Künstliche Intelligenz und Datenschutz

Allgemeines zu KI und Datenschutz

Künstliche Intelligenz (KI) imitiert das menschliche Denken, Lernen und Verhalten. Sie übernimmt ein breites Aufgabenspektrum - von der Ausführung einfacher Befehle über das selbstständige Treffen von Entscheidungen bis hin zur komplexen Datenverarbeitung.

Beim Einsatz von KI spielt Datenschutz eine wichtige Rolle. Denn oft verarbeiten Unternehmen personenbezogene Daten, um hauseigene und externe KI-Tools zu entwickeln, zu verbessern und zu betreiben. Je nach Ausgestaltung, sind für die Beachtung des Datenschutzes mindestens die selben Vorgaben wie für die Verwendung einer lokalen Datenbank oder aber zusätzlich noch umfassende Risikoabschätzungen und begleitende Maßnahmen zu treffen.

Auf dieser Seite erhalten Sie einen Überblick über die wichtigsten Punkte, die Sie beim Thema Datenschutz und KI beachten sollten.

Welche Gesetze müssen Sie beim Einsatz von KI-Tools im Unternehmen beachten?

Wenn Ihr Unternehmen mithilfe von KI-Tools personenbezogene Daten verarbeitet, müssen Sie die DSGVO beachten. Worauf Sie dabei besonders achten sollten, erfahren Sie im weiteren Verlauf dieser Seite.

Zusätzlich zur DSGVO ist auch die EU-Verordnung zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (AI Act bzw. KI-Verordnung) anwenden. Darüber hinaus sind weitere Rechtsakte zu beachten. Bitte prüfen Sie, ob auch beispielsweise der DSA (Digital Services Act – insbesondere bei Einsatz von KI bei der Verbreitung von Online-Dienst Inhalten) oder der DGA (Digital Governance Act) etc. für Sie anwendbar sind. 

Beispiel
Mithilfe eines KI-Tools sortiert ein Unternehmen Bewerbungen automatisiert anhand spezifischer Kriterien. Ausgehend davon entscheiden Mitarbeitende aus der HR-Abteilung, welche Personen zum Bewerbungsgespräch eingeladen werden. Das Unternehmen muss für diesen Prozess die Vorgaben der DSGVO und der KI-Verordnung beachten. 

Was müssen Sie bei KI und Datenschutz beachten?

Üblicherweise verarbeitet Ihr Unternehmen personenbezogene Daten, wenn Sie KI-Tools nutzen. 

Beispiele
Das Unternehmen gibt Daten für die Registrierung der Lizenz an, Metadaten wie Nutzerdaten werden bei der Eingabe / beim Prompting in Zusammenhang mit einem KI-Chatbot verarbeitet, ein KI-Tool wird zur Erstellung eines Antwortmails verwendet.

In diesen Fällen gelten die gleichen Datenschutzgrundsätze wie bei anderen digitalen Tools. Nach der DSGVO müssen Sie folgende Aspekte beachten:

• Transparenz
• Rechtliche Erlaubnis
• Richtigkeit / Speicherbegrenzung
• Zweckbindung
• Datenminimierung
• Integrität und Vertraulichkeit

Transparenz

Die Datenverarbeitung mittels KI muss für betroffene Personen nachvollziehbar und verständlich sein. Achten Sie deshalb auf eine verständliche, einfache, aber vollständige Datenschutzerklärung. 

Rechtliche Erlaubnis

Prüfen Sie, ob ein Rechtfertigungsgrund (und damit eine rechtliche Erlaubnis) vorliegt. Dazu zählen die Folgenden: 

• Erfüllung eines Vertrags
• Verfolgung eines berechtigten Interesses
• Einwilligung
• Rechtliche Verpflichtung
• Wahrung lebenswichtiger Interessen
• Erfüllung eines Auftrags im öffentlichen Interesse
  

In der Praxis wird üblicherweise mit der Vertragserfüllung oder mit berechtigten Interessen argumentiert. 

