Datenschutzfragen bei KI
Jede Verarbeitung personenbezogener Daten durch KI braucht eine Rechtsgrundlage – häufig das berechtigte Interesse, bei Beschäftigtendaten besondere Regeln. Betroffene müssen transparent informiert werden, auch darüber, dass KI eingesetzt wird. Bei neuen Technologien mit voraussichtlich hohem Risiko ist eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) durchzuführen.
Besondere Vorsicht gilt bei automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, etwa bei Kreditvergabe oder Bewerberauswahl. Hier verlangt Art. 22 DSGVO grundsätzlich eine menschliche Letztentscheidung oder besondere Schutzmaßnahmen. Auch die Betroffenenrechte – Auskunft, Berichtigung, Löschung – müssen bei KI-Systemen praktisch umsetzbar sein.
KI-Anbieter als Auftragsverarbeiter
Nutzen Sie externe KI-Dienste, brauchen Sie in der Regel einen Auftragsverarbeitungsvertrag, eine Prüfung der Unterauftragnehmer und – bei Anbietern außerhalb der EU – eine Grundlage für die Drittlandübermittlung. Kostenlose Verbraucherzugänge erfüllen diese Anforderungen meist nicht.
Praxisbeispiele: KI & Datenschutz
KI-Auswertung von Kundengesprächen
Kreditwürdigkeitsprüfung mit KI
Auskunftsersuchen zu KI-Daten
Die Beispiele sind typische, anonymisierte und vereinfachte Konstellationen aus der Beratungspraxis. Jeder Fall ist anders – das Ergebnis hängt von den Umständen des Einzelfalls ab.
Unsere Leistungen: KI & Datenschutz
- Datenschutz-Folgenabschätzung für KI
- Rechtsgrundlagen und Informationspflichten
- AV-Verträge mit KI-Anbietern
- Drittlandübermittlung bei KI-Diensten
- Gestaltung nach Art. 22 DSGVO
- Betroffenenrechte bei KI-Systemen
So läuft die Zusammenarbeit ab
Häufige Fragen: KI & Datenschutz
Brauche ich für KI immer eine Datenschutz-Folgenabschätzung?
Nicht immer, aber häufig: insbesondere bei umfangreicher Verarbeitung, Profiling, Beschäftigtendaten oder sensiblen Daten. Im Zweifel sollte die Notwendigkeit dokumentiert geprüft werden.
Darf ich Kundendaten zum Training eigener Modelle nutzen?
Nur mit tragfähiger Rechtsgrundlage und unter Beachtung der Zweckbindung. Oft ist eine Anonymisierung oder Pseudonymisierung vor dem Training der richtige Weg.
Welche Behörde ist zuständig?
Für den Datenschutz die jeweilige Datenschutzaufsicht. Für den AI Act übernimmt in Deutschland die Bundesnetzagentur eine zentrale Rolle; beide Regelwerke gelten nebeneinander.
Ihre Anfrage an uns
Alle Felder sind freiwillig. Geben Sie nur an, was Sie möchten.
