DSGVO im KI-Einsatz

Die Datenschutz-Grundverordnung gilt beim Einsatz von KI genauso wie bei jeder anderen Software. Sie knüpft nicht an die Technik an, sondern an die Verarbeitung personenbezogener Daten. Sobald Kundennamen, Adressen, Telefonnummern, Beschäftigtendaten oder erkennbare Personen auf Fotos in ein Werkzeug gelangen, greifen die bekannten Grundsätze: Rechtsgrundlage nach Art. 6 DSGVO, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Transparenz gegenüber den Betroffenen.

Im Betriebsalltag entsteht der Personenbezug oft nebenbei. Ein Angebotstext enthält Bauherrenname und Objektadresse, ein Reklamationsschreiben nennt Vorgänge und Personen, ein Baustellenfoto zeigt die Kolonne, eine Sprachnotiz nennt Kollegen beim Namen. Wer diese Inhalte in ein Chatfenster kopiert, führt eine Übermittlung an einen Dienstleister durch, und zwar unabhängig davon, ob das Werkzeug kostenlos ist.

Was das im Betrieb bedeutet

Der praktikabelste Weg beginnt bei der Datenmenge. Vieles lässt sich ohne Personenbezug erledigen: Ein Angebotstext lässt sich mit Platzhaltern entwerfen und erst im eigenen System mit den echten Daten befüllen. Ein Mahnschreiben braucht den Sachverhalt, nicht die vollständige Kundenakte. Diese Zurückhaltung ersetzt viele rechtliche Diskussionen.

Wo Personenbezug unvermeidbar ist, gelten drei Schritte. Erstens den Dienst vertraglich sauber anbinden, also Auftragsverarbeitungsvertrag abschließen, Serverstandort und mögliche Drittlandübertragung klären und die Nutzung der Eingaben zum Modelltraining abschalten. Zweitens die Verarbeitung im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO eintragen. Drittens bei besonders eingriffsintensiven Anwendungen prüfen, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist.

Hinzu kommen die Betroffenenrechte. Auskunft und Löschung müssen auch dann erfüllbar sein, wenn Daten in Chatverläufen oder Vektorindizes liegen. Wer nicht weiß, wo Kopien seiner Kundendaten liegen, kann diese Rechte nicht bedienen.

Zwei Bereiche verdienen besondere Aufmerksamkeit. Beschäftigtendaten stehen unter strengeren Anforderungen als Kundendaten, weil im Arbeitsverhältnis ein Abhängigkeitsverhältnis besteht und eine Einwilligung deshalb selten trägt. Und Werkzeuge mit Kundenkontakt, etwa ein Chatbot auf der Website oder ein Telefonassistent, verarbeiten Daten von Personen, die davon zunächst nichts wissen; hier gehören Hinweis und Datenschutzerklärung angepasst, bevor das System freigeschaltet wird. In beiden Fällen entstehen Probleme selten durch die Technik, sondern dadurch, dass niemand vorher festgelegt hat, was hineingegeben werden darf.

Für den Einstieg genügt eine Übersicht der eingesetzten Werkzeuge mit Zweck, Datenarten und Vertragslage, ergänzt um eine Regel, welche Inhalte grundsätzlich nicht in externe Dienste gehören. Weitere Hinweise, abgestimmt auf Handwerksbetriebe, gibt der Ratgeber KI-Datenschutz im Handwerk. Bei unklaren Fällen lohnt die Abstimmung mit dem Datenschutzbeauftragten oder einer fachkundigen Beratung.