Richtigkeit / Speicherbegrenzung

Daten müssen sachlich richtig und auf dem neuesten Stand sein. Daten dürfen nur so lange verarbeitet und gespeichert werden, wie für die Erreichung des Zwecks notwendig. Dabei müssen alle angemessenen Maßnahmen getroffen werden, damit unrichtige personenbezogene Daten unverzüglich gelöscht oder berichtigt werden. Dies ist gerade bei (text-)generierenden Systemen mit Herausforderungen verbunden, da bei aktuell vorhandenen KI-Systemen üblicherweise ein „Output“ generiert wird, der aus statistischer Sicht wahrscheinlich, jedoch nicht auch sachlich richtig sein muss. Aktuell gängige KI-Systeme arbeiten (vorwiegend) nicht mit klassischen Datenbanken, aus denen einzelne Datensätze gefiltert, berichtigt oder gelöscht werden können. Aus technischen Gründen kann eine Berichtigung oder Löschung daher nicht unverzüglich erfolgen. Üblicherweise wollen Hersteller von KI-Tools richtige und aktuelle Ergebnisse erzeugen, weshalb falsche Daten im Zuge weiterer Trainingsläufe „verlernt“ werden und die Berichtigung oder Löschung erst zu diesem Zeitpunkt erfolgt.

• Weiterführende Infos zur Richtigkeit
• Weiterführende Infos zur Speicherbegrenzung
  
  

Zweckbindung

Die Verarbeitung personenbezogener Daten muss einen klar definierten Zweck erfüllen. 

Beispiel
Es soll ein KI-System bei einem medizinischen Forschungsprojekt verwendet werden. Dabei kommt es auch zur Verarbeitung personenbezogener Daten von Proband:innen. Die gesammelten Daten werden ausschließlich für diesen spezifischen Zweck und nicht für andere Zwecke, wie etwa Werbung oder Weiterverkauf an Dritte, verwendet. 

Wenn Sie KI-Tools in Ihrem Unternehmen verwenden, sollten Sie daher darauf achten, dass die KI nicht mit den eingegebenen Daten weiter trainiert wird. Diese dürfen nämlich nur für den konkreten Zweck (über den die betroffene Person informiert wurde) verwendet werden.

• Weiterführende Infos zur Zweckbindung

Datenminimierung 

Wenn Sie personenbezogene Daten verarbeiten, müssen diese für den vorab bestimmten Zweck erforderlich und relevant sein. 

Beispiel: Es soll ein KI-System bei einem medizinischen Forschungsprojekt verwendet werden. Dabei kommt es auch zur Verarbeitung personenbezogener Daten von Proband:innen. Es werden dabei nur die für das Forschungsprojekt notwendigen Daten verarbeitet, nicht erforderliche Informationen werden entfernt oder pseudonymisiert. Die gesammelten Daten werden für einen begrenzten Zeitraum gespeichert, um die Produktempfehlungen zu ermöglichen. Nach einer bestimmten Zeit, wenn die Daten nicht mehr relevant sind oder keine Rechtsgrundlage mehr vorhanden ist, werden sie anonymisiert oder gelöscht.

• Weiterführende Infos zur Datenminimierung
  

Integrität und Vertraulichkeit 

Personenbezogene Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet. Durch geeignete technische und organisatorische Maßnahmen soll insbesondere auch gewährleistet werden, dass Unbefugte keinen Zugang zu den Daten haben und weder die Daten noch die Geräte, mit denen diese verarbeitet werden, benutzen können.  

Beispiel
Es wird ein KI-unterstütztes Übersetzungs-Tool einer Drittanbieterin bzw. eines Drittanbieters verwendet, um verschiedenste Dokumente (Schriftsätze, Urkunden etc.) übersetzen zu lassen. Die eingespielten Dokumente werden auf Servern der Anbieterin bzw. des Anbieters gespeichert, deren Sicherheitsvorkehrungen den aktuellen Standards entsprechen. Die Zugriffsberechtigungen sind derart ausgestaltet, dass sie nur autorisierten Personen gewährt werden. Dadurch ist gewährleistet, dass Dritte keinen Zugriff auf die gespeicherten Dokumente und die darin enthaltenen Informationen bzw. personenbezogenen Daten erhalten.

