DSGVO und KI-Automatisierung: Was vor dem Start geklärt sein sollte.
Automatisierung bewegt personenbezogene Daten zwischen Tools, oft zu neuen Anbietern. Diese Checkliste nennt die Fragen, die Sie zuerst klären sollten. Sie enthält allgemeine Informationen und ist keine Rechtsberatung. Lassen Sie Wichtiges von Ihrem Berater bestätigen.
6 Min. Lesezeit. Aktualisiert
Beginnen Sie mit einer Datenübersicht
Schreiben Sie vor dem Bau für jeden Schritt eine Zeile auf:
- Welche personenbezogenen Daten er verarbeitet, etwa Namen, E-Mails oder Bestelldaten.
- Welches Tool oder welcher Anbieter sie erhält.
- Wo dieser Anbieter sie speichert und verarbeitet.
- Wie lange sie dort bleiben, einschließlich Protokollen.
Prüfen Sie Ihre Anbieter
Verarbeitet ein Anbieter personenbezogene Daten für Sie, ist er in der Regel Auftragsverarbeiter. Artikel 28 DSGVO verlangt dafür einen schriftlichen Vertrag. Etablierte Anbieter haben meist einen Standardvertrag. Fordern Sie ihn an und bewahren Sie eine Kopie auf.
Verlassen Daten die EU oder den EWR, brauchen Sie eine gültige Grundlage für die Übermittlung, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Fragen Sie jeden Anbieter, worauf er sich stützt.
Vorsicht bei KI-Anbietern
KI-Schritte verdienen eigene Fragen:
- Werden Ihre Daten zum Training der Modelle genutzt, und lässt sich das abschalten?
- Wie lange speichert der Anbieter, was Sie senden?
- Können Sie Angaben entfernen, die das Modell nicht braucht, bevor sie gesendet werden?
Bei ernsten Entscheidungen bleibt ein Mensch beteiligt
Artikel 22 DSGVO begrenzt ausschließlich automatisierte Entscheidungen, die rechtliche oder ähnlich erhebliche Wirkung auf eine Person haben. Einstellungen, Kredite und Vertragskündigungen sind klare Fälle für besondere Sorgfalt.
Der einfache Weg: Das System bereitet vor, ein Mensch entscheidet. Fragen Sie bei riskanteren Einsätzen Ihren Berater, ob eine Datenschutz-Folgenabschätzung nötig ist.
Informieren Sie und halten Sie Ordnung
Wenige Gewohnheiten decken viel ab:
- Passen Sie die Datenschutzerklärung an, wenn der neue Prozess die Datennutzung ändert.
- Legen Sie Speicherfristen für Protokolle und Dateien fest.
- Halten Sie Zugriffe eng, mit Firmenkonten statt privaten Konten.
- Prüfen Sie, ob die EU-KI-Verordnung Pflichten hinzufügt, etwa den Hinweis, dass Menschen mit einem KI-System zu tun haben.
Was Sie Ihren Spezialisten fragen sollten
Ein guter Spezialist gibt Ihnen Datenübersicht, Anbieterliste und verwendete Einstellungen schriftlich. Bei Aphelore gehören sie zusammen mit Konten und Exporten zu den Übergabedokumenten.
Fragen
Löst der Eigenbetrieb die DSGVO-Fragen?
Er hilft beim Speicherort, aber Ihre Pflichten bleiben. Sie brauchen weiterhin eine Rechtsgrundlage, Speicherregeln, Sicherheit und einen Weg, Anfragen Betroffener zu beantworten.
Dürfen wir KI auf Kunden-E-Mails anwenden?
Oft ja, mit passender Grundlage, Anbieterbedingungen und Information. Was angemessen ist, hängt vom Inhalt ab. Sprechen Sie vorher mit Ihrem Berater.