91 · Verantwortung, Recht & Governance

DSGVO-Konformität

KI-Einsatz im Rahmen des Datenschutzes.

Die alten Fragen, neu gestellt: Rechtsgrundlage für Daten in Prompts und Training, Auftragsverarbeitung beim API-Anbieter, Speicherorte, Löschkonzepte, Betroffenenrechte. Heikel wird es, wo Modelle personenbezogene Daten memorieren oder Anbieter mit Eingaben weitertrainieren. Wer DSGVO im Design mitführt statt nachträglich prüft, spart sich die schmerzhaften Umbauten.

Ein Beispiel

Ein Team fragt, ob ein Cloud-Modell „DSGVO-konform“ ist. Die Frage ist so nicht beantwortbar, weil Konformität keine Eigenschaft eines Produkts ist, sondern einer Verarbeitung. Beantwortbar sind: Welche personenbezogenen Daten gehen hinein? Auf welcher Rechtsgrundlage? Gibt es einen Auftragsverarbeitungsvertrag? Wo wird verarbeitet? Wie lange gespeichert? Wie wird ein Auskunfts- oder Löschbegehren erfüllt? Sechs Fragen, sechs Antworten, dann steht die Bewertung.

Genauer betrachtet

Zu klären sind Rechtsgrundlage, Zweckbindung, Datenminimierung, Speicherorte, Auftragsverarbeitung und die Rechte Betroffener. Bei Modellen kommt die praktische Frage hinzu, wie Auskunft und Löschung gelten sollen, wenn Daten im Training gelandet sind.

Warum das zählt

Die schwierigste dieser Fragen ist in der Praxis die letzte. Ein Auskunftsersuchen muss auch das erfassen, was in Protokollen, Vektordatenbanken und Zwischenspeichern liegt — und genau dort wird beim Bauen selten mitgedacht. Wer eine KI-Anwendung plant, sollte deshalb früh festlegen, wie Daten wieder herausgehen, nicht nur wie sie hineinkommen. Der zweite wiederkehrende Punkt: Prompt-Eingaben sind Verarbeitung. Was Mitarbeitende in ein Chatfenster tippen, unterliegt denselben Regeln wie ein Datenbankeintrag. Dies ist eine Einordnung, keine Rechtsberatung.

Häufig missverstanden

„Die Daten bleiben in Europa“ beantwortet nur einen Teil. Zweck, Aufbewahrung und die Frage, ob Eingaben zum Training verwendet werden, sind die häufigeren Stolpersteine.

Nachbarschaft

Verwandte Begriffe

Der Brief.