Welche KI-Governance-Signale Ihre Domain nach außen zeigt
Datenschutzbeauftragte dokumentieren KI-bezogene Verarbeitungen in der Datenschutzerklärung, im Verarbeitungsverzeichnis nach Art. 30 und in der DPIA — was die Domain technisch ausliefert, steht dort nicht. CERTavia prüft von außen, welche KI-Governance-Signale vorhanden sind: KI-Abschnitt der Datenschutzerklärung, KI-Regeln in robots.txt, Opt-out-Hinweis, AI Policy, Deepfake-Disclaimer, KI-Kontaktstelle und ai-disclosure.json. Jedes Signal wird einzeln geprüft, ein inhaltlicher Abgleich untereinander findet nicht statt.
Papier ist nicht Infrastruktur
Die Datenschutzerklärung beschreibt, wie mit KI-Crawlern, Trainingsdaten-Opt-Out und automatisierten Entscheidungen umgegangen wird. Ob diese Beschreibung zur technischen Konfiguration passt, muss der Datenschutzbeauftragte beurteilen. Der Scan liefert dafür die Messwerte: welche Signale vorhanden sind und welche fehlen. Widersprüche zwischen Datenschutzerklärung und robots.txt erkennt er nicht.
CERTavia prüft die technische Infrastruktur-Ebene unabhängig von der Dokumentation und liefert einen kryptografisch signierten, datierten Befund, den Sie neben die Datenschutzerklärung legen können.
Wie selten diese Signale sind, zeigt der Benchmark: Cluster F (AI Governance) liegt in allen zehn Branchenlisten im Median bei 0; zwischen 52 % (ECOM100-DE) und 90 % (BaFin50) der Domains zeigen kein einziges AI-Governance-Signal (Juni-Messungen; Cluster F ist vom Messfehler bei Cluster A nicht betroffen, siehe Korrekturhinweis).
AI Governance Hard Gate im Detail
Dieser Cluster ist für Datenschutzbeauftragte der unmittelbar relevante Prüfbereich.
ai-disclosure.json und AI Policy
Kernprüfung ist /.well-known/ai-disclosure.json mit sechs Angaben: systemDisclosure (Art. 50 Abs. 2), humanOversight (Art. 14), annexIII (Art. 6), dataGovernance (Art. 10/13), technicalDoc (Art. 11/13), incidentReporting (Art. 73). Ohne die Datei ist Cluster F rechnerisch 0 und CERTIFIED ausgeschlossen. Eine erreichbare AI-Policy-Seite zählt zusätzlich als Bonuspunkt.
Datenschutz-KI-Abschnitt
Prüft, ob die Datenschutzerklärung einen KI-spezifischen Abschnitt enthält (Bonuspunkt). Ob dessen Inhalt zur robots.txt passt, prüft der Scan nicht.
AI-Training-Opt-Out-Status
Prüft getrennt, ob robots.txt eigene Regelgruppen für KI-Bots enthält und ob ein Opt-out-Hinweis für KI-Training vorhanden ist (je Bonuspunkt). Widersprüche zwischen beiden Signalen erkennt der Scan nicht.
Deepfake-Disclaimer und Kontaktstelle
Prüft das Vorhandensein eines Deepfake-Disclaimers und einer Kontaktstelle für KI-bezogene Anfragen Betroffener (je Bonuspunkt).
Hinweis zur Parameterbasis: Die hier geprüften Deklarationen tragen als technischer Beleg zur Art.-50-Dokumentation bei; ob die Pflichten je Absatz (siehe Glossar) erfüllt sind, beurteilt der Scan nicht. Für Datenschutzbeauftragte ergänzt er die DSGVO-Dokumentation, die ohnehin geführt wird.
Ein technischer Beleg für die Dokumentation
Für das Verarbeitungsverzeichnis nach Art. 30 DSGVO und für Datenschutz-Folgenabschätzungen (DPIA) bei KI-gestützten Verarbeitungen ist ein technischer Beleg hilfreich, der zeigt, dass die deklarierten Schutzmaßnahmen tatsächlich aktiv sind. Der CERTavia-Report liefert diesen Beleg als kryptografisch signiertes, zeitstempelgenaues Dokument — nicht als Ersatz für die rechtliche DPIA-Bewertung, sondern als technischer Baustein darin.
Die Überschneidung von DSGVO und EU AI Act betrifft insbesondere automatisierte Entscheidungen (Art. 22 DSGVO) und die Transparenzpflichten nach Art. 50. Für Datenschutzbeauftragte am nächsten liegt Art. 50 Abs. 3: Betreiber von Emotionserkennung und biometrischer Kategorisierung müssen betroffene Personen informieren. Diese Pflicht ist von außen nicht prüfbar und nicht Gegenstand des CERTavia-Scans. Zuordnung aller Absätze im Glossar.