• Weiterführende Infos zur Integrität und Vertraulichkeit
  

Ihr Unternehmen hat das KI-Tool nicht entwickelt. Müssen Sie die DSGVO trotzdem einhalten?

Ja, Sie müssen die DSGVO auch einhalten, wenn Ihr Unternehmen das KI-Tool nicht selbst entwickelt hat. Denn sobald Ihr Unternehmen über die Zwecke und Mittel einer Datenverarbeitung entscheidet, gilt dieses als Verantwortlicher.

Anbieter von KI-Systemen müssen eigene Vorgaben beachten, die sich ebenfalls aus der DSGVO und der KI-Verordnung ergeben können.

Beispiel
Ein Unternehmen setzt einen gängigen KI-Chatbot ein, um Mitarbeitende bei der täglichen Recherche- und Organisationsarbeit zu unterstützen. Das Unternehmen trifft somit die Entscheidung, ein KI-Tool (Mittel) zu diesem Zweck einzusetzen.

Auch wenn die technischen Vorgaben möglicherweise vom Anbieter des KI-Tools (dem Entwickler) stammen, ist das Unternehmen datenschutzrechtlich verantwortlich. Denn es trifft die Entscheidung, das KI-Tool einzusetzen und zu betreiben.

• Weiterführende Infos zu den Anbieterverpflichtungen

Wie finden Sie ein datenschutzkonformes KI-Tool für Ihr Unternehmen?

Es gibt keine Liste „zuverlässiger“ KI-Systeme in der EU. Folgende Fragen können Ihnen bei der Auswahl passender datenschutzkonformer Tools helfen:

• Welche Zertifizierungen kann das Tool vorweisen?
• Welche Datenschutzerklärungen bestehen für das Tool? 
• Wie transparent geht ein Anbieter mit dem Thema Datennutzung und -weitergabe um?
• Sind die Bedingungen verständlich und nachvollziehbar formuliert?
• Wo werden Daten gehostet?
• Gibt es bereits eine Einschätzung der Aufsichtsbehörden zum spezifischen Tool? 
  

Weiterführende Infos dazu erhalten Sie unter: 

• Stellungnahme des EDSA zu KI-Modellen: DSGVO-Prinzipien unterstützen verantwortungsvolle KI 
• AI Auditing-Projekt des Expertenpools des EDSA

Worauf sollten Sie in Bezug auf die DSGVO achten, wenn Sie KI-Tools von Drittanbietern einsetzen?

Bevor Sie KI-Tools von Drittanbietern einsetzen, sollten Sie sich mit den folgenden datenschutzrelevanten Fragen auseinandersetzen: 

• Haben Sie die Nutzungsbedingungen des Drittanbieters (v. a. Datenschutz) des KI-Tools überprüft? 
• Kommt es durch die Nutzung des KI-Tools zur Übermittlung personenbezogener Daten an den Hersteller (Entwickler) oder an andere Dritte? 
• Zu welchen Zwecken verarbeitet der Hersteller bzw. Dritte die personenbezogenen Daten, die Ihr Unternehmen mit dem KI-Tool verarbeitet?
• Kommt es durch die Nutzung des KI-Tools zur Übermittlung personenbezogener Daten außerhalb des EWR? 
• Ist vor dem Einsatz des KI-Tools eine Datenschutz-Folgenabschätzung erforderlich? 
• Gibt es in Ihrem Unternehmen einen Datenschutzbeauftragten?
• Gibt es in Ihrem Unternehmen einen Betriebsrat?
• Kommt es durch die Nutzung des KI-Tools zu einer Auftragsverarbeitung durch den Drittanbieter? 
• Führen Sie ein Verzeichnis von Verarbeitungstätigkeiten?
• Verarbeiten Sie personenbezogene Daten von Mitarbeitenden mithilfe von KI-Tools?
• Verwenden die Mitarbeiter:innen Ihres Unternehmens KI-Tools? 

