KI und Datenschutz
KI nutzen, ohne die Kontrolle über Daten zu verlieren
Sobald Mitarbeitende Texte, Dateien oder Kundenanfragen in ein KI-Werkzeug geben, werden Daten verarbeitet – bei Cloud-Diensten auf den Systemen des Anbieters. Diese Seite zeigt, wo Daten anfallen, welche Prüfpunkte vor dem Einsatz helfen und wer welche Rolle hat.
Datenwege
Wo bei KI-Nutzung Daten landen – auch als Kopie
Datenschutz betrifft nicht nur die Eingabe. Wählen Sie eine Nutzung, eine Datenkategorie oder ein System: Das Modell zeigt, wo Daten direkt gespeichert werden und wohin sie weitergereicht werden – an den Modellanbieter, in einen Suchindex, ins Protokoll. Darunter typische Fragen aus dem Alltag. Dasselbe Prinzip für die gesamte IT zeigt Technischer Datenschutz.
Systeme und Speicherorte
Verarbeitungstätigkeiten
Datenkategorien
Verarbeitungstätigkeit
Antworten auf Kundenanfragen entwerfen
Antworten auf Kundenanfragen entwerfen: 3 Datenkategorien in 1 Systemen; Kopien in 2 weiteren.
- Zweck
- Antwortentwürfe im Kundenservice mit der freigegebenen KI-Plattform
- Betroffene Personen
- Kundinnen und Kunden
- Datenkategorien
- Kontaktdaten KundschaftVertrags- und AuftragsdatenNutzungsdaten
- Gespeichert in
- KI-Plattform
- Zusätzlich als Kopie in
- Modellanbieter (Verarbeitung beim Modellanbieter)Nutzungs- und Änderungsprotokoll (Protokollierung)
- Empfänger
- Modellanbieter (Verarbeitung)
- Löschregel
- Chatverläufe nach einer festgelegten Frist löschen – einschließlich Kopien in Protokollen und Sicherungen. Frist und Einstellung legt Ihr Unternehmen fest, beraten von seinen Datenschutzverantwortlichen.
Die Anfrage wird in die Plattform kopiert. Von dort geht sie zur Verarbeitung an den Modellanbieter; der Verlauf bleibt in der Plattform.
Vereinfachtes Beispielmodell. Systeme, Wege und Kategorien sind typisiert und keine Analyse Ihrer Umgebung. Wie einzelne Werkzeuge Daten speichern, aufbereiten und protokollieren, unterscheidet sich je Produkt, Tarif und Einstellung. Das Modell bewertet nicht, ob eine Verarbeitung zulässig ist – das klären Ihre Datenschutzverantwortlichen. ENTDECKE.digital bietet keine Rechtsberatung an.
Verarbeitungsübersicht als Text
- Antworten auf Kundenanfragen entwerfen – Zweck: Antwortentwürfe im Kundenservice mit der freigegebenen KI-Plattform. Datenkategorien: Kontaktdaten Kundschaft, Vertrags- und Auftragsdaten, Nutzungsdaten. Gespeichert in: KI-Plattform. Zusätzlich als Kopie in: Modellanbieter, Nutzungs- und Änderungsprotokoll. Empfänger: Modellanbieter (Verarbeitung). Löschregel: Chatverläufe nach einer festgelegten Frist löschen – einschließlich Kopien in Protokollen und Sicherungen. Frist und Einstellung legt Ihr Unternehmen fest, beraten von seinen Datenschutzverantwortlichen.
- Fragen an Unternehmensdokumente – Zweck: Antworten aus angebundenen Ablagen. Datenkategorien: Inhalte aus Ablagen, Besondere Kategorien (Art. 9), Nutzungsdaten. Gespeichert in: Dokumentenablage, KI-Plattform. Zusätzlich als Kopie in: Nutzungs- und Änderungsprotokoll, Modellanbieter. Empfänger: Modellanbieter (Verarbeitung). Löschregel: Der Suchindex folgt den Quellen – wie schnell Löschungen dort ankommen, ist je Plattform zu prüfen.
- Besprechungen zusammenfassen – Zweck: Protokolle aus Aufzeichnung oder Transkript. Datenkategorien: Wortbeiträge von Beschäftigten, Interne Geschäftsinformationen, Nutzungsdaten. Gespeichert in: Besprechungsdienst, KI-Plattform. Zusätzlich als Kopie in: Modellanbieter, Nutzungs- und Änderungsprotokoll. Empfänger: Modellanbieter (Verarbeitung). Löschregel: Aufzeichnungen und Transkripte nur so lange wie für das Protokoll nötig – Regel mit Datenschutz und, falls vorhanden, Betriebs- oder Personalrat abstimmen.
