Die Datenschutz-Grundverordnung wirkt auf den ersten Blick sperrig und komplex. Doch sie ist kein grundsätzliches Hindernis für die Nutzung von KI, sondern ein Rahmen, der vor allem eine zentrale Frage stellt: Welche Daten verarbeite ich?
Kurz erklärt
KI-Tools dürfen personenbezogene Daten nur unter bestimmten Voraussetzungen verarbeiten. Solange Daten ausreichend anonymisiert sind und sich daraus keine Rückschlüsse auf konkrete Personen ziehen lassen, steht die DSGVO ihrer Verwendung nicht im Weg.
Entscheidend ist immer zuerst die Frage: Kann ich von diesen Daten auf eine konkrete Person schließen?
Stefan Humer, Rechtsanwalt bei MOFIDIAN + HUMER
Was sind personenbezogene Daten?
Die EU-Datenschutz-Grundverordnung vereinheitlicht den Schutz von Daten innerhalb Europas – mit dem Ziel, einerseits Privatsphäre zu wahren und andererseits den Datenverkehr im Binnenmarkt zu sichern.
Im Kern dreht sich alles um eine Unterscheidung: Handelt es sich um personenbezogene Daten oder nicht? „Der Dreh- und Angelpunkt bei KI und DSGVO sind personenbezogene Daten“, erklärt Stefan Humer, Rechtsanwalt bei MOFIDIAN + HUMER und Experte für digitales Recht. „Entscheidend ist immer zuerst die Frage: Kann ich von diesen Daten auf eine konkrete Person schließen?“
Personenbezogen sind offensichtlich Name und Adresse – aber auch eine Kundennummer, eine unternehmensinterner ID oder eine IP-Adresse. Sobald Daten anonymisiert sind und keine Rückschlüsse auf Personen mehr zulassen, fällt die DSGVO nicht mehr an.
Was ist erlaubt – und was kritisch?
Das bedeutet praktisch: Generisch gehaltene oder anonymisierte Inhalte können ohne Bedenken in KI-Anwendungen eingespeist werden.
Für personenbezogene Daten braucht es Rechtfertigungsgründe. Einer davon ist die explizite Zustimmung der betroffenen Person, was im KI-Kontext meist nicht realistisch ist. Oft stellt sich stattdessen die Frage: Gibt es ein berechtigtes Interesse an der Datenverarbeitung, das schwerer wiegt als das Interesse der Person an Datenschutz?
Diese Abwägung wird etwa relevant bei KI-Chatbots im Kundenservice. Geben Nutzerinnen oder Nutzer dort persönliche Daten ein, müssen sie vorher darüber informiert werden und zustimmen. Gleiches gilt intern: Mitarbeitendaten dürfen nur mit expliziter Erlaubnis verarbeitet werden.
Kritisch wird es bei Datentransfers in Drittländer. Hier gelten strengere Regeln. Und gerade bei KI ist das relevant: Die großen Anbieter sitzen in den USA oder China. „Das ist ein entscheidender Punkt“, betont Humer. Wer personenbezogene Daten dorthin transferiert, muss sicherstellen, dass der Schutz nicht geringer wird.
Verstöße gegen die DSGVO können mit bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes geahndet werden.
Was KMUs konkret tun sollten
Um auf der sicheren Seite zu stehen:
- Personenbezogene Daten von Kundinnen, Kunden und Mitarbeitenden nur mit expliziter Zustimmung verwenden
- Vorsicht vor vermeintlich anonymen Daten: Auch IDs und unternehmensinterner Kürzel können Rückschlüsse zulassen
- Mitarbeitende sensibilisieren und unternehmensintterne Guidelines festlegen
- Kritische Fälle – etwa die Speicherung von Daten in Drittstaaten – mit Experten klären
Typische Fehlannahmen
„KI ist aus DSGVO-Sicht grundsätzlich verboten“: Das stimmt nicht. KI-Anwendungen sind oft erlaubt – solange keine personenbezogenen Daten verarbeitet werden, also Daten, die Rückschlüsse auf konkrete Personen zulassen.
„Wenn ein Tool DSGVO-konform ist, bin ich sicher“: Nein. DSGVO-Konformität hängt nicht vom Tool ab, sondern von den Daten, die darin verarbeitet werden. Ein sicheres Tool mit unsicheren Daten ist kein Schutz.
„Das betrifft nur große Unternehmen“: Auch kleine Unternehmen verarbeiten personenbezogene Daten. Die DSGVO unterscheidet nicht nach Unternehmensgröße.
Die DSGVO ist kein Hindernis
Wer KI-Tools verantwortungsvoll einsetzt – also etwa keine personenbezogenen Daten ungeprüft verarbeitet – kann sie ohne DSGVO-Bedenken nutzen. Vorsicht bleibt nötig bei Datentransfers ins Ausland. Aber das ist nicht kompliziert, es erfordert nur Aufmerksamkeit.
DSGVO-Schnellcheck: Wie kritisch ist dein KI-Einsatz?
Zum Mitnehmen: Was personenbezogen ist, wann du einen Rechtfertigungsgrund brauchst und fünf Alltagsfälle. Als PDF herunterladen oder als Bild speichern.
