Das Wichtigste im Überblick
- KI-Systeme verarbeiten personenbezogene Daten und unterliegen damit vollumfänglich der DSGVO – Unternehmen müssen für jeden KI-Einsatz eine Rechtsgrundlage nachweisen und die Betroffenenrechte gewährleisten können
- Die EU-KI-Verordnung (AI Act) führt zusätzliche Pflichten ein – Hochrisiko-KI-Systeme erfordern umfangreiche Dokumentation, während verbotene KI-Praktiken mit Bußgeldern geahndet werden
- Technische und organisatorische Maßnahmen müssen speziell auf KI-Risiken zugeschnitten sein – Herkömmliche Datenschutzkonzepte greifen bei selbstlernenden Systemen oft zu kurz und müssen angepasst werden
Warum Datenschutz bei KI-Anwendungen besonders kritisch ist
Künstliche Intelligenz durchdringt zunehmend alle Unternehmensbereiche. Von der automatisierten Bewerberauswahl über Chatbots im Kundenservice bis zur vorausschauenden Wartung in der Produktion – KI-Systeme versprechen Effizienzgewinne und neue Geschäftsmodelle. Doch gerade die Eigenschaften, die KI so leistungsfähig machen, schaffen erhebliche datenschutzrechtliche Herausforderungen.
KI-Systeme benötigen große Datenmengen zum Trainieren. Sie treffen eigenständige Entscheidungen, deren Logik oft selbst für Entwickler schwer nachvollziehbar ist. Sie lernen kontinuierlich aus neuen Eingaben und können dabei unbeabsichtigt sensible Informationen preisgeben oder diskriminierende Muster reproduzieren. Diese Besonderheiten machen den Einsatz von KI zu einem datenschutzrechtlichen Hochseilakt.
Die rechtlichen Rahmenbedingungen entwickeln sich rasant weiter. Neben der DSGVO tritt die EU-KI-Verordnung schrittweise in Kraft. Aufsichtsbehörden wie die Datenschutzkonferenzen der Länder veröffentlichen laufend neue Orientierungshilfen. Unternehmen, die KI einsetzen oder einsetzen wollen, stehen vor der Aufgabe, diese komplexen Vorgaben in praktikable Prozesse zu übersetzen.
Rechtliche Grundlagen: DSGVO und KI-Verordnung im Zusammenspiel
Die DSGVO als Fundament
Die Datenschutz-Grundverordnung bildet das rechtliche Fundament für den Umgang mit personenbezogenen Daten in KI-Systemen. Sobald eine KI-Anwendung Daten verarbeitet, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen, greifen die Vorgaben der DSGVO vollumfänglich.
Art. 6 DSGVO verlangt eine Rechtsgrundlage für jede Verarbeitung personenbezogener Daten. Bei KI-Anwendungen kommt häufig die Einwilligung der Betroffenen, die Vertragserfüllung oder die Verarbeitung zur Wahrung berechtigter Interessen in Betracht. Letzteres setzt eine Interessenabwägung voraus, bei der die Grundrechte der Betroffenen nicht überwiegen dürfen.
Art. 22 DSGVO gewährt Betroffenen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt. Dieses Verbot automatisierter Einzelentscheidungen ist für viele KI-Anwendungen zentral. Ausnahmen gelten nur unter engen Voraussetzungen, insbesondere wenn eine Einwilligung vorliegt oder die Entscheidung für den Vertragsabschluss erforderlich ist.
Die Art. 13 und 14 DSGVO regeln die Informationspflichten. Sie legen fest, wie und wann Unternehmen und andere Organisationen verpflichtet sind, die betroffene Person über die Verarbeitung ihrer personenbezogenen Daten zu informieren.
Die EU-KI-Verordnung (AI Act)
Die EU-KI-Verordnung ergänzt die DSGVO um spezifische Vorgaben für KI-Systeme. Sie verfolgt einen risikobasierten Ansatz und unterscheidet zwischen verbotenen KI-Praktiken, Hochrisiko-KI-Systemen, KI-Systemen mit Transparenzpflichten und sonstigen KI-Anwendungen.
Verbotene KI-Praktiken umfassen unter anderem Social Scoring durch staatliche Stellen, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit engen Ausnahmen) sowie KI-Systeme, die das Verhalten von Personen in einer Weise manipulieren, die ihnen oder Dritten Schaden zufügen kann. Verstöße können mit Bußgeldern geahndet werden.
