Die DSGVO kennt keine KI. Sie stammt aus einer Zeit, in der niemand einen Vertragsauszug in ein Chatfenster geklebt hat. Trotzdem gilt sie unverändert, sobald personenbezogene Daten im Spiel sind. Und personenbezogen ist mehr, als man denkt: ein Name im Protokoll, eine Unterschrift auf dem Regiebericht, eine E-Mail-Adresse in der Anfrage.
Ich bin kein Jurist. Was folgt, sind die fünf Fragen, die ich mir bei jedem Vorhaben stelle, bevor etwas hineingeht.
1. Steckt überhaupt Personenbezug drin?
Die einfachste und wirksamste Frage. Oft lautet die Antwort nein, und dann ist vieles unkompliziert. Normen, technische Datenblätter, Herstellerhandbücher: kein Personenbezug.
Und oft lässt sich der Personenbezug entfernen, ohne dass die Aufgabe leidet. Wenn ich einen Prüfbericht zusammenfassen lasse, brauche ich die Namen der Monteure nicht mitzuschicken.
Der erste Schritt ist deshalb nicht die Rechtsprüfung, sondern das Weglassen.
2. Auf welcher Grundlage verarbeite ich?
Jede Verarbeitung braucht eine Rechtsgrundlage. In Betrieben sind das meist Vertragserfüllung oder berechtigtes Interesse. Einwilligung klingt einfach, ist aber im Arbeitsverhältnis heikel, weil sie freiwillig sein muss.
Wichtig: Eine Rechtsgrundlage für die Speicherung der Daten deckt nicht automatisch die Weitergabe an ein KI-Werkzeug. Das ist ein neuer Verarbeitungsschritt.
3. Wer verarbeitet in meinem Auftrag?
Wenn ein Anbieter Daten in meinem Auftrag verarbeitet, braucht es einen Auftragsverarbeitungsvertrag. Die großen Anbieter stellen solche Verträge für ihre Geschäftszugänge bereit. Bei kostenlosen Zugängen fehlt er in der Regel.
Dazu gehört die Frage nach dem Ort: Wo stehen die Server, und was passiert bei Übermittlung in Drittländer.
4. Wie lange bleiben die Daten, und kommen sie wieder weg?
Löschfristen gelten auch hier. Die praktische Frage lautet: Was passiert mit dem Gesprächsverlauf, mit hochgeladenen Dateien, mit Protokollen? Und: Kann ich eine Löschung tatsächlich durchsetzen, wenn jemand sein Recht geltend macht?
Bei einem selbst gebauten System weiß man das. Bei einem fremden Werkzeug muss es in den Bedingungen stehen.
5. Muss ich das dokumentieren?
Verarbeitungsverzeichnis: ja, das gilt ohnehin, und die KI-Nutzung gehört hinein. Ob eine Datenschutz-Folgenabschätzung nötig ist, hängt vom Risiko ab. Bei neuartigen Verfahren mit personenbezogenen Daten und automatisierter Bewertung von Personen ist sie oft angezeigt.
Ein Punkt, der schnell übersehen wird: Automatisierte Entscheidungen, die für Menschen rechtliche Wirkung haben oder sie erheblich beeinträchtigen, sind gesondert geregelt. Wer Bewerbungen von einer KI vorsortieren lässt, sollte hier genau hinschauen, unabhängig von der KI-Verordnung.
Was ich mir angewöhnt habe
Bevor irgendetwas läuft, schreibe ich drei Zeilen auf: welche Daten hineingehen, wohin sie fließen, wie lange sie bleiben. Wenn ich diese drei Zeilen nicht schreiben kann, ist das System nicht fertig geplant.
Das klingt nach Bürokratie, dauert aber zehn Minuten und hat mich schon zweimal davon abgehalten, etwas zu bauen, das ich später hätte abschalten müssen.
Bei allem, was rechtlich eng wird, holt man sich Rat bei jemandem, der dafür haftet. Diese Seite ersetzt das nicht.