Datenschutz und KI: Pflichten und sichere Nutzung
Definition
Datenschutz und KI beschreibt den Umgang mit personenbezogenen Daten beim Training und Betrieb von KI-Systemen im Rahmen der DSGVO. Es geht darum, welche Daten für welchen Zweck genutzt werden dürfen, auf welcher Rechtsgrundlage und mit welchen Schutzmaßnahmen. Der EU AI Act tritt hier neben die DSGVO, ersetzt sie aber nicht.
Warum der Begriff zählt
Viele KI-Ideen scheitern still, weil erst spät auffällt, dass die geplanten Daten personenbezogen und ohne Grundlage nicht nutzbar sind. Als neutraler Berater klären wir früh, welche Daten überhaupt in ein KI-Vorhaben dürfen und wie sie geschützt werden. Das verhindert, dass ein Projekt kurz vor dem Start am Datenschutz zerbricht, und schafft einen Weg, der von Anfang an tragfähig ist.
Wann es relevant ist
- Ein KI-Vorhaben soll mit Kunden-, Personal- oder Gesundheitsdaten arbeiten.
- Ein externer KI-Dienst verarbeitet Daten außerhalb des eigenen Systems.
- Die Rechtsgrundlage und der Zweck der Datennutzung sind noch unklar.
- Eine Datenschutz-Folgenabschätzung könnte nötig sein und soll eingeordnet werden.
Wann nicht
Wenn ein KI-Vorhaben ausschließlich mit anonymen oder rein technischen Daten arbeitet, ist der Datenschutz-Aufwand gering und eine kurze Einordnung genügt. Und wenn noch nicht feststeht, welcher Use-Case gebaut wird, lohnt die tiefe Datenschutzprüfung erst, sobald der konkrete Datenbedarf klar ist.
Branchen, die das nutzen
- Gesundheitswesen: Patientendaten unterliegen besonderem Schutz, jeder KI-Einsatz braucht eine tragfähige Grundlage.
- Personaldienstleister: Bewerber- und Beschäftigtendaten sind sensibel und eng an Zweck und Einwilligung gebunden.
- Einzelhandel und E-Commerce: Kundenprofile und Kaufhistorie dürfen nur zweckgebunden in KI fließen.
- Wohnungswirtschaft: Mieterdaten in KI-gestützten Prozessen brauchen klare Rechtsgrundlagen.
Typische Anwendungsfälle
- Eine Prüfung, ob geplante Daten personenbezogen sind und auf welcher Grundlage sie nutzbar wären.
- Die Auswahl eines KI-Dienstes nach Ort und Art der Datenverarbeitung.
- Eine Einordnung, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
- Maßnahmen wie Pseudonymisierung, Zugriffsrechte und Löschkonzepte für KI-Daten.
- Ein Auftragsverarbeitungsvertrag mit einem externen KI-Anbieter.
Entscheidungshilfe
| Signal | Datenschutzprüfung passt | Alternative |
|---|---|---|
| Personenbezogene Daten geplant | Grundlage vor Nutzung klären | Start ohne Prüfung ist riskant |
| Nur anonyme Daten | kurze Einordnung genügt | volle Prüfung wäre Überbau |
| Externer KI-Dienst | Verarbeitung und Ort prüfen | blind zustimmen ist gefährlich |
| Use-Case noch offen | erst Datenbedarf klären | Prüfung ohne Ziel läuft ins Leere |
Beispiel
Ein Gesundheitsdienstleister will Terminanfragen mit KI vorsortieren. Wir prüfen, welche Felder personenbezogen sind, welche Rechtsgrundlage trägt und ob eine Folgenabschätzung nötig ist. Der gewählte Dienst verarbeitet Daten in der EU, ergänzt um Pseudonymisierung und ein Löschkonzept. Das Beispiel beschreibt die Methode, keine behauptete Kundenkennzahl.
Verbindung zu Services
Die Einordnung erfolgt meist in der KI-Beratung und der EU-AI-Act-Beratung. Vor dem Rollout hilft der KI-Readiness-Check.
Verwandte Begriffe
Quellen
Diese Einordnung beschreibt gängige Praxis beim Zusammenspiel von Datenschutz und KI. Aussagen zu DSGVO und EU AI Act sind allgemeine Orientierung und keine Rechtsberatung; sie müssen im Einzelfall gegen die aktuell geltenden Rechtstexte geprüft werden.