Ein gemeinsamer Befund statt getrennter Wahrnehmungen
Der CERTavia-Report liefert Datenschutzbeauftragten und IT-Leitern denselben Befund — eine gemeinsame Grundlage, um die gemessene Konfiguration mit der Dokumentation abzugleichen. Diesen Abgleich nehmen DSB und IT vor; der Scan liefert die Messwerte.
Kann ich CERTavia als Auftragsverarbeiter einsetzen?
Ja. Die erste Frage jedes Datenschutzbeauftragten beim Einsatz eines neuen Tools lautet: Wie steht es mit der eigenen Datenschutz-Compliance des Anbieters? Hier sind die Antworten:
AVV verfügbar
Ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO mit vollständiger Unterauftragsverarbeiter-Liste (Hetzner, Cloudflare, Stripe, Resend) und TOMs ist abrufbar und gilt mit Vertragsschluss als vereinbart. Auf Wunsch gegengezeichnet innerhalb von 2 Werktagen.
AVV abrufen →Scan = öffentliche Daten
CERTavia scannt ausschließlich öffentlich zugängliche technische Infrastrukturparameter (DNS, HTTP-Header, öffentliche Web-Inhalte). Seiteninhalte, Nutzerdaten Ihrer Besucher und interne Systemdaten werden nicht erfasst.
§ 19 Datenschutzerklärung →Hosting in der EU
Die Scan-API und Datenbank laufen bei Hetzner in Deutschland. Die Website läuft auf Cloudflare Pages (EU-US DPF). Zahlungen über Stripe (EU-US DPF). E-Mail über Resend (SCCs). Alle Sub-Processor-Details im AVV.
Sub-Processor-Liste →Preise für Datenschutzbeauftragte
PDF Audit Report, kryptografische Signatur, Sovereign Vault 90 Tage verfügbar (danach lokale Archivierung erforderlich). Geeignet als erster datierter Befund der KI-Governance-Signale Ihrer Domain.
Sovereign Vault ohne automatisches Ablaufdatum, maschinenlesbare Verifikations-URL, JSON-Output. Geeignet als technischer Beleg für Art.-30-Dokumentation und DPIA.
Der Report wird direkt per E-Mail ausgeliefert; Kundenportal-Zugang ist auf Anfrage möglich (automatisch inklusive bei Annual- und Enterprise-Plänen).
Weiterführende Seiten
Technische Anforderungen, Zeitplan und Infrastruktur-Implikationen.
Für Compliance Manager und GRC-Teams →Signierter Befund als PDF, JSON und CSV für GRC-Systeme und Dossiers.
Wie CERTavia funktioniert →Der deterministische Prüfprozess und das Validierungsverfahren erklärt.
Referenzen →Verifizierte Scan-Ergebnisse aus der Praxis — kryptografisch signiert und über den Sovereign Vault prüfbar.
Whitepaper: EU AI Act Infrastruktur-Compliance →Infrastrukturanforderungen aus Art. 50, DSGVO-Schnittstellen und technische Nachweisführung für Datenschutzbeauftragte.
Art. 50 – Transparenzpflichten seit August 2026 →Kennzeichnungspflichten für KI-generierte Inhalte, Chatbots und Deepfakes — direkt relevant für DSGVO-konforme KI-Einführung.
Mehrere Mandanten betreuen?
Als externer DSB scannen Sie typischerweise nicht eine Domain, sondern ein Portfolio. CERTavia eignet sich für den Einsatz über mehrere Mandanten: Sie erhalten pro Scan ein unabhängiges, kryptografisch signiertes Ergebnis für den jeweiligen Ansprechpartner im Unternehmen.
Für portfoliobasierte Nutzung und Mengenkonditionen: Anfrage per Kontaktformular mit dem Hinweis auf Ihre Mandantenanzahl.
KI-Governance-Signale der eigenen Domain prüfen
Der kostenlose Scan zeigt in Sekunden Verdict, CES und alle sechs Cluster mit sämtlichen Einzelparametern, darunter Cluster F (AI Governance), samt Handlungsempfehlungen. PDF-Report, Signatur und Vault-Eintrag gibt es ab dem Basic-Paket.
CERTavia analysiert technische Infrastruktursignale. Das Ergebnis ist ein maschinenlesbarer Befund, kein Rechtsgutachten und keine Zertifizierung im Sinne der EU AI Act Konformitätsbewertung nach Artikel 43. Für rechtsverbindliche Compliance- und Datenschutz-Bewertungen wenden Sie sich an qualifizierte Rechts- und Datenschutzberater.