DSGVO-Compliance für KI-Unternehmen: Der Einstieg

Die Datenschutz-Grundverordnung (DSGVO) gilt seit Mai 2018, aber die Durchsetzung speziell im KI-Bereich nimmt Fahrt auf. Allein 2025 verhängten die europäischen Datenschutzbehörden Bußgelder von über 1,5 Milliarden EUR, mehrere große Verfahren richteten sich gegen algorithmische Entscheidungen, Gesichtserkennung und den Umgang mit KI-Trainingsdaten.

Wenn Sie KI-Systeme bauen, betreiben oder einbinden, die personenbezogene Daten von EU-Bürgern verarbeiten, gilt die DSGVO für Sie. Und da der EU AI Act nun zusätzliche Pflichten obendrauf legt, ist es keine Option mehr, die DSGVO-Compliance für KI richtig hinzubekommen. Sie ist die Grundlage.

Dieser Leitfaden übersetzt die Kernanforderungen der DSGVO in die Praxis für KI-Teams: Data Scientists, Product Manager, MLOps-Engineers und die Compliance-Fachleute, die sie unterstützen.

• Jedes KI-System, das personenbezogene Daten verarbeitet, braucht eine Rechtsgrundlage (Artikel 6): Einwilligung, berechtigtes Interesse oder eine der anderen sechs Grundlagen.
• KI-Training mit personenbezogenen Daten erfordert ein DSGVO-konformes Vorgehen: rechtmäßige Erhebung, Zweckbindung, Datenminimierung und Speicherbegrenzung gelten alle.
• Automatisierte Entscheidungen mit rechtlicher oder erheblicher Wirkung lösen Artikel 22 aus. Betroffene haben das Recht, nicht ausschließlich automatisierten Entscheidungen unterworfen zu werden, und ein Recht auf Erläuterung.
• Eine Datenschutz-Folgenabschätzung (DSFA) ist bei risikoreicher Verarbeitung Pflicht, was auf die meisten KI-Systeme zutrifft, die Personen profilieren oder automatisiert über sie entscheiden.
• Besondere Kategorien personenbezogener Daten (Herkunft, Gesundheit, Religion, sexuelle Orientierung) dürfen erst nach ausdrücklicher Einwilligung oder auf Basis einer anderen Ausnahme nach Artikel 9 verarbeitet werden, selbst zur Erkennung von Verzerrungen.
• DSGVO und AI Act ergänzen einander. Organisationen müssen beide einhalten, wo sie sich überschneiden. Eine DSFA ersetzt kein Risikomanagement-System nach dem AI Act.
• Die Bestellung eines Datenschutzbeauftragten (DSB) ist Pflicht für Organisationen, deren Kerntätigkeit in der umfangreichen systematischen Überwachung von Personen oder der Verarbeitung besonderer Datenkategorien besteht.

DSGVO-Grundlagen für KI-Teams

Die sechs Rechtsgrundlagen (Artikel 6)

Jede Verarbeitung personenbezogener Daten, einschließlich Erhebung, Speicherung, Nutzung für das Modelltraining, Inferenz und Erzeugung von Ergebnissen, braucht eine von sechs Rechtsgrundlagen:

Praxisbeispiel: Ein Cybersecurity-Startup trainiert ein Modell zur Anomalieerkennung mit Netzwerk-Logdaten, die IP-Adressen von Mitarbeitern und Verhaltensmuster enthalten. Das Unternehmen stützt sich auf das berechtigte Interesse (Art. 6(1)(f)) und dokumentiert in einer Interessenabwägung (LIA), dass der Sicherheitszweck die minimale Auswirkung auf die Privatsphäre überwiegt, da die Daten vor dem Modelltraining pseudonymisiert werden und die Mitarbeiter über die Datenschutzerklärung informiert sind.

