DSGVO und KI: die Fragen, die vor dem ersten Versuch geklärt gehören

Die DSGVO kennt keine KI. Sie stammt aus einer Zeit, in der niemand einen Vertragsauszug in ein Chatfenster geklebt hat. Trotzdem gilt sie unverändert, sobald personenbezogene Daten im Spiel sind. Und personenbezogen ist mehr, als man denkt: ein Name im Protokoll, eine Unterschrift auf dem Regiebericht, eine E-Mail-Adresse in der Anfrage.

Ich bin kein Jurist. Was folgt, sind die fünf Fragen, die ich mir vor jedem Vorhaben stelle. Sie decken die Verordnung nicht ab, sie sind der Filter, an dem bei mir das meiste hängen bleibt, bevor ein Jurist überhaupt drankommt.

1. Steckt überhaupt Personenbezug drin?

Die einfachste Frage, und die, mit der ich am meisten wegbekomme. Oft lautet die Antwort nein: technische Datenblätter, Herstellerhandbücher, Prüfprotokolle haben keinen Personenbezug. Und oft lässt er sich entfernen, ohne dass die Aufgabe leidet. Für die Zusammenfassung eines Prüfberichts brauche ich die Namen der Monteure nicht mitzuschicken.

Ich fange deshalb nicht bei der Rechtsprüfung an, sondern beim Weglassen.

2. Auf welcher Grundlage verarbeite ich?

Jede Verarbeitung braucht eine Rechtsgrundlage¹. In Betrieben sind das meist Vertragserfüllung oder berechtigtes Interesse. Einwilligung klingt einfach, ist im Arbeitsverhältnis aber heikel, weil sie freiwillig sein muss². Und eine Grundlage für die Speicherung deckt die Weitergabe an ein KI-Werkzeug nicht automatisch mit ab: das ist ein neuer Verarbeitungsschritt³.

3. Wer verarbeitet in meinem Auftrag?

Wer Daten in meinem Auftrag verarbeitet, braucht einen Auftragsverarbeitungsvertrag⁴. Große Anbieter stellen ihn für ihre Geschäftszugänge bereit, etwa Anthropic⁵ und Microsoft⁶. Das Anthropic-Addendum ist Bestandteil der kommerziellen Vereinbarung; für den kostenlosen Zugang gelten die Verbraucherbedingungen. Wo ich sonst nachgesehen habe, war es dasselbe Bild.

Der Ort gehört dazu: wo die Server stehen und was bei Übermittlung in Drittländer⁷ gilt.

4. Wie lange bleiben die Daten?

Löschfristen gelten auch hier. Praktisch heißt das: Was passiert mit dem Gesprächsverlauf, den hochgeladenen Dateien, den Protokollen? Und kann ich eine Löschung durchsetzen, wenn jemand sein Recht geltend macht⁸?

Bei einem selbst gebauten System kann ich nachsehen, aber auch nur, wenn ich an alles gedacht habe: an die Protokolle, an die Sicherungen, an ein zugekauftes Modell, das im Hintergrund mitliest. Bei einem fremden Werkzeug habe ich nur das, was in den Bedingungen steht.

5. Muss ich das dokumentieren?

Artikel 30 DSGVO⁹ verlangt ein Verarbeitungsverzeichnis. Absatz 5 nimmt Unternehmen und Einrichtungen unter 250 Beschäftigten davon aus. Die Ausnahme entfällt aber, sobald die Verarbeitung ein Risiko für die Rechte und Freiheiten der Betroffenen birgt, sobald sie nicht nur gelegentlich erfolgt oder sobald besondere Datenkategorien nach Artikel 9 Absatz 1 oder Daten nach Artikel 10 betroffen sind. Eines davon genügt. Wo bei mir eine KI laufend mit Personendaten arbeitet, steht sie im Verzeichnis.

Der Maßstab für die Datenschutz-Folgenabschätzung¹⁰ steht in Artikel 35¹¹: Absatz 1 verlangt sie bei voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen und nennt die Verwendung neuer Technologien ausdrücklich als Anlass. Neuartig allein reicht also nicht, es geht um das Risiko. Absatz 3 nennt drei Fälle, in denen sie jedenfalls erforderlich ist, darunter die systematische und umfassende Bewertung persönlicher Aspekte, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung entfalten oder ähnlich erheblich beeinträchtigen. Nach Absatz 4 veröffentlicht die Aufsichtsbehörde zusätzlich eine eigene Liste.

Artikel 22 Absatz 1 gibt der betroffenen Person das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden¹², die ihr gegenüber rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt; Absatz 2 nennt die Ausnahmen. Ob eine KI, die Bewerbungen vorsortiert, darunterfällt, hängt daran, ob am Ende noch ein Mensch wirklich entscheidet. Das ist eine Frage für sich, unabhängig von der KI-Verordnung.

Was ich mir angewöhnt habe

Bevor etwas läuft, schreibe ich drei Zeilen auf: welche Daten hineingehen, wohin sie fließen, wie lange sie bleiben. Wenn ich diese drei Zeilen nicht schreiben kann, ist das System nicht fertig geplant.

Das klingt nach Bürokratie, dauert aber zehn Minuten und hat mich schon zweimal davon abgehalten, etwas zu bauen, das ich später hätte abschalten müssen.

Wo es rechtlich eng wird, hole ich mir Rat bei jemandem, der dafür haftet. Diese fünf Fragen ersetzen das nicht, und diese Seite auch nicht.