Der Einsatz von Künstlicher Intelligenz (KI) eröffnet Unternehmen neue Möglichkeiten – etwa bei der Automatisierung von Prozessen, der Datenanalyse oder der Kundenkommunikation. Gleichzeitig können an KI-Anwendungen erhebliche datenschutzrechtliche Anforderungen gestellt werden. Wenn personenbezogene Daten verarbeitet werden, greifen die Regelungen der Datenschutz-Grundverordnung (DSGVO) – mit umfangreichen Pflichten und Risiken für Unternehmen.
Dieser Beitrag gibt einen Überblick über zentrale datenschutzrechtliche Fragestellungen bei der Nutzung von KI-Systemen: Wann ist die DSGVO einschlägig? Welche Rechtsgrundlagen kommen in Betracht? Und wie lassen sich Rollen und Verantwortlichkeiten nach der DSGVO rechtssicher abgrenzen?
Werden personenbezogene Daten verarbeitet?
Bevor eine KI-Lösung eingesetzt wird, sollte geprüft werden, ob bei der Nutzung personenbezogene Daten verarbeitet werden. Ist das der Fall, gelten die Vorgaben der DSGVO – einschließlich Rechenschaftspflichten, Informationspflichten und Betroffenenrechten.
Möchte ein Unternehmen personenbezogene Daten in eine KI geben, ist besondere Vorsicht geboten. Die grundliegende Funktionsweise von KI-Systemen kann die notwendigen Vorgänge zur Einhaltung der DSGVO wesentlich erschweren. So stehen Unternehmen bei Löschpflichten und widerrufenen Einwilligungen vor der Herausforderung, dass die betroffenen Daten in die Trainingsdatensätze der KI eingeflochten sind und sich kaum noch daraus entfernen lassen. Aktuell gibt es (abgesehen von der Löschung des gesamten Programms) noch keine sichere Methode, die ein KI-System zuverlässig dazu bringt Daten vollständig zu vergessen.
Tipp: Schon in der Entwicklungs- oder Einführungsphase von KI-Systemen sollte auf anonymisierte Daten zurückgegriffen werden, sofern dies funktional möglich ist. Die DSGVO findet auf anonymisierte Daten keine Anwendung – dies reduziert das Risiko rechtlich relevanter Verstöße erheblich.
In der Regel ist das einsetzende Unternehmen als (allein oder gemeinsam) Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO anzusehen. Werden externe Dienstleister eingebunden, sind diese je nach Ausgestaltung als Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) oder ggf. auch als gemeinsam Verantwortliche zu qualifizieren.
Bei KI-Anwendungen mit Freitexteingaben (z. B. Chatbots oder Assistenzsysteme) besteht das Risiko, dass Nutzer:innen unbeabsichtigt personenbezogene Daten und sogar sensible Daten eingeben. Unternehmen sollten hier durch Richtlinien, Schulungen und technische Schutzmaßnahmen vorsorgen.
Besondere Kategorien personenbezogener Daten bzw. sensible Daten (Art. 9 Abs. 1 DSGVO) – z. B. Gesundheitsdaten, biometrische Daten oder politische Meinungen – dürfen grundsätzlich nicht verarbeitet werden. Eine Ausnahme liegt nur vor, wenn einer der speziellen Tatbestände des Art. 9 Abs. 2 DSGVO greift.
Auf welcher Rechtsgrundlage kann eine Verarbeitung erfolgen?
Gemäß Art. 6 Abs. 1 Satz 1 DSGVO ist eine Verarbeitung personenbezogener Daten nur rechtmäßig, wenn sie auf eine der dort genannten Rechtsgrundlagen gestützt werden kann. Die Wahl der passenden Grundlage hat Auswirkungen auf Folgepflichten. Relevante Rechtsgrundlagen im KI-Kontext sind:
- Einwilligung (Art. 6 Abs. 1 lit. a DSGVO):
Muss freiwillig, informiert und jederzeit widerruflich sein. In der Praxis bei KI oft schwer umsetzbar, da Verarbeitungszwecke (z. B. Modelltraining) unklar oder dynamisch sind.
- Vertragserfüllung (lit. b):
Gilt nur, wenn die Datenverarbeitung für einen Vertrag – welcher mit der betroffenen Person selbst geschlossen wurde – erforderlich ist, etwa bei personalisierten Produktempfehlungen.
- Rechtliche Verpflichtung (lit. c):
Z. B. wenn KI-Systeme zur Erfüllung gesetzlicher Pflichten (Compliance, Aufbewahrung) eingesetzt werden.
- Öffentliches Interesse (lit. e):
Vor allem für Behörden relevant – z. B. bei KI-Systemen zur Verkehrssteuerung oder Sicherheit.
- Berechtigte Interessen (lit. f):
Besonders praxisnah, z. B. bei interner Prozessoptimierung durch KI. Erfordert eine sorgfältige Abwägung: Die Rechte und Freiheiten der betroffenen Personen dürfen die Interessen des Unternehmens nicht überwiegen.
