Datenschutz und DSGVO bei KI
Generative KI und Datenschutz schließen sich nicht aus – aber ein paar Dinge müssen vorher geklärt sein.
Datenschutz ist der häufigste Grund, warum KI-Projekte in deutschen Unternehmen liegen bleiben – und meistens nicht, weil etwas rechtlich unmöglich wäre, sondern weil niemand die Verantwortung für die Freigabe übernehmen möchte. Das lässt sich auflösen, indem man die wenigen wirklich relevanten Punkte klärt und schriftlich festhält.
Die entscheidende Weichenstellung ist die Wahl des Tarifs, nicht die Wahl des Anbieters. Kostenlose Privatkonten bieten in der Regel keinen Auftragsverarbeitungsvertrag und keine Zusicherung, dass Eingaben vom Training ausgeschlossen sind. Business- und Enterprise-Tarife der großen Anbieter bieten beides.
Für wen: Datenschutzbeauftragte, IT-Leitung, Geschäftsführung, Compliance
Die vier Punkte, die vor dem Rollout geklärt sein müssen
- Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit dem Anbieter abgeschlossen.
- Trainingsausschluss: schriftlich zugesichert, dass Eingaben nicht zum Training der Modelle verwendet werden.
- Verarbeitungstätigkeit im Verzeichnis nach Art. 30 DSGVO erfasst.
- Eine schriftliche Regel, welche Datenarten in Prompts gegeben werden dürfen – und welche nicht.
Welche Daten nicht in einen Prompt gehören
Die praktikabelste Regel ist keine juristische Aufzählung, sondern eine, die sich Mitarbeitende merken können: Alles, was Sie nicht auch einem externen Dienstleister ohne Vertrag schicken würden, gehört nicht in ein KI-Werkzeug.
- Gesundheitsdaten und andere besondere Kategorien nach Art. 9 DSGVO
- Bewerbungsunterlagen und Personalakten mit Klarnamen
- Vollständige Kundendatensätze – anonymisieren oder auf das Nötige kürzen
- Zugangsdaten, Schlüssel und interne Systeminformationen
- Unterlagen unter Verschwiegenheitsvereinbarung, wenn diese die Weitergabe an Dritte ausschließt
Automatisierte Entscheidungen
Ein besonders sensibler Bereich sind Entscheidungen über Personen. Art. 22 DSGVO setzt Grenzen für Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche Wirkung entfalten oder Betroffene in ähnlicher Weise erheblich beeinträchtigen – etwa bei der Vorauswahl von Bewerbungen.
Der praktische Weg: KI unterstützt beim Sortieren und Zusammenfassen, die Entscheidung trifft nachvollziehbar ein Mensch. Diese Trennung sollte dokumentiert und nicht nur behauptet werden.
Wann eine Datenschutz-Folgenabschätzung nötig wird
Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Beim Einsatz von KI-Assistenten für allgemeine Bürotätigkeiten ist das typischerweise nicht der Fall; bei systematischer Auswertung von Beschäftigten- oder Bewerberdaten dagegen sehr wohl. Die Einschätzung gehört in die Hand Ihres Datenschutzbeauftragten.
Werkzeuge zu diesem Thema
Häufige Fragen
- Ist ChatGPT DSGVO-konform?
- Die Frage lässt sich nicht pauschal beantworten, weil sie vom Tarif und von der konkreten Nutzung abhängt. Entscheidend ist, ob ein Auftragsverarbeitungsvertrag vorliegt, ob Eingaben vom Training ausgeschlossen sind und welche Daten Sie tatsächlich eingeben. Business- und Enterprise-Tarife der großen Anbieter bieten AVV und Trainingsausschluss; kostenlose Privatkonten in der Regel nicht.
- Brauchen wir einen Auftragsverarbeitungsvertrag für KI-Tools?
- Sobald personenbezogene Daten verarbeitet werden – und sei es nur der Name eines Kunden in einem Angebotstext – ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich. Die großen Anbieter stellen entsprechende Verträge für ihre Unternehmenstarife bereit.
- Dürfen Mitarbeitende private KI-Konten für die Arbeit nutzen?
- Ohne Regelung passiert das ohnehin, und genau das ist das Risiko: Über ein privates Konto fließen Unternehmensdaten an einen Anbieter, mit dem kein Vertrag besteht. Der wirksamste Weg ist nicht ein Verbot, sondern ein bereitgestellter, freigegebener Zugang plus eine klare Regel – ein Verbot ohne Alternative führt erfahrungsgemäß nur dazu, dass die Nutzung unsichtbar wird.
- Müssen Kunden informiert werden, wenn wir KI einsetzen?
- Wenn personenbezogene Daten von Kunden verarbeitet werden, gehört die Kategorie der Empfänger in die Datenschutzinformation. Eine Kennzeichnungspflicht für jeden mit KI-Unterstützung verfassten Text besteht daraus nicht. Bei direkt mit Kunden interagierenden Systemen wie Chatbots gelten zusätzlich Transparenzanforderungen des EU AI Act.
Weiterlesen
Nur in diesem Browser gespeichert. Ihr Stand erscheint auf der Enablement-Übersicht und in Ihrem Einführungsplan.