Wann die DSGVO bei KI relevant ist
Personenbezogene Daten sind Informationen über eine identifizierte oder identifizierbare natürliche Person. Verarbeitung umfasst unter anderem Erheben, Speichern, Ordnen, Abrufen, Verwenden, Übermitteln und Löschen. Die DSGVO ist technologieneutral: Es ist unerheblich, ob ein Vorgang manuell, klassisch automatisiert oder mit KI erfolgt.
Auch pseudonymisierte oder verschlüsselte Daten bleiben personenbezogen, wenn eine Re-Identifizierung möglich ist. Wirklich anonymisierte Daten fallen nicht darunter, die Anforderungen an Anonymisierung sind jedoch hoch. Vor einem Projekt wird deshalb konkret erfasst, welche Eingaben, Ausgaben, Protokolle und Wissensquellen Personenbezug enthalten können.
Zweck, Rechtsgrundlage und Transparenz
Jede Verarbeitung benötigt einen bestimmten Zweck und eine tragfähige Rechtsgrundlage. Daten dürfen nicht allein deshalb für KI verwendet werden, weil sie technisch verfügbar sind. Der neue Zweck wird mit dem ursprünglichen Erhebungszweck und den Erwartungen betroffener Personen abgeglichen. Einwilligung ist nicht automatisch die einzige oder passende Grundlage.
Informationspflichten können Angaben zu Verantwortlichem, Zweck, Datenkategorien, Rechtsgrundlage, Speicherdauer, Empfängern und möglichen Drittlandübermittlungen umfassen. Bei automatisierten Entscheidungen können zusätzliche Anforderungen relevant werden. Die konkrete Bewertung gehört in fachkundige Datenschutzberatung und nicht in eine allgemeine KI-Anweisung.
Datenminimierung und Datenschutz durch Technikgestaltung
Verarbeitet werden nur Daten, die für den festgelegten Zweck notwendig sind. Für einen Textentwurf reichen möglicherweise abstrahierte Angaben statt vollständiger Kundenakten. Testdaten können synthetisch oder angemessen anonymisiert sein, sofern sie den Zweck erfüllen. Protokolle sollten keine unnötigen Kopien sensibler Eingaben speichern.
Datenschutz durch Technikgestaltung beginnt vor dem Pilotprojekt. Zugriffe werden begrenzt, Aufbewahrungsfristen definiert und sichere Voreinstellungen gewählt. Die Seite ChatGPT für Unternehmen behandelt Leitlinien für direkte Nutzung; ChatGPT im Unternehmen erklärt praktische Kontrollen.
Anbieter, Verträge und internationale Datenflüsse
Unternehmen müssen verstehen, welche Rolle ein Anbieter einnimmt, welche Unterauftragnehmer beteiligt sind und wo Daten verarbeitet werden. Erforderliche Verträge und Garantien richten sich nach Konstellation und Übermittlungsweg. Marketingaussagen wie „DSGVO-konform“ ersetzen diese Prüfung nicht.
Relevant sind außerdem Speicherverhalten, Verwendung von Eingaben, Löschmöglichkeiten, Sicherheitsmaßnahmen und Unterstützung bei Betroffenenrechten. Technische und organisatorische Maßnahmen müssen zum Risiko passen. Eine KI-Beratung kann technische Datenflüsse dokumentieren, ersetzt aber keine individuelle Rechtsberatung.
Folgenabschätzung, Betroffenenrechte und Betrieb
Je nach Art, Umfang, Umständen und Risiken kann eine Datenschutz-Folgenabschätzung erforderlich sein. Besonders aufmerksam werden umfangreiche, sensible oder bewertende Verarbeitungen geprüft. Datenschutzbeauftragte und zuständige Fachstellen sollten früh eingebunden werden, nicht erst kurz vor dem Produktivstart.
Betroffenenrechte müssen praktisch erfüllbar bleiben. Unternehmen benötigen Prozesse für Auskunft, Berichtigung, Löschung und weitere anwendbare Rechte. Modelle und Protokolle dürfen diese Abläufe nicht undurchschaubar machen. Die Übersicht KI-Lösungen für Unternehmen hilft, einen weniger datenintensiven Ansatz zu wählen.
Vom Wissen zum konkreten nächsten Schritt
Eine fundierte Entscheidung beginnt mit einem klar beschriebenen Vorgang. Beteiligte, Eingaben, Systeme, gewünschtes Ergebnis und erkennbare Risiken werden gemeinsam betrachtet. So lässt sich unterscheiden, ob eine organisatorische Klärung, klassische Automatisierung, ein KI-Schritt oder zunächst nur ein begrenzter Test sinnvoll ist.