Haben Sie die Nutzungsbedingungen des Drittanbieters (v. a. Datenschutz) des KI-Tools überprüft? 

Falls Sie Zweifel an den Nutzungsbedingungen haben, sollten Sie den Drittanbieter vorab kontaktieren.

Kommt es durch die Nutzung des KI-Tools zur Datenverarbeitung außerhalb der eigenen Infrastruktur (z. B. könnten Daten an den Hersteller (Entwickler) oder an Dritte übermittelt werden) oder handelt es sich um eine „On-Premise-Lösung“ (Daten werden durch das Unternehmen selbst gehostet)?

Kommt es durch die Nutzung des KI-Tools zur Übermittlung personenbezogener Daten an den Hersteller (Entwickler) oder an andere Dritte? 

Falls ja, auf welche rechtliche Erlaubnis wird die Übermittlung gestützt?

Zu welchen Zwecken verarbeitet der Hersteller bzw. Dritte die personenbezogenen Daten, die Ihr Unternehmen mit dem KI-Tool verarbeitet?

1. Nutzung für eigene Zwecke
   Nutzt der Hersteller die Daten für eigene Zwecke, z. B. um die KI weiter zu trainieren (das ist üblicherweise bei Gratis-Lizenzen der Fall), handelt es sich um eine Weitergabe von personenbezogenen Daten an Dritte. Für eine Weitergabe von personenbezogenen Daten an Dritte, brauchen Sie wiederum eine rechtliche Erlaubnis. 
2. Keine Nutzung für eigene Zwecke
   Nutzt der Hersteller die Daten nicht für eigene Zwecke (z. B. kein Weitertrainieren mit den eingegebenen Daten), sondern nur zur Auftragserfüllung, reicht ein Auftragsverarbeitervertrag aus. 
   

Beispiel
Der Hersteller hostet das KI-Tool. In diesem Fall muss ein Auftragsverarbeitervertrag abgeschlossen werden. Üblicherweise bindet der Hersteller diesen Vertrag in die Nutzungsbedingungen ein.

Kommt es durch die Nutzung des KI-Tools zur Übermittlung personenbezogener Daten außerhalb des EWR? 

Falls ja, auf welcher Grundlage (Link internationaler Datenverkehr)? 

Ist vor dem Einsatz des KI-Tools eine Datenschutz-Folgenabschätzung erforderlich? 

Ob eine Datenschutz-Folgenabschätzung erforderlich ist, müssen Sie im Einzelfall prüfen. Falls ja, müssen Sie die Abschätzung vor dem Einsatz des KI-Tools durchführen. 

Gibt es in Ihrem Unternehmen einen Datenschutzbeauftragten?

Falls ja, müssen Sie diesen in den Entscheidungsprozess zum KI-Tool miteinbeziehen.

Gibt es in Ihrem Unternehmen einen Betriebsrat?

Falls ja, müssen Sie diesen in den Entscheidungsprozess zum KI-Tool miteinbeziehen.

Kommt es durch die Nutzung des KI-Tools zu einer Auftragsverarbeitung durch den Drittanbieter? 

Falls ja, ist hierfür eine Vereinbarung über die Auftragsverarbeitung abzuschließen.

Führen Sie ein Verzeichnis von Verarbeitungstätigkeiten?

Sie müssen im Verzeichnis von Verarbeitungstätigkeiten dokumentieren, wie Sie personenbezogene Daten mithilfe von KI-Tools verarbeiten. 

Verarbeiten Sie personenbezogene Daten von Mitarbeitenden mithilfe von KI-Tools?

Falls ja: Informieren Sie die Mitarbeitenden in der internen Datenschutzerklärung über diese Verarbeitung ihrer Daten.

Verwenden die Mitarbeiter:innen Ihres Unternehmens KI-Tools? 