Betroffenenrechte mit Bezug zu KI

Die DSGVO gewährt Personen acht Rechte. Mehrere davon sind für KI-Systeme besonders anspruchsvoll:

1. Recht auf Information (Art. 13-14): Sie müssen erklären, dass KI eingesetzt wird, welche Daten sie speist und warum. Siehe die Checkliste für Datenschutzerklärungen von KI-Unternehmen.
2. Auskunftsrecht (Art. 15): Personen können eine Kopie ihrer personenbezogenen Daten anfordern, einschließlich der von der KI abgeleiteten Daten (z. B. berechnete Scores, Klassifizierungen).
3. Recht auf Berichtigung (Art. 16): Erzeugt ein KI-System aufgrund fehlerhafter personenbezogener Daten ein falsches Ergebnis, kann die Person eine Korrektur verlangen.
4. Recht auf Löschung (Art. 17): Das "Recht auf Vergessenwerden" kann bei KI technisch komplex sein: Daten aus einem trainierten Modell zu entfernen, kann ein erneutes Training erfordern.
5. Recht auf Einschränkung der Verarbeitung (Art. 18): Personen können die KI-Verarbeitung ihrer Daten stoppen, solange eine Streitigkeit geklärt wird.
6. Recht auf Datenübertragbarkeit (Art. 20): Betroffene können ihre Daten in einem strukturierten, maschinenlesbaren Format anfordern.
7. Widerspruchsrecht (Art. 21): Personen können der Verarbeitung auf Grundlage des berechtigten Interesses widersprechen, einschließlich des Profilings für Direktwerbung.
8. Rechte im Zusammenhang mit automatisierten Entscheidungen (Art. 22): Siehe den eigenen Abschnitt weiter unten.

DSFA-Anforderungen bei KI

Eine Datenschutz-Folgenabschätzung ist nach Artikel 35 Pflicht, wenn eine Verarbeitung "voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat". Das umfasst ausdrücklich:

• Systematisches und umfangreiches Profiling mit erheblicher Wirkung.
• Umfangreiche Verarbeitung besonderer Datenkategorien.
• Systematische Überwachung öffentlich zugänglicher Bereiche.

In der Praxis brauchen die meisten KI-Systeme, die Entscheidungen über Personen treffen oder sie in großem Umfang profilieren, eine DSFA. Die nationalen Datenschutzbehörden haben eigene Listen von Verarbeitungsvorgängen veröffentlicht, die eine DSFA erfordern, und KI-basiertes Profiling steht auf nahezu allen davon.

Eine DSFA muss enthalten:

1. Eine systematische Beschreibung der Verarbeitung, ihrer Zwecke und des verfolgten berechtigten Interesses.
2. Eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitung.
3. Eine Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen.
4. Die Maßnahmen gegen diese Risiken, einschließlich Schutzvorkehrungen, Sicherheit und Mechanismen zum Schutz der Daten.

Praxisbeispiel: Ein Health-Tech-Unternehmen nutzt ein Machine-Learning-Modell, um Patientennachrichten zu triagieren und Dringlichkeits-Scores zu vergeben. Die Verarbeitung betrifft Gesundheitsdaten (besondere Kategorie) im großen Maßstab und erzeugt automatisierte Klassifizierungen mit erheblicher Wirkung auf Personen. Eine DSFA ist Pflicht und muss Risiken wie Fehlklassifizierung, Benachteiligung bestimmter Gruppen und die Verfügbarkeit einer menschlichen Überprüfung behandeln.

Wie die DSGVO auf KI-Trainingsdaten anwendbar ist

Das Training von KI-Modellen wirft spezifische DSGVO-Fragen auf, die die klassische Datenverarbeitung nicht kennt:

Zweckbindung

Trainingsdaten, die zu einem Zweck erhoben wurden, dürfen nicht ohne neue Rechtsgrundlage für einen unvereinbaren Zweck weiterverwendet werden. Ein für Produktanalysen erhobener Datensatz darf nicht automatisch für das Training einer Empfehlungs-Engine umgewidmet werden.

