Wann die DSGVO greift
Personenbezogen sind alle Daten, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu gehören Namen und E-Mail-Adressen, aber auch Kundennummern, Gesprächsnotizen, Bewerbungsunterlagen oder Fotos. In der Praxis enthalten viele Prompts solche Daten, ohne dass es den Nutzenden bewusst ist.
- Kundenanfrage mit Name zur Antwortformulierung eingefügt
- Bewerbungsunterlagen zur Zusammenfassung hochgeladen
- Meeting-Transkript mit Wortbeiträgen von Beschäftigten ausgewertet
- Excel-Liste mit Kundendaten zur Analyse übergeben
Die zentralen Pflichten
| Pflicht | Grundlage | Was das praktisch heißt |
|---|---|---|
| Rechtsgrundlage | Art. 6 DSGVO | Zweck festlegen und passende Grundlage wählen, häufig Vertrag oder berechtigtes Interesse |
| Auftragsverarbeitung | Art. 28 DSGVO | Vertrag mit dem KI-Anbieter abschließen, nur in Business-Varianten verfügbar |
| Drittlandtransfer | Art. 44 ff. DSGVO | Absicherung prüfen, etwa über das EU-US Data Privacy Framework oder Standardvertragsklauseln |
| Verzeichnis der Verarbeitungstätigkeiten | Art. 30 DSGVO | KI-Tool und Zwecke eintragen |
| Transparenz | Art. 13 und 14 DSGVO | Betroffene über die Verarbeitung informieren, etwa in der Datenschutzerklärung |
| Datenschutz-Folgenabschätzung | Art. 35 DSGVO | Bei hohem Risiko vor dem Einsatz durchführen |
| Automatisierte Entscheidungen | Art. 22 DSGVO | Keine ausschließlich automatisierten Entscheidungen mit erheblicher Wirkung ohne Ausnahme und Schutzmaßnahmen |
Wann eine Datenschutz-Folgenabschätzung nötig ist
Eine Datenschutz-Folgenabschätzung ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene mit sich bringt. Beim KI-Einsatz ist das häufig der Fall, wenn mehrere dieser Merkmale zusammenkommen:
- Neue Technologie, deren Auswirkungen schwer abschätzbar sind
- Bewertung oder Profilbildung von Personen, etwa bei Bewerbern oder Beschäftigten
- Verarbeitung besonderer Kategorien wie Gesundheitsdaten
- Systematische Überwachung, etwa bei Meeting-Auswertungen
- Große Datenmengen oder viele Betroffene
Für den Einsatz eines Textassistenten mit Business-Vertrag und klaren Regeln ist meist keine Folgenabschätzung nötig. Für ein KI-Bewerbertool fast immer.
Betroffenenrechte bei KI
Auskunft, Berichtigung und Löschung gelten auch für Daten, die in KI-Tools verarbeitet wurden. Praktisch bedeutet das: Ein Unternehmen muss wissen, in welchen Tools personenbezogene Daten landen, und dort Verläufe und Dateien gezielt finden und löschen können. Bei Business-Varianten mit Admin-Konsole ist das deutlich einfacher als bei privaten Accounts.
Beschäftigtendaten
Für Daten von Beschäftigten gelten besondere Anforderungen. Eine Einwilligung ist im Arbeitsverhältnis wegen des Abhängigkeitsverhältnisses oft nicht tragfähig. Grundlage sind meist die Durchführung des Arbeitsverhältnisses oder eine Betriebsvereinbarung. Bei KI-Tools, die Leistung oder Verhalten auswerten können, ist zusätzlich der Betriebsrat zu beteiligen.