DSGVO und KI-Tools: eine Checkliste für kleine Unternehmen
Bevor Sie Kunden- oder Patientendaten in ein KI-Tool geben, brauchen ein paar Fragen klare Antworten. Eine praktische Checkliste als allgemeine Information, nicht als Rechtsberatung.
- Schließen Sie mit jedem Anbieter, der in Ihrem Auftrag personenbezogene Daten verarbeitet, einen Auftragsverarbeitungsvertrag.
- Geben Sie nur die Daten weiter, die eine Aufgabe wirklich braucht, und wissen Sie, wo sie gespeichert und verarbeitet werden.
- Gesundheitsdaten und Berufsgeheimnisse brauchen besondere Sorgfalt; fragen Sie im Zweifel Ihre Datenschutzbeauftragte oder eine Anwältin.
Vorab: Was diese Checkliste ist
Dieser Artikel ist eine allgemeine Information zur DSGVO und keine Rechtsberatung. Was für Sie gilt, hängt von Ihrer Branche, den verarbeiteten Daten und den eingesetzten Tools ab. Wenn Sie sensible Daten verarbeiten oder unsicher sind, sprechen Sie mit Ihrer oder Ihrem Datenschutzbeauftragten oder mit einer Anwältin oder einem Anwalt für Datenschutzrecht.
Die meisten Fragen sind dieselben, die Sie sich ohnehin bei jeder Cloud-Software stellen sollten. KI-Tools bringen ein paar eigene Punkte mit, um die es unten geht.
Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
Verarbeitet ein Anbieter in Ihrem Auftrag personenbezogene Daten, etwa Kundennamen, E-Mail-Adressen oder Rechnungen in einer KI-Plattform, brauchen Sie in der Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Er legt fest, was der Anbieter mit den Daten tun darf, welche technischen und organisatorischen Maßnahmen gelten und welche Unterauftragsverarbeiter beteiligt sind.
Prüfen Sie: Gibt es einen Auftragsverarbeitungsvertrag, und haben Sie ihn abgeschlossen? Sind die Unterauftragsverarbeiter aufgeführt? Sagt der Anbieter, ob Ihre Daten zum Training von Modellen genutzt werden, und können Sie das ausschließen?
Datenminimierung und Zweck
Geben Sie einem Tool nur die Daten, die eine Aufgabe tatsächlich braucht. Eine Umsatzanalyse nach Produkten braucht selten Kundennamen, und eine Marktanalyse kommt meist ganz ohne personenbezogene Daten aus. Arbeiten Sie wo möglich mit aggregierten oder pseudonymisierten Daten.
Seien Sie sich auch über den Zweck im Klaren. Daten, die Sie für den Rechnungsversand erhoben haben, dürfen Sie nicht automatisch für andere Zwecke nutzen. Halten Sie fest, wofür Sie das KI-Tool einsetzen, und ergänzen Sie es in Ihrem Verzeichnis von Verarbeitungstätigkeiten.
Wohin die Daten gehen: Übermittlung in Drittländer
Fragen Sie nach, wo Daten gespeichert und wo sie verarbeitet werden; das können unterschiedliche Orte sein. Viele KI-Dienste werden von US-Unternehmen betrieben. Für die Übermittlung personenbezogener Daten außerhalb der EU braucht es eine Rechtsgrundlage, typischerweise einen Angemessenheitsbeschluss oder die EU-Standardvertragsklauseln, oft ergänzt durch zusätzliche Schutzmaßnahmen.
Prüfen Sie: In welchem Land werden die Daten gespeichert? Welche Verarbeitungsdienste sitzen außerhalb der EU, und auf welcher Grundlage werden Daten dorthin übermittelt? Steht das in der Datenschutzerklärung und im Auftragsverarbeitungsvertrag? Zur Transparenz: NEXUM speichert Daten in einer Datenbank in Irland, also in der EU; einige der von uns genutzten Verarbeitungsdienste sind US-Unternehmen, mit EU-Standardvertragsklauseln.
Besondere Kategorien und Berufsgeheimnisse
Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und unterliegen strengeren Regeln. Eine Arzt- oder Therapiepraxis sollte sorgfältig überlegen, bevor sie Patientendaten in ein KI-Tool gibt; oft ist die richtige Antwort, nur anonymisierte oder aggregierte Daten zu verwenden.
Ärztinnen und Ärzte, Anwältinnen und Anwälte, Steuerberatung und andere Berufsgeheimnisträger haben zusätzliche Pflichten, in Deutschland insbesondere nach § 203 StGB. Externe Dienstleister einzubeziehen kann unter bestimmten Voraussetzungen zulässig sein, muss aber geprüft und dokumentiert werden. An diesem Punkt lohnt sich fachliche Beratung.
Auskunft, Löschung und interne Zugriffe
Betroffene können Auskunft darüber verlangen, welche Daten Sie über sie speichern (Art. 15 DSGVO), und unter bestimmten Voraussetzungen deren Löschung verlangen (Art. 17 DSGVO). Stellen Sie sicher, dass Sie die Daten einer Person auch im KI-Tool finden, exportieren und löschen können, nicht nur in Ihren Hauptsystemen.
Legen Sie Löschfristen fest: Wie lange bewahren Sie Dokumente, Entwürfe und Analysen auf, die personenbezogene Daten enthalten? Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen, gelten weiterhin. Legen Sie im Unternehmen fest, wer das Tool mit welchen Daten nutzen darf, und beschränken Sie die Zugriffe entsprechend.
Und schließlich: Seien Sie vorsichtig bei Versprechen, die Sie nicht überprüfen können. Lassen Sie sich von Anbietern den Auftragsverarbeitungsvertrag, die Liste der Unterauftragsverarbeiter und eine Beschreibung der Sicherheitsmaßnahmen schriftlich geben. Wir messen uns am selben Maßstab und sagen offen, dass NEXUM nicht nach ISO- oder SOC-Standards zertifiziert ist.