KI und DSGVO: Worauf Unternehmen achten müssen.

Fünf Fragen, die Sie sich stellen sollten

1. Welche personenbezogenen Daten verarbeitet der Agent? Namen und E-Mail-Adressen? Personenkennziffern? Gesundheitsdaten?
2. Auf welcher Rechtsgrundlage? Meist Vertragserfüllung, rechtliche Verpflichtung oder berechtigtes Interesse (Art. 6 DSGVO).
3. Wer ist Auftragsverarbeiter? Der Anbieter des KI-Dienstes und der Lieferant des Agenten verarbeiten Daten in Ihrem Auftrag – Sie brauchen mit ihnen einen Auftragsverarbeitungsvertrag (Art. 28).
4. Wo werden die Daten verarbeitet? In der EU oder außerhalb? Für eine Übermittlung außerhalb der EU muss es einen rechtlichen Rahmen geben.
5. Wie lange werden die Daten gespeichert und wer hat Zugriff darauf?

Verträge mit KI-Anbietern

Große Anbieter von Sprachmodellen bieten für die geschäftliche und API-Nutzung Vertragsbedingungen, in denen sie sich verpflichten, Kundendaten nicht zum Training der Modelle zu verwenden, sowie Auftragsverarbeitungsverträge (DPA). Bei kostenlosen Versionen öffentlicher Chats gilt das oft nicht.

Praktische Regel: Geben Sie personenbezogene Daten von Kunden nicht in kostenlose öffentliche Chats ein. Für die geschäftliche Nutzung wählen Sie Dienste mit Vertrag und klar festgelegtem Verarbeitungsort.

Datenübermittlung außerhalb der EU

Viele KI-Dienste laufen auf Servern in den USA. Eine Übermittlung ist zum Beispiel auf Grundlage des EU-US-Datenschutzrahmens (Data Privacy Framework) möglich, sofern der Anbieter zertifiziert ist, oder über Standardvertragsklauseln. Viele Anbieter ermöglichen heute auch die Verarbeitung in Rechenzentren in der EU. Bei der Konzeption eines Agenten sollte man diese Entscheidung bewusst treffen.

Automatisierte Entscheidungen

Artikel 22 DSGVO gibt Menschen das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (z. B. Ablehnung eines Antrags, Auswahl von Bewerbern). Deshalb bereitet der Agent bei solchen Schritten die Grundlage vor und ein Mensch entscheidet.

Wann eine Datenschutz-Folgenabschätzung (DSFA) nötig ist

Eine Datenschutz-Folgenabschätzung (Art. 35) ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte von Menschen mit sich bringt. Bei KI ist das typischerweise der Fall bei umfangreicher Verarbeitung sensibler Daten (Gesundheit), bei systematischer Bewertung von Personen oder beim großflächigen Einsatz neuer Technologien. Für das einfache Sortieren von Geschäftspost ist sie meist nicht nötig, es lohnt sich aber, das zu dokumentieren.

Praktisches Vorgehen beim Einsatz eines Agenten

• Beschreiben, welche Daten der Agent sieht und warum.
• Zugriff auf die nötigen Ordner und Systeme beschränken (Datenminimierung).
• Auftragsverarbeitungsverträge mit den Lieferanten abschließen.
• Verarbeitungsort wählen (EU / außerhalb der EU) und den rechtlichen Rahmen belegen.
• Verzeichnis von Verarbeitungstätigkeiten und Informationen für Betroffene ergänzen.
• Festlegen, was ein Mensch freigibt.

Aufsichtsbehörde in Tschechien ist das ÚOOÚ (die tschechische Datenschutzbehörde). Den Zusammenhang mit der europäischen KI-Verordnung beschreiben wir im Artikel AI Act.

Dieser Artikel ist ein allgemeiner Überblick und keine Rechtsberatung. Bei sensiblen Verarbeitungen empfehlen wir die Rücksprache mit Ihrem Datenschutzbeauftragten oder einer Anwaltskanzlei.

Häufige Fragen