DSGVO und KI: Checkliste für Unternehmen

Wie setzt du KI im Unternehmen so ein, dass die Datenschutz-Grundverordnung (DSGVO) eingehalten wird? Die DSGVO enthält keine eigenen Regeln für künstliche Intelligenz. Ihre allgemeinen Pflichten gelten aber vollständig, sobald ein KI-Werkzeug personenbezogene Daten verarbeitet – und das passiert schneller, als viele denken: in E-Mails, Support-Anfragen, Lebensläufen, Protokollen oder Quellcode mit Kundendaten. Diese Checkliste führt dich durch die wichtigsten Prüfpunkte: Auftragsverarbeitung, Serverstandort, Training mit deinen Daten, Löschfristen und Dokumentation.

Wichtiger Hinweis: Dieser Artikel ist eine allgemeine Orientierungshilfe und keine Rechtsberatung. Ob und wie die einzelnen Punkte auf dein Vorhaben zutreffen, hängt vom Einzelfall ab. Kläre verbindliche Fragen mit deiner oder deinem Datenschutzbeauftragten oder einer Kanzlei.

Auftragsverarbeitung: der AVV

Wenn ein externer Anbieter personenbezogene Daten in deinem Auftrag verarbeitet, ist er in der Regel Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Das trifft auf viele KI-Dienste zu, die du über eine Schnittstelle oder eine Web-Oberfläche nutzt. Dann ist ein Vertrag zur Auftragsverarbeitung (AVV) erforderlich.

Achte beim AVV unter anderem auf diese Punkte:

• Gegenstand, Art und Zweck der Verarbeitung sind beschrieben.
• Die technischen und organisatorischen Maßnahmen (TOM) des Anbieters sind benannt.
• Unterauftragsverarbeiter sind aufgeführt, und du wirst über Änderungen informiert.
• Es ist geregelt, was nach Vertragsende mit den Daten passiert.

Bietet ein Anbieter keinen AVV an, ist das ein deutliches Warnsignal für den Einsatz mit personenbezogenen Daten.

Serverstandort und Drittländer

Wo die Daten verarbeitet werden, hat großen Einfluss auf den Prüfaufwand. Findet die Verarbeitung in der EU oder im Europäischen Wirtschaftsraum statt, gelten die allgemeinen Regeln der DSGVO. Werden Daten in ein Drittland übermittelt, etwa in die USA, kommen die Anforderungen der Art. 44 ff. DSGVO hinzu. Dann braucht es eine tragfähige Grundlage, zum Beispiel einen Angemessenheitsbeschluss oder Standardvertragsklauseln, und je nach Konstellation eine zusätzliche Bewertung.

Frag deshalb nicht nur nach dem Firmensitz des Anbieters, sondern konkret: In welchem Land laufen die Server, die meine Anfragen verarbeiten? Wo werden Protokolle und Sicherungen gespeichert? Und welche Unterauftragsverarbeiter sitzen außerhalb der EU?

Training mit deinen Daten

Viele KI-Anbieter verbessern ihre Modelle mit Daten aus der Nutzung. Für dich ist das heikel: Werden deine Eingaben zum Training verwendet, verlassen sie den ursprünglichen Zweck, und du verlierst die Kontrolle darüber, was mit ihnen geschieht. Das kann mit dem Grundsatz der Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO) kollidieren und betrifft neben personenbezogenen Daten auch Geschäftsgeheimnisse.

Prüfe deshalb in den Vertragsunterlagen und Nutzungsbedingungen, ob Eingaben und Ausgaben zum Training genutzt werden, ob das standardmäßig ausgeschaltet ist oder erst abgewählt werden muss und ob die Zusage auch für Protokolle gilt. Verlass dich nicht auf Marketingaussagen, sondern auf die vertraglichen Regelungen.

Löschfristen und Speicherdauer

Die DSGVO verlangt, dass personenbezogene Daten nur so lange gespeichert werden, wie es für den Zweck nötig ist (Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO). Für KI-Werkzeuge heißt das: Du solltest wissen, wie lange Eingaben, Ausgaben, Verläufe und technische Protokolle beim Anbieter gespeichert werden und wie du sie löschen kannst.

