eine, die nach der Beschwerde geschrieben wurde.
- Wie lange aufbewahren
- Dieses Paket legt keine Aufbewahrungsfrist fest. Klären Sie die für Sie geltende Frist mit Ihrer Aufsicht oder Ihrem Berufsverband. In Belgien ist die Richtlinie durch das Gesetz vom 4. April 2014 über die Versicherungen umgesetzt, und die FSMA beaufsichtigt deren Verhaltensregeln.
- Was aufzuzeichnen ist
- Das Versicherungsvertriebsrichtlinie (IDD)-Paket (auf Englisch):
idd.demands-needs,idd.recommendation,idd.ipid-provided
| Artikel (Link zum Text auf EUR-Lex) | Was er verlangt (unsere Zusammenfassung; maßgeblich ist der verlinkte Text) |
|---|---|
| Richtlinie (EU) 2016/97, Artikel 20 Absatz 1 Unterabsatz 1 | Vor Abschluss eines Vertrags anhand der vom Kunden erhaltenen Angaben dessen Wünsche und Bedürfnisse ermitteln und ihm objektive Informationen über das Produkt in verständlicher Form geben. |
| Richtlinie (EU) 2016/97, Artikel 20 Absatz 1 Unterabsatz 2 | Jeder angebotene Vertrag muss den Wünschen und Bedürfnissen des Kunden hinsichtlich der Versicherung entsprechen. |
| Richtlinie (EU) 2016/97, Artikel 20 Absatz 1 Unterabsatz 3 | Wird vor Abschluss eines bestimmten Vertrags eine Beratung erbracht, dem Kunden eine persönliche Empfehlung geben, die erläutert, warum ein bestimmtes Produkt seinen Wünschen und Bedürfnissen am besten entspricht. |
| Richtlinie (EU) 2016/97, Artikel 20 Absätze 4 bis 9 | Bei Nichtlebensversicherungsprodukten die Produktinformationen mit dem standardisierten Informationsblatt zu Versicherungsprodukten (IPID) geben. |
| Richtlinie (EU) 2016/97, Artikel 23 | Wie die Informationen den Kunden erreichen: auf Papier oder, wenn die Voraussetzungen dafür erfüllt sind, auf einem anderen dauerhaften Datenträger oder über eine Website. |
MiFID II
- Wen es betrifft
- Wertpapierfirmen, die Anlageberatung oder Portfolioverwaltung erbringen. Ob es für Sie gilt, und ab wann, stellen Sie selbst anhand des Textes fest.
- Wann es auf die Probe gestellt wird
- Ein Kunde bestreitet die Beratung nach einem Verlust; die Aufsicht verlangt, dass Sie jeden Schritt davon rekonstruieren.
- Was eine versiegelte Aufzeichnung hinzufügt
- Eine Berichtigung ist eine neue versiegelte Aufzeichnung, die die berichtigte benennt, und die frühere bleibt bestehen: Was geändert wurde und was vorher galt, lässt sich feststellen, wie es Artikel 72 Absatz 1 beschreibt.
- Wie lange aufbewahren
- Dieses Paket legt keine Aufbewahrungsfrist fest. Klären Sie die für Sie geltende Frist mit Ihrer zuständigen Behörde; in Belgien beaufsichtigt die FSMA diese Verhaltensregeln.
