Warum Datenschutz an den Anfang gehört
Sobald eine KI Mails, Rechnungen, Bewerbungen oder Kundenanfragen verarbeitet, sind fast immer personenbezogene Daten im Spiel: Namen, Adressen, Kontaktdaten, manchmal auch Bankverbindungen oder Angaben zur Gesundheit. Damit gilt die Datenschutz-Grundverordnung, und zwar vom ersten Testlauf an.
Die gute Nachricht: Die DSGVO verbietet den Einsatz von KI nicht. Sie verlangt aber, dass Sie wissen, welche Daten wohin fließen, auf welcher Grundlage das geschieht und wie Sie die Rechte der Betroffenen wahren. Wer diese Fragen früh klärt, spart sich später Umbauten.
Dieser Artikel gibt einen Überblick über die wichtigsten Punkte. Er ist keine Rechtsberatung und ersetzt nicht die Abstimmung mit Ihrem Datenschutzbeauftragten oder einer Kanzlei.
Die Rechtsgrundlage klären
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für die meisten Automatisierungen im Büroalltag ändert sich dabei wenig gegenüber der Arbeit von Hand: Wenn Sie eine Rechnung heute zur Erfüllung eines Vertrags oder aufgrund steuerlicher Pflichten bearbeiten, gilt das auch, wenn ein System sie ausliest.
- Vertragserfüllung, etwa bei der Bearbeitung von Bestellungen und Anfragen.
- Rechtliche Verpflichtung, etwa bei Aufbewahrungspflichten in der Buchhaltung.
- Berechtigtes Interesse, etwa bei der Vorsortierung eines Postfachs, mit sorgfältiger Abwägung.
- Einwilligung, wenn keine andere Grundlage passt, etwa bei bestimmten Auswertungen.
Prüfen Sie für jeden Anwendungsfall, ob die Automatisierung den Zweck der Verarbeitung verändert. Wer Daten nur schneller bearbeitet, bleibt meist im bisherigen Rahmen. Wer Daten für neue Zwecke auswertet, braucht eine neue Prüfung.
AV-Vertrag und Serverstandort
Auftragsverarbeitung nach Art. 28 DSGVO
Wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie einen Vertrag zur Auftragsverarbeitung. Er regelt, was der Dienstleister mit den Daten tun darf, welche technischen und organisatorischen Maßnahmen er trifft und welche Unterauftragnehmer beteiligt sind, etwa der Anbieter des Sprachmodells oder das Rechenzentrum. Der Vertrag sollte vor der ersten Verarbeitung vorliegen, nicht erst nach dem Testlauf.
Wo die Daten verarbeitet werden
Viele KI-Dienste laufen auf Servern außerhalb der EU. Eine Übermittlung in Drittländer ist nicht grundsätzlich verboten, verlangt aber zusätzliche Garantien und eine genaue Prüfung. Einfacher ist die Einordnung, wenn die Verarbeitung vollständig in der EU stattfindet, idealerweise in deutschen Rechenzentren. Fragen Sie deshalb nicht nur, wo die Anwendung läuft, sondern auch, wo das Sprachmodell rechnet.
Kein Training mit Ihren Daten
Ein häufig übersehener Punkt: Manche KI-Dienste behalten sich vor, Eingaben zur Verbesserung ihrer Modelle zu nutzen. Für Unternehmensdaten ist das in aller Regel nicht akzeptabel, weder aus Datenschutzsicht noch mit Blick auf Geschäftsgeheimnisse.
Achten Sie darauf, dass vertraglich ausgeschlossen ist, dass Ihre Inhalte in das Training fremder Modelle fließen. Bei besonders sensiblen Daten kommt auch ein Modell in Frage, das in Ihrer eigenen Infrastruktur läuft, sodass die Daten das Haus gar nicht verlassen.
Datenminimierung und Löschkonzept
Die DSGVO verlangt, dass nur die Daten verarbeitet werden, die für den Zweck nötig sind. Für eine Automatisierung heißt das: Der Agent bekommt Zugriff auf das, was er für seine Aufgabe braucht, nicht auf das ganze Postfach oder die ganze Datenbank.
- Zugriffe auf die nötigen Ordner, Postfächer und Felder beschränken.
- Rollen und Rechte aus den bestehenden Systemen übernehmen.
- Zwischenergebnisse und Protokolle nur so lange speichern, wie es nötig ist.
- Löschfristen festlegen und dokumentieren, auch für Testdaten.
- Besondere Kategorien wie Gesundheitsdaten gesondert prüfen.
Ein Löschkonzept gehört zum Aufbau, nicht zum Nachtrag. Es beschreibt, welche Daten wo gespeichert werden, wie lange sie aufbewahrt werden und wie sie gelöscht werden. Gesetzliche Aufbewahrungsfristen, etwa in der Buchhaltung, gehen dabei vor.
Wann eine Datenschutz-Folgenabschätzung nötig ist
Nach Art. 35 DSGVO ist eine Datenschutz-Folgenabschätzung erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt. Das kann bei neuen Technologien der Fall sein, insbesondere wenn umfangreich Daten ausgewertet, Personen bewertet oder sensible Daten verarbeitet werden.
Für das Auslesen von Eingangsrechnungen ist eine Folgenabschätzung meist nicht nötig. Bei der Vorauswahl von Bewerbungen oder der Bewertung von Kunden sieht das anders aus. Stimmen Sie die Einschätzung mit Ihrem Datenschutzbeauftragten ab, bevor das System in Betrieb geht.
Automatisierte Einzelentscheidungen und Transparenz
Art. 22 DSGVO
Betroffene haben das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Für die Praxis heißt das: Entscheidungen wie die Absage an eine Bewerberin oder die Ablehnung eines Kunden sollten nicht allein von einem System getroffen werden.
Der einfachste Weg ist ein Mensch in der Schleife. Der Agent bereitet die Entscheidung vor, sortiert, fasst zusammen und begründet, die Entscheidung selbst trifft eine Person. Wichtig ist, dass diese Prüfung echt ist und nicht nur eine Bestätigung ohne Blick auf den Fall.
Informieren Sie die Betroffenen
Ihre Datenschutzhinweise sollten beschreiben, dass und wie KI eingesetzt wird. Das betrifft etwa Kundinnen, die mit einem automatisierten Kundenservice schreiben, oder Bewerber, deren Unterlagen ausgelesen werden. Klare Hinweise schaffen Vertrauen und erfüllen gleichzeitig Ihre Informationspflichten.
Fazit
KI und DSGVO schließen sich nicht aus. Entscheidend ist, dass Rechtsgrundlage, Auftragsverarbeitung, Serverstandort, Löschkonzept und menschliche Entscheidung von Anfang an geklärt sind. Neben der DSGVO gilt für KI-Systeme inzwischen auch der EU AI Act, der je nach Anwendungsfall eigene Pflichten mit sich bringt. Beide Regelwerke sollten Sie zusammen betrachten.
Dieser Artikel ersetzt keine Rechtsberatung. Für die verbindliche Einordnung Ihres Falls wenden Sie sich an Ihren Datenschutzbeauftragten oder eine Kanzlei.