DSGVO und EU-KI-Verordnung
KI und Datenschutz: von Anfang an mitgeplant.
KI lässt sich grundsätzlich DSGVO-konform einsetzen, wenn der Datenschutz nicht erst am Ende drankommt. Hier steht, wie ich dabei vorgehe und was mit den Daten deiner Kunden passiert.
Vier Grundsätze für jedes Projekt.
KI hilft nur, wenn auch der Umgang mit den Daten deiner Kunden gut durchdacht ist.
Klar, wo Daten liegen
Du weißt, welche Dienste beteiligt sind. Wo es geht, laufen sie auf Servern in Deutschland oder direkt auf deinem System oder Server im Unternehmen.
Verträge im Blick
Auftragsverarbeitungsverträge mit den beteiligten Dienstleistern, soweit nötig, und Textvorschläge für deine Datenschutzerklärung.
So wenig wie möglich
Nur die Daten, die wirklich nötig sind, mit festen Löschfristen. Keine Tracker.
Ehrlich zu deinen Kunden
Deine Kunden erfahren gleich am Anfang, dass eine KI antwortet, wie es die EU-KI-Verordnung verlangt.
Ich arbeite nach bestem Wissen und Gewissen nach den Vorgaben der DSGVO. Eine Garantie, dass im Einzelfall rechtlich alles passt, kann ich nicht geben, und das ist keine Rechtsberatung. Bei Bedarf stimme ich mich mit deinem Datenschutzbeauftragten ab.
DSGVO
Ist KI mit der DSGVO vereinbar?
Grundsätzlich ja, wenn klar ist, welche Daten wofür verarbeitet werden, wer sie sieht und wann sie wieder weg sind.
Was das in der Praxis heißt
Die DSGVO verbietet KI nicht. Sie verlangt, dass du mit personenbezogenen Daten sorgfältig umgehst. Dazu gehören Namen, Telefonnummern und der Inhalt von Nachrichten. Bevor ich etwas baue, klären wir deshalb:
- Wofür wird der KI-Mitarbeiter eingesetzt, und welche Daten braucht er dafür wirklich?
- Welche Dienstleister sind beteiligt, und wo stehen deren Server?
- Wie lange bleiben die Daten gespeichert?
- Wie erfahren deine Kunden davon?
Was bei dir bleibt
Verantwortlich im Sinne der DSGVO bleibt in der Regel dein Betrieb, denn du entscheidest, wofür die Daten genutzt werden. Deshalb muss der KI-Mitarbeiter auch in deiner Datenschutzerklärung stehen. Textvorschläge dafür bekommst du von mir. Prüfen lässt du sie am besten von deinem Datenschutzbeauftragten oder einer Kanzlei.
Auftragsverarbeitung
Was ist ein AVV, und wozu brauchst du ihn?
Ein Auftragsverarbeitungsvertrag (AVV) regelt, wie ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeiten darf.
Die DSGVO schreibt so einen Vertrag in Artikel 28 vor, sobald ein Dienstleister für dich mit personenbezogenen Daten arbeitet. Darin steht, was er mit den Daten tun darf und wie er sie schützt.
Ich kümmere mich darum, dass diese Verträge mit den Dienstleistern in deinem Projekt vorliegen, soweit sie nötig sind. So musst du dich nicht selbst durch die Anbieter arbeiten.
Serverstandort
Wo liegen die Daten?
Wo es möglich ist, auf Servern in Deutschland oder direkt auf deinem System oder Server im Unternehmen. Wo das nicht geht, erfährst du es vorher.
Nicht jeder Dienst steht in Deutschland. Starke KI-Modelle zum Beispiel kommen oft von Anbietern aus den USA, und WhatsApp gehört zu Meta. Ich verspreche dir deshalb nicht, dass alles in Deutschland bleibt. Ich sage dir stattdessen genau, welcher Dienst was tut.
Werden Daten in die USA übertragen, braucht das eine rechtliche Grundlage. Bei meinem eigenen WhatsApp-Assistenten sind das das EU-US Data Privacy Framework beziehungsweise die Standardvertragsklauseln der EU-Kommission.
Löschfristen und Datensparsamkeit
Wie lange bleiben Daten gespeichert?
Beim WhatsApp-Assistenten 90 Tage nach der letzten Nachricht, dann werden sie automatisch gelöscht.
Jedes Projekt bekommt feste Löschfristen. Was nicht gespeichert wird, kann auch nicht verloren gehen. Deshalb bekommt ein KI-Mitarbeiter nur die Daten, die er für seine Aufgabe wirklich braucht.
Bei Belegen und Rechnungen können gesetzliche Aufbewahrungspflichten gelten. Das klärst du am besten mit deinem Steuerberater, bevor wir die Fristen festlegen.
EU-KI-Verordnung (AI Act)
Müssen deine Kunden wissen, dass eine KI antwortet?
