Begriffe vorab
- DSGVO: die EU-Datenschutz-Grundverordnung, die den Umgang mit personenbezogenen Daten regelt.
- Verantwortlicher: wer über Zweck und Mittel der Datenverarbeitung entscheidet.
- Auftragsverarbeiter: wer Daten im Auftrag eines Verantwortlichen verarbeitet.
- Pseudonymisierung: Kennzeichen durch Platzhalter ersetzen, sodass eine Zuordnung nur mit Zusatzwissen möglich ist.
Personenbezogene Daten
Namen, Kontaktdaten, Gesundheitsdaten oder Kundenhistorien sind personenbezogen. Wer sie in ein KI-System gibt, braucht eine Rechtsgrundlage und muss Zweckbindung und Datensparsamkeit beachten.
Praktische Regeln
- Daten minimieren oder pseudonymisieren, bevor sie eingegeben werden.
- Bei geschäftlicher Nutzung einen passenden Vertrag prüfen, inklusive Auftragsverarbeitung, falls personenbezogene Daten verarbeitet werden.
- Die Nutzungsbedingungen und Datenschutzeinstellungen des gewählten Tarifs lesen. Privat- und Geschäftstarife unterscheiden sich unter Umständen.
- Betroffene informieren, wenn es rechtlich erforderlich ist.
Urheberrecht
- Ergebnisse auf Ähnlichkeit zu geschützten Werken prüfen.
- Quellen und Zitate immer verifizieren.
- Die Frage, wer Rechte an KI-generierten Inhalten hält, hängt von Land und Einzelfall ab.
EU-Regulierung
Die EU-KI-Verordnung (AI Act) stellt Anforderungen an Anbieter und Betreiber von KI-Systemen, abhängig vom Risiko des Einsatzes, unter anderem Transparenz und Kennzeichnung. Die genauen Pflichten hängen vom Anwendungsfall ab.
Hinweis: Dieser Inhalt ist eine allgemeine Orientierung und keine Rechtsberatung.
Die Rollenfrage
Nutzt ein Unternehmen ein KI-Werkzeug für Kundendaten, ist es in der Regel Verantwortlicher, der Anbieter des Werkzeugs oft Auftragsverarbeiter. Dann braucht es typischerweise einen Vertrag zur Auftragsverarbeitung und Klarheit, wo Daten verarbeitet werden. Private und geschäftliche Tarife eines Anbieters können dabei unterschiedliche Bedingungen haben – deshalb die Nutzungsbedingungen des tatsächlich genutzten Tarifs lesen.
Grundsätze der Verarbeitung
- Rechtsgrundlage: Es muss einen zulässigen Grund für die Verarbeitung geben.
- Zweckbindung: Daten dürfen nur für den festgelegten Zweck verwendet werden.
- Datenminimierung: so wenige Daten wie nötig.
- Transparenz: Betroffene müssen informiert werden, wo das erforderlich ist.
Urheberrecht in der Praxis
Ergebnisse können Formulierungen enthalten, die geschützten Werken ähneln. Bei Veröffentlichungen empfiehlt sich deshalb eine Prüfung auf Übereinstimmungen und das Nachschlagen von Quellenangaben. Wem Rechte an KI-gestützt erstellten Inhalten zustehen, hängt von Land und Einzelfall ab; in Deutschland setzt urheberrechtlicher Schutz eine persönliche geistige Schöpfung eines Menschen voraus.
Zum Selbermachen: Datenflüsse erfassen
- Notiere, welche personenbezogenen Daten du mit KI-Werkzeugen verarbeiten möchtest.
- Klärt für jedes Werkzeug: Anbieter, Tarif, Speicherort, Vertrag zur Auftragsverarbeitung.
- Lege fest, welche Daten pseudonymisiert oder gar nicht eingegeben werden.
- Bespreche das Ergebnis mit der Datenschutzbeauftragten oder einer Rechtsberatung.
Diese Lektion ist eine Orientierung und keine Rechtsberatung.
Was im Zweifel zu tun ist
Bei Unsicherheit: Daten vorsichtshalber weglassen oder pseudonymisieren, die Nutzungsbedingungen des konkreten Tarifs lesen und die Datenschutzbeauftragte oder eine Rechtsberatung einbinden. Es ist einfacher, vorher zu fragen, als nachträglich eine Datenpanne zu melden.
Dokumentation zahlt sich aus
Halte fest, welche Werkzeuge für welchen Zweck mit welchen Daten genutzt werden. Diese Übersicht hilft bei Anfragen Betroffener, bei Prüfungen und bei der Einarbeitung neuer Kolleginnen und Kollegen.
Prüfstatus: Belegt (Stand 1. Oktober 2026): Jahreszahlen, Zahlen, Namen und Quellenangaben dieser Lektion, soweit die Quellenliste sie nennt, wurden gegen Primärquellen geprüft. Nicht einzeln belegt: erklärende Darstellung nach Lehrbuchstand und Quellen, die in der Liste als „allgemeine Referenz“ markiert sind.
Quellen
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO)
- Urheberrechtsgesetz (UrhG) § 2 Abs. 2 – Werke als „persönliche geistige Schöpfungen“ (allgemeine Referenz, nicht Zeile für Zeile geprüft)
- Verordnung (EU) 2024/1689 (KI-Verordnung, AI Act)