DSGVO (Datenschutz-Grundverordnung)

Was ist die DSGVO?

Die DSGVO (Datenschutz-Grundverordnung) ist die zentrale Datenschutzgesetzgebung der Europäischen Union, die seit Mai 2018 gilt. Sie regelt, wie personenbezogene Daten von EU-Bürgern erhoben, verarbeitet und gespeichert werden dürfen. Für Unternehmen, die Künstliche Intelligenz einsetzen, ist die DSGVO besonders relevant, weil KI-Systeme oft grosse Mengen personenbezogener Daten verarbeiten.

Die DSGVO gilt für jedes Unternehmen, das Daten von EU-Bürgern verarbeitet -- unabhängig davon, ob das Unternehmen seinen Sitz in der EU hat oder nicht. Das betrifft also auch die Nutzung von KI-Diensten US-amerikanischer Anbieter wie OpenAI oder Google.

DSGVO und KI: Was müssen Unternehmen beachten?

Der Einsatz von KI-Tools bringt spezifische Datenschutz-Herausforderungen mit sich:

• Datenverarbeitung durch Dritte: Wenn Sie Kundendaten an eine KI-API senden, werden diese Daten ausserhalb Ihres Unternehmens verarbeitet. Das erfordert besondere rechtliche Absicherung
• Serverstandort: Viele KI-Anbieter betreiben Server in den USA. Die Uebertragung personenbezogener Daten in die USA ist datenschutzrechtlich problematisch und erfordert zusätzliche Schutzmassnahmen
• Training mit Nutzerdaten: Einige KI-Anbieter nutzen eingegebene Daten, um ihre Modelle zu verbessern. Das kann einen Verstoss gegen die DSGVO darstellen, wenn personenbezogene Daten betroffen sind
• Transparenzpflicht: Betroffene müssen informiert werden, wenn ihre Daten durch KI verarbeitet werden
• Automatisierte Entscheidungen: Artikel 22 DSGVO gibt Betroffenen das Recht, nicht ausschliesslich einer automatisierten Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet

Auftragsverarbeitung und AVV

Wenn ein Unternehmen KI-Dienste nutzt, die personenbezogene Daten verarbeiten, liegt in der Regel eine Auftragsverarbeitung vor. Das bedeutet:

• Ein Auftragsverarbeitungsvertrag (AVV) muss mit dem KI-Anbieter abgeschlossen werden
• Der AVV muss regeln, welche Daten verarbeitet werden, zu welchem Zweck, wie lange und welche Sicherheitsmassnahmen gelten
• Der Anbieter darf die Daten nur im Rahmen des AVV verarbeiten -- eine eigenmächtige Nutzung zum Modelltraining ist nicht zulässig
• Viele grosse Anbieter wie OpenAI, Microsoft und Google bieten mittlerweile AVVs an, die europäischen Standards entsprechen

Serverstandort und Datentransfer

Der Standort der Server, auf denen KI-Modelle laufen, ist datenschutzrechtlich entscheidend:

• EU-Server: Ideal für DSGVO-Konformität. Anbieter wie Mistral (Frankreich), Aleph Alpha (Deutschland) oder selbst gehostete Open-Source-Modelle bieten hier Vorteile
• US-Server: Erfordern zusätzliche Schutzmassnahmen. Seit dem EU-US Data Privacy Framework (2023) ist der Transfer einfacher, aber nicht unumstritten
• Self-Hosting: Open-Source-Modelle wie LLaMA oder Mistral können auf eigenen Servern betrieben werden -- volle Kontrolle ueber die Daten, aber hoher technischer Aufwand

Praktische Tipps für Unternehmen

So nutzen Sie KI-Tools DSGVO-konform:

• Dateninventar erstellen: Dokumentieren Sie, welche KI-Tools Sie nutzen und welche Daten uebertragen werden
• AVV abschliessen: Für jeden KI-Dienst, der personenbezogene Daten verarbeitet
• Datensparsamkeit: Uebertragen Sie nur die Daten, die wirklich nötig sind. Anonymisieren oder pseudonymisieren Sie Daten vor der Uebertragung
• Datenschutzerklärung anpassen: Informieren Sie Nutzer ueber den Einsatz von KI-Tools auf Ihrer Website oder in Ihren Produkten
• Verarbeitungsverzeichnis führen: Dokumentieren Sie alle KI-bezogenen Datenverarbeitungen
• Datenschutz-Folgenabschätzung: Bei risikoreichen KI-Anwendungen (z.B. Profiling, automatisierte Entscheidungen) ist eine DSFA nach Artikel 35 DSGVO Pflicht
• Löschfristen beachten: Stellen Sie sicher, dass Daten auch bei KI-Anbietern nach Ablauf der Aufbewahrungsfrist gelöscht werden

Fazit

Die DSGVO ist kein Hindernis für den KI-Einsatz, sondern ein Rahmen, der verantwortungsvollen Umgang mit Daten sicherstellt. Unternehmen, die von Anfang an auf Datenschutz achten -- durch AVVs, Datensparsamkeit und die richtige Anbieterwahl -- können KI-Tools sicher und rechtskonform nutzen. Die Investition in Datenschutz zahlt sich zudem durch Kundenvertraün aus, denn gerade in Deutschland legen Verbraucher grossen Wert auf den Schutz ihrer Daten.