Datenschutz bei KI-Einsatz im Mittelstand?

Die DSGVO verbietet den Einsatz von KI nicht. Sie fordert, dass jede Verarbeitung von personenbezogener Daten rechtmäßig, fair und transparent sein muss. Für ein KI-System gelten dieselben Grundsätze wie für jede andere Software oder jeden menschlichen Mitarbeiter, der mit Kundendaten oder Personaldaten arbeitet.

Das bedeutet konkret: Sie müssen wissen, welche Daten die KI zu welchem Zweck verarbeitet, und dafür eine gültige Rechtsgrundlage nachweisen können. Ein KI-System, das „einfach alles liest“, wäre unzulässig. Ein KI-Mitarbeiter, der gezielt Rechnungen prüft, handelt hingegen in einem klar definierten Rahmen.

Die entscheidende Frage für den Datenschutz ist der physische und rechtliche Ort der Datenverarbeitung. Viele bekannte KI-Modelle werden von US-Unternehmen auf Servern in den USA betrieben. Die Übermittlung personenbezogener Daten in die USA ist rechtlich komplex und birgt Risiken, da dort andere Datenschutzstandards gelten.

Eine Lösung für ein hohes Maß an Kontrolle ist, die Datenverarbeitung vollständig unter eigener Regie zu behalten. Dies kann durch Systeme geschehen, die entweder direkt in Ihrem Unternehmen (On-Premise) oder auf dedizierten Servern bei einem Anbieter innerhalb der EU gehostet werden. So kann dazu beigetragen werden, dass die Daten den Geltungsbereich der DSGVO nicht verlassen.

Ein weit verbreiteter Irrtum ist, dass für jede Datenverarbeitung durch eine KI die ausdrückliche Einwilligung der betroffenen Person notwendig sei. Die DSGVO kennt jedoch mehrere gleichwertige Rechtsgrundlagen.

Für viele unternehmerische Prozesse ist das „berechtigte Interesse“ oder die „Erfüllung eines Vertrags“ die passende Rechtsgrundlage. Wenn ein KI-Mitarbeiter eingehende Bestellungen per E-Mail erfasst und im ERP-System anlegt, dient dies der Vertragsabwicklung. Eine separate Einwilligung des Bestellers ist dafür in der Regel nicht erforderlich.

Der Schutz personenbezogener Daten wird durch eine Kombination aus technischen und organisatorischen Maßnahmen (TOMs) sichergestellt. Das Ziel ist, den Zugriff auf das absolute Minimum zu beschränken und jede Verarbeitung nachvollziehbar zu machen.

Ein KI-Mitarbeiter sollte wie ein menschlicher Kollege behandelt werden: Er erhält nur die Zugriffsrechte, die er für seine definierte Aufgabe benötigt. Liest er beispielsweise Bewerbungen aus, erhält er Zugriff auf das Bewerbungs-Postfach, aber nicht auf die Lohnbuchhaltung oder die Kundendatenbank.

Wenn Sie einen externen Dienstleister wie DND Systems mit der Implementierung und dem Betrieb eines KI-Mitarbeiters beauftragen, agiert dieser als „Auftragsverarbeiter“. In diesem Fall ist der Abschluss eines Auftragsverarbeitungsvertrags (AVV) gesetzlich vorgeschrieben.

Der AVV soll sicherstellen, dass auch der Dienstleister die Vorgaben der DSGVO einhält. Er regelt präzise, welche Daten verarbeitet werden, welche Schutzmaßnahmen zu ergreifen sind und welche Rechte und Pflichten beide Seiten haben. Ein AVV ist kein bürokratisches Hindernis, sondern ein Qualitätsmerkmal für einen professionellen Anbieter.