KI Datenschutz DSGVO Leitfaden Unternehmen?

Jede Verarbeitung personenbezogener Daten durch KI-Systeme erfordert eine tragfähige Rechtsgrundlage nach Artikel 6 der DSGVO. In vielen betrieblichen Anwendungsfällen kommen die Erfüllung eines Vertrags, eine gesetzliche Verpflichtung oder das berechtigte Interesse des Unternehmens in Betracht. Das berechtigte Interesse erfordert eine dokumentierte Abwägung zwischen den betrieblichen Interessen und den Schutzrechten der Betroffenen.

Sofern sensible Daten nach Artikel 9 DSGVO verarbeitet werden — etwa Gesundheitsdaten oder Angaben zur Religionszugehörigkeit —, gelten strengere Ausnahmetatbestände. Für Standardprozesse wie Bestellabwicklung oder Disposition wird in der Praxis häufig auf die Vertragserfüllung oder das berechtigte Interesse abgestellt; die finale rechtliche Einordnung erfordert jedoch stets die Prüfung des konkreten Einzelfalls.

In vielen Unternehmen beginnt die KI-Nutzung unbemerkt: Mitarbeiter kopieren E-Mails, Kundendaten oder Kalkulationen in öffentliche Web-Oberflächen von Anbietern aus den USA. Bei kostenlosen oder einfachen Standardkonten behalten sich die Plattformbetreiber in den Geschäftsbedingungen regelmäßig vor, diese Eingaben zur Weiterentwicklung ihrer Modelle zu nutzen. Damit verlässt die Kontrolle über die Daten das Unternehmen.

Rechtlich kann es sich hierbei um eine unzulässige Datenübermittlung an Dritte handeln, oft verbunden mit einem Drittstaatentransfer außerhalb der Europäischen Union. Geschäftsführer tragen für solche organisatorischen Mängel Verantwortung im Rahmen ihrer Kontroll- und Aufsichtspflicht. Eine simple Verbotsklausel genügt in der Praxis selten, wenn keine praktikablen, sicheren Alternativen bereitgestellt werden.

In der Praxis werden technische Begriffe oft vermischt. Ein KI-Agent bezeichnet die zugrundeliegende Programmlogik, die Handlungen selbstständig plant und ausführt. Ein KI-Assistent hingegen wartet typischerweise passiv auf Zuruf und formuliert Texte oder fasst Dokumente zusammen, wenn ein Mensch ihn explizit dazu auffordert. Die klassische Prozessautomatisierung wiederum folgt starren Wenn-Dann-Regeln und scheitert, sobald Eingaben vom Schema abweichen.

Ein KI-Mitarbeiter geht einen Schritt weiter: Er übernimmt einen kompletten Arbeitsbereich eigenständig, arbeitet direkt in der bestehenden Software des Unternehmens und meldet sich aktiv, sobald Ausnahmen oder Freigaben erforderlich sind. Datenschutzrechtlich lässt sich ein solcher digitaler Mitarbeiter exakt auf die Schnittstellen und Berechtigungen eingrenzen, die für seine konkrete Aufgabe notwendig sind. Wie solche Systeme im Detail arbeiten, zeigt die Übersicht unter /ki-mitarbeiter.

Die DSGVO verlangt Rechenschaftspflicht nach Artikel 5 Absatz 2. Das bedeutet: Ein Betrieb muss nachweisen können, wie Daten verarbeitet und geschützt werden. Bei der Einführung von KI-Systemen stützt sich die betriebliche Dokumentation üblicherweise auf drei Kernbestandteile, um aufsichtsbehördlichen Prüfungen fundiert zu begegnen.

An erster Stelle steht der Auftragsverarbeitungsvertrag (AVV) mit dem jeweiligen Technologieanbieter, der den Ausschluss von Datennutzung für Modelltraining und Serverstandorte in der EU regelt. Ergänzt wird dies durch den Eintrag im Verzeichnis von Verarbeitungstätigkeiten (VVT) sowie eine Datenschutz-Folgenabschätzung (DSFA), falls die Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt.

Datenschutz beginnt in der Software-Architektur. Das Prinzip der Datenminimierung aus Artikel 5 Absatz 1 Buchstabe c DSGVO verlangt, dass nur Daten verarbeitet werden, die für den konkreten Zweck unumgänglich sind. Bei einem KI-Mitarbeiter bedeutet dies, dass Eingaben gefiltert, pseudonymisiert oder anonymisiert werden können, bevor sie eine Modell-Schnittstelle passieren.

Zudem empfiehlt sich die Nutzung professioneller Unternehmensschnittstellen (Enterprise-APIs). Deren Vertragsbedingungen schließen in der Regel aus, dass Daten protokolliert oder für fremde Zwecke gespeichert werden. Dedizierte Serverinstanzen innerhalb des europäischen Wirtschaftsraums tragen dazu bei, unberechtigte Zugriffe Dritter auf Verarbeitungsdaten wirksam zu verhindern.

Bevor ein KI-gestützter Prozess im Tagesgeschäft startet, empfiehlt sich ein strukturierter Prüfablauf. Zunächst wird inventarisiert, welche Datenarten durch das System fließen. Anschließend wird geprüft, ob es sich um rein betriebliche Kennzahlen oder um personenbezogene Daten von Kunden, Lieferanten oder Angestellten handelt.

Im nächsten Schritt werden Rollenkonzepte definiert und eine interne Richtlinie herausgegeben. Mitarbeiter müssen genau wissen, wie das System arbeitet, welche Aufgaben es übernimmt und an welcher Stelle menschliche Kontrollinstanzen eingreifen. Dieser Ablauf verhindert unkontrollierten Wildwuchs und senkt haftungsrelevante Risiken für die Geschäftsführung deutlich.