Wer KI im Unternehmen einsetzt, verarbeitet schnell personenbezogene Daten, manchmal ohne es zu merken. Diese Checkliste hilft, die wichtigsten Fragen vor dem Start zu klären. Sie ersetzt keine Rechtsberatung, sondern dient der strukturierten Vorbereitung.
1. Welche Daten sind betroffen?
Erfassen Sie, welche Daten in das System fließen. Besonders sensibel sind Gesundheitsdaten und andere besondere Kategorien nach Art. 9 DSGVO. Oft lässt sich der Personenbezug durch Anonymisierung oder Pseudonymisierung reduzieren.
2. Welche Rechtsgrundlage gilt?
Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO, zum Beispiel Vertragserfüllung, berechtigtes Interesse oder Einwilligung. Dokumentieren Sie die Abwägung.
3. Anbieter und Auftragsverarbeitung prüfen
- Besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO?
- Wo werden die Daten verarbeitet, und gibt es Drittlandübermittlungen?
- Nutzt der Anbieter Ihre Eingaben zum Modelltraining?
- Wie lange werden Daten gespeichert?
4. Transparenz und Betroffenenrechte
Passen Sie Datenschutzhinweise an, nehmen Sie die Verarbeitung ins Verarbeitungsverzeichnis auf und stellen Sie sicher, dass Auskunft und Löschung technisch möglich sind. Prüfen Sie außerdem, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
5. Menschliche Kontrolle sicherstellen
Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung dürfen nach Art. 22 DSGVO grundsätzlich nicht allein automatisiert fallen. Bauen Sie eine menschliche Prüfung in solche Abläufe ein.
6. EU AI Act mitdenken
Neben der DSGVO gilt die europäische KI-Verordnung. Sie stellt unter anderem Anforderungen an KI-Kompetenz und Transparenz und regelt Hochrisiko-Anwendungen besonders streng, zum Beispiel im Personalbereich. Ordnen Sie Ihre Systeme früh ein und beziehen Sie Fachleute ein.
Personenbezug in KI-Abläufen aufspüren
Personenbezogene Daten verstecken sich häufig dort, wo man sie nicht erwartet. Eine harmlos wirkende Maschinenstörung im Servicebericht kann den Namen des Technikers enthalten, ein Einkaufsvertrag die Durchwahl der Ansprechpartnerin, eine Mailsignatur die Mobilnummer. Sehen Sie sich deshalb echte Eingaben an und verlassen Sie sich nicht auf die Bezeichnung des Datensatzes.
Betrachten Sie zudem den vollständigen Weg der Daten: Eingabe, Vorverarbeitung, Aufruf des Modells, Ausgabe, Protokolle, Zwischenspeicher, Backups und eventuelle Vektordatenbanken. Gerade Protokolle von Workflow-Plattformen und Fehlermeldungen speichern Daten leicht länger als der eigentliche Prozess. Auch Ausgaben können einen Personenbezug haben, etwa eine KI-Zusammenfassung über eine namentlich genannte Person.
Das berechtigte Interesse sauber abwägen
Stützen Sie eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO, braucht es eine dokumentierte Abwägung. Sie muss nicht lang sein, sollte aber den konkreten Fall treffen. Eine bewährte Struktur sind drei Fragen: Welches Interesse verfolgt das Unternehmen? Ist die KI-Verarbeitung dafür erforderlich, oder geht es auch mit weniger Daten? Überwiegen die Interessen der betroffenen Personen, auch mit Blick auf ihre Erwartungen und mögliche Folgen?
Ein Beispiel: Eingehende Supportmails automatisch einem Thema zuzuordnen, wirkt sich auf Betroffene anders aus als eine automatisierte Bewertung von Beschäftigten. Bei Beschäftigtendaten gelten zudem besondere Anforderungen, und die Rechtslage sollte fachlich geprüft werden.
Praktische Maßnahmen zur Datenminimierung
Datensparsamkeit lässt sich technisch in den Workflow einbauen. Häufig braucht das Modell für seine Aufgabe weder Namen noch Anschrift. Prüfen Sie folgende Ansätze:
- Nur die benötigten Felder übergeben, nicht ganze Datensätze
- Namen und Kennungen vor dem Modellaufruf durch Platzhalter ersetzen und das Ergebnis danach wieder zuordnen
- Automatische Löschfristen für Protokolle und Zwischenspeicher einrichten
- Testumgebungen mit künstlichen oder bereinigten Daten betreiben
- Zugriff auf Protokolle und Prompts auf wenige Personen begrenzen
Beachten Sie, dass Pseudonymisierung den Personenbezug nicht beseitigt, wenn eine Zuordnung noch möglich ist. Sie bleibt aber eine sinnvolle Schutzmaßnahme.
