KI im Unternehmen ist datenschutzkonform einsetzbar, sofern Sie eine Rechtsgrundlage für die Verarbeitung haben, personenbezogene Daten in der EU verarbeitet werden und mit dem Anbieter ein Vertrag zur Auftragsverarbeitung besteht. Das Problem ist selten die KI selbst, sondern wohin die Daten fließen.
Worum es bei der DSGVO wirklich geht
Die DSGVO interessiert sich nicht dafür, ob Sie KI nutzen. Sie interessiert sich dafür, was mit personenbezogenen Daten passiert: Kundennamen, Adressen, Vertragsdaten, der Inhalt von Anfragen. Sobald solche Daten durch ein KI-System laufen, gelten dieselben Regeln wie bei jeder anderen Datenverarbeitung.
Drei Bedingungen müssen erfüllt sein.
Bedingung 1: Eine Rechtsgrundlage
Jede Verarbeitung braucht einen Grund, den die DSGVO anerkennt. In der Praxis ist das meist die Vertragserfüllung (Sie bearbeiten die Anfrage eines Kunden) oder ein berechtigtes Interesse. Eine Einwilligung ist nur in bestimmten Fällen nötig. Wichtig ist, dass Sie den Zweck vorab festlegen und dokumentieren.
Bedingung 2: Daten bleiben in der EU
Das ist der Punkt, an dem die meisten Standard-Tools durchfallen. Viele bekannte KI-Dienste verarbeiten Daten auf Servern in den USA. Für personenbezogene Daten ist das ohne zusätzliche Absicherung heikel. Die saubere Lösung: KI-Modelle über europäische Infrastruktur betreiben, etwa AWS Bedrock in Frankfurt oder Google Vertex AI in der Region Europa. Dieselben starken Modelle, aber die Verarbeitung verlässt die EU nicht. Wie das konkret aussieht, lesen Sie in ChatGPT im Unternehmen nutzen, ohne Daten in die USA zu schicken.
Bedingung 3: Ein Vertrag zur Auftragsverarbeitung
Wenn ein Dienstleister oder Anbieter Daten in Ihrem Auftrag verarbeitet, brauchen Sie einen Vertrag zur Auftragsverarbeitung (AVV). Er regelt, was mit den Daten passieren darf und was nicht. Seriöse Anbieter stellen ihn bereit. Fehlt er, fehlt die Grundlage.
Was in der Praxis hilft
- Datensparsamkeit: Geben Sie der KI nur die Daten, die sie für die Aufgabe wirklich braucht. Oft reicht weniger, als man denkt.
- Pseudonymisierung: Wo möglich, ersetzen Sie Klarnamen durch Kennungen, bevor Daten verarbeitet werden.
- Protokollierung: Halten Sie fest, welcher Prozess welche Daten wann verarbeitet. Das brauchen Sie für das Verarbeitungsverzeichnis ohnehin.
- EU-Hosting als Standard: Datenbank, Workflow-Engine und Modell gehören in die EU.
Der pragmatische Weg
DSGVO-Konformität ist keine Frage von Glück, sondern von Architektur. Wer von Anfang an EU-Infrastruktur, einen AVV und eine klare Rechtsgrundlage einplant, hat den größten Teil erledigt. Genau so bauen wir jede Automatisierung. Mehr dazu auf unserer Übersichtsseite DSGVO und KI-Automatisierung.
Dieser Artikel ist eine Orientierung, keine Rechtsberatung. Für die verbindliche Bewertung Ihres konkreten Falls ziehen Sie eine Datenschutzberatung hinzu.