Hochrisiko-KI-Systeme betreffen Bereiche wie kritische Infrastruktur, Bildung und Berufsausbildung, Beschäftigung, Zugang zu grundlegenden privaten und öffentlichen Diensten, Strafverfolgung sowie Migration und Grenzkontrollen. Für diese Systeme gelten umfangreiche Anforderungen an Risikomanagementsysteme, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht und Robustheit.
Transparenzpflichten treffen KI-Systeme, die mit Menschen interagieren (etwa Chatbots), Emotionen erkennen oder biometrische Kategorisierungen vornehmen. Nutzer müssen darüber informiert werden, dass sie es mit einem KI-System zu tun haben.
Typische Anwendungsfälle und ihre datenschutzrechtlichen Fallstricke
Chatbots und virtuelle Assistenten
Chatbots sind mittlerweile in vielen Unternehmen im Einsatz, sei es im Kundenservice, im HR-Bereich oder für interne Anfragen. Aus datenschutzrechtlicher Sicht sind dabei mehrere Aspekte zu beachten. Zunächst muss klar sein, welche Daten der Chatbot verarbeitet. Protokolliert er nur die gestellten Fragen oder auch die Antworten? Werden Gesprächsverläufe gespeichert? Erfolgt eine Verknüpfung mit anderen Kundendaten?
Viele Unternehmen unterschätzen, dass bereits die Protokollierung von Chat-Verläufen eine umfassende Datenverarbeitung darstellt, die einer Rechtsgrundlage bedarf. Bei der Nutzung externer Chatbot-Dienste kommt hinzu, dass Daten möglicherweise an Drittanbieter übermittelt werden. Hier ist die Vereinbarung zur Auftragsverarbeitung nach Artikel 28 DSGVO zwingend erforderlich.
Ein weiterer kritischer Punkt ist die Transparenz. Nutzer müssen erkennen können, dass sie mit einem Bot und nicht mit einem Menschen kommunizieren. Zudem müssen sie über den Umfang der Datenverarbeitung informiert werden.
Marketing und Kundenanalyse
Im Marketing nutzen Unternehmen KI vor allem für Personalisierung und Targeting. Sie analysieren das Verhalten ihrer Kunden, erstellen Prognosen über künftige Käufe und segmentieren ihre Zielgruppen. Aus datenschutzrechtlicher Sicht ist hier besonders das Profiling relevant.
Videoüberwachung und Gesichtserkennung
KI-gestützte Videoüberwachung und Gesichtserkennung gehören zu den datenschutzrechtlich sensibelsten Anwendungsbereichen. Die Verarbeitung biometrischer Daten zur eindeutigen Identifizierung natürlicher Personen fällt unter die besonderen Kategorien personenbezogener Daten.
Unternehmen, die dennoch Gesichtserkennung einsetzen möchten, müssen nicht nur eine Rechtsgrundlage nachweisen, sondern auch eine Datenschutz-Folgenabschätzung durchführen und umfassende technische und organisatorische Maßnahmen treffen. Dazu gehört unter anderem, dass die biometrischen Daten verschlüsselt gespeichert werden und die Systeme so konfiguriert sind, dass sie nur im erforderlichen Umfang Daten erfassen.
Praktische Tipps für den datenschutzkonformen KI-Einsatz
Privacy by Design und by Default
Der Grundsatz des Datenschutzes durch Technikgestaltung und datenschutzfreundliche Voreinstellungen aus Artikel 25 DSGVO ist für KI-Systeme von zentraler Bedeutung. Privacy by Design bedeutet, dass Datenschutz bereits bei der Entwicklung des Systems berücksichtigt werden muss, nicht erst nachträglich. Für KI-Projekte heißt das: Von Anfang an muss überlegt werden, welche Daten wirklich benötigt werden, wie sie geschützt werden können und welche Risiken bestehen.
Privacy by Default ergänzt diesen Ansatz, indem voreingestellt nur die Datenverarbeitung erfolgt, die für den jeweiligen Zweck notwendig ist. Bei KI-Systemen könnte das bedeuten, dass standardmäßig nur aggregierte Daten verwendet werden oder dass die Speicherdauer von Daten automatisch begrenzt ist.
