Neue Datenschutzgesetze erfordern Bewertungen – und Audit-Teams müssen diese nachweisen

Jedes neue Datenschutzgesetz bringt ein weiteres Dokument mit sich, das auf Anfrage vorgelegt werden muss. Ein Schwellenwert sinkt, eine Definition wird ausgeweitet, eine neue Bewertung kommt hinzu – und das Compliance-Team erhält ein weiteres Nachweisdokument. Dieses Muster zeigt sich inzwischen in drei aktuellen Entwicklungen und beschreibt eine Funktion, die mit bestehenden Ressourcen immer mehr absichern soll.

Die erste Entwicklung ist eine Umfrage von Sikich. Die am 20. Oktober 2026 veröffentlichte „2026 U.S. Internal Audit Priorities Survey“ ergab, dass 64 Prozent der Befragten über höhere Budgets für interne Audits berichten und 43 Prozent einen Personalaufbau erwarten. Dennoch nehmen inzwischen 77 Prozent KI-Bewertungen in ihre Auditpläne auf. Die zweite Entwicklung betrifft Gesetze auf Bundesstaatsebene. Das geänderte Datenschutzgesetz von Delaware tritt am 1. Januar 2027 mit niedrigeren Schwellenwerten und erweiterten Regeln für sensible Daten in Kraft, und die Änderungen in Connecticut gelten bereits seit 2026. Die dritte Entwicklung ist eine gemeinsame Resolution der kanadischen Datenschutzbehörden zum verantwortungsvollen Einsatz von KI im Gesundheitswesen, die Governance- und Verantwortlichkeitsrahmen auf Basis von Risikoanalysen fordert.

Keine dieser Entwicklungen bezieht sich auf einen einzelnen Vorfall. Es geht um die stetige Zunahme an Nachweispflichten und darum, wer diese Nachweise prüft. Dieser Beitrag erklärt, was jede Entwicklung verlangt, warum sie auf dieselben Nachweise hinauslaufen und wie ein Chief Compliance Officer, ein Datenschutzbeauftragter oder ein Leiter der Internen Revision eine Nachweiskette aufbauen kann, die allen Anforderungen genügt. Zudem wird gezeigt, wie Kiteworks den sicheren Datenaustausch für sensible Inhalte unterstützt, ohne die Bewertungen zu ersetzen, die nur Menschen erstellen können.

Wichtige Erkenntnisse

1. Datenschutzpflichten fokussieren sich auf Bewertungen und Nachweise.

Delaware und Connecticut verlangen, ebenso wie Kanadas Aufsichtsbehörden, Risikoanalysen, Governance-Rahmen und auditfähige Dokumentationen.

2. Der Geltungsbereich wird immer weiter.

Niedrigere Schwellenwerte und breitere Definitionen sensibler Daten führen dazu, dass mehr Unternehmen unter Regelungen fallen, die sie zuvor nicht beachtet haben.

3. Die Audit-Kapazität wächst nicht im gleichen Tempo.

Sikich berichtet zwar von steigenden Budgets und mehr KI-Bewertungen, aber viele Unternehmen haben die Absicherung noch nicht über Governance- und Sicherheitskontrollen hinaus ausgeweitet.

4. KI ist jetzt ein Thema für Prüfungen.

Connecticut verlangt die Offenlegung von Trainingsdaten für große Sprachmodelle, Vermont wird dies ab Januar 2028 ebenfalls fordern, und Kanadas Aufsichtsbehörden verlangen fortlaufende KI-spezifische Bewertungen.

5. Eine Nachweiskette ist besser als fünf.

Ein einheitlicher Nachweis darüber, wer auf welche Daten unter welcher Richtlinie zugegriffen hat, ist die gemeinsame Grundlage für jede Bewertung und jedes Audit, das diese Regelungen verlangen.

