DSGVO & KI: Was ist erlaubt, was ist Pflicht?

Die DSGVO gilt seit 2018, KI-Systeme sind in den letzten Jahren explosionsartig gewachsen. Viele deutsche Unternehmen sind unsicher: Darf ich überhaupt KI einsetzen? Was muss ich beachten? Hier die Antworten.

Grundprinzip: KI ist nicht verboten

Die DSGVO verbietet KI nicht grundsätzlich. Sie verlangt, dass Sie bestimmte Voraussetzungen erfüllen, bevor Sie personenbezogene Daten mit KI verarbeiten.

Die drei Voraussetzungen

1. Rechtsgrundlage (Art. 6 DSGVO)

Für die meisten B2B-Anwendungen reicht berechtigtes Interesse (Art. 6 Abs. 1 lit. f):

• Sie haben ein legitimes geschäftliches Interesse (z.B. Effizienzsteigerung)
• Die Verarbeitung ist zur Erreichung dieses Ziels erforderlich
• Die Interessen der Betroffenen überwiegen nicht

Für Marketing, Profiling oder automatisierte Einzelentscheidungen brauchen Sie meist eine explizite Einwilligung (Art. 6 Abs. 1 lit. a).

2. Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Eine DSFA ist Pflicht, wenn die Verarbeitung voraussichtlich hohe Risiken für die Rechte und Freiheiten natürlicher Personen aufweist. Das ist bei KI fast immer der Fall.

Eine DSFA umfasst:

• Beschreibung der Verarbeitung
• Bewertung der Risiken
• Maßnahmen zur Risikominimierung
• Konsultation des Datenschutzbeauftragten

3. Transparenz (Art. 13/14 DSGVO)

Die betroffenen Personen müssen wissen, dass Sie KI einsetzen. In der Praxis bedeutet das:

• Hinweis im Impressum/Datenschutzerklärung
• Information bei erster Interaktion (“Sie sprechen jetzt mit unserem KI-Assistenten”)
• Erklärung, welche Daten verarbeitet werden

Besondere Kategorien: Art. 9 DSGVO

Bestimmte Daten genießen besonderen Schutz:

• Gesundheitsdaten
• Religiöse Überzeugungen
• Politische Meinungen
• Sexuelle Orientierung
• Biometrische Daten

Für diese Daten brauchen Sie eine explizite Einwilligung — “berechtigtes Interesse” reicht nicht.

Hosting und Drittlandtransfer

Seit dem Schrems-II-Urteil (2020) ist die Drittlandübertragung in die USA und andere unsichere Drittländer nur noch unter strengen Auflagen möglich. Praktische Konsequenz:

• EU-Hosting ist Pflicht für DSGVO-konformen KI-Einsatz
• Standardvertragsklauseln allein reichen nicht
• TIA (Transfer Impact Assessment) ist erforderlich

Wir empfehlen: Hosting in Frankfurt, keine API-Calls an US-Anbieter, oder zumindest EU-Region mit AVV.

Draft-Only-Modus als Lösung für Art. 22

Art. 22 DSGVO verbietet automatisierte Einzelentscheidungen mit Rechtswirkung. Eine vollständig autonome KI, die Kunden ablehnt oder Verträge kündigt, ist nicht erlaubt.

Draft-Only-Modus löst das: Die KI schlägt vor, der Mensch entscheidet. Keine automatisierten Entscheidungen mit Rechtswirkung, volle Compliance.

Checkliste: DSGVO-konformer KI-Einsatz

• Rechtsgrundlage identifiziert und dokumentiert
• DSFA durchgeführt (bei hohem Risiko)
• Datenschutzerklärung aktualisiert
• Betroffene werden informiert
• Hosting in der EU
• AVV mit allen Auftragsverarbeitern
• Draft-Only-Modus bei Kundenkommunikation
• Löschkonzept implementiert
• Mitarbeiter geschult
• Incident-Response-Plan vorhanden

Häufige Fehler

• “Wir nutzen ChatGPT, das ist doch EU-konform” — Nein, OpenAI nutzt US-Server ohne ausreichende Garantien
• “Wir haben eine Datenschutzerklärung, das reicht” — Ohne DSFA und technische Maßnahmen nicht
• “Die KI entscheidet, der Mensch überprüft stichprobenartig” — Stichproben sind nicht ausreichend, Draft-Only ist Pflicht
• “Wir hosten in Irland, das ist EU” — Ja, aber US-Anbieter können von Behörden gezwungen werden, Daten herauszugeben

Fazit

DSGVO-konformer KI-Einsatz ist machbar, erfordert aber Sorgfalt. Mit den richtigen Voraussetzungen (EU-Hosting, Draft-Only, DSFA, AVV) sind Sie auf der sicheren Seite und können die Vorteile der KI voll nutzen.