Das Pilotprojekt sollte die wichtigste offene Annahme mit realistischen Fällen prüfen. Er braucht nachvollziehbare Erfolgskriterien, verantwortliche Fachpersonen und einen sicheren Umgang mit Ausnahmen. Erst wenn Qualität und praktische Bedienung überzeugen, werden zusätzliche Daten, Nutzer oder schreibende Integrationen ergänzt.
Vor der Umsetzung lohnt sich eine kurze Bestandsaufnahme der vorhandenen Werkzeuge. Viele Systeme besitzen bereits Formulare, Regeln, Exporte oder Schnittstellen, die weiterverwendet werden können. Eine neue Plattform ist nur sinnvoll, wenn sie eine konkrete Lücke schließt. Zusätzliche Software bringt eigene Konten, Berechtigungen, Verträge und Pflegeaufgaben mit sich. Diese Folgekosten gehören zur Entscheidung, auch wenn ein erster Prototyp technisch schnell erstellt werden kann.
Fachliche Kriterien werden vor dem Test festgelegt. Ein sprachlich überzeugendes Ergebnis kann unbrauchbar sein, wenn eine Pflichtinformation fehlt oder die falsche Quelle verwendet wurde. Deshalb werden Richtigkeit, Vollständigkeit, Format, Übergabe und notwendiger Korrekturaufwand getrennt betrachtet. Schwierige Fälle sind besonders wichtig: fehlende Daten, widersprüchliche Angaben und nicht erreichbare Systeme zeigen, ob die vorgesehene Ausnahmebehandlung im Alltag tatsächlich trägt.
Berechtigungen folgen dem Prinzip des notwendigen Zugriffs. Ein Dienst, der Informationen nur lesen muss, erhält keine allgemeinen Schreibrechte. Änderungen an Kunden-, Vertrags- oder Abrechnungsdaten werden enger kontrolliert als interne Entwürfe. Zugangsdaten werden sicher verwaltet und regelmäßig überprüft. Protokolle unterstützen die Fehleranalyse, sollen aber keine unnötigen Kopien vertraulicher Inhalte oder personenbezogener Daten erzeugen.
Mitarbeiter werden nicht erst nach der technischen Fertigstellung einbezogen. Sie kennen Varianten, Abkürzungen und fachliche Grenzen des realen Ablaufs. Während eines Piloten dokumentieren sie verständlich, welche Ergebnisse korrigiert werden mussten und warum. Diese Rückmeldungen helfen, Regeln und Anweisungen gezielt zu verbessern. Gleichzeitig lernen spätere Nutzer, welche Aufgabe das System übernimmt und in welchen Situationen sie bewusst selbst entscheiden müssen.
Für die Wirtschaftlichkeitsbetrachtung werden keine pauschalen Einsparungen unterstellt. Das Unternehmen dokumentiert vielmehr den heutigen Ablauf, den internen Prüfaufwand und die erwartete Verbesserung. Auch Lizenz-, Nutzungs-, Betriebs- und Wartungsaufwand gehören in die Betrachtung. Ein technisch funktionierender Prozess ist nur dann sinnvoll, wenn er im Arbeitsalltag verständlich bleibt und die verantwortlichen Mitarbeiter ihn zuverlässig nutzen können.
Die Dokumentation beschreibt nicht nur den Normalfall. Sie nennt bekannte Ausnahmen, zuständige Rollen, verwendete Datenquellen und den Weg bei einer Störung. Änderungen werden mit Datum und Zweck festgehalten. So kann später nachvollzogen werden, warum eine Regel oder Anweisung eingeführt wurde. Das erleichtert Übergabe, Fehleranalyse und die Entscheidung, ob eine Funktion weiterhin benötigt wird.
Auch nach der Einführung bleiben Zuständigkeiten, Dokumentation und Überwachung erforderlich. Modelle, Schnittstellen, rechtliche Rahmenbedingungen und interne Abläufe können sich verändern. Regelmäßige Prüfungen und ein manueller Ersatzweg sorgen dafür, dass die Lösung kontrolliert betrieben und bei Bedarf angepasst oder beendet werden kann. Eine Erweiterung auf weitere Prozesse folgt erst, wenn der begrenzte Anwendungsfall stabil funktioniert und sein betrieblicher Zweck weiterhin nachvollziehbar ist.