Datenschutz KI Unternehmen Deutschland?

Eine KI darf grundsätzlich alle Daten verarbeiten, für die ein legitimer Zweck und eine Rechtsgrundlage nach Art. 6 DSGVO bestehen. Die entscheidende Unterscheidung für den Datenschutz liegt zwischen anonymen und personenbezogenen Daten.

Anonyme Daten, wie aggregierte Verkaufsstatistiken ohne Kundenbezug oder technische Sensordaten einer Maschine, fallen nicht unter den Schutz der DSGVO. Ihre Verarbeitung durch KI ist unproblematisch. Sobald Daten jedoch einer Person zugeordnet werden können, etwa durch Namen, Kundennummern oder E-Mail-Adressen, gelten die strengen Regeln des Datenschutzes.

Wenn Sie einen externen Dienstleister für den Betrieb einer KI-Lösung beauftragen, die personenbezogene Daten verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO gesetzlich zwingend. Dieser Vertrag regelt, dass der Dienstleister Ihre Daten nur nach Ihren Weisungen und nach den Standards der DSGVO verarbeitet.

Der AVV ist kein Formalakt, sondern ein zentrales Steuerungsinstrument. Er legt die Rechte und Pflichten beider Seiten fest und macht den Dienstleister zu Ihrem „verlängerten Arm“ in Sachen Datenschutz. Ohne einen gültigen AVV ist die Weitergabe personenbezogener Daten an Dritte rechtswidrig.

Technische und organisatorische Maßnahmen sind die konkreten Vorkehrungen, die Sie und Ihr Dienstleister treffen, um ein angemessenes Schutzniveau für die verarbeiteten Daten zu erreichen. Die DSGVO fordert hier einen „dem Risiko angemessenen Schutz“.

Bei KI-Systemen bedeutet dies vor allem, den Zugriff auf Daten streng zu reglementieren, Daten wo immer möglich zu verschlüsseln und sicherzustellen, dass nur die für eine Aufgabe absolut notwendigen Informationen verarbeitet werden (Datenminimierung).

Der EU AI Act ist eine neue, kommende Verordnung, die den Einsatz von KI in Europa regelt. Er ersetzt die DSGVO nicht, sondern ergänzt sie um spezifische Anforderungen für KI-Systeme. Die Verordnung verfolgt einen risikobasierten Ansatz.

Die meisten KI-Anwendungen im betrieblichen Umfeld, wie zum Beispiel die Automatisierung von Rechnungsprüfung oder Bestellwesen, fallen voraussichtlich in die Kategorie mit geringem oder minimalem Risiko. Für sie gelten primär Transparenzpflichten. Systeme mit hohem Risiko, etwa im Bereich Recruiting, unterliegen strengeren Auflagen wie Konformitätsbewertungen.

Ein KI-Mitarbeiter ist keine allwissende Universal-KI, sondern eine spezialisierte Software, die einen konkreten Prozess übernimmt. Sein Design ist entscheidend für den Datenschutz. Im Gegensatz zu einem menschlichen Kollegen, der theoretisch in alle Ordner schauen könnte, auf die er Zugriff hat, wird der Zugriff eines KI-Mitarbeiters technisch auf das absolute Minimum beschränkt.

Ein KI-Mitarbeiter, der für die Bearbeitung von Eingangsrechnungen zuständig ist, erhält ausschließlich Zugriff auf das E-Mail-Postfach für Rechnungen und die zugehörigen Ordner im Buchhaltungssystem. Er hat keine Möglichkeit, auf Personaldaten oder andere sensible Bereiche zuzugreifen. Dieser technisch erzwungene Grundsatz der Datenminimierung ist einer der größten Vorteile für den Datenschutz.