DSGVO und KI-Automatisierung: Worauf KMU achten sollten

Sobald eine Automatisierung Namen, E-Mail-Adressen oder Kundendaten verarbeitet – und das tun die meisten –, ist die Datenschutz-Grundverordnung im Spiel. Dieser Artikel ersetzt keine Rechtsberatung, sondern zeigt die vier Punkte, die in jedem KI-Automatisierungsprojekt konkret zu klären sind, bevor ein Workflow live geht.

Warum das bei KI-Automatisierung anders ist als bei klassischer Software

Ein klassisches CRM verarbeitet Daten nach festen Regeln, die Sie einmal einrichten. Ein KI-Schritt in einer Automatisierung – etwa eine Anfrage klassifizieren, eine Antwort entwerfen oder ein Dokument auslesen – schickt Ausschnitte dieser Daten an ein Sprachmodell, oft bei einem Anbieter außerhalb der EU. Das ändert nichts an der grundsätzlichen Pflicht zur Auftragsverarbeitung, macht die Prüfung aber konkreter: Welche Daten verlassen welches System, zu welchem Zweck, und wo landen sie?

Die vier Punkte, die zu klären sind

• Auftragsverarbeitungsvertrag (AVV). Mit jedem Anbieter, der personenbezogene Daten in Ihrem Auftrag verarbeitet – das Automatisierungstool, der Modellanbieter, jeder angebundene Dienst –, braucht es einen AVV nach Art. 28 DSGVO. Ohne AVV kein produktiver Einsatz, unabhängig davon, wie gut der Workflow funktioniert.
• Serverstandort und Drittlandtransfer. Läuft die Automatisierungsplattform oder das Sprachmodell in der EU, in der Schweiz oder in einem Drittland wie den USA? Bei einem Transfer in ein Drittland braucht es eine dokumentierte Übermittlungsgrundlage (etwa Standardvertragsklauseln). Das ist keine Formalie, sondern etwas, das Sie vor dem ersten produktiven Lauf schriftlich vorliegen haben sollten.
• Datensparsamkeit im Prompt. Ein KI-Schritt braucht selten den vollständigen Datensatz, um seine Aufgabe zu erfüllen. Wenn eine Anfrage nur klassifiziert werden muss, reicht oft der Betreff, nicht die komplette Kundenhistorie. Je weniger personenbezogene Daten in den Prompt wandern, desto kleiner die Angriffsfläche und desto einfacher die Dokumentation.
• Betroffenenrechte im automatisierten Ablauf. Wenn jemand Auskunft verlangt oder eine Löschung beantragt, muss das auch dann funktionieren, wenn die Daten zwischenzeitlich durch drei angebundene Systeme gelaufen sind. Ein Workflow-Diagramm mit allen Stationen, an denen personenbezogene Daten gespeichert werden, ist die Grundlage dafür – und sollte vor dem Livegang existieren, nicht erst bei der ersten Anfrage entstehen.

Was die Aufsichtsbehörden dazu sagen

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat im Mai 2024 eine Orientierungshilfe zu KI und Datenschutz veröffentlicht.[1] Sie beschreibt einen risikobasierten Ansatz: Der Prüfaufwand richtet sich danach, wie sensibel die verarbeiteten Daten sind und wie stark eine automatisierte Entscheidung eine Person betrifft. Zentrale Themen sind Datenminimierung schon bei der Auswahl des Modells und der Prompts, Transparenz gegenüber betroffenen Personen, menschliche Aufsicht bei Entscheidungen mit spürbarer Wirkung, und die Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist. Für die Praxis heißt das: Je nachdem, wie ein Workflow eingreift, reicht eine einfache Dokumentation nicht mehr aus.

Kein Zertifikat, sondern eine Reihe von Entscheidungen

Es gibt kein Siegel, das eine Automatisierung pauschal “DSGVO-konform” macht – jede Einschätzung hängt vom konkreten Workflow, den verarbeiteten Daten und den eingebundenen Anbietern ab. Datenschutz by Design heißt für uns: Wir planen Zugriffskontrollen, menschliche Aufsicht und Dokumentation in jeden Workflow ein und zeigen transparent, wo eine fachliche Rechts- oder Sicherheitsprüfung durch Ihren Datenschutzbeauftragten oder eine Kanzlei nötig ist, statt das stillschweigend zu übergehen oder eine Konformität zu behaupten, die wir nicht prüfen können.

Checkliste für Ihr nächstes Automatisierungsprojekt

• Liste aller Anbieter, die im Workflow personenbezogene Daten sehen, mit Serverstandort je Anbieter
• AVV mit jedem dieser Anbieter unterschrieben, nicht nur angefragt
• Übermittlungsgrundlage dokumentiert für jeden Anbieter außerhalb der EU/des EWR
• Geprüft, welche Felder tatsächlich in den Prompt an das Sprachmodell müssen – und welche nicht
• Klar benannt, wer eine Auskunfts- oder Löschanfrage über alle beteiligten Systeme hinweg bearbeiten kann
• Eingeschätzt, ob der Workflow eine Datenschutz-Folgenabschätzung auslöst, im Zweifel mit Ihrem Datenschutzbeauftragten

Nächste Schritte

• Gehen Sie die Checkliste oben für Ihre aktuell wichtigste Automatisierung durch, bevor Sie die nächste bauen.
• Klären Sie offene Punkte mit Ihrem Datenschutzbeauftragten oder einer spezialisierten Kanzlei – wir zeigen die Stellen auf, prüfen sie aber nicht rechtlich.
• Lassen Sie einen bestehenden oder geplanten Workflow im Automatisierungs-Audit oder im kostenlosen Automatisierungs-Check auf genau diese Punkte durchsehen.