Was die Sikich-Umfrage aussagt – und was nicht

Sikichs „2026 U.S. Internal Audit Priorities Survey“, veröffentlicht am 20. Oktober 2026, berichtet, dass fast zwei Drittel der Befragten (64 Prozent) höhere Budgets für interne Audits haben und mehr als vier von zehn (43 Prozent) einen Personalaufbau erwarten. Außerdem nutzen mehr als acht von zehn (82 Prozent) externe Partner, und 77 Prozent nehmen KI-Bewertungen in ihre Auditpläne auf. Das Unternehmen betont, dass KI-Governance, Datenschutz und Cybersecurity immer stärker in den Fokus rücken.

Zwei Einschränkungen sind zu beachten. Die Umfrage stammt von einem Beratungsunternehmen, das Audit- und Beratungsleistungen verkauft, und die veröffentlichte Zusammenfassung nennt keine Stichprobengröße. Befragt wurden Leiter der Internen Revision aus verschiedenen Branchen in den USA, die Ergebnisse spiegeln also die US-Audit-Community wider, nicht jedes einzelne Unternehmen.

Die wichtigste Aussage für Compliance-Verantwortliche ist eine unscheinbare: Viele Unternehmen haben die Absicherung noch nicht über Governance- und Sicherheitskontrollen hinaus ausgeweitet. In der Praxis bedeutet das, dass Audit-Teams prüfen, ob Richtlinien und Kontrollen existieren, aber erst beginnen, zu testen, ob KI-Systeme wie beabsichtigt funktionieren und Entscheidungen nachvollziehbar sind. Die Überprüfung von Leistung und Ergebnissen erfordert Nachweise, die ein Richtliniendokument nicht liefern kann – etwa Protokolle darüber, auf welche Systeme zugegriffen wurde und welche Ergebnisse erzeugt wurden.

Hier brauchen die Budgetzahlen Kontext. Ein höheres Budget und mehr KI-Bewertungen im Plan schaffen nicht automatisch die notwendigen Nachweise. Kann das Unternehmen nicht belegen, auf welche Daten ein KI-Tool zugegriffen hat oder welcher Anbieter sie verarbeitet hat, fehlt dem Auditor die Grundlage – unabhängig von der Finanzierung der Audit-Funktion.

Delaware und Connecticut weiten den Geltungsbereich aus

Datenschutzgesetze auf Bundesstaatsebene sind zu einem beweglichen Ziel geworden. Laut einer Zusammenfassung von Morgan Lewis zu Delawares House Bill 380 treten die Änderungen am 1. Januar 2027 in Kraft. Die Anwendbarkeitsschwelle sinkt auf Verantwortliche, die personenbezogene Daten von 10.000 oder mehr Verbrauchern verarbeiten oder kontrollieren, wobei Daten, die ausschließlich zur Abwicklung einer Zahlung verarbeitet werden, ausgenommen sind (vorher 35.000). Für Unternehmen, die mehr als 20 Prozent ihres Bruttoumsatzes mit dem Verkauf personenbezogener Daten erzielen, sinkt die Schwelle auf 5.000 Verbraucher (vorher 10.000).

Auch der Umfang sensibler Daten wächst. Die Zusammenfassung nennt als geschützte Informationen nun auch Herkunft, bestimmte gesundheitsbezogene Daten, neuronale Daten, bestimmte Finanzkontoinformationen und staatlich vergebene Identifikationsnummern. Ein Verantwortlicher darf sensible Daten grundsätzlich nicht ohne Einwilligung des Verbrauchers verarbeiten, und jeder Verkauf sensibler Daten muss strikt zur Erbringung einer angeforderten Leistung erforderlich sein – der Nachweis der Einwilligung ist in der Regel fünf Jahre aufzubewahren.