Falls ja: Stellen Sie sicher, dass es verbindliche interne Richtlinien zum richtigen Umgang mit KI gibt. Wenn Ihre Mitarbeitenden KI-Tools nutzen, können diese unbeabsichtigt Daten offenlegen. Dazu zählen nicht nur personenbezogene Daten, sondern auch Betriebs- und Geschäftsgeheimnisse. 

Beispiel
Eine Mitarbeiterin kopiert vertrauliche Informationen unbedacht in einen öffentlich verfügbaren KI-Chatbot (z. B. ChatGPT). Die Informationen werden zumindest an den Anbieter weitergeleitet und könnten dabei auch für weiteres Training verwendet werden. 

Was müssen Sie beachten, wenn Sie KI-Tools für automatisierte Entscheidungen im Einzelfall nutzen?

Wenn Sie mithilfe von KI-Tools personenbezogene Daten mit automatisierten Entscheidungen im Einzelfall verarbeiten, müssen Sie auch die spezifischen Vorgaben der DSGVO einhalten. 

Dies gilt auch für Profiling. Denn Betroffene haben das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu sein, wenn diese

1. rechtliche Wirkung entfaltet oder
2. sie in ähnlicher Weise erheblich beeinträchtigt.
   

Beispiele

• Automatische Ablehnung eines Online-Kreditantrags
• Online-Einstellungsverfahren ohne jegliches menschliche Eingreifen

Automatisierte Entscheidungen im Einzelfall sind nach der DSGVO zulässig, wenn einer der folgenden Punkte erfüllt ist:

• Die Entscheidung ist für den Abschluss oder die Erfüllung eines Vertrags zwischen Betroffenen und dem Verantwortlichen unbedingt nötig.
• Es gibt eine gesetzliche Grundlage und diese enthält angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten und der berechtigten Interessen der Betroffenen.
• Die betroffene Person hat eine ausdrückliche Einwilligung erteilt.
  Auch in den oben angeführten Fällen müssen Sie Betroffene darüber informieren, dass eine automatisierte Entscheidung im Einzelfall über sie getroffen wird. Diese Information muss auch die zugrundeliegende Logik und die angestrebten Auswirkungen der Entscheidung klar und verständlich enthalten.

Die betroffene Person kann die Entscheidung anfechten und ihren Standpunkt darlegen. Außerdem kann sie eine menschliche Intervention verlangen, um die Entscheidung zu prüfen (außer es liegt eine gesetzliche Grundlage vor).

Wenn Sie sensible Daten für die automatisierte Entscheidung heranziehen, brauchen Sie eine ausdrückliche Einwilligung der betroffenen Person oder eine rechtliche Grundlage. Außerdem müssen Sie schärfere Sicherheitsmaßnahmen einhalten.

Beispiel
Eine Bank setzt ein KI-Tool ein, das automatisiert entscheidet, ob ein Online-Kredit vergeben wird. Dabei verarbeitet das System personenbezogene Daten wie Einkommen, bestehende Verbindlichkeiten und bisheriges Zahlungsverhalten.

Welche Services können Sie nutzen, um KI-Tools im Sinne der DSGVO zu verwenden? 

• KI-Guidelines für KMU
• Muster: Auftragsverarbeitungsverträge
• Muster: Verzeichnis von Verarbeitungstätigkeiten für Verantwortliche
• Online-Ratgeber Datenschutz-Folgenabschätzungs-Check
  

Zum Nachschlagen: Bestimmungen zu KI und Datenschutz 

• EU-Verordnung zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-VO)
• DSGVO Artikel 22 (Automatisierte Entscheidungen im Einzelfall einschließlich Profiling)
• Stellungnahme des EDSA zu KI-Modellen: DSGVO-Prinzipien unterstützen verantwortungsvolle KI
• AI Auditing-Projekt des Expertenpools des EDSA
• KI-Servicestelle der RTR
• KI-Guidelines für KMU

Kontakt für Rückfragen

Sie haben weitere Fragen zum Datenschutz oder zu DSGVO4KMU? Wir unterstützen Sie gerne. 

• Zur Kontaktseite