Der "Vereinbarkeitstest" der DSGVO (Artikel 6(4)) berücksichtigt: die Verbindung zwischen den Zwecken, den Kontext der Erhebung, die Art der Daten, mögliche Folgen und das Vorhandensein von Schutzvorkehrungen wie Pseudonymisierung. Diese Bewertung zu dokumentieren, ist unerlässlich.

Datenminimierung und KI

Artikel 5(1)(c) verlangt, dass Daten "dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt" sind. Das schafft ein echtes Spannungsverhältnis zum Machine Learning, wo die Modellleistung oft mit mehr Daten steigt.

Praktische Ansätze, um Datenminimierung und ML in Einklang zu bringen:

• Feature-Auswahl: Statistische Methoden nutzen, um zu ermitteln, welche Merkmale tatsächlich zur Modellleistung beitragen, und die übrigen weglassen.
• Synthetische Daten: Synthetische Datensätze erzeugen, die statistische Eigenschaften bewahren, ohne echte personenbezogene Daten zu enthalten.
• Federated Learning: Modelle über dezentrale Datenquellen trainieren, ohne rohe personenbezogene Daten zu zentralisieren.
• Differential Privacy: Mathematisches Rauschen zu den Trainingsdaten hinzufügen, damit einzelne Datensätze nicht aus dem Modell rekonstruiert werden können.
• Aggregation und Pseudonymisierung: Daten wo möglich vor dem Training aggregieren oder pseudonymisieren, damit Identifikatoren von den Merkmalen getrennt sind.

Speicherbegrenzung

Trainingsdaten dürfen nicht unbegrenzt aufbewahrt werden. Legen Sie eine Aufbewahrungsfrist fest und dokumentieren Sie sie. Ist das Modell trainiert und werden die rohen Trainingsdaten nicht mehr benötigt, löschen Sie sie oder anonymisieren Sie sie über den Punkt einer möglichen Re-Identifizierung hinaus.

Richtigkeit

Trainingsdaten müssen richtig sein. Fehlerhafte Trainingsdaten können zu verzerrten oder falschen Modellergebnissen führen, die wiederum zu Entscheidungen führen, die Personen schaden. Setzen Sie Datenqualitätsprüfungen, Deduplizierung und Validierungs-Pipelines ein.

Praxisbeispiel: Ein E-Commerce-Unternehmen scrapt öffentlich verfügbare Produktbewertungen, um ein Modell zur Sentiment-Analyse zu trainieren. Die Bewertungen enthalten Benutzernamen, die sich mit echten Identitäten verknüpfen lassen. Das Unternehmen muss prüfen, ob es eine Rechtsgrundlage für diese Verarbeitung hat, ob die Personen informiert wurden (Art. 14 gilt, wenn Daten nicht direkt bei der betroffenen Person erhoben werden) und ob die Verarbeitung im Verhältnis zum Zweck steht.

Automatisierte Entscheidungen nach Artikel 22

Artikel 22 gibt Personen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, einschließlich Profiling, die rechtliche oder ähnlich erhebliche Wirkung entfaltet.

Wann Artikel 22 gilt

Drei Voraussetzungen müssen alle erfüllt sein:

1. Die Entscheidung beruht ausschließlich auf automatisierter Verarbeitung (keine wesentliche menschliche Beteiligung).
2. Die Verarbeitung umfasst Profiling oder eine andere Form automatisierter Analyse.
3. Die Entscheidung entfaltet rechtliche Wirkung (z. B. Vertragskündigung, Leistungsverweigerung) oder ähnlich erhebliche Wirkung (z. B. Kreditablehnung, Absage einer Bewerbung).

Ausnahmen

Automatisierte Entscheidungen sind zulässig, wenn:

• Die Entscheidung für einen Vertrag zwischen der betroffenen Person und dem Verantwortlichen erforderlich ist.
• Die Entscheidung durch Recht der EU oder der Mitgliedstaaten zugelassen ist, mit geeigneten Schutzvorkehrungen.
• Die betroffene Person ausdrücklich eingewilligt hat.