- Was aufzuzeichnen ist
- Das MiFID II-Paket (auf Englisch):
mifid.suitability,mifid.suitability-statement
| Artikel (Link zum Text auf EUR-Lex) | Was er verlangt (unsere Zusammenfassung; maßgeblich ist der verlinkte Text) |
|---|---|
| Richtlinie 2014/65/EU, Artikel 25 Absatz 2 | Bei Anlageberatung oder Portfolioverwaltung die nötigen Informationen über die Kenntnisse und Erfahrungen des Kunden im jeweiligen Anlagebereich, seine finanziellen Verhältnisse einschließlich seiner Fähigkeit, Verluste zu tragen, und seine Anlageziele einschließlich seiner Risikotoleranz einholen, um ihm das Geeignete empfehlen zu können. |
| Richtlinie 2014/65/EU, Artikel 25 Absatz 6 | Bei Anlageberatung dem Kleinanleger vor Ausführung des Geschäfts eine Geeignetheitserklärung auf einem dauerhaften Datenträger aushändigen, die die erbrachte Beratung angibt und erläutert, wie sie seinen Präferenzen, Zielen und sonstigen Merkmalen entspricht. |
| Delegierte Verordnung (EU) 2017/565 der Kommission, Artikel 54 | Wie die Geeignetheitsbeurteilung durchgeführt wird und was der Geeignetheitsbericht enthalten muss. |
| Delegierte Verordnung (EU) 2017/565 der Kommission, Artikel 72 Absatz 1 | Aufzeichnungen werden so aufbewahrt, dass die zuständige Behörde leicht darauf zugreifen und jeden wesentlichen Schritt rekonstruieren kann, dass jede Berichtigung oder Änderung und der Inhalt vor ihr leicht festzustellen sind und dass sie nicht anderweitig manipuliert oder verändert werden können. |
KI-Verordnung (AI Act)
- Wen es betrifft
- Anbieter und Betreiber von Hochrisiko-KI-Systemen, darunter Risikobewertung und Preisbildung in Bezug auf natürliche Personen bei Lebens- und Krankenversicherungen sowie die Bewertung der Kreditwürdigkeit natürlicher Personen (Anhang III Nummer 5). Ob es für Sie gilt, und ab wann, stellen Sie selbst anhand des Textes fest.
- Wann es auf die Probe gestellt wird
- Eine von einer Entscheidung betroffene Person verlangt eine Erklärung; eine Marktüberwachungsbehörde verlangt die Protokolle.
- Was eine versiegelte Aufzeichnung hinzufügt
- Jedes Protokollsegment wird beim Schreiben versiegelt, mit seiner Ereigniszahl und dem vorangehenden Segment: Ein gekürztes, geändertes oder fehlendes Segment fällt auf.
- Wie lange aufbewahren
- Artikel 19 Absatz 1 und Artikel 26 Absatz 6 schreiben für die erfassten Protokolle mindestens sechs Monate vor, sofern anderes Recht nichts anderes bestimmt; dieses Paket legt Ihre Frist nicht fest. Ob Ihr System ein Hochrisiko-System ist und ab wann diese Pflichten dafür gelten, stellen Sie selbst anhand der Verordnung fest.
- Was aufzuzeichnen ist
- Das KI-Verordnung (AI Act)-Paket (auf Englisch):
ai.log-segment,ai.decision,ai.oversight
| Artikel (Link zum Text auf EUR-Lex) | Was er verlangt (unsere Zusammenfassung; maßgeblich ist der verlinkte Text) |
|---|---|
| Verordnung (EU) 2024/1689, Artikel 12 Absatz 1 | Hochrisiko-KI-Systeme müssen technisch die automatische Aufzeichnung von Ereignissen (Protokolle) während ihres gesamten Lebenszyklus ermöglichen. |
| Verordnung (EU) 2024/1689, Artikel 12 Absatz 2 | Die Protokollierung muss Ereignisse aufzeichnen können, die relevant sind, um Situationen zu erkennen, die zu einem Risiko oder einer wesentlichen Änderung führen können, für die Beobachtung nach dem Inverkehrbringen (Artikel 72) und für die Überwachung des Betriebs (Artikel 26 Absatz 5). |
| Verordnung (EU) 2024/1689, Artikel 14 Absatz 4 Buchstabe d | Die mit der Aufsicht betrauten Personen müssen in jeder bestimmten Situation entscheiden können, das System nicht zu verwenden oder seine Ausgabe außer Acht zu lassen, zu übersteuern oder rückgängig zu machen. |
| Verordnung (EU) 2024/1689, Artikel 19 Absatz 1 | Anbieter bewahren die von ihren Hochrisiko-KI-Systemen automatisch erzeugten Protokolle auf, soweit sie ihrer Kontrolle unterliegen, für einen dem Zweck des Systems angemessenen Zeitraum von mindestens sechs Monaten, sofern das Unionsrecht oder nationales Recht, insbesondere zum Schutz personenbezogener Daten, nichts anderes bestimmt. |