- Agent pflegt Kundendatensätze – Zweck: Ein Agent legt Einträge im CRM an oder ändert sie – nach menschlicher Bestätigung. Datenkategorien: Kontaktdaten Kundschaft, Vertrags- und Auftragsdaten, Nutzungsdaten. Gespeichert in: CRM, KI-Plattform. Zusätzlich als Kopie in: Modellanbieter, Nutzungs- und Änderungsprotokoll. Empfänger: Modellanbieter (Verarbeitung). Löschregel: Im CRM gelten dessen Löschregeln; Agentenprotokolle und Verläufe in der Plattform nach festgelegter Frist löschen – auch in Sicherungen, sobald deren Aufbewahrungszeit endet.
- Schatten-KI: privates Konto – Zweck: Nicht freigegebene Nutzung eines privaten KI-Kontos. Datenkategorien: Kontaktdaten Kundschaft, Vertrags- und Auftragsdaten. Gespeichert in: Privates KI-Konto. Empfänger: Anbieter des privaten Kontos. Löschregel: Nicht steuerbar: Es gelten die Bedingungen des Anbieters für Privatkunden.
- Verarbeitung beim Modellanbieter: KI-Plattform → Modellanbieter (Kontaktdaten Kundschaft, Vertrags- und Auftragsdaten, Inhalte aus Ablagen, Besondere Kategorien, Wortbeiträge von Beschäftigten, Interne Geschäftsinformationen) – Eingaben – und abgerufene Inhalte – gehen zur Verarbeitung an den Modellanbieter.
- Aufbereitung für die Suche: Dokumentenablage → KI-Plattform – Je nach Plattform werden Inhalte für Antworten abgerufen oder in einem Suchindex aufbereitet. Ohne Ausschluss gilt das für alles, was angebunden ist.
- Protokollierung: KI-Plattform → Nutzungs- und Änderungsprotokoll (Nutzungsdaten) – Nutzung, Aktionen und Änderungen werden protokolliert – in welchem Umfang, ist einstellbar und abzustimmen.
Vor dem Einsatz
Prüfpunkte, bevor ein KI-Werkzeug eingeführt wird
Die Punkte folgen der Orientierungshilfe der Datenschutzkonferenz und sind als Gesprächsgrundlage mit Ihrer Datenschutzberatung gedacht, nicht als abschließende Liste. Wie diese Entscheidung in die gesamte KI-Einführung passt, zeigt KI im Unternehmen.
Zweck und Einsatzfeld festlegen
Wofür soll das Werkzeug genutzt werden – und wofür ausdrücklich nicht? Ohne klaren Zweck lässt sich nichts weiter prüfen.
Daten eingrenzen
Welche Daten werden eingegeben? Lässt sich der Zweck auch ohne personenbezogene Daten erreichen, etwa mit anonymisierten Beispielen?
Vertrag und Anbieter klären
Gibt es einen Unternehmensvertrag mit Regelungen zur Auftragsverarbeitung? Wo werden die Daten verarbeitet, auch außerhalb der EU?
Nutzung für Training ausschließen
Prüfen, ob Eingaben zum Training des Anbieters verwendet werden – und ob sich das vertraglich oder per Einstellung ausschließen lässt.
Transparenz und Betroffenenrechte
Betroffene informieren, wo es nötig ist, und klären, wie Auskunft, Berichtigung und Löschung umgesetzt werden können. Löschen heißt bei KI auch: Chat- und Prompt-Verläufe, hochgeladene Dateien, Suchindizes, Protokolle und Sicherungen (Backups) mitdenken – nicht nur den Ausgangsdatensatz.
Datenschutz-Folgenabschätzung prüfen
Hat eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene zur Folge, ist eine Folgenabschätzung durchzuführen. Ob das zutrifft, entscheidet Ihr Unternehmen als Verantwortlicher und führt sie gegebenenfalls durch; benannte Datenschutzbeauftragte beraten dabei. Wie Risiken technisch beschrieben werden, zeigt Risikoanalyse und Datenschutz-Folgenabschätzung.
Werkzeug prüfen
Ist das Werkzeug für diese Daten vorbereitet?
Ob Daten in ein KI-Werkzeug dürfen, hängt nicht nur von den Daten ab, sondern davon, was am Werkzeug geklärt ist: Konto, Vertrag, Training, Verlauf und Zugriff auf Unternehmensdaten. Stellen Sie die Merkmale ein oder wählen Sie ein Beispiel – die Begründung zeigt, welcher Punkt noch offen ist. Welche Datenklassen Ihre Richtlinie für welches Werkzeug vorsieht, zeigt das Beispiel unter KI-Richtlinien.