Was gilt bei besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO)?
Die Verarbeitung sensibler Daten ist grundsätzlich untersagt und nur in engen Ausnahmefällen erlaubt. Praxisrelevante Beispiele für zulässige Verarbeitungen:
- ausdrückliche Einwilligung der betroffenen Person (Art. 9 Abs. 2 lit. a DSGVO),
- arbeitsrechtliche oder sozialrechtliche Zwecke (Art. 9 Abs. 2 lit. b DSGVO),
- Schutz lebenswichtiger Interessen (Art. 9 Abs. 2 lit. c DSGVO),
- Geltendmachung oder Verteidigung von Rechtsansprüchen (Art. 9 Abs. 2 lit. f DSGVO).
Je nach Ausnahmetatbestand bestehen unterschiedliche Anforderungen an Informationspflichten, technische Schutzmaßnahmen und die Dokumentation.
Wo werden personenbezogene Daten verarbeitet? (Drittlandtransfers)
Werden personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums (EWR) verarbeitet, gelten die Vorgaben aus Kapitel V DSGVO. Ein solcher Drittlandtransfer – etwa an US-amerikanische Anbieter – ist nur zulässig, wenn ein Angemessenheitsbeschluss der EU-Kommission besteht oder geeignete Garantien wie Standardvertragsklauseln vereinbart wurden, die insgesamt ein dem unionsrechtlichen Datenschutzniveau gleichwertiges Schutzniveau sicherstellen (Art. 44 DSGVO). Vor dem Hintergrund der politischen Entwicklungen im transatlantischen Datenschutzraum ist eine laufende Überprüfung der Rechtslage und der eingesetzten Garantien zu empfehlen.
Fehlen solche Schutzmaßnahmen, ist die Übermittlung unzulässig – auch dann, wenn sie „nur“ im Rahmen des Hostings erfolgt.
Zweckbindung nicht vergessen!
Die DSGVO verlangt nicht nur eine Rechtsgrundlage, sondern auch eine klare Festlegung des Verarbeitungszwecks (Art. 5 Abs. 1 lit. b DSGVO). Dieser Zweck muss vorab bestimmt und dokumentiert werden.
Soll der Zweck nachträglich geändert werden (z. B. zur Nutzung der Daten für neue Trainingszwecke), kann damit auch die ursprüngliche Rechtsgrundlage entfallen. Die Rechtmäßigkeit der Verarbeitung sowie die zusätzlichen Voraussetzungen aus Art. 6 Abs. 4 DSGVO müssen vorher geprüft werden.
Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortliche?
Ein zentrales Element der Datenschutzkonformität beim Einsatz von KI ist die Rollenzuweisung:
- Verantwortlicher (Art. 4 Nr. 7 DSGVO):
Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. In der Regel ist dies das Unternehmen, das die KI-Lösung einsetzt.
- Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO, Art. 28 DSGVO):
Ein Auftragsverarbeiter handelt ausschließlich im Auftrag und auf Weisung des Verantwortlichen, ohne eigene Zwecke zu verfolgen. Ein Auftragsverarbeitungsvertrag ist erforderlich.
- Gemeinsam Verantwortliche (Art. 26 DSGVO):
Liegt vor, wenn mehrere Stellen gemeinsam über Zwecke und Mittel entscheiden – etwa, wenn ein KI-Anbieter die Daten auch zur Weiterentwicklung des Systems nutzt. In diesem Fall ist eine klare Vereinbarung zur Pflichtenverteilung nötig (z. B. wer informiert betroffene Personen, wer beantwortet Auskunftsanfragen?).
Warum ist die Rollenzuordnung wichtig?
Die korrekte Rollenzuweisung hat erhebliche Auswirkungen auf:
- die Verteilung der Pflichten nach der DSGVO (z. B. Informationspflichten),
- die Kommunikation mit betroffenen Personen und Aufsichtsbehörden,
- das Risiko datenschutzrechtlicher Haftung.
Achtung: Fehlt eine klare Zuordnung oder wird eine falsche Rolle angenommen, kann dies nicht nur zu Bußgeldern führen – auch Schadensersatzforderungen der betroffenen Personen sind denkbar.
Fazit
Die DSGVO stellt beim Einsatz von KI klare Anforderungen – insbesondere, wenn personenbezogene oder sogar sensible Daten verarbeitet werden. Unternehmen sollten frühzeitig prüfen:
- Welche Daten verarbeitet werden,
- aus welchem Zweck die personenbezogenen Daten verarbeitet werden,
- auf welcher Rechtsgrundlage dies erfolgt,
- wo die Daten verarbeitet werden (z. B. Drittstaaten) und
- wer datenschutzrechtlich wofür verantwortlich ist.
Nur durch eine frühzeitige und sorgfältige Einbindung des Datenschutzes kann das Potenzial von KI rechtssicher genutzt werden.
KL | Beitrag von Elena Silvanus