| Verordnung (EU) 2024/1689, Artikel 19 Absatz 2 | Anbieter, die Finanzinstitute sind und internen Governance-Anforderungen nach dem Unionsrecht über Finanzdienstleistungen unterliegen, bewahren diese Protokolle als Teil der nach diesem Recht geführten Dokumentation auf. |
| Verordnung (EU) 2024/1689, Artikel 26 Absatz 6 | Betreiber bewahren die vom System automatisch erzeugten Protokolle auf, soweit sie ihrer Kontrolle unterliegen, für einen dem Zweck des Systems angemessenen Zeitraum von mindestens sechs Monaten, sofern das geltende Recht nichts anderes bestimmt. |
| Verordnung (EU) 2024/1689, Artikel 86 Absatz 1 | Eine Person, die von einer Entscheidung betroffen ist, die ein Betreiber auf Grundlage der Ausgabe eines in Anhang III genannten Hochrisiko-KI-Systems (ausgenommen Nummer 2) trifft und die rechtliche oder ähnlich erhebliche nachteilige Wirkungen hat, kann eine klare und aussagekräftige Erläuterung zur Rolle des KI-Systems bei der Entscheidung und zu den wichtigsten Elementen der getroffenen Entscheidung erhalten. |
DSGVO, Artikel 22
- Wen es betrifft
- Jeder Verantwortliche, dessen Entscheidungen über Personen ganz oder teilweise durch automatisierte Verarbeitung getroffen werden. Ob es für Sie gilt, und ab wann, stellen Sie selbst anhand des Textes fest.
- Wann es auf die Probe gestellt wird
- Eine Person ficht eine automatisierte Entscheidung an; die Datenschutzbehörde verlangt den Nachweis, dass Sie die Vorschriften einhalten.
- Was eine versiegelte Aufzeichnung hinzufügt
- Die Grundlage der Entscheidung und jedes menschliche Eingreifen sind nachweislich zum damaligen Zeitpunkt aufgezeichnet, während die Aufzeichnung, die personenbezogene Daten enthält, bei Ihnen bleibt und gelöscht werden kann.
- Wie lange aufbewahren
- Dieses Paket legt keine Aufbewahrungsfrist fest. Die Aufzeichnungen gehören Ihnen und enthalten personenbezogene Daten unter Ihrer Kontrolle: Bewahren Sie sie nicht länger auf, als Ihre Zwecke es erfordern; sie bleiben löschbar, weil sie Sie nie verlassen. Im Protokoll steht nur ein gesalzener Fingerabdruck, und ohne die Aufzeichnung und ihr Salz kann ihn niemand, auch wir nicht, einer Person zuordnen.
- Was aufzuzeichnen ist
- Das DSGVO, Artikel 22-Paket (auf Englisch):
gdpr.automated-decision,gdpr.human-intervention
| Artikel (Link zum Text auf EUR-Lex) | Was er verlangt (unsere Zusammenfassung; maßgeblich ist der verlinkte Text) |
|---|---|
| Verordnung (EU) 2016/679, Artikel 5 Absatz 2 | Der Verantwortliche ist für die Einhaltung der Grundsätze des Artikels 5 Absatz 1 verantwortlich und muss sie nachweisen können. |
| Verordnung (EU) 2016/679, Artikel 13 Absatz 2 Buchstabe f und Artikel 14 Absatz 2 Buchstabe g | Die betroffene Person über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 informieren und zumindest in diesen Fällen aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen geben. |
| Verordnung (EU) 2016/679, Artikel 22 Absatz 1 | Jede Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling, beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. |
| Verordnung (EU) 2016/679, Artikel 22 Absatz 2 | Dies gilt nicht, wenn die Entscheidung für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist, aufgrund von Unionsrecht oder mitgliedstaatlichem Recht mit angemessenen Garantien zulässig ist oder mit ausdrücklicher Einwilligung der Person erfolgt. |
| Verordnung (EU) 2016/679, Artikel 22 Absatz 3 | Greift die Ausnahme des Vertrags oder der ausdrücklichen Einwilligung, trifft der Verantwortliche angemessene Maßnahmen, mindestens das Recht auf Eingreifen einer Person, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung. |
DORA
- Wen es betrifft
- Finanzunternehmen im Anwendungsbereich von DORA, darunter Versicherungsunternehmen und Versicherungsvermittler, ausgenommen Vermittler, die Kleinst-, kleine oder mittlere Unternehmen sind (Artikel 2 Absatz 3). Ob es für Sie gilt, und ab wann, stellen Sie selbst anhand des Textes fest.
