Sehr geehrte Damen und Herren,

ein Prompt ist in Sekundenschnelle getippt – oft unbedacht. In vielen Betrieben geben Beschäftigte bereits sensible Daten wie Namen, Bewerbungsunterlagen oder ganze E-Mail-Verläufe in KI-Tools ein, häufig über private Gratis-Accounts.

Hier greift unmittelbar Ihre Rolle als Datenschutzbeauftragte: Sobald personenbezogene Daten verarbeitet werden, greifen die Vorgaben der DSGVO vollumfänglich. Ihr gesetzlicher Beratungs- und Kontrollauftrag gemäß Art. 39 Abs. 1 DSGVO wird aktiviert.

Mit den folgenden acht Leitfragen verschaffen Sie sich und den Fachbereichen systematisch Klarheit – proaktiv, bevor Aufsichtsbehörden einschreiten müssen.

Leitfaden: 8 Prüffragen für den DSGVO-konformen KI-Einsatz

1. Welche KI-Tools werden tatsächlich genutzt? Erfassen Sie den Status quo lückenlos. Neben klassischer Schatten-IT entsteht zunehmend eine unregulierte „Schatten-KI“. Untersuchen Sie auch vermeintlich unkritische Bereiche wie das Facility Management oder interne Planungssysteme.

2. Werden personenbezogene Daten eingegeben? Prüfen Sie, ob Klarnamen, Kontaktdaten, Personalnummern oder Bilddateien übermittelt werden. Maßgeblich ist die Bestimmbarkeit einer natürlichen Person (Art. 4 Nr. 1 DSGVO). Etablieren Sie als Grundsatz: Sämtliche personenbezogenen Angaben müssen vor dem Absenden vollständig anonymisiert oder entfernt werden.

3. Werden die Grundsätze aus Art. 5 Abs. 1 DSGVO gewahrt? Die zentralen Prinzipien der Rechtmäßigkeit, Datenminimierung und Vertraulichkeit sind ausnahmslos einzuhalten. Während sich das Zusammenfassen einer dienstlichen Nachricht unter Umständen auf ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) stützen lässt, verlangt das Training externer Sprachmodelle mit Unternehmensdaten in der Regel eine explizite Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

4. Trifft die KI automatisierte Entscheidungen? Entscheidet ein System ohne menschliches Eingreifen mit spürbaren Auswirkungen auf Personen – beispielsweise im Recruiting oder beim Kredit-Scoring –, steht Art. 22 DSGVO einem solchen Vorgehen meist entgegen. Lassen Sie sich die Funktionsweise detailliert darlegen und evaluieren Sie die rechtliche Reichweite.

5. Wurden Risiken analysiert und Zugriffspfade beschränkt? Betrachten Sie Risiken vor allem aus Sicht der betroffenen Personen, nicht allein aus Unternehmensperspektive. Beschränken Sie Schnittstellen und Zugriffsrechte auf das absolute Minimum. Zur Erinnerung für die Geschäftsleitung: Das Unternehmen bleibt für Datenschutzverstöße uneingeschränkt haftbar (Art. 82 DSGVO), unabhängig davon, ob der Fehler beim KI-Modell lag.

6. Bleiben Betroffenenrechte technisch realisierbar? Erweitern Sie Ihre Informationspflichten (Art. 13, 14 DSGVO) transparent um die KI-Komponente. Betroffene haben nach Art. 15 DSGVO ein Auskunftsrecht, das auch externe KI-Systeme erfasst. Zudem muss die Löschung (Art. 17 DSGVO) technisch sichergestellt sein – eine Pflicht, die bei intransparenten Modell-Trainingsdaten rasch zu Problemen führt.

7. Sind Verträge und Drittstaatentransfers geregelt? KI-Anbieter agieren typischerweise als Auftragsverarbeiter. Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist zwingend erforderlich. Sofern Daten Server außerhalb der EU/des EWR berühren, müssen die Garantien für Drittstaatentransfers gemäß Kapitel V DSGVO (z. B. EU-Standardvertragsklauseln) greifen.

8. Existiert eine verbindliche Richtlinie? Formulieren Sie verbindliche Leitlinien, die den zulässigen Rahmen klar definieren und die Verwendung privater Free-Accounts explizit untersagen. Kostenlose Dienste nutzen eingegebene Prompts häufig standardmäßig zur Modellweiterentwicklung.

Flankierende Maßnahmen: Schulung & Mitbestimmung

• Qualifizierungspflicht verankern: Schulen Sie die Belegschaft regelmäßig. Dies folgt sowohl aus der allgemeinen Sicherheits- und Awareness-Pflicht des Art. 32 DSGVO als auch aus den Vorgaben zur KI-Kompetenz gemäß Art. 4 der EU-KI-Verordnung (AI Act).

• Betriebsrat frühzeitig hinzuziehen: Sofern Systeme das Potenzial besitzen, Verhalten oder Leistung der Beschäftigten zu überwachen, greift das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Eine entsprechende Betriebsvereinbarung darf die Schutzstandards der DSGVO keinesfalls unterschreiten.

Künstliche Intelligenz entbindet Unternehmen nicht von rechtlichen Standards. Nutzen Sie diese acht Fragen als feste Checkliste für jedes KI-Projekt, um datenschutzrechtliche Risiken systematisch zu steuern und abzusichern.

Herzliche Grüße