Wenn Sie ein Hochrisiko-System einsetzen, das jemand anderes anbietet, gilt Artikel 26. Der Katalog ist deutlich kürzer als der für Anbieter, aber jeder Punkt verlangt etwas Konkretes.
1. Nach Betriebsanleitung verwenden (Abs. 1)
Sie müssen geeignete technische und organisatorische Maßnahmen treffen, damit das System entsprechend der beigefügten Betriebsanleitung verwendet wird. Das setzt voraus, dass Sie die Anleitung haben und gelesen haben.
2. Menschliche Aufsicht sicherstellen (Abs. 2)
Sie übertragen die Aufsicht natürlichen Personen, die dafür die nötige Kompetenz, Ausbildung und Befugnis haben und die erforderliche Unterstützung erhalten. Befugnis heißt: Diese Person muss das Ergebnis tatsächlich verwerfen dürfen.
3. Geeignete Eingabedaten (Abs. 4)
Soweit Sie die Kontrolle über die Eingabedaten haben, müssen diese der Zweckbestimmung entsprechen und hinreichend repräsentativ sein.
4. Überwachen und melden (Abs. 5)
Sie beobachten den Betrieb anhand der Betriebsanleitung. Bei Anhaltspunkten für ein Risiko unterrichten Sie den Anbieter und die Marktüberwachungsbehörde und setzen das System aus. Bei einem schwerwiegenden Vorfall melden Sie zuerst dem Anbieter, dann dem Einführer oder Händler und der Behörde.
5. Protokolle aufbewahren (Abs. 6)
Automatisch erzeugte Protokolle sind aufzubewahren, soweit sie Ihrer Kontrolle unterliegen — mindestens sechs Monate, sofern nichts anderes bestimmt ist.
6. Beschäftigte informieren (Abs. 7)
Bevor Sie ein Hochrisiko-System am Arbeitsplatz in Betrieb nehmen, informieren Sie die betroffenen Beschäftigten und ihre Vertretungen. Das kommt zum Mitbestimmungsrecht des Betriebsrats hinzu und ersetzt es nicht.
7. Betroffene informieren (Abs. 11)
Wenn das System Entscheidungen über natürliche Personen trifft oder dabei hilft, informieren Sie diese darüber. Bei den Anhang-III-Bereichen kommt das Recht auf Erklärung nach Art. 86 hinzu: Betroffene können eine klare Erläuterung der Rolle des Systems im Entscheidungsprozess verlangen.
Was noch danebensteht
Grundrechte-Folgenabschätzung (Art. 27). Sie trifft öffentliche Stellen und private Betreiber, die öffentliche Dienste erbringen, sowie Betreiber in den Bereichen Kreditwürdigkeit und Lebens-/Krankenversicherung. Ein normaler Gewerbebetrieb ist davon nicht erfasst.
Datenschutz. Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO kann unabhängig davon nötig sein. Und wenn das System allein über eine Person entscheidet, ist Art. 22 DSGVO zu prüfen — die Anforderungen dort sind strenger als das, was Art. 26 verlangt.
Was dieses Werkzeug dazu erzeugt
Die Betriebsanweisung für Hochrisiko-Systeme fasst die Punkte 1, 2, 3 und 6 in einem Dokument zusammen, das Sie ausfüllen und im Betrieb hinterlegen können. Erzeugen lässt sie sich auf der Detailseite des Systems, sobald die Bewertung eine Hochrisiko-Einstufung ergeben hat.