Dokumentation, die im Ernstfall hilft
Nach Art. 5 Abs. 2 DSGVO müssen Verantwortliche die Einhaltung der Grundsätze nachweisen können. Halten Sie je KI-Anwendung eine kurze Akte bereit: Zweck, Datenkategorien, Rechtsgrundlage und Abwägung, beteiligte Anbieter, Datenflussskizze, technische und organisatorische Maßnahmen sowie das Ergebnis der Prüfung zur Datenschutz-Folgenabschätzung.
Spielen Sie außerdem einmal durch, wie eine Auskunftsanfrage nach Art. 15 DSGVO beantwortet würde. Wo müsste man überall nach den Daten einer Person suchen? Wie würde eine Löschung auch Protokolle und Wissensdatenbanken erfassen? Solche Trockenübungen zeigen Lücken früh. Prüfen Sie zudem regelmäßig, ob Anbieter ihre Bedingungen oder Unterauftragnehmer geändert haben, und holen Sie bei Unsicherheit fachlichen Rat ein.
Verankern Sie die Prüfung schließlich im Einkauf und in der Projektfreigabe. Wenn eine Abteilung ein neues KI-Werkzeug beschaffen möchte oder ein vorhandenes um eine Datenquelle erweitert, sollte der Datenschutz automatisch beteiligt werden. Ein kurzer Pflichtpunkt im Bestellprozess verhindert, dass die Fragen erst auftauchen, wenn die Anwendung längst im Alltag läuft und ein Umbau aufwendig wird.
Datenschutz-Einstufung typischer KI-Anwendungsfälle
| Anwendungsfall | Typische Datenlage | Besonders zu prüfen |
|---|---|---|
| Texte aus öffentlichen Produktinformationen | Meist kein Personenbezug | Ob sich doch Namen oder Kundendaten einschleichen |
| Supportmails einordnen | Kontaktdaten und Freitext | Rechtsgrundlage, Datenminimierung, Protokolle |
| Chatbot für Kundenanfragen | Freie Eingaben, teils sensibel | Transparenz, Speicherdauer, Umgang mit sensiblen Angaben |
| Bewerbungen vorsortieren | Umfangreiche Personaldaten | Art. 22 DSGVO, Einstufung nach KI-Verordnung, Mitbestimmung |
| Auswertung von Gesundheitsdaten | Besondere Kategorien nach Art. 9 DSGVO | Zulässigkeit, Datenschutz-Folgenabschätzung, fachliche Beratung |
Vertiefende Datenschutz-Checkliste je KI-Anwendung
Typische Fehler
Auch Workflow-Plattform, Vektordatenbank und Monitoring können Daten verarbeiten. Erfassen Sie alle beteiligten Dienste und prüfen Sie jeweils Vertrag, Standort und Speicherung.
Solange sich Daten einer Person zuordnen lassen, bleiben sie in der Regel personenbezogen. Setzen Sie Pseudonymisierung als Schutzmaßnahme ein, aber erfüllen Sie weiterhin die übrigen Pflichten.
Neue Modelle, Datenquellen oder Zwecke können die Bewertung ändern. Verknüpfen Sie deshalb jede wesentliche Änderung am System mit einer erneuten Datenschutzprüfung.
Häufige Fragen
Darf man personenbezogene Daten in KI-Tools eingeben?
Das kann zulässig sein, wenn unter anderem Rechtsgrundlage, Anbietervertrag und Sicherheitsmaßnahmen geklärt sind. Frei zugängliche Consumer-Tools ohne geprüften Vertrag sind dafür in der Regel ungeeignet. Stimmen Sie den konkreten Fall mit Ihrer Datenschutzstelle ab.
Brauche ich für KI eine Datenschutz-Folgenabschätzung?
Das hängt vom Risiko der Verarbeitung ab und richtet sich nach Art. 35 DSGVO. Sie kann besonders bei sensiblen Daten, umfangreicher Bewertung von Personen oder neuen Technologien erforderlich sein, daher sollte die Prüfung dokumentiert werden.
Ist ein KI-Anbieter mit Serverstandort in der EU automatisch DSGVO-konform?
Nein, der Standort ist nur ein Teil der Bewertung. Zu prüfen bleiben unter anderem Vertrag, Unterauftragnehmer, Datennutzung, Zugriffe aus Drittländern und Sicherheitsmaßnahmen.
Von Patrick Thomas, KI Sidekick. Dieser Artikel ersetzt keine Rechts- oder Steuerberatung.
