Was ist DSGVO und KI?
Die DSGVO und KI beschreibt, wie die Datenschutz-Grundverordnung (DSGVO) auf den Einsatz von KI-Systemen angewendet wird. Wer personenbezogene Daten in KI-Modellen verarbeitet – sei es für Chatbots, Analyse-Tools oder automatisierte Entscheidungen – muss die Anforderungen der DSGVO einhalten. Das betrifft nicht nur die Datenspeicherung, sondern auch das Training von Modellen, die Nutzung externer KI-APIs und die Logik hinter automatisierten Prozessen.
Wie funktioniert DSGVO und KI?
Die DSGVO gilt immer dann, wenn personenbezogene Daten – also Informationen, die sich einer natürlichen Person zuordnen lassen – verarbeitet werden. KI-Systeme tun genau das: Sie nehmen Daten auf, ziehen Schlüsse daraus und treffen teils automatisch Entscheidungen. Für Unternehmen entstehen dabei drei zentrale Pflichtenkreise: Erstens müssen sie eine Rechtsgrundlage für die Datenverarbeitung nachweisen (z. B. Einwilligung oder berechtigtes Interesse). Zweitens müssen sie bei externen KI-Anbietern wie OpenAI oder Google einen Auftragsverarbeitungsvertrag (AVV) abschließen, der regelt, wie mit den übermittelten Daten umgegangen wird. Drittens verlangt Artikel 22 DSGVO besondere Sorgfalt bei automatisierten Entscheidungen, die rechtliche oder ähnlich weitreichende Auswirkungen auf Personen haben – etwa bei Kreditvergabe, Bewerberprozessen oder Preisdiskriminierung.
Dazu kommen Transparenzpflichten: Betroffene müssen verstehen können, warum eine Entscheidung so getroffen wurde. Das stellt Erklärbare KI in den Mittelpunkt – Systeme, die ihre Entscheidungslogik offenlegen können.
Vorteile für Unternehmen
- Rechtskonformer KI-Einsatz: Wer DSGVO-Anforderungen von Anfang an einplant, vermeidet teure Nachbesserungen und Bußgelder – die bei Verstößen bis zu 4 % des weltweiten Jahresumsatzes betragen können.
- Vertrauen bei Kunden und Partnern: Datenschutzkonforme KI-Systeme stärken das Vertrauen, besonders in Branchen wie Gesundheit, Finanzen oder HR, wo Sensibilität besonders hoch ist.
- Klare Prozesse intern: Die DSGVO-Analyse zwingt dazu, KI-Prozesse zu dokumentieren und zu hinterfragen – das verbessert auch die Datenqualität und Nachvollziehbarkeit der Systeme.
- Vorbereitung auf den EU AI Act: DSGVO-Compliance ist eine gute Ausgangsbasis für die Anforderungen des EU AI Act, der zusätzliche Pflichten für Hochrisiko-KI-Systeme einführt.
Praxisbeispiele
Beispiel 1: Kundenservice-Chatbot im E-Commerce
Ein Online-Händler setzt einen Chatbot ein, der Kundennamen, Bestellnummern und Anfragen verarbeitet. Diese Daten gelten als personenbezogen. Der Händler muss einen AVV mit dem Chatbot-Anbieter abschließen, Nutzern transparent machen, dass ein KI-System antwortet, und sicherstellen, dass Daten nicht für das Training des Anbieters verwendet werden – oder dafür eine Einwilligung einholen.
Beispiel 2: Automatisiertes Bewerber-Screening im Mittelstand
Ein Maschinenbauunternehmen nutzt ein KI-Tool, das Bewerbungen vorselektiert und eine Rangfolge erstellt. Das fällt direkt unter Artikel 22 DSGVO: automatisierte Entscheidung mit erheblicher Auswirkung auf Personen. Ohne menschliche Überprüfung im Prozess ist das in den meisten Fällen unzulässig. Das Unternehmen muss zudem Bewerber:innen informieren, dass KI eingesetzt wird, und auf Wunsch eine manuelle Überprüfung ermöglichen.
Worauf du achten solltest
Ein häufiger Fehler ist, KI-Tools einfach einzusetzen, ohne zu prüfen, ob personenbezogene Daten übertragen werden. Schon ein Prompt mit Kundennamen oder E-Mail-Adressen kann einen DSGVO-relevanten Vorgang auslösen. Stelle sicher, dass für jeden externen KI-Dienst ein AVV vorliegt und der Anbieter seine Server innerhalb der EU oder in einem angemessenen Drittland betreibt – das regelt das Konzept der Datenresidenz. Prüfe außerdem, ob PII (personenbezogene Informationen) in Trainingsdaten oder Systemlogs landen könnten, und richte entsprechende Lösch- und Zugriffsprozesse ein. Für Hochrisikoanwendungen ist eine Datenschutz-Folgenabschätzung (DPIA) Pflicht.
Häufige Fragen
Darf ich Kundendaten für das Training eines KI-Modells nutzen?
Nur mit einer klaren Rechtsgrundlage – in der Regel eine ausdrückliche Einwilligung der betroffenen Personen. Ohne diese ist das Training auf echten Kundendaten in den meisten Fällen unzulässig. Alternativen sind synthetische Daten oder anonymisierte Datensätze.
Brauche ich für jeden KI-Anbieter einen Auftragsverarbeitungsvertrag?
Ja, sobald du personenbezogene Daten an einen externen Dienst übermittelst – also etwa bei der Nutzung von APIs wie der OpenAI API oder der Anthropic API mit echten Kundendaten. Der AVV regelt Zweck, Umfang und Löschfristen der Verarbeitung.
Was bedeutet automatisierte Entscheidung im Sinne der DSGVO?
Eine Entscheidung gilt als automatisiert, wenn sie ohne relevante menschliche Beteiligung auf Basis von Datenverarbeitung getroffen wird und eine rechtliche oder ähnlich schwerwiegende Wirkung auf eine Person hat. Betroffene haben das Recht, eine manuelle Überprüfung zu verlangen.
Fazit
DSGVO und KI sind kein Widerspruch, aber sie verlangen sorgfältige Planung. Unternehmen, die KI einsetzen und dabei personenbezogene Daten verarbeiten, müssen Rechtsgrundlagen prüfen, Verträge abschließen und Transparenzpflichten erfüllen. Wer das strukturiert angeht, schafft nicht nur Rechtssicherheit, sondern legt auch das Fundament für einen verantwortungsvollen KI-Einsatz – und ist besser aufgestellt für die wachsenden Anforderungen des EU AI Act.