Einordnung im Lernmodell
Vorbereitet
Die geprüften Merkmale sind geklärt. Ob der konkrete Einsatz zulässig ist, entscheidet Ihr Unternehmen – das Lernmodell bewertet das nicht.
- Alle Bedingungen des Modells sind erfüllt.
Vereinfachtes Lernmodell. Es prüft wenige Merkmale eines Werkzeugs; es gilt die strengste zutreffende Einordnung. Das Modell trifft keine rechtliche Zulässigkeitsentscheidung und ersetzt weder Datenschutzbeauftragte noch Rechtsberatung – ENTDECKE.digital bietet keine Rechtsberatung an.
Modellregeln als Text
Alle Regeln werden geprüft; es gilt die strengste zutreffende Folge (Vorbereitet → Mit Vorgaben → Vorher klären → So nicht verwenden).
- So nicht verwenden, wenn Welche Daten?: Intern, ohne Personenbezug oder Personenbezogen oder Besondere Kategorien und Konto: Privates Konto – Private Konten unterliegen weder den Verträgen noch den Einstellungen Ihres Unternehmens – betriebliche Daten gehören dort nicht hinein.
- Mit Vorgaben, wenn Welche Daten?: Öffentlich oder erfunden und Konto: Privates Konto – Öffentliche oder erfundene Inhalte sind unkritisch – aber ein privates Konto verwaltet niemand im Unternehmen. Eine Richtlinie kann es deshalb ganz ausschließen.
- So nicht verwenden, wenn Welche Daten?: Personenbezogen oder Besondere Kategorien und Vertrag: Kein Vertrag – Verarbeitet der Anbieter personenbezogene Daten in Ihrem Auftrag, sieht Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung vor. Solange kein solcher Vertrag besteht, klären Sie die Rolle des Anbieters, bevor solche Daten hineingehen.
- Vorher klären, wenn Welche Daten?: Personenbezogen oder Besondere Kategorien und Vertrag: Vertrag ungeprüft – Ob der Vertrag Auftragsverarbeitung, Verarbeitungsort und Unterauftragnehmer regelt, ist noch offen.
- So nicht verwenden, wenn Welche Daten?: Personenbezogen oder Besondere Kategorien und Training: Training möglich – Eingaben können zum Training des Anbieters genutzt werden – damit könnten personenbezogene Daten für einen anderen Zweck verwendet werden. Erst ausschließen, vertraglich oder per Einstellung.
- Vorher klären, wenn Welche Daten?: Intern, ohne Personenbezug und Training: Training möglich – Interne Inhalte könnten ins Training des Anbieters einfließen. Klären, ob sich das ausschließen lässt.
- Vorher klären, wenn Welche Daten?: Intern, ohne Personenbezug oder Personenbezogen oder Besondere Kategorien und Training: Nicht bekannt – Ob Eingaben zum Training genutzt werden, steht in Vertrag und Einstellungen – erst nachsehen.
- Mit Vorgaben, wenn Welche Daten?: Personenbezogen oder Besondere Kategorien und Verlauf: Ohne festgelegte Dauer – Gespeicherte Verläufe enthalten die eingegebenen Daten. Speicherdauer und Löschung festlegen – bei Microsoft 365 Copilot etwa über Aufbewahrungsrichtlinien in Microsoft Purview.
- Vorher klären, wenn Datenzugriff: Zugriff, Rechte ungeprüft – Das Werkzeug findet alles, was die Person sehen darf – auch zu weit freigegebene Ordner. Erst Berechtigungen und Freigaben prüfen.
- Vorher klären, wenn Welche Daten?: Besondere Kategorien – Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsangaben, nur nach Klärung mit den Datenschutzverantwortlichen – auch bei sonst geklärtem Werkzeug.
- Mit Vorgaben, wenn Welche Daten?: Personenbezogen – Personenbezogene Daten: Zweck festlegen, nur das Nötige eingeben, Betroffene informieren, wo es nötig ist.
Vereinfachtes Lernmodell. Es prüft wenige Merkmale eines Werkzeugs; es gilt die strengste zutreffende Einordnung. Das Modell trifft keine rechtliche Zulässigkeitsentscheidung und ersetzt weder Datenschutzbeauftragte noch Rechtsberatung – ENTDECKE.digital bietet keine Rechtsberatung an.
Technik und Organisation
Stellschrauben, die Sie selbst in der Hand haben
Viele Risiken lassen sich mit einfachen technischen und organisatorischen Maßnahmen verringern – unabhängig davon, welches Werkzeug Sie wählen.
