Das Wichtigste in Kürze
- Die DSGVO gilt für jede Verarbeitung personenbezogener Daten, auch durch KI-Werkzeuge
- Du brauchst für jede Verarbeitung eine Rechtsgrundlage und einen klaren Zweck
- Bei externen KI-Diensten ist ein Auftragsverarbeitungsvertrag erforderlich
- Betroffene haben Anspruch auf Auskunft, Berichtigung und Löschung
- Datensparsamkeit ist der einfachste Schutz: Gib keine Daten ein, die du nicht brauchst
Definition
Die Datenschutz-Grundverordnung (DSGVO) ist seit Mai 2018 in der gesamten EU anwendbar. Sie schützt natürliche Personen bei der Verarbeitung ihrer Daten und gilt für jedes Unternehmen, das solche Daten erhebt, speichert oder auswertet. Dazu gehören Namen, E-Mail-Adressen, Kundennummern, aber auch Fotos oder IP-Adressen. Grundsätze sind unter anderem Zweckbindung, Datenminimierung, Transparenz und Sicherheit. Verstöße können mit hohen Bußgeldern geahndet werden.
DSGVO: So funktioniert's
Für den KI-Einsatz bedeutet das konkret: Du musst wissen, welche personenbezogenen Daten in ein Werkzeug fließen und auf welcher Rechtsgrundlage, etwa Vertrag oder berechtigtes Interesse. Setzt du einen externen Dienst ein, schließt du einen Auftragsverarbeitungsvertrag und prüfst, wo verarbeitet wird. Risikoreiche Verarbeitungen verlangen eine Datenschutz-Folgenabschätzung. Betroffene müssen informiert werden und automatisierte Einzelentscheidungen mit erheblicher Wirkung unterliegen besonderen Einschränkungen.
Relevanz für dein Unternehmen
Der Datenschutz wird bei KI schnell zum Engpass, wenn er erst am Ende bedacht wird. Wer ihn von Beginn an mitdenkt, kann viele Anwendungen ohne Hürden umsetzen: indem er mit anonymisierten oder fiktiven Daten arbeitet, geprüfte Anbieter wählt und klare Regeln für Mitarbeitende aufstellt. Die Zusammenarbeit mit dem Datenschutzbeauftragten oder einer externen Beratung früh im Projekt spart später Zeit und Nacharbeit.
Vorteile und Nachteile
Vorteile
- +Einheitliche Regeln in der ganzen EU
- +Klare Rechte stärken das Vertrauen von Kunden
- +Datensparsames Arbeiten senkt auch Sicherheitsrisiken
- +Gute Dokumentation erleichtert Nachweise gegenüber Aufsicht und Auftraggebern
Nachteile / Grenzen
- −Dokumentations- und Informationspflichten verursachen Aufwand
- −Die Auslegung bei neuen Technologien ist teils unklar
- −Drittlandübermittlungen, etwa in die USA, erfordern zusätzliche Prüfung
- −Bei Verstößen drohen empfindliche Bußgelder
Praxisbeispiele
- 1Ein Auftragsverarbeitungsvertrag mit dem Anbieter eines KI-Dienstes
- 2Eine Datenschutz-Folgenabschätzung vor dem Einsatz KI-gestützter Personalauswahl
- 3Ein Hinweis auf der Website, dass ein KI-Chatbot im Einsatz ist und wie Daten verwendet werden
- 4Eine Anweisung, keine Kundennamen oder Gesundheitsdaten in öffentliche KI-Werkzeuge einzugeben
- 5Ein Löschkonzept für Gesprächsprotokolle und Trainingsdaten
Häufig gestellte Fragen
Brauchen wir für unsere KI-Anwendung eine Datenschutz-Folgenabschätzung?
Wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene birgt, ja. Das ist zum Beispiel bei umfangreicher Auswertung sensibler Daten oder systematischer Bewertung von Personen der Fall. Im Zweifel prüft das der Datenschutzbeauftragte.
Dürfen wir Kundendaten zum KI-Training verwenden?
Nur, wenn eine Rechtsgrundlage besteht und der Zweck mit der ursprünglichen Erhebung vereinbar ist. Oft sind Einwilligung oder wirksame Anonymisierung der sicherere Weg. Prüfe das im Einzelfall, bevor du Daten verwendest.
Was gilt bei Anbietern aus den USA?
Eine Übermittlung in Drittländer braucht eine Grundlage, etwa ein Angemessenheitsbeschluss oder Standardvertragsklauseln. Das Datenschutzrahmenwerk zwischen EU und USA kann gelten, wenn der Anbieter zertifiziert ist. Prüfe die Zertifizierung und die Vertragsunterlagen.
Müssen Kunden wissen, dass sie mit einer KI sprechen?
Datenschutzrechtlich musst du über die Verarbeitung informieren und nach dem AI Act gilt für Chatbots eine Transparenzpflicht. Ein klarer Hinweis zu Beginn des Gesprächs ist daher empfehlenswert.
Was passiert mit Daten, die wir an eine KI-Schnittstelle senden?
Das regeln die Vertragsbedingungen des Anbieters. Achte auf Aussagen zu Speicherdauer, Nutzung für Training und Standort. Bei Zweifeln sende keine personenbezogenen Daten oder entferne sie vorher.
