Anwendungen und KI-Werkzeuge anbinden

So läuft die Software-Freigabe heute

Montagmorgen, im IT-Ticketsystem geht ein Antrag ein: „Neue Software: KI-Protokolltool für den Vertrieb". Die Vertriebsleitung möchte einen Cloud-Dienst einsetzen, der Kundentermine aufzeichnet, transkribiert und zusammenfasst. Die IT prüft Anmeldung, Lizenzkosten und Speicherort, trägt das Werkzeug in die „Softwareliste_2026.xlsx" ein und leitet das Ticket an das Postfach „datenschutz@" weiter, mit dem Satz „Bitte einmal datenschutzrechtlich drüberschauen".

Ab hier beginnt die Handarbeit der Datenschutzbeauftragten. Sie liest die weitergeleitete E-Mail, sucht auf der Website des Anbieters nach Rechenzentrumsstandort und Unterauftragsverarbeitern und tippt Name, Anbieter, Datenkategorien und Zweck in das Verzeichnis von Verarbeitungstätigkeiten ab: einmal als Datenverarbeitungssystem, einmal als Entwurf der Verarbeitungstätigkeit „Gesprächsprotokolle im Vertrieb". Den Auftragsverarbeitungsvertrag fordert sie per E-Mail beim Anbieter an und erinnert nach zwei Wochen ein zweites Mal. Das PDF landet zuerst im Download-Ordner, später im Ordner „Datenschutz/AVV/2026".

Währenddessen läuft das Ticket weiter. Die IT hat das Werkzeug technisch freigegeben, die Lizenz ist gekauft, die ersten Kundentermine werden bereits aufgezeichnet. Ob die datenschutzrechtliche Prüfung abgeschlossen ist, steht nirgends im Ticket. Geschlossen wird es trotzdem, weil die IT ihren Teil erledigt hat.

Parallel kommen die Fragen über den Chat. „Dürfen wir Tool X nutzen?", schreibt jemand aus dem Marketing in Teams. „Ist das Protokolltool jetzt freigegeben?", fragt die Teamleitung im Vertrieb. Die Datenschutzbeauftragte antwortet aus dem Gedächtnis oder schlägt im Verzeichnis nach, jedes Mal von Hand und jedes Mal mit dem Risiko, einen Zwischenstand zu nennen, den außer ihr niemand kennt.

Zwei Listen, die auseinanderlaufen

Ein einzelner Antrag ist lästig, das eigentliche Problem entsteht in der Summe. Die IT führt ihre „Softwareliste_2026.xlsx" oder eine CMDB, der Datenschutz führt die Datenverarbeitungssysteme im Verzeichnis. Beide Listen beschreiben dieselben Systeme, gepflegt werden sie von verschiedenen Personen zu verschiedenen Zeitpunkten. Wird ein Werkzeug abgeschaltet, erfährt es der Datenschutz selten. Kommt eine weitere Abteilung als Nutzerin hinzu, erfährt es die IT selten. Nach einem Jahr stehen in der einen Liste 140 Systeme, in der anderen 118, und niemand kann auf Anhieb sagen, welche Differenz Altlast ist und welche ein offenes Risiko.

Der Moment, in dem es auffällt

Sichtbar wird das in einer Prüfung. Ein Kunde schickt seinen Dienstleisterfragebogen und will wissen, welche Systeme mit seinen Daten arbeiten und welche Unterauftragsverarbeiter beteiligt sind. Die IT liefert die Softwareliste, der Datenschutz liefert das Verzeichnis, und die beiden Antworten passen nicht zusammen. Oder ein Auditor zieht drei Einträge aus der CMDB und fragt nach der zugehörigen Verarbeitungstätigkeit und dem Vertrag. Für einen davon gibt es weder das eine noch das andere, nur ein geschlossenes Ticket.

Der Soll-Prozess in sechs Schritten

Ziel ist, dass jede Angabe einmal erfasst wird und zwischen Ticketsystem, IT-Bestand und Verzeichnis automatisch weiterwandert. Die Prüfung selbst bleibt bei der Datenschutzbeauftragten, automatisiert wird nur der Transport. Grundlage ist die REST-API der gemeinsamen Plattform von preeco | datenschutz und preeco | informationssicherheit.

1. Den Zugang freischalten lassen. Die API ist im Auslieferungszustand ausgeschaltet. Für Ihr Team schaltet preeco sie auf Anfrage frei, wenden Sie sich dazu an Ihre Ansprechpartnerin oder Ihren Ansprechpartner. Danach erlaubt eine Administratorin oder ein Administrator den Zugriff je Benutzer in den Einstellungen.

2. Je Anwendung ein eigenes Token erzeugen. Ein API-Token gehört immer einer Person und handelt mit deren Rolle und Berechtigungen, in jedem Team, in dem sie aktiv Mitglied ist. Dienstkonten gibt es nicht. Erzeugen Sie das Token deshalb bei einer Person, deren Rolle zur Aufgabe passt und so eng wie möglich gefasst ist, im Profil unter API. Jede Anwendung bekommt ein eigenes Token mit sprechendem Namen und begrenzter Laufzeit.