Datenschutz-Folgenabschätzung durchführen
Artikel 35 DSGVO verpflichtet Verantwortliche, eine Datenschutz-Folgenabschätzung durchzuführen, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Bei den meisten KI-Anwendungen, die personenbezogene Daten verarbeiten, ist das der Fall.
Die DSFA sollte dokumentieren, wie die Funktionsweise des KI-Systems ist, welche Daten verwendet werden, wie das Training erfolgt und welche Maßnahmen getroffen werden, um Risiken wie Bias, Diskriminierung oder Intransparenz zu begegnen. Es empfiehlt sich, die DSFA nicht als einmalige Pflichtübung zu verstehen, sondern sie regelmäßig zu aktualisieren, insbesondere wenn das KI-System weiterentwickelt wird.
Training und Sensibilisierung der Mitarbeiter
Die beste technische Lösung nützt wenig, wenn die Mitarbeiter nicht wissen, wie sie damit umgehen sollen. Gerade bei KI-Systemen ist es wichtig, dass alle Beteiligten die datenschutzrechtlichen Anforderungen kennen und verstehen. Das betrifft nicht nur die IT-Abteilung, sondern auch die Fachabteilungen, die die KI-Systeme nutzen.
Schulungen sollten vermitteln:
- Welche datenschutzrechtlichen Grundsätze beim Einsatz von KI gelten
- Wie mit Anfragen von Betroffenen umzugehen ist
- Wann eine menschliche Überprüfung automatisierter Entscheidungen erforderlich ist
- Wie potentielle Bias erkannt werden können
- An wen man sich bei Fragen oder Problemen wenden kann
Checkliste: Datenschutzkonforme KI-Implementierung
Vor der Implementierung:
- Ist der Zweck der KI-Anwendung klar definiert und dokumentiert?
- Wurde geprüft, welche Daten tatsächlich erforderlich sind (Datenminimierung)?
- Existiert eine gültige Rechtsgrundlage für die Datenverarbeitung?
- Wurden die Betroffenen transparent über die KI-Nutzung informiert?
- Wurde eine Datenschutz-Folgenabschätzung durchgeführt?
- Sind die technischen und organisatorischen Maßnahmen dokumentiert?
Bei der Auswahl von Dienstleistern:
- Ist geklärt, ob eine Auftragsverarbeitung oder gemeinsame Verantwortlichkeit vorliegt?
- Existiert ein DSGVO-konformer Vertrag?
- Wurde geprüft, wo die Daten verarbeitet werden?
- Sind die Sicherheitsmaßnahmen des Dienstleisters angemessen?
Während des Betriebs:
- Sind Prozesse etabliert, um Betroffenenrechte zu gewährleisten?
- Erfolgt eine laufende Dokumentation der Verarbeitungstätigkeiten?
- Werden Mitarbeiter regelmäßig zu datenschutzrechtlichen Anforderungen geschult?
- Gibt es ein System zur Überwachung und zum Incident Management?
Bei automatisierten Entscheidungen:
- Ist sichergestellt, dass eine menschliche Überprüfung möglich ist?
- Können Betroffene ihren Standpunkt darlegen und die Entscheidung anfechten?
- Ist die Logik der Entscheidungsfindung dokumentiert und erklärbar?
Dokumentation:
- Sind alle Verarbeitungstätigkeiten im Verzeichnis erfasst?
- Liegt eine aktuelle Datenschutz-Folgenabschätzung vor?
- Sind die Informationspflichten gegenüber Betroffenen erfüllt?
- Existieren Löschkonzepte für Trainings- und Betriebsdaten?
KI und Datenschutz – eine Frage der richtigen Vorbereitung
Der Einsatz künstlicher Intelligenz bietet Unternehmen enorme Chancen, bringt aber auch erhebliche datenschutzrechtliche Herausforderungen mit sich. Die DSGVO und der AI Act setzen klare Grenzen, die keinesfalls als Innovationshemmnisse verstanden werden sollten, sondern als Leitplanken für eine verantwortungsvolle Nutzung von KI.
Der Schlüssel zum Erfolg liegt in der frühzeitigen Auseinandersetzung mit den rechtlichen Anforderungen. Wer Datenschutz bereits bei der Planung und Entwicklung von KI-Systemen mitdenkt, vermeidet nicht nur rechtliche Risiken, sondern schafft auch Vertrauen bei Kunden und Geschäftspartnern. Die Erfahrung zeigt: Datenschutzkonforme KI-Lösungen sind durchaus möglich, erfordern aber eine sorgfältige Planung, klare Prozesse und eine enge Zusammenarbeit zwischen Technik, Recht und Fachbereichen.
