Glossar · KI- & IT-Automation
DSGVO-konforme KI
DSGVO-konforme KI bedeutet, dass jede Verarbeitung personenbezogener Daten durch ein KI-System eine Rechtsgrundlage, einen dokumentierten Zweck und passende Schutzmaßnahmen hat. Konform ist nicht das Modell, sondern der Betrieb darum herum.
Begriff
Die vier Fragen, die vor dem Start beantwortet sein müssen
- Rechtsgrundlage — worauf stützt sich die Verarbeitung? Vertragserfüllung, berechtigtes Interesse oder Einwilligung; im Beschäftigtenkontext gelten zusätzliche Anforderungen.
- Zweck und Datenminimierung — wofür genau, und welche Felder werden dafür wirklich gebraucht? Alles Weitere gehört nicht in die Verarbeitung.
- Verarbeitungsort — läuft die Verarbeitung im eigenen Haus, im europäischen Rechenzentrum oder außerhalb der EU? Jede Stufe hat eigene Anforderungen.
- Aufbewahrung — wie lange werden Eingaben, Ausgaben und Protokolle gespeichert, und wer löscht sie tatsächlich?
Begriff
Warum das eingesetzte Modell allein nichts entscheidet
Ein Modell ist ein Bauteil. Ob eine Verarbeitung zulässig ist, hängt an Zweck, Grundlage, Ort und Schutzmaßnahmen — nicht am Namen der Software. Wir verarbeiten personenbezogene Daten mit lokal betriebenen Open-Source-Modellen, auf eigenen Servern oder Kunden-Hardware. Für Spezialaufgaben wird der Personenbezug vorher entfernt, geregelt im Auftragsverarbeitungsvertrag.
Begriff
Was in der Praxis trägt
- Eintrag im Verarbeitungsverzeichnis, bevor das System produktiv geht.
- Pseudonymisierung vor jeder Weitergabe, die den eigenen Verantwortungsbereich verlässt.
- Rollen und Rechte: Wer darf Eingaben sehen, wer Protokolle, wer Trainingsdaten?
- Ein Löschkonzept mit Frist, Zuständigem und technischer Umsetzung.
- Protokollierung der Verarbeitung, damit Auskunftsersuchen beantwortbar bleiben.
- Bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO.
Begriff
Beispiel aus dem KMU-Alltag
Ein Pflegedienst möchte Tourenpläne automatisch erstellen lassen. Verarbeitet werden Adressen, Pflegegrade und Zeitfenster — also Gesundheitsdaten. Die Verarbeitung bleibt lokal, das System sieht Kürzel statt Klarnamen, und die Zuordnung passiert erst in der Anzeige beim berechtigten Mitarbeiter. Dieselbe Aufgabe, deutlich kleinere Angriffsfläche.
Der Aufwand dafür ist überschaubar, wenn er am Anfang steht. Nachträglich eine Pseudonymisierung einzuziehen bedeutet, alle bereits verarbeiteten Daten noch einmal anzufassen. Die Frage, welche Felder das System überhaupt sehen muss, gehört deshalb vor die erste Zeile Konfiguration und nicht in die Abnahme.
Begriff
Passendes DripBack-Modul
Fragen
Häufige Fragen
Ist KI in der DSGVO überhaupt geregelt?
Die DSGVO regelt nicht Technik, sondern Verarbeitung personenbezogener Daten — unabhängig vom Verfahren. Ergänzend kommen die Pflichten des EU AI Act hinzu, die an das KI-System selbst anknüpfen.
Darf ich Kundendaten in ein KI-System geben?
Nur mit Rechtsgrundlage, dokumentiertem Zweck und geklärtem Verarbeitungsort. Bei besonderen Kategorien wie Gesundheitsdaten sind die Anforderungen deutlich strenger; dort ist lokale Verarbeitung meist der einfachere Weg.
Brauche ich eine Datenschutz-Folgenabschätzung?
Sie ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte Betroffener bedeutet. Bei umfangreicher Verarbeitung sensibler Daten oder systematischer Bewertung von Personen ist das regelmäßig der Fall.
Nächster Schritt
Passt das zu Ihrem Betrieb?
Im Erstgespräch schauen wir uns Ihre Abläufe an und sagen offen, was sich lohnt und was nicht. Kostenfrei, ohne Verpflichtung.