DSGVO und KI: personenbezogene Daten in Prompts

Die Datenschutz-Grundverordnung (DSGVO) gilt für KI genauso wie für jede andere Datenverarbeitung. Sie ist im Büroalltag sogar die praktisch wichtigste Rechtsgrenze beim KI-Einsatz.

Wann ist die DSGVO betroffen?

Die DSGVO greift, sobald personenbezogene Daten verarbeitet werden, also alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen: Namen, E-Mail-Adressen, Telefonnummern, Fotos, Personalnummern, aber auch Kombinationen von Angaben, die eine Person erkennbar machen. Wichtig zu verstehen: Schon die Eingabe solcher Daten in ein KI-Tool ist eine Datenverarbeitung. Wer den Beschwerdebrief eines namentlich genannten Kunden in einen Chatbot kopiert, verarbeitet personenbezogene Daten, mit allen rechtlichen Konsequenzen.

Es braucht immer eine Rechtsgrundlage

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO, etwa eine Einwilligung, die Erforderlichkeit für einen Vertrag oder ein berechtigtes Interesse nach sorgfältiger Abwägung. „Es war praktisch“ oder „Es ging schneller“ sind keine Rechtsgrundlagen. Für besonders sensible Daten (Gesundheitsdaten, religiöse Überzeugungen, Gewerkschaftszugehörigkeit) gelten nach Art. 9 DSGVO noch strengere Regeln.

Auftragsverarbeitung: der Vertrag mit dem Anbieter

Verarbeitet ein KI-Anbieter Daten im Auftrag Ihres Unternehmens, ist er in der Regel Auftragsverarbeiter. Dann verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV), der unter anderem Sicherheitsmaßnahmen und Weisungsrechte regelt. Genau das ist ein zentraler Unterschied zwischen einer frei zugänglichen Gratis-KI und einer Unternehmenslösung mit Vertrag: Nur bei letzterer ist die Verarbeitung sauber geregelt. Bei Anbietern außerhalb der EU kommen zusätzlich die Regeln für Drittlandsübermittlungen ins Spiel.

Datenschutz-Folgenabschätzung (DSFA)

Birgt eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen, was bei neuen Technologien wie KI häufig naheliegt, verlangt Art. 35 DSGVO vor dem Einsatz eine Datenschutz-Folgenabschätzung: eine systematische Prüfung der Risiken und der Gegenmaßnahmen. Das ist Aufgabe des Unternehmens, meist unter Beteiligung des Datenschutzbeauftragten. Als Anwender sollten Sie wissen, dass ein KI-Tool deshalb nicht einfach spontan eingeführt werden kann.

Ihre Praxisregeln

• Keine personenbezogenen Daten in nicht freigegebene KI-Tools eingeben, weder von Kunden noch von Kollegen oder Bewerbern.
• Anonymisieren statt riskieren: „Kunde A, wohnhaft in einer Großstadt“ statt echter Name und Adresse. Achten Sie darauf, dass die Person auch aus dem Zusammenhang nicht erkennbar bleibt.
• Freigegebene Tools nutzen, bei denen Ihr Unternehmen AVV und Datenschutz geprüft hat.
• Betroffenenrechte ernst nehmen: Auskunft, Berichtigung und Löschung gelten auch bei KI-gestützten Verarbeitungen.
• Im Zweifel fragen: Datenschutzbeauftragte sind Ansprechpartner, nicht Verhinderer.

Merksatz: Die DSGVO verbietet KI nicht, sondern verlangt, dass der Einsatz geplant, geregelt und dokumentiert ist.