- Wann es auf die Probe gestellt wird
- Ihre Behörde untersucht einen schwerwiegenden Vorfall; ein Prüfer vergleicht den Bericht, den Sie besitzen, mit dem Bericht, den Sie eingereicht haben.
- Was eine versiegelte Aufzeichnung hinzufügt
- Die Aufzeichnung des Vorfalls und jeder Bericht werden versiegelt, wenn sie erstellt werden: Der Bericht, den Sie heute besitzen, ist nachweislich der, den Sie am Tag der Einreichung besaßen.
- Wie lange aufbewahren
- Dieses Paket legt keine Aufbewahrungsfrist fest. Klären Sie sie mit Ihrer zuständigen Behörde.
- Was aufzuzeichnen ist
- Das DORA-Paket (auf Englisch):
dora.incident,dora.incident-report,dora.register-snapshot
| Artikel (Link zum Text auf EUR-Lex) | Was er verlangt (unsere Zusammenfassung; maßgeblich ist der verlinkte Text) |
|---|---|
| Verordnung (EU) 2022/2554, Artikel 17 Absatz 1 | Einen Prozess für das Management IKT-bezogener Vorfälle festlegen, einrichten und umsetzen, um solche Vorfälle zu erkennen, zu bewältigen und zu melden. |
| Verordnung (EU) 2022/2554, Artikel 17 Absatz 2 | Alle IKT-bezogenen Vorfälle und erheblichen Cyberbedrohungen erfassen, mit Verfahren für eine einheitliche Überwachung, Behandlung und Nachverfolgung, damit die Ursachen ermittelt, dokumentiert und behoben werden. |
| Verordnung (EU) 2022/2554, Artikel 18 | IKT-bezogene Vorfälle klassifizieren und ihre Auswirkungen anhand der im Artikel festgelegten Kriterien bestimmen. |
| Verordnung (EU) 2022/2554, Artikel 19 Absatz 4 | Bei einem schwerwiegenden IKT-bezogenen Vorfall der zuständigen Behörde eine Erstmeldung, einen Zwischenbericht und einen Abschlussbericht übermitteln. |
| Verordnung (EU) 2022/2554, Artikel 28 Absatz 3 | Ein Informationsregister über alle vertraglichen Vereinbarungen zur Nutzung von IKT-Dienstleistungen, die von IKT-Drittdienstleistern erbracht werden, führen und aktualisieren. |
Was kein Gesetz verlangt, und was das Protokoll nicht tut
- Kein Gesetz nennt ein Produkt
- Keines dieser Gesetze verlangt RiskRouter oder ein anderes Produkt. Sie können jede dieser Pflichten ohne uns erfüllen. Was wir anbieten, ist ein Weg, nachzuweisen, dass Sie sie erfüllt haben, der auf niemandes Wort beruht, auch nicht auf unserem.
- Es beweist wann, nicht ob
- Eine versiegelte Aufzeichnung bestand nachweislich unverändert spätestens zum Zeitpunkt eines signierten und verankerten Kopfes. Das Protokoll kennt den Inhalt der Aufzeichnung nicht: Es kann sie nicht richtig, vollständig oder ausreichend machen, und das Aufzeichnen allein erfüllt keine Pflicht.
- Die Aufzeichnung bleibt bei Ihnen
- Nur ein gesalzener Fingerabdruck jeder Aufzeichnung wird gesendet. Die Aufzeichnung und die personenbezogenen Daten darin erreichen uns nie: Sie behalten sie und können sie löschen. Datenschutz (auf Englisch)
- Es überdauert uns
- Jeder Nachweis lässt sich offline mit dem Open-Source-Prüfwerkzeug prüfen, gegen veröffentlichte Schlüssel und Verankerungen.
Zum Einstieg: Holen Sie sich einen Sandbox-Schlüssel und zeichnen Sie in wenigen Minuten einen Fingerabdruck auf, oder lesen Sie was Sie je Regel aufzeichnen (auf Englisch).