Wo im Alltag personenbezogene Daten in KI landen
Datenschutzprobleme mit KI entstehen selten durch große Projekte, sondern durch kleine Gewohnheiten. Typische Situationen in kleinen Betrieben:
- Eine Kundenbeschwerde wird samt Name, Adresse und Auftragsnummer in einen Chat-Assistenten kopiert, um eine Antwort formulieren zu lassen.
- Ein Besprechungsprotokoll mit Gehaltsthemen wird von einem KI-Tool zusammengefasst.
- Bewerbungsunterlagen werden hochgeladen, um eine Vorauswahl zu bekommen.
- Ein Chatbot auf der Website nimmt Anfragen mit Telefonnummern entgegen.
In all diesen Fällen verarbeiten Sie personenbezogene Daten, und die DSGVO gilt genauso wie bei jeder anderen Software.
Fünf Fragen vor jedem KI-Werkzeug
- Welche Daten gebe ich ein? Nur Sachinhalte, oder auch Namen, Kontaktdaten, Gesundheitsangaben?
- Wo werden die Daten verarbeitet? In der EU oder in einem Drittland wie den USA, und auf welcher Grundlage?
- Werden Eingaben zum Trainieren verwendet? Und lässt sich das abschalten?
- Gibt es einen Auftragsverarbeitungsvertrag? Ohne diesen Vertrag sollten keine Kundendaten in das Werkzeug.
- Wer hat Zugriff und wie lange wird gespeichert? Können Sie Daten löschen, und wer im Betrieb sieht die Verläufe?
Die Antworten finden Sie in den Datenschutzhinweisen und Vertragsunterlagen des Anbieters. Fehlen sie, ist das bereits eine Antwort.
Sehen Sie, wie ein KI-Chatbot mit den Inhalten Ihrer Website antwortet. Danach 30 Tage gratis.
Privatversion oder Business-Lösung
Viele KI-Werkzeuge gibt es in einer kostenlosen oder günstigen Version für Privatpersonen und in Versionen für Unternehmen. Der Unterschied liegt oft weniger im Funktionsumfang als in den Bedingungen: Bei Privatversionen behalten sich Anbieter je nach Nutzungsbedingungen vor, Eingaben zur Verbesserung ihrer Modelle zu nutzen. Unternehmensversionen schließen das meist vertraglich aus und bieten einen Auftragsverarbeitungsvertrag an.
Prüfen Sie die aktuellen Bedingungen selbst, denn sie ändern sich. Eine ehrliche Einordnung: Für das Formulieren eines allgemeinen Werbetextes ohne Personenbezug ist eine Privatversion meist unproblematisch. Sobald Kundendaten im Spiel sind, sollte es eine Business-Lösung sein. Wie Sie KI-Assistenten im Alltag einsetzen, beschreibt ChatGPT im Betrieb.
Daten sparen: Platzhalter statt echter Namen
Der wirksamste Schutz ist, personenbezogene Daten gar nicht erst einzugeben. In vielen Fällen braucht die KI sie auch nicht:
- Ersetzen Sie Namen durch Platzhalter wie „Kunde A“ oder „Frau M.“.
- Lassen Sie Adressen, Telefonnummern und Auftragsnummern weg.
- Beschreiben Sie Sachverhalte allgemein: „Ein Kunde beschwert sich über eine verspätete Lieferung“ reicht für einen Antwortentwurf.
- Fügen Sie die echten Daten erst im fertigen Text in Ihrem E-Mail-Programm ein.
Besonders geschützte Daten, etwa zu Gesundheit, Religion oder Gewerkschaftszugehörigkeit, sollten nur in Werkzeuge, die dafür ausdrücklich geeignet sind, und nach fachlicher Beratung.
Informationspflichten, Verzeichnis und automatische Entscheidungen
Setzen Sie KI dauerhaft für Kundendaten ein, gehört das in Ihre Datenschutzdokumentation. Dazu zählen die Datenschutzerklärung der Website, wenn ein Chatbot oder ein Formular mit KI arbeitet, und das Verzeichnis von Verarbeitungstätigkeiten, das viele Betriebe ohnehin führen müssen.
Vorsicht ist bei Entscheidungen geboten, die ausschließlich automatisiert fallen und Menschen erheblich betreffen, etwa die Ablehnung einer Bewerbung ohne menschliche Prüfung. Solche Entscheidungen sind nach der DSGVO nur eingeschränkt zulässig. Bei Verarbeitungen mit hohem Risiko kann zudem eine Datenschutz-Folgenabschätzung nötig sein. Parallel gilt die europäische KI-Verordnung, siehe EU AI Act.
