Viele Betriebe trauen sich nicht an KI heran, weil sie Angst vor der DSGVO haben. Andere tippen Kundendaten seit Monaten in ein privates ChatGPT-Konto und denken nicht darüber nach. Beides ist nicht ideal. KI lässt sich DSGVO-konform nutzen, wenn man ein paar Grundregeln kennt und das richtige Werkzeug wählt.
Hier steht, welche Daten in ein KI-Programm dürfen, welche Einstellungen und Verträge zählen und was du im Betrieb festhalten solltest. Kein Grund zur Panik, aber ein paar Punkte für die To-do-Liste.
Wann die DSGVO überhaupt greift
Die DSGVO betrifft personenbezogene Daten, also alles, was sich einer bestimmten Person zuordnen lässt: Namen, Adressen, Telefonnummern, Mailadressen, aber auch eine Mail, in der Herr Pichler seine Reklamation schildert. Wenn du die KI bittest, einen Text für deine Website zu schreiben oder eine Excel-Formel zu erklären, sind keine personenbezogenen Daten im Spiel. Dann ist die DSGVO kein Thema.
Sobald du aber eine Kundenmail einfügst, eine Bewerbung zusammenfassen lässt oder eine Liste mit Kundennamen auswertest, verarbeitest du personenbezogene Daten mit Hilfe eines anderen Unternehmens. Dann gelten die Regeln.
Gratis-Version oder Unternehmensversion
Das ist der wichtigste Unterschied. Bei den kostenlosen Versionen der meisten Anbieter dürfen deine Eingaben zum Training der KI verwendet werden, und es gibt keinen Vertrag, der regelt, was mit den Daten passiert. Für Kundendaten ist das ungeeignet.
Die Unternehmensversionen sind anders aufgebaut. Die Anbieter sichern zu, dass deine Daten nicht für das Training verwendet werden, und bieten einen Vertrag zur Auftragsverarbeitung an. Den brauchst du nach der DSGVO, wenn ein anderes Unternehmen für dich personenbezogene Daten verarbeitet. Bei den großen Anbietern lässt er sich meist online abschließen oder ist Teil der Geschäftsbedingungen. Wie du das passende Programm auswählst, steht im Beitrag KI im Unternehmen einführen.
Daten in die USA
Die meisten großen KI-Anbieter sitzen in den USA. Der Datentransfer dorthin ist erlaubt, wenn der Anbieter unter dem Datenschutzrahmen zwischen EU und USA zertifiziert ist. Die großen Anbieter sind das. Manche bieten außerdem an, Daten in Rechenzentren in Europa zu verarbeiten. Wer ganz auf Nummer sicher gehen will, schaut sich europäische Anbieter wie Mistral aus Frankreich an.
Was nie in die KI gehört
Auch mit Vertrag gibt es Daten, bei denen du besonders vorsichtig sein musst:
- Gesundheitsdaten, etwa Krankenstände oder Angaben zu Allergien von Gästen.
- Daten von Bewerbern in größerem Umfang, und schon gar keine Entscheidung über eine Absage allein durch die KI.
- Zugangsdaten und Passwörter.
- Bank- und Kreditkartendaten.
Für den Alltag hilft eine einfache Gewohnheit: Wenn der Name für die Aufgabe nicht nötig ist, lass ihn weg. „Formuliere eine Antwort auf diese Reklamation“ funktioniert genauso gut, wenn du „Herr Pichler“ vorher durch „der Kunde“ ersetzt.
Die KI entscheidet nicht allein
Die DSGVO schützt Menschen davor, dass eine Maschine allein über sie entscheidet, wenn das für sie erhebliche Folgen hat. Eine KI darf Bewerbungen sortieren helfen oder eine Antwort vorschlagen. Die Entscheidung, wen du einlädst oder ablehnst, trifft ein Mensch. Das ist ohnehin eine gute Regel für alles, was nach außen geht.
Was du festhalten solltest
- Verarbeitungsverzeichnis. Trag das KI-Programm ein: wofür es verwendet wird, welche Daten hineinkommen, welcher Anbieter dahintersteht.
- Vertrag zur Auftragsverarbeitung. Abschließen und ablegen.
- Interne Regeln. Eine Seite, die festlegt, welches Programm erlaubt ist und welche Daten hinein dürfen. Mehr dazu im Beitrag KI im Unternehmen einführen.
- Datenschutzerklärung. Wenn Kunden direkt mit einer KI in Kontakt kommen, etwa über einen Chat auf der Website oder einen Assistenten auf Social Media, muss das dort stehen. Die Kunden müssen außerdem erkennen können, dass sie mit einer KI schreiben.
Die Checkliste
- Ein Programm mit Firmenkonto statt privater Gratis-Konten.
- Training mit deinen Daten abgeschaltet.
- Vertrag zur Auftragsverarbeitung abgeschlossen.
- Anbieter für den Datentransfer zertifiziert oder in der EU.
- Namen weglassen, wo sie nicht nötig sind.
- Keine Gesundheits-, Bank- oder Zugangsdaten.
- Eintrag im Verarbeitungsverzeichnis, Datenschutzerklärung angepasst.
- Team eingeschult.
Häufige Fragen
Ist ChatGPT DSGVO-konform? Die Unternehmensversionen lassen sich DSGVO-konform nutzen, wenn Vertrag und Einstellungen stimmen. Die Gratis-Version ist für Kundendaten nicht geeignet.
Darf ich Kundenmails von der KI zusammenfassen lassen? In einer Unternehmensversion mit Vertrag zur Auftragsverarbeitung ja, solange keine besonders sensiblen Daten drinstehen.
Was passiert, wenn ich das bisher falsch gemacht habe? Stell jetzt um, lösch alte Chats mit Kundendaten aus privaten Konten und dokumentiere die neue Lösung. Nichts davon ist ein Grund zur Panik.
Wer kontrolliert das? In Österreich die Datenschutzbehörde, meist dann, wenn sich jemand beschwert. Mit der Checkliste oben bist du gut aufgestellt.
Der nächste Schritt
Wir richten KI in deinem Betrieb so ein, dass Datenschutz von Anfang an mitgedacht ist, vom Programm über den Vertrag bis zur Datenschutzerklärung auf deiner Website. Aus Bad Schwanberg in der Weststeiermark. Meld dich bei uns.
Rechtliche Grundlagen: Art. 4, 9, 22, 28, 30 und 45 DSGVO; Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10.7.2023; Transparenzpflichten nach Art. 50 der Verordnung (EU) 2024/1689. Dieser Beitrag ersetzt keine Rechtsberatung.