Zwei weitere Änderungen sind für Nachweise relevant. Verantwortliche, die personenbezogene Daten von 50.000 oder mehr Verbrauchern aus Delaware verarbeiten und Profiling für automatisierte Entscheidungen mit rechtlichen oder ähnlich erheblichen Auswirkungen betreiben, müssen eine Folgenabschätzung durchführen. Zudem wird die Ausnahme für Finanzinstitute auf Unternehmensebene eingeschränkt: Nur bestimmte Finanzinstitute und deren verbundene Unternehmen sind noch ausgenommen, andere Finanzunternehmen müssen sich erstmals an das Gesetz halten.

Connecticut war schneller. Foley und Lardner berichten, dass umfassende Änderungen bereits am 1. Juli 2026 in Kraft getreten sind. Die Verbraucherschwelle sank von 100.000 auf 35.000, und Schwellenwerte für sensible Daten und Datenverkäufe gelten nun unabhängig vom Volumen. Der geschützte Altersbereich für Minderjährige wurde von 13–16 auf 13–17 Jahre ausgeweitet, mit einem generellen Verbot gezielter Werbung und des Verkaufs personenbezogener Daten für diese Gruppe.

Connecticut verlangt zudem eine KI-Offenlegung und eine neue Bewertung. Datenschutzhinweise müssen nun offenlegen, ob personenbezogene Daten zum Training großer Sprachmodelle verwendet werden. Verantwortliche, die Profiling für rechtlich relevante Entscheidungen betreiben, müssen eine spezielle Folgenabschätzung für Verarbeitungsvorgänge erstellen, die ab dem 1. August 2026 entstehen. Verbraucher erhalten außerdem das Recht, eine Liste der Dritten zu erhalten, an die ihre personenbezogenen Daten verkauft wurden.

Dieses Muster wiederholt sich in den neuesten umfassenden Gesetzen. Eine Morgan Lewis Übersicht über vier neue Bundesstaatengesetze listet Alabama (ab 1. Mai 2027), Louisiana und Oklahoma (beide ab 1. Januar 2027) sowie Vermont (ab 1. Januar 2028) auf. Die Fristen zur Nachbesserung variieren: 45 Tage in Alabama, 30 Tage in Louisiana und Oklahoma, 60 Tage in Vermont. Vermont verlangt zudem, dass Verantwortliche in ihren Datenschutzhinweisen offenlegen, ob personenbezogene Daten zum Training großer Sprachmodelle verwendet werden.

Für Compliance-Teams ergibt sich daraus ein Flickenteppich aus Schwellenwerten, Stichtagen und Fristen, die nachgehalten werden müssen – mit einem gemeinsamen Kern aus dokumentierten Bewertungen, Einwilligungsnachweisen und Kontrollen für Drittparteien. Jeder dieser Kerne ist ein Nachweis, den ein Auditor anfordern kann.

Kanadas Aufsichtsbehörden fordern KI-Governance mit Nachweis

Die dritte Entwicklung kommt von außerhalb der USA und zeigt denselben Trend. Kanadas Datenschutzbehörden auf Bundes-, Provinz- und Territorialebene haben eine gemeinsame Resolution zum verantwortungsvollen Einsatz von KI im Gesundheitswesen und in der Gesundheitsforschung verabschiedet. Die Resolution ist auf den 15. September 2026 datiert, die Seite des Office of the Privacy Commissioner zeigt eine Änderung vom 29. Oktober 2026. Es handelt sich um eine gemeinsame Position und einen Aufruf zum Handeln, nicht um ein Gesetz.

Die Resolution fordert Entwickler auf, einen Datenschutz durch Technikgestaltung Ansatz zu verfolgen und benennt sechs Prinzipien. KI-Systeme sollen datenschutzfreundlich, valide und zuverlässig, sicher, menschenrechtskonform, transparent und rechenschaftspflichtig sein. Regierungen werden aufgefordert, Gesetze zu überprüfen, zu ändern oder zu erlassen, damit KI im Gesundheitswesen diesen Prinzipien entspricht, und Governance- sowie Verantwortlichkeitsrahmen auf Basis robuster Risikoanalysen vorzuschreiben.