- Unternehmenskonten statt privater Zugänge, mit zentraler Anmeldung
- Einstellungen zur Datennutzung und zu Verläufen bewusst setzen
- Berechtigungen und Freigaben aufräumen, bevor KI auf Unternehmensdaten zugreift
- Protokollierung dort aktivieren, wo das Werkzeug es anbietet
- Regeln zur Dateneingabe in der KI-Richtlinie festhalten und schulen
Gerade bei Microsoft 365 Copilot ist der dritte Punkt entscheidend: Copilot zeigt nur Inhalte, auf die die jeweilige Person mindestens Lesezugriff hat (Microsoft Learn). Was Copilot damit im Unternehmen finden kann, zeigt Microsoft 365 Copilot; Grundlagen unter Sicherheit und Governance in Microsoft 365. Wie Berechtigungen und Zugriffskonzepte allgemein aufgebaut werden, beschreibt Technischer Datenschutz.
Zuständigkeiten
Wer was entscheidet
- Unternehmenverantwortlich für die Verarbeitung: entscheidet über Einsatz und Zweck, führt eine nötige Folgenabschätzung durch
- Datenschutzbeauftragteunterrichten und beraten, überwachen die Einhaltung – die Entscheidung bleibt beim Unternehmen
- ITsetzt Konten, Einstellungen und Berechtigungen technisch um
- Anbieterverarbeitet nach Vertrag – Rolle hängt von der Konstellation ab
KI-Governance
Governance: den KI-Einsatz im Blick behalten
Datenschutz ist kein einmaliger Prüfschritt. Mit jeder neuen Funktion, jedem geteilten Assistenten und jeder Integration ändert sich, welche Daten wohin gelangen. KI-Governance heißt, das dauerhaft nachvollziehbar zu halten:
- Übersicht: welche Werkzeuge, Assistenten und Integrationen gibt es, wem gehören sie?
- Rollen: wer darf freischalten, teilen, anbinden?
- Protokolle: wer hat Einstellungen geändert – und wie lange wird das aufbewahrt?
- Überprüfung: feste Termine für Richtlinie, Freigaben und angebundene Quellen
KI-Plattformen können dafür eigene Funktionen bieten. Welche Anforderungen sich daraus ergeben, zeigt Zentrale KI-Plattformen.
Leistung
Unsere Unterstützung
Im Rahmen einer KI-Einführung einzeln buchbar. Die rechtliche Bewertung bleibt bei Ihren Datenschutzverantwortlichen.
Prüfpunkte für KI-Werkzeuge strukturieren
Fragen zu Vertrag, Daten und Einstellungen für Ihre Datenschutzberatung vorbereiten.
Technische Einstellungen dokumentieren
Konten, Datennutzung und Berechtigungen nachvollziehbar festhalten.
Risiken für den KI-Einsatz zusammentragen
Technische Grundlage für Risikobewertung und Folgenabschätzung, die Ihr Unternehmen verantwortet.
Technischer Datenschutz für die gesamte IT
Wo KI Teil einer größeren Bestandsaufnahme ist: Verarbeitungen, Systeme, Zugriffe und Löschung im Zusammenhang.
Häufige Fragen
Ist Werkzeug X DSGVO-konform?
Eine pauschale Antwort gibt es nicht. Ob der Einsatz zulässig ist, hängt von Vertrag, Einstellungen, Zweck und den eingegebenen Daten ab. Bewerten muss das Ihr Unternehmen als Verantwortlicher – beraten von Datenschutzbeauftragten oder Rechtsberatung. Wer im Unternehmen welche Rolle hat, beschreibt Technischer Datenschutz.
Dürfen wir Kundendaten in ein KI-Werkzeug eingeben?
Nur, wenn das Werkzeug dafür freigegeben ist und Zweck, Rechtsgrundlage und Vertrag geklärt sind. Im Zweifel mit anonymisierten oder erfundenen Beispielen arbeiten.
Brauchen wir für KI eine Datenschutz-Folgenabschätzung?
Nicht für jeden Einsatz. Sie ist durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene zur Folge hat. Ob das zutrifft, entscheidet Ihr Unternehmen als Verantwortlicher; benannte Datenschutzbeauftragte beraten dabei und überwachen die Durchführung. Mehr unter Risikoanalyse und Datenschutz-Folgenabschätzung.
Gilt neben der DSGVO auch die KI-Verordnung?
Ja, beide gelten nebeneinander. Einen Überblick zur KI-Verordnung finden Sie auf der Themenseite Künstliche Intelligenz und unter KI im Unternehmen.
Sie wollen KI einführen und den Datenschutz mitdenken?
Sprechen Sie uns an. Wir sagen offen, was wir technisch-organisatorisch beitragen können – die rechtliche Bewertung bleibt bei Ihrer Datenschutzberatung. Telefon 07131-618726-0.