Der Einstieg in KI-Tools ist verlockend einfach: Account erstellen, Daten eingeben, fertig. Die DSGVO-Konsequenzen kommen erst später – und sind dann schwer rückgängig zu machen.
Fünf Fragen helfen dabei, das Risiko einzuschätzen, bevor das erste Tool produktiv geht.
1. Welche Daten fließen in das System?
Personenbezogene Daten – Namen, E-Mail-Adressen, Kundennummern, Beschäftigteninfos – lösen automatisch DSGVO-Pflichten aus. Anonymisierte oder aggregierte Daten hingegen meistens nicht.
2. Wo werden die Daten verarbeitet?
Server in der EU oder in einem Land mit Angemessenheitsbeschluss (wie Japan oder der Schweiz) sind datenschutzrechtlich unproblematisch. US-Server brauchen mindestens Standardvertragsklauseln – und ein Transfer Impact Assessment kann nötig sein.
3. Gibt es einen Auftragsverarbeitungsvertrag?
Sobald ein externer Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, ist ein AVV Pflicht. Ohne AVV ist der Einsatz des Tools unzulässig – unabhängig von den sonstigen Schutzmaßnahmen.
4. Wird das Tool für Entscheidungen über Menschen eingesetzt?
Automatisierte Entscheidungen (Artikel 22 DSGVO) unterliegen strengen Regeln. Bewerber über ein KI-System ranken, ohne menschliche Überprüfung? Das ist in der Regel nicht zulässig.
5. Ist das im Verarbeitungsverzeichnis dokumentiert?
Jede neue Verarbeitungstätigkeit muss ins Verarbeitungsverzeichnis. Das klingt bürokratisch – ist aber auch ein nützliches Werkzeug, um den Überblick zu behalten.
Fazit
Viele KI-Tools lassen sich DSGVO-konform einsetzen – wenn man weiß, wie. Der häufigste Fehler ist nicht Böswilligkeit, sondern fehlende Prüfung vor dem Einsatz. Diese fünf Fragen nehmen weniger als eine Stunde Zeit. Das Risiko, das sie adressieren, kann erheblich teurer sein.