Die Details für Unternehmen sind aufschlussreich. Entwickler sollen laufend Datenschutz-, Sicherheits- und KI-spezifische Bewertungen während des gesamten Lebenszyklus eines Systems durchführen und Auditierbarkeit sowie regelmäßige Praxistests ermöglichen. Gesundheitsdienstleister sollen ein aktuelles KI-Risikomanagement-Rahmenwerk pflegen, Drittverträge sorgfältig verwalten – einschließlich Auditierung und Dokumentation –, Personal schulen, unautorisierte Schatten-KI-Nutzung verhindern und menschliche Überwachung sowie Verifikation der Ergebnisse sicherstellen.

Obwohl sich die Resolution an den Gesundheitssektor richtet, ist ihr Aufbau allgemein gehalten. Sie fordert Bewertungen, Governance-Rahmen, Vertragsklauseln zur Auditierung und Nachweise für menschliche Kontrolle – dieselben Nachweise, auf die auch die US-Bundesstaatengesetze und die Audit-Umfrage hinauslaufen.

Die Konvergenz: Bewertungen, Nachweise und Drittparteien

Stellt man die drei Entwicklungen nebeneinander, wird die Überschneidung deutlich – und genau auf solche Überschneidungen ist ein ausgereiftes Governance-, Risk- und Compliance-Programm ausgelegt. Jede Entwicklung verlangt, dass Unternehmen Risiken bewerten, das Ergebnis dokumentieren und nachweisen, dass der Prozess wiederholt und überwacht wird.

Delaware und Connecticut verlangen Folgenabschätzungen für Profiling und automatisierte Entscheidungen. Kanadas Aufsichtsbehörden fordern fortlaufende KI-spezifische Bewertungen. Sikich berichtet, dass Auditpläne zunehmend KI-Bewertungen enthalten. Der gemeinsame Nenner: Eine Bewertung ist nur so gut wie die Fakten, auf denen sie basiert – und diese Fakten liegen in den Systemen, die die Daten verarbeitet haben.

Drittparteien sind der zweite rote Faden. Delawares Zusammenfassung verlangt, dass Verträge es dem Verantwortlichen ermöglichen, angemessene Schritte zu unternehmen, um sicherzustellen, dass eine Drittpartei ihren Pflichten nachkommt. Kanadas Resolution fordert, dass Anbieter-Verträge Auditierung und Dokumentation regeln. Connecticut gibt Verbrauchern das Recht auf eine Liste der Dritten, an die ihre Daten verkauft wurden. Für all das muss das Unternehmen wissen, welcher Anbieter welche Daten verarbeitet hat – das ist zunächst eine Frage der Nachweise, bevor es eine juristische ist.

Der dritte Faden ist die KI-Offenlegung. Connecticut und Vermont verlangen, dass Datenschutzhinweise offenlegen, ob personenbezogene Daten zum Training großer Sprachmodelle verwendet werden. Ein Hinweis ist ein Versprechen – und eine Aufsichtsbehörde kann Nachweise verlangen, dass das Versprechen mit der Systemrealität übereinstimmt. Kann ein Unternehmen nicht belegen, welche Datensätze welche KI-Tools erreicht haben, kann es die Richtigkeit seines Hinweises nicht bestätigen.

Warum die Interne Revision unter Druck gerät

Die Interne Revision steht am Schnittpunkt dieser Themen. Sie soll prüfen, ob Bewertungen durchgeführt, Anbieter-Kontrollen wirksam sind und KI-Systeme wie beschrieben funktionieren. Die Sikich-Zahlen zeigen eine wachsende Funktion, aber steigende Budgets lösen nicht das strukturelle Problem: Die Nachweise sind verstreut.