3. Den Antrag automatisch übertragen. Die Automatisierung des Ticketsystems, ein Skript oder ein Low-Code-Werkzeug wie n8n legt beim neuen Antrag das Datenverarbeitungssystem an, erzeugt den Entwurf einer Verarbeitungstätigkeit, weist der Datenschutzbeauftragten eine Aufgabe zu und legt den Auftragsverarbeitungsvertrag des Anbieters ab. Jede Änderung steht im Aktivitätenprotokoll, unter dem Namen der Person, der das Token gehört.

4. Den Stand regelmäßig abfragen. preeco meldet sich nicht von selbst beim Ticketsystem, Webhooks oder Push-Benachrichtigungen gibt es nicht. Das Ticketsystem fragt in festem Takt nach, etwa alle 15 Minuten, ob die Aufgabe der Datenschutzbeauftragten erledigt ist, und schließt den Antrag erst dann.

5. Den IT-Bestand in beide Richtungen abgleichen. Ein geplanter Lauf gleicht die CMDB mit den Assets in preeco | informationssicherheit ab. Neue Systeme aus der CMDB werden angelegt, Angaben aus preeco wie Schutzbedarf oder Verantwortlichkeiten gehen zurück.

6. Den eigenen KI-Assistenten über die API antworten lassen. Viele Unternehmen betreiben bereits einen internen KI-Assistenten oder Agenten, etwa im Intranet oder im Chat. Er erhält ein eigenes API-Token, das einer Person mit lesender Rolle gehört, und beantwortet Fragen wie „Welchen Status hat die Verarbeitungstätigkeit Gesprächsprotokolle im Vertrieb?" aus dem dokumentierten Stand. Er nutzt dieselbe tokenbasierte REST-API wie Ticketsystem und CMDB, Ihre IT prüft also eine Schnittstelle, nicht zwei.

Was die Schnittstelle mitbringt

Die API folgt den Zugriffsrechten der Anwendung: Was die Person, der das Token gehört, in der Oberfläche nicht darf, darf die Anbindung auch über die Schnittstelle nicht. Sie nimmt bis zu 60 Anfragen je Minute und Token an. Für die Entwicklung gibt es eine interaktive API-Referenz, eine OpenAPI-Datei, ein Änderungsprotokoll und einen Fehlerkatalog, dazu eine Fassung der Dokumentation für KI-Programmierassistenten (llms.txt). preeco | hinweisgeber und preeco | nachhaltigkeit haben eigene REST-APIs auf ihren eigenen Plattformen.

Vorher und nachher im direkten Vergleich

Was der Umstieg praktisch bedeutet

Der Aufwand liegt am Anfang und bleibt überschaubar, wenn Sie klein beginnen. Sinnvoll ist eine einzige Strecke als Start: neuer Softwareantrag im Ticketsystem, daraus ein Datenverarbeitungssystem und eine Aufgabe in preeco. Läuft das einige Wochen stabil, folgen der Entwurf der Verarbeitungstätigkeit, die Statusabfrage und zuletzt der Abgleich mit der CMDB.

Vor dem ersten Lauf lohnt eine Bereinigung. Gleichen Sie Softwareliste und Verzeichnis einmal von Hand ab und legen Sie fest, welche Bezeichnung führend ist. Sonst überträgt die Automatisierung die alten Widersprüche nur schneller.

Organisatorisch klären Sie drei Fragen: Wem gehören die Tokens, wer ersetzt sie vor Ablauf, und wer schaut nach, wenn ein Lauf fehlschlägt. Die Antworten gehören in dieselbe Dokumentation wie die übrigen Schnittstellen Ihres Hauses.

Drei Fehler, die Anbindungen angreifbar machen

Das persönliche Administrator-Token ohne Ablauf für jedes Skript. Ticketsystem, CMDB-Abgleich und Testskript teilen sich den Schlüssel einer Administratorin, der nie abläuft. Er handelt mit allen ihren Rechten in jedem ihrer Teams, und gerät er in falsche Hände, müssen alle Anbindungen gleichzeitig umgestellt werden. Besser: je Anwendung ein eigenes Token mit einer Laufzeit von 1, 3, 6 oder 12 Monaten, bei einer Person mit möglichst enger Rolle.

Wechsel und Übergabe nicht einplanen. Die Laufzeit lässt sich nach dem Erstellen nicht ändern, und im Aktivitätenprotokoll erscheint jede Änderung unter dem Namen der Person, der das Token gehört. Planen Sie den Austausch vor Ablauf fest ein, und regeln Sie, wer neue Tokens erzeugt und die alten löscht, wenn diese Person die Aufgabe abgibt oder das Unternehmen verlässt.

Auf Benachrichtigungen warten oder zu oft fragen. preeco meldet sich nicht, wer auf eine Nachricht wartet, wartet vergeblich. Wer dagegen jede Minute den gesamten Bestand abfragt, stößt an die Grenze von 60 Anfragen je Minute. Für eine Software-Freigabe reichen ein Takt von etwa 15 Minuten und gefilterte Abfragen.

Woran Sie erkennen, dass es Zeit ist

• Die Softwareliste der IT und die Datenverarbeitungssysteme im Verzeichnis nennen unterschiedlich viele Systeme.
• Tickets für neue Software werden geschlossen, bevor der Datenschutz geprüft hat.
• Systemangaben werden aus weitergeleiteten E-Mails in das Verzeichnis abgetippt.
• Auftragsverarbeitungsverträge werden per E-Mail und Erinnerung nachverfolgt.
• Die Frage „Dürfen wir Tool X nutzen?" kommt mehrmals pro Woche im Chat.