Datenschutz bei KI-Einsatz im Unternehmen?

Die DSGVO ist kein KI-Verhinderungsgesetz. Sie gibt einen klaren Rahmen vor, wie mit personenbezogenen Daten umzugehen ist. Für den Einsatz von KI im Unternehmen sind vor allem diese Grundsätze entscheidend:

Jede Datenverarbeitung durch eine KI benötigt eine Rechtsgrundlage. Das kann die Einwilligung der betroffenen Person, die Erfüllung eines Vertrags oder ein berechtigtes Interesse des Unternehmens sein. Welches davon zutrifft, muss vorab geprüft und dokumentiert werden. Dies ersetzt keine anwaltliche Prüfung im Einzelfall.

Wenn Sie für den Betrieb Ihrer KI einen externen Dienstleister nutzen — zum Beispiel einen Cloud-Anbieter oder eine spezialisierte Agentur — verarbeitet dieser Daten in Ihrem Auftrag. In diesem Fall sind Sie der „Verantwortliche“ im Sinne der DSGVO, der Dienstleister ist der „Auftragsverarbeiter“.

Die DSGVO schreibt für diese Konstellation zwingend den Abschluss eines Auftragsverarbeitungsvertrags (AVV) vor. Dieses Dokument regelt die Rechte und Pflichten beider Seiten. Es stellt sicher, dass der Dienstleister die Daten nur nach Ihren Weisungen und unter Einhaltung der Datenschutzstandards verarbeitet.

Ohne gültigen AVV ist der Einsatz eines externen KI-Dienstes, der personenbezogene Daten verarbeitet, nach aktueller Rechtslage unzulässig und kann zu Bußgeldern führen. Prüfen Sie daher genau, wo die Daten verarbeitet werden, insbesondere bei Anbietern aus Nicht-EU-Ländern.

Standard-Tools wie öffentliche Chatbots oder globale KI-Plattformen bieten oft wenig Kontrolle darüber, wo und wie Daten gespeichert und wofür sie weiterverwendet werden. Für den Umgang mit vertraulichen Unternehmens- und Kundendaten sind sie daher meist ungeeignet.

Ein individuell entwickelter KI-Mitarbeiter bietet hier einen strukturellen Vorteil. Er ist keine Standardsoftware, sondern eine maßgeschneiderte Lösung, die exakt für einen definierten Prozess in Ihrem Unternehmen gebaut wird. Der Datenschutz kann dabei von Anfang an in die Architektur integriert werden („Privacy by Design“).

Ein solcher KI-Mitarbeiter greift nur auf die Systeme und Daten zu, die für seine Aufgabe zwingend nötig sind. Er kann so konfiguriert werden, dass er Daten vor der Verarbeitung anonymisiert oder ausschließlich in Ihrer eigenen, geschützten IT-Infrastruktur (lokal oder in einer zertifizierten deutschen Cloud) läuft, sodass die Daten bei dieser Konfiguration Ihr Unternehmen nicht verlassen.

Die Verantwortung für den datenschutzkonformen Einsatz einer KI liegt immer beim Unternehmen, das die KI nutzt. Die KI selbst ist rechtlich gesehen ein Werkzeug, vergleichbar mit jeder anderen Software. Sie hat keine eigene Rechtspersönlichkeit und kann daher nicht haften.

Kommt es zu einem Datenschutzverstoß — etwa weil die KI unberechtigt Daten weitergibt oder eine Entscheidung auf Basis falscher Daten trifft —, haftet das Unternehmen. Dies unterstreicht die Notwendigkeit, KI-Systeme nicht als „Blackbox“ zu betrachten, sondern deren Funktionsweise und Datenflüsse genau zu verstehen und zu dokumentieren.

Bei Einsatz eines externen Dienstleisters kann dieser im Rahmen des AVV zwar intern in Regress genommen werden, die primäre Verantwortung gegenüber Behörden und Betroffenen verbleibt aber bei Ihnen als Auftraggeber.

Die DSGVO fordert von Unternehmen, geeignete technische und organisatorische Maßnahmen (TOMs) zu ergreifen, um die Sicherheit der Datenverarbeitung zu gewährleisten. Beim KI-Einsatz bedeutet das konkret, Risiken zu bewerten und passende Schutzmechanismen zu implementieren.

Diese Maßnahmen müssen dokumentiert und regelmäßig auf ihre Wirksamkeit überprüft werden. Ein reines Vertrauen auf die Technik genügt nicht; es braucht klare Prozesse und geschulte Mitarbeiter. Die Auswahl und Bewertung der Maßnahmen sollte durch fachkundige Personen, etwa einen Datenschutzbeauftragten, begleitet werden.