Ja. Die EU-KI-Verordnung verlangt, dass Menschen erfahren, wenn sie mit einem KI-System sprechen.
Die Regel dazu steht in Artikel 50 der Verordnung. Ich setze sie ganz einfach um: Der WhatsApp-Assistent sagt schon in der ersten Antwort, dass eine KI schreibt.
So wissen deine Kunden, woran sie sind. Und wenn es knifflig wird, übernimmt ein Mensch.
Der Weg einer Nachricht
Was mit einer Kundenanfrage passiert.
So läuft es bei meinem eigenen WhatsApp-Assistenten. Welche Dienste bei dir beteiligt sind, erfährst du vor dem Start.
- Die Nachricht kommt an. Dein Kunde schreibt auf WhatsApp, einem Dienst der Meta Platforms Ireland Ltd. Für die Anbindung sorgt der technische Dienstleister Kapso.
- Die Antwort entsteht. Ein KI-Modell der Anthropic PBC aus den USA erzeugt die Antwort. Dafür wird die Nachricht dorthin übermittelt.
- Dein Kunde weiß Bescheid. In der ersten Antwort steht, dass eine KI schreibt.
- Du behältst den Überblick. Pro Kunde gibt es einen Eintrag mit dem Gesprächsverlauf. Ist das Gespräch ruhig, geht eine Mail an deinen Betrieb. Wird es knifflig, übernimmt ein Mensch.
- Nach 90 Tagen ist Schluss. 90 Tage nach der letzten Nachricht wird der Verlauf automatisch gelöscht.
Werden die Daten meiner Kunden zum Training von KI genutzt?
Ich nutze sie nicht dafür, eine KI zu trainieren. Bei der WhatsApp-Anbindung über Kapso ist die Nutzung für Modellverbesserung abgeschaltet, und Anthropic schließt das Training mit solchen Daten in seinen Bedingungen aus. Meta verarbeitet Nachrichten laut seinen Bedingungen im Auftrag des Betriebs. Für fremde Anbieter kann ich keine Garantie geben.
Und diese Website?
Sie kommt ohne Cookies, Tracker und Analyse-Werkzeuge aus. Schriften und Bilder liegen auf meinem eigenen Server. Alle Einzelheiten stehen in der Datenschutzerklärung.
Häufige Fragen
Gut zu wissen.
Lässt sich KI DSGVO-konform einsetzen?
Grundsätzlich ja, wenn der Datenschutz von Anfang an mitgeplant ist. Dazu gehören Auftragsverarbeitungsverträge, Server in Deutschland wo möglich oder direkt auf deinem System oder Server im Unternehmen, so wenig Daten wie möglich und feste Löschfristen.
Was ist ein Auftragsverarbeitungsvertrag (AVV)?
Ein AVV ist der Vertrag, der regelt, wie ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeiten darf. Die DSGVO verlangt ihn in Artikel 28. Ich kümmere mich darum, dass er mit den beteiligten Dienstleistern vorliegt, soweit er nötig ist.
Wo liegen die Daten?
Wo es möglich ist, liegen die Daten auf Servern in Deutschland oder direkt auf deinem System oder Server im Unternehmen. Nicht jeder Dienst steht dort, das gilt zum Beispiel für manche KI-Modelle. Dann erfährst du vorher, welcher Anbieter beteiligt ist und auf welcher Grundlage die Daten übertragen werden.
Wie lange werden Daten gespeichert?
Beim WhatsApp-Assistenten werden Gesprächsverläufe 90 Tage nach der letzten Nachricht automatisch gelöscht. Auch andere Projekte bekommen feste Löschfristen. Gesetzliche Aufbewahrungspflichten, etwa bei Belegen, bleiben davon unberührt.
Müssen meine Kunden wissen, dass eine KI antwortet?
Ja, deine Kunden müssen erfahren, dass sie mit einem KI-System schreiben, das verlangt die EU-KI-Verordnung (AI Act). Der WhatsApp-Assistent sagt das deshalb gleich in der ersten Antwort.
Verwendet diese Website Tracker oder Cookies?
Nein, diese Website verwendet keine Cookies, keine Tracker und keine Analyse-Werkzeuge. Schriften und Bilder liegen auf meinem eigenen Server.
Garantierst du, dass alles DSGVO-konform ist?
Nein, eine Garantie kann ich nicht geben. Ich arbeite nach bestem Wissen und Gewissen nach den Vorgaben der DSGVO, aber ich berate nicht rechtlich. Die rechtliche Bewertung trifft dein Datenschutzbeauftragter oder eine Kanzlei, verantwortlich bleibt in der Regel dein Betrieb.
Passt auch dazu
So geht es weiter.
Lass uns reden.
Du hast eine Frage zum Datenschutz in deinem Betrieb? Frag mich direkt. Das erste Gespräch ist kostenlos.