Als Kanzlei mit Schwerpunkten im IT-Recht und Datenschutz begleiten wir Unternehmen bei der rechtskonformen Implementierung von KI-Systemen. Sprechen Sie uns an, wenn Sie Unterstützung bei der datenschutzrechtlichen Bewertung Ihrer KI-Projekte benötigen.
Häufig gestellte Fragen
Nicht zwingend jeder KI-Einsatz erfordert eine DSFA, aber in den meisten Fällen ist sie notwendig. Entscheidend ist, ob die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen birgt. Bei automatisierten Entscheidungen, umfangreichem Profiling oder der Verarbeitung besonderer Kategorien personenbezogener Daten ist eine DSFA regelmäßig erforderlich. Im Zweifelsfall sollte eine DSFA durchgeführt werden, da sie auch unabhängig von der rechtlichen Pflicht ein wertvolles Instrument zur Risikobewertung ist.
Nein, das ist datenschutzrechtlich problematisch. Nur weil Daten öffentlich zugänglich sind, bedeutet das nicht, dass sie ohne weiteres für KI-Training genutzt werden dürfen. Es benötigt eine Rechtsgrundlage für die Verarbeitung, und die Betroffenen müssen grundsätzlich informiert werden. Auch das Urheberrecht kann der Nutzung entgegenstehen. Für das Training von KI-Modellen sollten idealerweise Daten verwendet werden, für die eine klare Rechtsgrundlage besteht, etwa weil die Betroffenen eingewilligt haben oder weil ein berechtigtes Interesse nach sorgfältiger Abwägung besteht.
Ja, Transparenz ist ein zentraler Grundsatz der DSGVO. Betroffene haben ein Recht darauf zu wissen, wenn sie mit einem KI-System interagieren, insbesondere wenn automatisierte Entscheidungen getroffen werden. Bei Chatbots sollte zu Beginn des Gesprächs klargestellt werden, dass es sich um eine automatisierte Kommunikation handelt. Bei KI-Anwendungen müssen außerdem die Informationspflichten nach Artikel 13 oder 14 DSGVO erfüllt werden, die auch Angaben zur automatisierten Entscheidungsfindung umfassen.
Der AI Act klassifiziert KI-Systeme nach Risikoklassen. Für Hochrisiko-Systeme – etwa im Bereich Beschäftigung, kritische Infrastruktur oder Strafverfolgung – gelten strenge Anforderungen. Diese umfassen Risikomanagement, Datenqualität-Standards, Dokumentationspflichten und menschliche Aufsicht. Minimales Risiko bedeutet hingegen kaum Auflagen. Unternehmen müssen zunächst bewerten, in welche Kategorie ihre KI-Systeme fallen, und dann die jeweiligen Anforderungen umsetzen. Der AI Act ergänzt die DSGVO, beide Regelwerke müssen parallel beachtet werden.
Ja, für jede Verarbeitungstätigkeit ist eine eigene Rechtsgrundlage erforderlich. Wenn Sie mehrere KI-Systeme betreiben, die jeweils unterschiedliche Daten zu verschiedenen Zwecken verarbeiten, benötigen Sie für jedes System eine Rechtsgrundlage. Diese kann je nach Kontext unterschiedlich sein. Wichtig ist, dass die Rechtsgrundlage bereits vor Beginn der Verarbeitung feststeht und dokumentiert wird.
Die Speicherdauer richtet sich nach dem Grundsatz der Speicherbegrenzung aus Artikel 5 DSGVO. Daten dürfen nur so lange gespeichert werden, wie es für die Zwecke erforderlich ist. Bei KI-Training ist zu differenzieren: Die ursprünglichen Trainingsdaten können gelöscht werden, sobald das Modell trainiert ist, sofern kein anderer Zweck eine weitere Speicherung rechtfertigt. Es empfiehlt sich, ein durchdachtes Löschkonzept zu entwickeln.
Die Nichteinhaltung der DSGVO kann zu empfindlichen Bußgeldern führen. Daneben drohen Schadensersatzansprüche Betroffener und Reputationsschäden.
German 
English