Ein typisches Audit-Beispiel: Welche KI-Tools hatten im letzten Quartal Zugriff auf Kundendaten, über welche Kanäle und mit wessen Freigabe? In vielen Unternehmen müssen dafür Nachweise aus E-Mail, Filesharing, Managed File Transfer, Formularen und Anwendungsprotokollen zusammengetragen werden – alles in unterschiedlichen Formaten und von verschiedenen Teams verwaltet. Der Auditor verbringt die Prüfungszeit mit dem Sammeln von Nachweisen und hat wenig Zeit für die eigentliche Prüfung.

Das verursacht auf beiden Seiten Aufwand. Das Compliance-Team benötigt Wochen, um Anfragen zu beantworten, und die Revision berichtet über Dokumentationslücken statt über die Wirksamkeit von Kontrollen. Das Ergebnis ist das Muster, das Sikich beschreibt: Die Absicherung bleibt auf Governance- und Sicherheitskontrollen fokussiert, weil für tiefere Prüfungen die Daten fehlen.

Auch der Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Report zeigt diese Belastung. In dieser Selbstauskunft von Anbietern berichteten 63 Prozent der 459 Befragten von Compliance-Folgen wie Audit-Feststellungen, Maßnahmenplänen, Eskalationen an den Vorstand, Vertragsstrafen oder behördlichen Untersuchungen. Die Stichprobe ist selbstgemeldet und umfasst verschiedene Regionen und Branchen – sie ist also als Signal für Compliance-Folgen im Allgemeinen zu verstehen, nicht als Maßstab für ein einzelnes Gesetz.

Eine Nachweiskette aufbauen

Die effiziente Antwort auf konvergierende Anforderungen ist eine einzige Nachweiskette, die jede Bewertung, jedes Audit und jede Anfrage der Aufsicht bedient. Fünf Elemente machen sie tragfähig.

Erstens: Ein Verzeichnis sensibler Datenflüsse. Listen Sie auf, wo regulierte und sensible Daten ein-, aus- und durch das Unternehmen fließen – inklusive E-Mail, Filesharing, SFTP, Managed File Transfer, Formulare und APIs. Das ist die Grundlage für jede Schwellenwertanalyse nach Bundesstaatengesetz und für jede KI-Bewertung – und dieselbe Disziplin, die zero trust data protection erfordert. Ein Datenfluss, den niemand dokumentiert hat, ist ein Datenfluss, den niemand bewerten kann – und ein Auditor findet unentdeckte Flüsse zuerst.

Zweitens: Einheitliche Nachweise über Zugriff und Weitergabe. Für jeden Datenfluss erfassen Sie, wer auf welche Inhalte, wann, über welchen Kanal und unter welcher Richtlinie zugegriffen hat. Ein einheitlicher Audit-Log über alle Kanäle verwandelt eine wochenlange Rekonstruktion in einen Bericht. Kiteworks Secure Data Exchange liefert diesen Nachweis für Inhalte, die darüber laufen – mit kundengesteuerten Verschlüsselungsschlüsseln und einer zentralen Richtlinien-Engine über alle Kanäle hinweg.

Drittens: Ein Drittparteienregister, das Anbieter mit Daten verknüpft. Für jeden Anbieter, der sensible Daten erhält, dokumentieren Sie die Vertragsbedingungen zu Auditierung und Dokumentation, die geteilten Datenkategorien und das Datum der letzten Überprüfung. Das unterstützt sowohl die Vertragsanforderungen nach Delaware als auch die kanadische Erwartung an sorgfältiges Vertragsmanagement und fließt in das Third-Party Risk Management und das breitere Supply Chain Risk Management ein. Beziehen Sie, sofern vertraglich möglich, auch Subdienstleister (Fourth Parties) ein, da gerade dort Datenflüsse oft nicht mehr nachvollziehbar sind.