Hilfreich sind diese Fragen: Gibt es eine feste Speicherdauer für Anfragen? Lassen sich Verläufe durch dich oder deine Nutzerinnen und Nutzer löschen? Wie werden Löschanfragen betroffener Personen nach Art. 17 DSGVO umgesetzt? Und was passiert mit Sicherungskopien?

Datenminimierung: Was gehört überhaupt in die KI?

Der einfachste Datenschutz ist der, den du gar nicht erst brauchst. Nach dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) sollen nur die Daten verarbeitet werden, die für den Zweck wirklich nötig sind. Für KI-Werkzeuge bedeutet das ganz praktisch: Überlege vor jedem Einsatz, ob Namen, Adressen, Kundennummern oder Gesundheitsangaben für die Aufgabe überhaupt gebraucht werden.

Oft reicht ein Text ohne Personenbezug. Eine Zusammenfassung eines Vertrags gelingt auch, wenn die Namen der Vertragsparteien durch Platzhalter ersetzt sind. Ein Fehler im Code lässt sich auch mit Testdaten statt echten Kundendaten nachstellen. Wo das möglich ist, sinken Risiko und Prüfaufwand deutlich. Halte solche Regeln am besten schriftlich fest, damit alle im Team wissen, welche Daten in welches Werkzeug dürfen.

Dokumentation und Nachweis

Datenschutz muss nachweisbar sein (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO). Für KI-Werkzeuge gehören dazu typischerweise:

• ein Eintrag im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO),
• die Rechtsgrundlage der Verarbeitung (Art. 6 DSGVO),
• angepasste Datenschutzhinweise, wenn betroffene Personen über die KI-Nutzung zu informieren sind (Art. 13 und 14 DSGVO),
• gegebenenfalls eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO), insbesondere bei umfangreicher Verarbeitung sensibler Daten oder bei neuen Technologien mit hohem Risiko,
• interne Regeln, welche Daten in welche Werkzeuge eingegeben werden dürfen.

Prüfe außerdem, ob Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ausschließlich automatisiert getroffen werden. Dafür gelten nach Art. 22 DSGVO besondere Regeln. Neben der DSGVO greift schrittweise die europäische KI-Verordnung (AI Act). Ob und welche Pflichten daraus für dein Vorhaben folgen, solltest du gesondert prüfen lassen.

Die Checkliste zum Abhaken

• AVV mit dem Anbieter abgeschlossen, Unterauftragsverarbeiter bekannt
• Serverstandort und Speicherort von Protokollen und Sicherungen geklärt
• Drittlandübermittlungen ausgeschlossen oder rechtlich abgesichert
• Training mit deinen Eingaben und Ausgaben vertraglich ausgeschlossen
• Speicherdauer bekannt, Löschung von Verläufen möglich
• Verfahren für Löschanfragen betroffener Personen festgelegt
• Eintrag im Verzeichnis von Verarbeitungstätigkeiten angelegt
• Rechtsgrundlage dokumentiert, Datenschutzhinweise geprüft
• Notwendigkeit einer Datenschutz-Folgenabschätzung geprüft
• Interne Regeln zur Nutzung von KI-Werkzeugen festgelegt und kommuniziert
• Datenschutzbeauftragte oder Datenschutzbeauftragter eingebunden

Fazit

Die DSGVO verbietet den Einsatz von KI nicht. Sie verlangt aber, dass du weißt, wohin deine Daten gehen, was dort mit ihnen passiert und wie lange sie gespeichert bleiben – und dass du das dokumentierst. Ein Anbieter mit AVV, Verarbeitung in der EU und vertraglichem Ausschluss des Trainings nimmt dir einen großen Teil der Prüfarbeit ab. Die Verantwortung für den konkreten Einsatz bleibt trotzdem bei dir.

Wie wir diese Anforderungen mit A2Intelligence umsetzen – mit AVV nach Art. 28 DSGVO, Verarbeitung auf eigener Hardware in Bochum und ohne Training mit deinen Daten –, liest du auf der Seite DSGVO-konforme KI.