Vier typische Situationen und wie man sie löst
Installateur mit Angebotsentwürfen: Die KI formuliert aus Stichworten einen Angebotstext. Kundendaten werden erst danach im Angebotsprogramm ergänzt. Geringes Risiko, einfache Regel.
Büro mit Besprechungsprotokollen: Ein Tool wie noteit erstellt Protokolle aus Online-Meetings, ohne Bot im Call, mit Speicherung in Frankfurt. Wichtig ist, die Teilnehmenden vorab zu informieren, mehr dazu unter Gespräche aufzeichnen.
Website-Chatbot: Ein Chatbot wie Pipebot antwortet nur mit den Inhalten des Betriebs. Er gehört in die Datenschutzerklärung, und Besucher sollten keine sensiblen Daten eingeben müssen. Details unter Chatbot und Datenschutz.
Praxis mit Befundbriefen: Hier geht es um Gesundheitsdaten. Ohne spezialisierte, geprüfte Lösung und Beratung sollten solche Texte nicht durch ein allgemeines KI-Tool laufen.
Eine interne KI-Richtlinie in einer Seite
Für die meisten kleinen Betriebe reicht eine Seite mit klaren Regeln: welche Werkzeuge erlaubt sind, welche Daten nie hinein dürfen, wer Ergebnisse vor dem Versand prüft und an wen man sich bei Fragen wendet. Das dient gleichzeitig der Einschulung, die der AI Act verlangt.
Wenn Sie KI-Werkzeuge in Ihre Abläufe einbauen wollen, unterstützt Sie Mühlberger Digital mit Pipeline AI Solutions bei Auswahl und Umsetzung, mehr unter KI und Prozessautomatisierung. Dieser Ratgeber ersetzt keine Rechtsberatung. Im Einzelfall helfen die Datenschutzbehörde, die WKO oder eine Anwältin bzw. ein Anwalt.
Häufige Fragen
Darf ich Kundendaten in ChatGPT oder ähnliche Tools eingeben?
Nur unter Voraussetzungen. Sie brauchen eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag mit dem Anbieter und Klarheit, wo und wie lange die Daten verarbeitet werden. Bei kostenlosen Privatversionen fehlt das häufig. Für den Alltag ist die einfachste Lösung, Namen und Kontaktdaten durch Platzhalter zu ersetzen und echte Daten erst im fertigen Dokument einzufügen. Bei sensiblen Daten lassen Sie sich vorher beraten.
Was ist ein Auftragsverarbeitungsvertrag und brauche ich ihn für KI?
Ein Auftragsverarbeitungsvertrag regelt, dass ein Dienstleister personenbezogene Daten nur nach Ihren Weisungen verarbeitet, sie schützt und nicht für eigene Zwecke nutzt. Die DSGVO verlangt ihn, wenn ein externer Anbieter in Ihrem Auftrag Daten verarbeitet. Das gilt auch für KI-Werkzeuge, die mit Kundendaten arbeiten. Seriöse Business-Angebote stellen einen solchen Vertrag bereit, oft als Teil der Geschäftsbedingungen.
Ist es ein Problem, wenn ein KI-Anbieter in den USA sitzt?
Nicht automatisch. Für Übermittlungen in die USA gibt es seit 2023 das EU-US Data Privacy Framework, dem sich Unternehmen anschließen können, daneben andere Garantien wie Standardvertragsklauseln. Wichtig ist, dass eine solche Grundlage besteht und in Ihrer Dokumentation steht. Anbieter mit Verarbeitung in der EU machen die Sache einfacher. Die Rechtslage kann sich ändern, prüfen Sie im Einzelfall den aktuellen Stand.
Muss ich Kunden informieren, dass ich KI einsetze?
Wenn Sie personenbezogene Daten von Kunden mit KI verarbeiten, gehört das in Ihre Datenschutzinformation, etwa in die Datenschutzerklärung oder in Informationen zu Besprechungen. Wenn Kunden direkt mit einer KI kommunizieren, etwa mit einem Chatbot, sollte das zudem klar erkennbar sein. Für interne Hilfen wie Textentwürfe ohne Personenbezug gibt es keine allgemeine Informationspflicht.