Dieser Beitrag gibt allgemeine Anforderungen wieder und ist keine Rechtsberatung. Die Beurteilung Ihres Einzelfalls gehört zu einem Rechtsbeistand oder Ihrem Datenschutzbeauftragten.
Bei KI Projekten wird derzeit viel über den AI Act gesprochen und wenig über die DSGVO. Das ist bemerkenswert, denn in der Praxis stolpern Unternehmen fast nie über den AI Act, sondern über eine Datenschutzfrage, die niemand vorher gestellt hat.
Der Grund ist einfach: KI Werkzeuge werden meistens nicht als Datenverarbeitung eingeführt, sondern als Hilfsmittel. Ein Textwerkzeug, ein Assistent, eine Funktion im bestehenden System. Erst wenn jemand einen echten Kundenfall hineinkopiert, wird daraus eine Verarbeitung personenbezogener Daten, und dann gelten die üblichen Regeln.
Vier Fragen vor dem ersten echten Datensatz
- 1.Welche Daten gehen tatsächlich hinein? Nicht welche vorgesehen sind, sondern welche im Alltag eingegeben werden.
- 2.Wo werden sie verarbeitet und von wem? Anbieter, Unterauftragnehmer, Serverstandort.
- 3.Auf welcher Grundlage verarbeiten wir sie, und ist diese Verarbeitung im Verzeichnis abgebildet?
- 4.Was passiert mit den Eingaben danach? Werden sie gespeichert, ausgewertet oder zum Training verwendet?
Die vierte Frage ist die, die am häufigsten unbeantwortet bleibt, und sie entscheidet oft über die Werkzeugwahl. Ob Eingaben zur Verbesserung des Modells verwendet werden, steht in den Bedingungen des Anbieters und lässt sich bei vielen Produkten abschalten. Wer das nicht prüft, entscheidet es implizit.
Die Regel, die im Alltag wirklich trägt
Datenschutzunterlagen wirken erst, wenn sie im Arbeitsalltag ankommen. In der Praxis funktioniert eine einzige, kurze Regel besser als ein zwölfseitiges Papier: eine Liste, welche Inhalte in welches Werkzeug dürfen, und ein Satz dazu, was zu tun ist, wenn ein Fall nicht auf der Liste steht.
- Erlaubt: allgemeine Formulierungen, anonymisierte Sachverhalte, öffentlich verfügbare Informationen.
- Nicht erlaubt ohne Freigabe: Kundendaten, Personaldaten, Gesundheitsdaten, Vertragsinhalte, interne Kalkulationen.
- Im Zweifel: fragen, und zwar bei einer benannten Person, nicht im Team Chat.
Diese Liste ersetzt keine Dokumentation, aber sie verhindert den häufigsten Fehler, nämlich dass eine Mitarbeiterin einen echten Beschwerdefall in ein Werkzeug kopiert, um schneller eine Antwort zu formulieren. Ihr Motiv ist gute Arbeit. Ohne Regel hat sie keinen Anhaltspunkt.
Wann eine Folgenabschätzung im Raum steht
Artikel 35 DSGVO sieht eine Datenschutz Folgenabschätzung vor, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Ob das zutrifft, ist eine Beurteilung des Einzelfalls. Praktisch lohnt sich die Frage besonders dort, wo ein Werkzeug Entscheidungen über Personen vorbereitet, etwa bei Bewerbungen oder Bonitätsfragen.
Wir nehmen auf, welche Werkzeuge im Betrieb mit welchen Daten arbeiten, und halten das so fest, dass Ihr Datenschutzbeauftragter oder Ihr Rechtsbeistand damit weiterarbeiten kann. Die rechtliche Beurteilung bleibt dort, wo sie hingehört.