Kundendaten in ChatGPT und anderen KI-Diensten: Was muss ein Unternehmen prüfen?

1. Warum ein Prompt datenschutzrechtlich relevant sein kann

Art. 4 DSGVO fasst den Begriff der Verarbeitung weit. Werden personenbezogene Informationen in einen externen oder internen KI-Dienst eingegeben, können unter anderem Verwendung, Übermittlung, Bereitstellung, Speicherung oder weitere Verarbeitungsvorgänge betroffen sein. DSGVO-Primärquelle

Deshalb ist die fachlich richtige Frage nicht nur, ob ein Modell den Inhalt technisch verarbeiten kann, sondern ob genau diese Daten für genau diesen Zweck über genau diese Verarbeitungskette eingesetzt werden dürfen.

2. Der betriebliche 12-Punkte-Prüfweg

1. Zweck und Erforderlichkeit.
   Welches konkrete Arbeitsziel soll erreicht werden? Ist die Verwendung realer personenbezogener Daten dafür erforderlich? Art. 5 DSGVO verlangt unter anderem Zweckbindung und Datenminimierung.
2. Datenbezug.
   Sind Personen direkt oder indirekt identifizierbar? Das Entfernen eines Namens allein führt nicht automatisch zu anonymen Daten.
3. Rechtsgrundlage.
   Für personenbezogene Daten ist eine tragfähige Rechtsgrundlage nach Art. 6 DSGVO zu bestimmen. „Wir nutzen KI“ ist selbst keine Rechtsgrundlage.
4. Besondere Kategorien.
   Bei Daten nach Art. 9 DSGVO – etwa Gesundheitsdaten – ist zusätzlich zu prüfen, ob ein einschlägiger Ausnahmetatbestand nach Art. 9 Abs. 2 vorliegt.
5. Rollen und Vertrag.
   Es ist zu klären, wer Verantwortlicher, Auftragsverarbeiter oder gegebenenfalls eigenständig Verantwortlicher ist. Soweit eine Auftragsverarbeitung vorliegt, ist Art. 28 DSGVO relevant.
6. Konkreter Dienst, Tarif und Konfiguration.
   Consumer-, Business-, Enterprise- und API-Angebote dürfen nicht als datenschutztechnisch identisch behandelt werden. Einstellungen, Vertragsbedingungen und Datenflüsse sind produktbezogen zu prüfen.
7. Drittlandtransfer.
   Werden personenbezogene Daten in ein Drittland übermittelt oder dort zugänglich gemacht, sind die Anforderungen des Kapitels V der DSGVO zu prüfen. Mögliche Instrumente sind je nach Sachverhalt unter anderem Angemessenheitsbeschlüsse oder Standardvertragsklauseln. EU-Standardvertragsklauseln
8. Sicherheit und Geheimnisschutz.
   Art. 32 DSGVO verlangt risikogerechte technische und organisatorische Maßnahmen. Zugangsdaten, API-Schlüssel und andere Geheimnisse gehören nicht allein deshalb in einen Dienst, weil dieser betrieblich freigegeben ist. DSK-TOM-Leitlinie
9. Transparenz und Betroffenenrechte.
   Es ist zu prüfen, ob bestehende Informationen nach Art. 13 oder 14 DSGVO den KI-Einsatz, Empfänger- oder Datenkategorien und Zwecke ausreichend abbilden und wie Betroffenenrechte praktisch erfüllt werden.
10. Speicherung, Löschung und Protokollierung.
    Aufbewahrungsfristen des Dienstes, Chatverlauf, Protokolle, Administrationszugriffe und Löschprozesse müssen zur eigenen Speicherbegrenzung und internen Richtlinie passen.
11. Datenschutz-Folgenabschätzung.
    Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen zur Folge hat, ist Art. 35 DSGVO zu prüfen. Eine DSFA ist daher eine risikobasierte Einzelfallfrage, keine automatische Folge jeder KI-Nutzung.
12. Output und menschliche Kontrolle.
    Ausgaben können unzutreffend sein oder personenbezogene beziehungsweise vertrauliche Inhalte betreffen. Vor der betrieblichen Nutzung sind fachliche Prüfung, geeignete Freigaben und gegebenenfalls weitere rechtliche Kontrollen erforderlich.

3. ChatGPT ist nicht ein einziger Datenschutzmodus

Für die betriebliche Beurteilung muss der tatsächlich verwendete Dienst betrachtet werden.

4. Praktische Schutzklassen – keine gesetzlichen Datenkategorien

Für betriebliche Richtlinien kann eine interne Schutzklassifikation hilfreich sein. Sie ersetzt jedoch nicht die gesetzlichen Kategorien der DSGVO oder eine konkrete Geheimnisschutzprüfung.

7. Drei Praxisfälle

8. KI-Ausgaben brauchen einen eigenen Kontrollschritt

Generative Systeme können plausible, aber sachlich falsche Inhalte erzeugen. Besonders kritisch sind ungeprüfte Rechtsaussagen, Quellenangaben, Tatsachenbehauptungen über reale Personen oder sicherheitsrelevante Handlungsempfehlungen.

Für betriebliche Prozesse sollte daher vorab festgelegt werden, welche Ausgaben menschlich geprüft werden, wer dafür verantwortlich ist und welche Quellen oder Originaldaten zur Verifikation herangezogen werden.

9. Zusätzlich zur DSGVO: KI-Verordnung und KI-Kompetenz

Datenschutzrecht und KI-Verordnung sind getrennte, aber parallel relevante Regelungsebenen. Die aktuelle konsolidierte KI-Verordnung sieht in Art. 4 Maßnahmen zur Förderung der KI-Kompetenz von Personal und weiteren Personen vor, die im Auftrag von Anbietern oder Betreibern mit KI-Systemen umgehen. Umfang und konkrete Umsetzung hängen unter anderem von Wissen, Erfahrung, Ausbildung und Einsatzkontext ab. EU-KI-Verordnung

Eine betriebliche KI-Richtlinie sollte deshalb nicht nur eine Liste erlaubter Werkzeuge enthalten, sondern auch Rollen, Schulung, Datenregeln, Kontrollwege und Eskalation bei Zweifelsfällen.

10. FAQ

Weiterlernen bei SemaTrain

Der Wissensbeitrag vermittelt einen prüfbaren Einstieg. In betrieblichen Schulungen können Organisationen daraus Rollen, Freigaberegeln, Datenklassifikation, Fallarbeit und einen nachvollziehbaren KI-Governance-Prozess entwickeln.

Verantwortungsvollen KI-Einsatz vertiefen

Fachliche Weiterbildung; keine individuelle Rechtsberatung.