DATENSCHUTZ UND KI

Datenschutz und KI: wie wir mit Ihren Daten umgehen

KI ist nützlich, aber nicht jede Information gehört hinein. Hier erklären wir, welche Daten in welche KI dürfen, welche Verträge nötig sind und wie wir selbst arbeiten.

Diese Seite ist eine verständliche Orientierung, keine Rechtsberatung. Für verbindliche Auskünfte wenden Sie sich bitte an Ihren Datenschutzbeauftragten oder Ihre Rechtsberatung. Die Datenschutzerklärung dieser Website finden Sie unter Datenschutz.

Unsere Grundsätze

  • Erst klären, dann bauen: Bevor wir einen Ablauf bauen, klären wir, welche Daten wohin fließen.
  • Firmenkonto statt Privatkonto: Für Firmendaten empfehlen wir nur KI-Dienste mit Firmenlizenz und Auftragsverarbeitungsvertrag.
  • Training abschalten: Wir achten darauf, dass Ihre Eingaben nicht zum Training der KI genutzt werden. In vielen Firmentarifen ist das Standard, wir prüfen die Einstellung trotzdem.
  • Testen mit Testdaten: Beim Bauen und Testen arbeiten wir mit Testdaten, nicht mit echten Kundendaten.
  • So wenig wie möglich: Ein Ablauf bekommt nur die Daten, die er wirklich braucht.
  • Keine pauschalen Versprechen: „Automatisch datenschutzkonform“ gibt es nicht. Wir prüfen jede Lösung im Einzelfall mit Ihnen.

Welche Daten dürfen in welche KI?

Eine einfache Ampel hilft im Alltag. Sie ersetzt nicht die Prüfung im Einzelfall.

Grün: unbedenklich

  • Allgemeine Texte ohne Bezug zu Personen oder Betriebsgeheimnissen
  • Öffentliche Informationen, zum Beispiel von Ihrer Website
  • Anonymisierte Beispiele („Ein Kunde fragt nach einem Angebot für …“)

Geeignet für: jedes erlaubte Werkzeug, im Zweifel auch zum Üben.

Gelb: nur im Firmenkonto mit Vertrag

  • Interne Unterlagen, Angebote, Preislisten
  • Geschäftliche E-Mails mit Namen und Kontaktdaten
  • Dokumente, aus denen sich Rückschlüsse auf Personen ziehen lassen

Geeignet für: KI-Dienste mit Firmenlizenz, Auftragsverarbeitungsvertrag und abgeschaltetem Training, wenn Ihre Richtlinie das erlaubt.

Rot: nicht in die KI oder nur nach gesonderter Prüfung

  • Passwörter, Zugangsdaten, Bankdaten
  • Gesundheitsdaten, Daten von Patientinnen und Patienten
  • Personaldaten, Bewerbungen, Beurteilungen
  • Informationen, die einer Schweigepflicht unterliegen, etwa in Praxen und Kanzleien
  • Vertrauliche Verträge und Betriebsgeheimnisse, außer in ausdrücklich freigegebenen Werkzeugen

Geeignet für: im Normalfall gar nicht. Ausnahmen nur nach Prüfung mit Ihrem Datenschutzbeauftragten.

Mehr dazu im Artikel ChatGPT in der Firma: Was darf in die KI und was nicht?

Auftragsverarbeitungsvertrag: wer mit wem?

Ein Auftragsverarbeitungsvertrag (AV-Vertrag) regelt, wie ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Bei KI gibt es meist zwei Stellen:

  1. Sie und der KI-Anbieter: Wenn Ihr Team ChatGPT, Claude oder Copilot mit Firmendaten nutzt, schließen Sie als Betrieb den Vertrag mit dem Anbieter. Bei Firmentarifen wird er in der Regel online angeboten. Wir helfen beim Einrichten.
  2. Sie und wir: Wenn wir Abläufe mit Ihren Daten bauen oder betreiben, schließen wir mit Ihnen einen Auftragsverarbeitungsvertrag.

Was Sie als Betrieb zusätzlich prüfen sollten

  • Verarbeitungsverzeichnis: Neue KI-Dienste gehören in Ihr Verzeichnis der Verarbeitungstätigkeiten.
  • Datenschutz-Folgenabschätzung: Bei bestimmten, risikoreichen Verarbeitungen kann sie nötig sein. Das klärt Ihr Datenschutzbeauftragter.
  • Betriebsrat: Gibt es einen, ist er zu beteiligen, wenn die Nutzung der KI technisch protokolliert oder ausgewertet werden kann.
  • Wo die Daten verarbeitet werden: Das hängt vom Anbieter und vom Tarif ab. Wir sehen uns das mit Ihnen an, bevor ein Dienst eingesetzt wird.
  • KI-Richtlinie: Klare Regeln für Ihr Team. Mehr im Artikel KI-Richtlinie für Mitarbeiter: Was rein muss.

Was in jedem Umsetzungsangebot steht

  • Welche Dienste beteiligt sind
  • Welche Daten verarbeitet werden und welche nicht
  • Wo die Dienste Daten verarbeiten, soweit der Anbieter das angibt
  • Welche Verträge nötig sind
  • Welche laufenden Kosten für KI-Dienste anfallen

Wenn doch etwas schiefgeht

Ist versehentlich etwas Sensibles in eine KI geraten, gilt: nicht verstecken, sondern sofort der zuständigen Person melden. Der Betrieb prüft dann, ob eine Meldung an die Datenschutzaufsicht nötig ist. Dafür gilt eine Frist von 72 Stunden ab Kenntnis (Art. 33 DSGVO).

Häufige Fragen

Ist ChatGPT datenschutzkonform?

Eine pauschale Antwort gibt es nicht. Es kommt auf Tarif, Vertrag, Einstellungen und die eingegebenen Daten an. Mit Firmenlizenz, AV-Vertrag, abgeschaltetem Training und klaren Regeln lässt sich KI im Betrieb verantwortungsvoll nutzen.

Lernt die KI mit unseren Daten?

In Firmentarifen ist das Training mit Ihren Eingaben in der Regel abgeschaltet. Bei kostenlosen Versionen ist das oft anders. Darum gehören Firmendaten nicht in Privatkonten.

Sehen Sie unsere Daten?

Nur, wenn es für einen Auftrag nötig ist, etwa beim Betrieb eines Ablaufs. Dafür schließen wir einen Auftragsverarbeitungsvertrag. Zum Bauen und Testen nutzen wir Testdaten.

Können wir KI auch ganz ohne Cloud nutzen?

Es gibt KI-Modelle, die auf eigener Hardware laufen. Das ist aufwendiger und nicht für jede Aufgabe sinnvoll. Ob es für Sie passt, klären wir in der KI-Beratung.

Setzt diese Website Cookies?

Laut aktuellem Stand setzt die Website keine Cookies und kein Tracking.

Datenschutz mitgedacht, von Anfang an

Bei der KI-Einführung gehören Einstellungen, KI-Richtlinie und Datenschutz-Hinweise fest dazu.

Kostenloses Erstgespräch vereinbaren