KI und DSGVO: was erlaubt ist
KI mit personenbezogenen Daten ist erlaubt — unter Bedingungen. Drei Fragen entscheiden: Gibt es eine Rechtsgrundlage für die Verarbeitung? Wo wird tatsächlich verarbeitet und wer hat Zugriff? Fließen die Daten in Modelltraining ein? Wer diese drei beantworten kann, hat den Großteil der Diskussion hinter sich. Wer sie nicht beantworten kann, sollte keine Kundendaten in das Werkzeug geben — unabhängig davon, wie der Anbieter heißt.
Welche drei Fragen entscheiden?
Sie ersetzen keine Datenschutzprüfung, aber sie sortieren in wenigen Minuten aus, was gar nicht erst in die engere Wahl gehört.
- 1Gibt es eine Rechtsgrundlage?
Vertragserfüllung, berechtigtes Interesse oder Einwilligung — und ist die Verarbeitung im Verzeichnis der Verarbeitungstätigkeiten erfasst?
- 2Wo wird verarbeitet und wer hat Zugriff?
Nicht der Firmensitz zählt, sondern der tatsächliche Ort der Verarbeitung und die Liste der Unterauftragsverarbeiter mit ihren Ländern.
- 3Fließen die Daten ins Training?
Standardeinstellung prüfen und vertraglich absichern. «Wir trainieren nicht auf Kundendaten» ohne Vertragsklausel ist keine Zusicherung.
Woran unterscheiden sich Anbieter wirklich?
Sechs Kriterien, die man beim Anbieter erfragen und schriftlich bekommen sollte. Marketingbegriffe wie «sicher» oder «europäisch» sagen für sich genommen nichts.
- Verarbeitungsort
- In welchem Land laufen die Modelle tatsächlich — nicht wo der Anbieter registriert ist.
- Auftragsverarbeitung
- Liegt ein AVV vor, ist er öffentlich, versioniert und enthält er die Unterauftragsverarbeiter?
- Training auf Ihren Daten
- Standardmäßig aus oder standardmäßig an? Und ist das vertraglich zugesichert?
- Speicherdauer
- Werden Anfragen protokolliert, wie lange, und wer kann sie einsehen?
- Zugriff durch Dritte
- Welche Unterauftragsverarbeiter sind beteiligt und in welchen Ländern sitzen sie?
- Nachweisbarkeit
- Lässt sich das alles belegen — oder steht es nur in einem Marketingtext?
Ausführlich mit Prüfschema:DSGVO-konforme Werkzeuge auswählen.
Wie verhalten sich DSGVO und EU AI Act zueinander?
Sie gelten nebeneinander und regeln Verschiedenes. Die DSGVO fragt, ob und wie personenbezogene Daten verarbeitet werden dürfen. Der AI Act fragt, welches Risiko vom Einsatz des Systems ausgeht — unabhängig davon, ob personenbezogene Daten im Spiel sind.
In der Praxis überschneiden sie sich dort, wo KI über Menschen entscheidet: dann greifen beide, und die Anforderungen addieren sich. Ein Assistent über technische Dokumentation ohne Personenbezug berührt die DSGVO kaum, unterliegt aber trotzdem der Schulungspflicht nach Artikel 4.
Themen im Detail
ChatGPT im Unternehmen
Was erlaubt ist, was nicht, und was zu tun ist, wenn Mitarbeiter es längst nutzen.
DSGVO-konforme Werkzeuge auswählen
Die Kriterien, an denen sich Anbieter unterscheiden — und wie man sie prüft.
Mitarbeiterdaten und KI
Beschäftigtendatenschutz, Mitbestimmung, verbotene Praktiken.
Datenstandort EU
Wo Daten physisch liegen, wer Zugriff hat und wie man das nachprüft.
Häufige Fragen
Darf man personenbezogene Daten in KI-Systeme geben?+
Ist ChatGPT im Unternehmen DSGVO-konform nutzbar?+
Was bedeutet Zero Retention?+
Reicht es, wenn der Anbieter in der EU sitzt?+
Brauchen wir eine Datenschutz-Folgenabschätzung?+
Was ist mit Daten von Mitarbeitern?+
Wenn die Antwort auf Frage zwei unklar ist
Bei uns lautet sie: eigene Infrastruktur in der EU, kein Weiterreichen an US-Anbieter, kein Training auf Kundendaten, offengelegte Unterauftragsverarbeiter mit Verarbeitungsort. Das ist nachprüfbar und steht im Auftragsverarbeitungsvertrag, nicht nur auf dieser Seite.