Wann die DSGVO für einen KI-Assistenten gilt
Die Datenschutz-Grundverordnung (DSGVO) gilt, sobald ein KI-Assistent personenbezogene Daten verarbeitet. Das sind alle Angaben, die sich auf eine Person beziehen lassen: Namen, E-Mail-Adressen, Telefonnummern, Kundenakten, Termine, Rechnungen mit Anschrift oder der Inhalt einer Kundenmail.
Ein Assistent, der E-Mails sortiert oder Rechnungen ausliest, verarbeitet fast immer personenbezogene Daten. Anders ist es bei reinen Sachdaten wie Produktbeschreibungen oder Preislisten. Auch dann lohnt ein Blick, ob dort doch Namen oder Ansprechpartner stehen.
Sieben Fragen vor dem Start
- Welche Daten sind betroffen? Listen Sie auf, was der Assistent sieht. Verarbeiten Sie nur, was für die Aufgabe nötig ist (Datenminimierung, Art. 5 DSGVO).
- Auf welcher Rechtsgrundlage? Meist kommen die Vertragserfüllung oder das berechtigte Interesse in Frage (Art. 6 DSGVO). Sie müssen die Grundlage kennen und dokumentieren.
- Bei welchem Anbieter laufen die Daten? Wenn ein Dienstleister Daten in Ihrem Auftrag verarbeitet, braucht es einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Das gilt für KI-Anbieter ebenso wie für Hosting.
- Wo werden die Daten verarbeitet? Ein Standort in der EU vereinfacht vieles. Bei Anbietern außerhalb der EU brauchen Sie eine Grundlage für die Übermittlung (Art. 44 ff. DSGVO), etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln.
- Dienen Ihre Daten dem Training des Modells? Prüfen Sie die Einstellungen und Vertragsbedingungen. Für Geschäftsdaten sollte das ausgeschlossen sein.
- Sind Betroffene informiert? Ihre Datenschutzerklärung muss die Verarbeitung beschreiben (Art. 13 und 14 DSGVO). Ergänzen Sie außerdem Ihr Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO).
- Wer prüft das Ergebnis? Entscheidungen mit erheblicher Wirkung für Personen dürfen nicht allein von einer Maschine getroffen werden (Art. 22 DSGVO). Legen Sie fest, wann ein Mensch prüft, und wie lange Protokolle und Eingaben gespeichert werden.
Welche Daten gehören in einen KI-Assistenten?
Nicht jede Datenart ist gleich heikel. Die folgende Tabelle ordnet typische Daten aus kleinen Betrieben ein. Sie ersetzt keine Prüfung Ihres Einzelfalls.
| Datenart | Einordnung | Empfehlung |
|---|---|---|
| Allgemeine Firmendaten, Produkte, Preislisten | meist kein Personenbezug | unkritisch, auf versteckte Namen prüfen |
| Kontaktdaten und Anfragen von Kunden | personenbezogen | Auftragsverarbeitungsvertrag, Standort EU, Rechtsgrundlage klären |
| Gesundheitsdaten (z. B. Praxen) | besondere Kategorie (Art. 9 DSGVO) | nur nach gesonderter Prüfung und mit enger Abstimmung |
| Bewerbungen und Personaldaten | sensibel, im KI-Recht schnell Hochrisiko | nicht ohne Prüfung einsetzen |
| Passwörter, Zugangsdaten, Zahlungsdaten | hohes Missbrauchsrisiko | nie in Eingaben an KI-Dienste |
Öffentliches Chat-Tool oder eigener Assistent?
Das häufigste Problem entsteht nicht durch Technik, sondern im Alltag: Eine Mitarbeiterin kopiert eine Kundenmail in ein frei zugängliches Chat-Tool, um schneller zu antworten. Damit gehen personenbezogene Daten an einen Anbieter, mit dem Sie keinen Vertrag haben. Tarife ohne Auftragsverarbeitungsvertrag eignen sich dafür nicht.
- Regeln für das Team: Legen Sie schriftlich fest, welche Tools erlaubt sind und welche Daten nie hineingehören.
- Eigener Assistent: Er arbeitet mit Ihren Programmen, in einer festgelegten Umgebung, mit einem Anbieter, den Sie geprüft haben, und mit Protokoll. Dafür braucht er Einrichtung und Pflege.
- Freigabe: Ein Assistent, der nur vorbereitet, und ein Mensch, der prüft und freigibt, vermeidet viele Risiken, auch bei Art. 22 DSGVO.
So gehe ich bei Projekten vor
Bei einem KI-Projekt klären wir den Datenschutz, bevor der erste Datensatz verarbeitet wird. Die Systeme betreibe ich auf Servern in Deutschland oder der EU. Der Assistent bereitet vor, die Freigabe bleibt bei Ihnen. Im KI-Check halte ich fest, welche Daten der Ablauf braucht, welche nicht und wo ein Mensch prüft. Wenn ich in Ihrem Auftrag Daten verarbeite, stimmen wir die nötigen Verträge vor Projektstart ab.
Preise und Ablauf stehen auf der Seite KI-Automatisierung, eine Kostenübersicht im Beitrag Was kostet KI-Automatisierung?. Zu den Pflichten aus der europäischen KI-Verordnung lesen Sie EU AI Act für kleine Unternehmen.
Stand und Quellen
Veröffentlicht am , zuletzt geändert am . Autor: Carsten Uwe Schneider, Tailorcode, Wolfsburg.
- Datenschutz-Grundverordnung (EU) 2016/679: Art. 5, 6, 9, 13, 14, 22, 28, 30, 35 und 44 ff.
- Datenschutzkonferenz (DSK) mit Orientierungshilfen zu KI und Datenschutz
- Die Landesbeauftragte für den Datenschutz Niedersachsen: Zuständige Aufsichtsbehörde für Betriebe in Niedersachsen
Dieser Beitrag gibt eine Orientierung und ersetzt keine Rechtsberatung. Bei Gesundheits- und Personaldaten oder offenen Fragen wenden Sie sich an Ihre Datenschutzbeauftragte, Ihren Datenschutzbeauftragten oder eine Anwaltskanzlei.
