Datenschutz‑Folgenabschätzung (DPIA)

1. Allgemeine Angaben

Projekt	Transferplattform für Biologie und Technik (TVH:C) – Förderkennzeichen 01 IO 2306 C
Verantwortlicher	Leibniz‑Institut für Verbundwerkstoffe GmbH, Erwin‑Schrödinger‑Straße 58, 67663 Kaiserslautern
Datenschutz‑Beauftragter	Dr.-Ing. J. Blaurock, dsb@ivw.uni‑kl.de
Datum der Erstellung	17. September 2025
Version	1.0

Zweck: Bereitstellung eines webbasierten RAG-Pipeline, der Nutzer‑Fragestellungen zu biotechnologischen Themen automatisiert beantwortet.
Verarbeitete Daten
- IP‑Adresse (zur Session‑Verwaltung und Sicherheits‑Monitoring)
- Freitext‑Fragestellung (max. 500 Zeichen)
- Technische Log‑Einträge (Zeitstempel, HTTP‑Status, User‑Agent)
Speicherort – Verarbeitung erfolgt auf den Servern der Gesellschaft für wissenschaftliche Datenverarbeitung mbH (GWDG) in Deutschland.
Speicherdauer
- IP‑Adresse: max. 24 Stunden nach Session‑Ende
- Freitext‑Fragestellung: nur im RAM bis zur Antwortgenerierung (max. 5 Minuten)
- Log‑Einträge: 30 Tage
Rechtsgrundlage – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Risiko	Beschreibung	Wahrscheinlichkeit	Schwere	Risikolevel (W × S)
1. Identitäts‑Re‑Identifizierung	Kombination von IP‑Adresse und Fragestellung könnte Rückschlüsse auf die Person zulassen.	Mittel	Hoch	Mittel‑Hoch
2. Unbeabsichtigte Speicherung	Session‑Daten werden nicht innerhalb der vorgesehenen Frist gelöscht.	Niedrig	Mittel	Niedrig‑Mittel
3. Missbrauch der KI‑Ausgabe	Nutzer vertrauen ausschließlich auf die generierten Antworten.	Hoch	Mittel	Mittel
4. Technische Angriffe (Man‑in‑the‑Middle)	Datenübertragung nicht verschlüsselt.	Hoch	Hoch	Hoch
5. Dokumentations‑Lücken	Fehlende Nachweise über Löschvorgänge.	Mittel	Mittel	Mittel

Risiko	Umgesetzte / geplante Maßnahmen	Verantwortlicher	Status
Identitäts‑Re‑Identifizierung	IP‑Adresse wird nach 24 h maskiert (letzte 3 Oktette werden entfernt). Log‑Einträge enthalten keine Fragestellung.	Backend‑Team	Implementiert
Unbeabsichtigte Speicherung	Automatischer Cron‑Job löscht Session‑Einträge nach 24 h. RAM‑Cache wird nach Antwort sofort geleert.	System‑Admin	Implementiert
Missbrauch der KI‑Ausgabe	Hinweis im UI: „KI‑Antworten sind nicht redaktionell geprüft und dürfen nicht als alleinige Entscheidungsgrundlage verwendet werden.“ Disclaimer im Impressum und in der Datenschutzerklärung.	Produkt‑Team	Implementiert
Technische Angriffe	Einführung von TLS 1.3 für die gesamte Kommunikation zwischen Front‑End und GWDG‑Server (geplant bis 01. April 2026). -	IT‑Security‑Team	Geplant
Dokumentations‑Lücken	Audit‑Log (unveränderlich) protokolliert alle Löschvorgänge. Jährliche Review der DPIA durch den Datenschutz‑Beauftragten.	Datenschutz‑Beauftragter	Implementiert

Risiko	Rest‑Risiko nach Maßnahmen	Akzeptanz
Identitäts‑Re‑Identifizierung	Mittel (IP‑Maskierung)	Akzeptabel
Unbeabsichtigte Speicherung	Niedrig	Akzeptabel
Missbrauch der KI‑Ausgabe	Mittel (Hinweis & Disclaimer)	Akzeptabel
Technische Angriffe	Hoch (bis TLS‑Implementierung)	Nicht akzeptabel – TLS muss bis 30. Nov 2025 umgesetzt werden.
Dokumentations‑Lücken	Niedrig	Akzeptabel

Gesamtbewertung: Nach Umsetzung der Maßnahmen ist das verbleibende Risiko als gering einzustufen.

Umsetzung TLS: bis 01. April 2025.
Jährliche DPIA‑Überprüfung: Durch den Datenschutz‑Beauftragten.
Monitoring: Automatisierte Alerts bei Fehlfunktionen des Cron‑Jobs oder bei ungewöhnlichen Zugriffsmustern.

Die vollständige DPIA‑Dokumentation finden Sie hier:

Home About Privacy Policy Legal Notice