Viertens: Eine Bewertungsbibliothek. Bewahren Sie Datenschutz-Folgenabschätzungen, Profiling-Folgenabschätzungen und KI-spezifische Bewertungen an einem Ort auf – jeweils mit Verknüpfung zu den Nachweisen, die sie stützen. Eine Datenschutz-Folgenabschätzung, die ihre Grundlagen nicht belegen kann, ist schwer zu verteidigen.

Fünftens: Eine KI-Zugriffsrichtlinie. Legen Sie fest, welche KI-Tools auf welche Datenklassen zugreifen dürfen, wie der Zugriff auf die Berechtigungen des autorisierenden Nutzers beschränkt ist und wie Aktivitäten protokolliert werden. Damit wird ein Datenschutzhinweis zum KI-Training wahrheitsgemäß und unterstützt ein umfassendes AI Data Governance. Kiteworks compliant AI setzt dieselben Zugriffsregeln und Audit-Logs ein, wenn ein KI-Client auf Inhalte zugreift – so sieht der Nachweis für eine KI-Interaktion aus wie der für eine menschliche.

Was in den nächsten neunzig Tagen zu tun ist

Beginnen Sie mit den Gesetzen, die am frühesten in Kraft treten. Die Änderungen in Delaware sowie die neuen Gesetze in Louisiana und Oklahoma gelten ab dem 1. Januar 2027 – das erste Quartal ist also entscheidend, wenn neue Schwellenwerte greifen. Nutzen Sie die nächsten neunzig Tage, um zu prüfen, welche Regelungen Ihr Unternehmen betreffen, und behandeln Sie die staatlichen Datenschutzgesetze als einheitliches Programm mit bundesstaatenspezifischem Anhang.

Testen Sie anschließend die Nachweise. Wählen Sie einen regulierten Datensatz aus und prüfen Sie, wie lange es dauert, eine konsolidierte Übersicht zu erstellen, wer im letzten Quartal darauf zugegriffen hat. Dauert das Tage oder Wochen, ist die Lücke strukturell – und lässt sich nicht durch mehr Audit-Stunden schließen.

Bringen Sie dann Audit und Compliance in Einklang. Legen Sie fest, welche Bewertungen welche Funktion verantwortet, wo die Nachweise liegen und wie Anfragen bearbeitet werden. Gemeinsame Verantwortung für die Nachweiskette verhindert doppelte Dokumentation.

Vergessen Sie nicht die menschliche Komponente. Schulen Sie die Mitarbeitenden, die Bewertungen und Zugriffsanfragen bearbeiten, sodass Nachweise direkt bei der Entscheidung erstellt werden – und nicht erst im Nachhinein rekonstruiert werden müssen. Ein am selben Tag erstellter Entscheidungsnachweis ist für Auditoren deutlich wertvoller als ein später aus Erinnerungen und E-Mails zusammengesetzter.

Und schließlich: Informieren Sie den Vorstand mit Nachweisen. Eine einseitige Übersicht über regulatorische Änderungen, abgeschlossene Bewertungen, geprüfte Anbieter und offene Ausnahmen sagt mehr als eine Richtlinienanzahl. Die zentrale Frage des Vorstands ist, ob das Unternehmen Kontrolle nachweisen kann – und die Antwort muss aus Nachweisen kommen.

Erfahren Sie mehr darüber, wie Sie eine einheitliche Nachweiskette für Datenschutzbewertungen und Audit-Anfragen aufbauen – vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blog Post Das Tauziehen um Ihre Daten: Wie CLOUD- und SHIELD-Gesetze Sicherheit und Datenschutz gegeneinander ausspielen
• Blog Post Sensible Daten absichern: So verknüpfen Sie DSPM mit Ihren Compliance-Zielen
• Brief Top 3 FERPA-Verstöße und wie Sie sie vermeiden
• Blog Post Executive Order 14117: Schutz sensibler Massendaten von US-Bürgern
• Blog Post Sie brauchen NIS2-Compliance? Starten Sie mit ISO 27001