Selbst wenn eine Ausnahme greift, muss der Verantwortliche geeignete Schutzvorkehrungen umsetzen, einschließlich des Rechts auf menschliches Eingreifen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung.

Das Recht auf Erläuterung

Artikel 22 verwendet den Begriff "Recht auf Erläuterung" zwar nicht ausdrücklich, doch die Erwägungsgründe 63 und 71 sowie die Leitlinien der Artikel-29-Datenschutzgruppe stellen fest, dass Betroffene ein Recht auf "aussagekräftige Informationen über die involvierte Logik" bei automatisierten Entscheidungen haben. Das bedeutet:

• Erklären Sie die wesentlichen Faktoren, die das Modell berücksichtigt.
• Erklären Sie die allgemeine Logik (nicht zwingend den vollständigen Quellcode oder die Modellarchitektur).
• Erklären Sie die Tragweite und die angestrebten Folgen der Verarbeitung.

Für KI-Teams heißt das, Erklärbarkeit von der Entwurfsphase an ins System einzubauen, sei es durch interpretierbare Modellarchitekturen, SHAP-Werte, LIME-Erklärungen oder Zusammenfassungen der Entscheidungsfaktoren.

Praxisbeispiel: Eine Versicherung nutzt ein Gradient-Boosting-Modell, um Prämien festzulegen. Ein Kunde, dessen Prämie deutlich gestiegen ist, verlangt eine Erläuterung. Nach Artikel 22 und Erwägungsgrund 71 muss das Unternehmen erklären können, welche Faktoren (z. B. Schadenshistorie, Postleitzahl, Fahrzeugtyp) die Preisentscheidung am stärksten beeinflusst haben, statt nur zu sagen, "der Algorithmus hat entschieden".

Einwilligung vs. berechtigtes Interesse bei KI

Das ist eine der am meisten diskutierten Fragen im Datenschutz für KI. Jede Grundlage hat ihre Kompromisse:

Praktische Empfehlung: Für KI-Trainingsdaten, die direkt von Nutzern stammen (z. B. Interaktionsdaten der Plattform), ist berechtigtes Interesse oft passender als Einwilligung, sofern die Nutzung im Rahmen vernünftiger Nutzererwartungen liegt und eine gründliche LIA dokumentiert ist. Für sensible Daten oder unerwartete Zweitverwendungen bietet die Einwilligung eine stärkere rechtliche Basis.

Erkennung von Verzerrungen und besondere Datenkategorien

KI-Fairness und die Erkennung von Verzerrungen schaffen ein DSGVO-Paradox: Um Verzerrungen in Modellergebnissen über geschützte Gruppen hinweg zu erkennen und zu mindern, müssen Sie oft besondere Datenkategorien verarbeiten (Herkunft, Ethnie, Gesundheitszustand, Religion, sexuelle Orientierung, politische Meinungen), was nach Artikel 9(1) verboten ist, sofern keine Ausnahme greift.

Das Paradox auflösen

Verfügbare Ausnahmen für die Erkennung von Verzerrungen sind:

• Ausdrückliche Einwilligung (Art. 9(2)(a)): Personen stimmen ausdrücklich zu, dass ihre sensiblen Daten für Fairness-Analysen genutzt werden.
• Erhebliches öffentliches Interesse (Art. 9(2)(g)): Einige Mitgliedstaaten haben Gesetze erlassen, die die Überwachung auf Diskriminierung als erhebliches öffentliches Interesse anerkennen. Prüfen Sie Ihre nationale Umsetzung.
• Statistische und Forschungszwecke (Art. 9(2)(j)): Verarbeitung zu statistischen Zwecken mit geeigneten Schutzvorkehrungen, einschließlich Pseudonymisierung und Datenminimierung.

Best Practices:

1. Nutzen Sie wo möglich aggregierte, anonymisierte demografische Daten für die Prüfung auf Verzerrungen.
2. Wenn Daten auf Personenebene nötig sind, pseudonymisieren Sie sie und beschränken Sie den Zugriff auf das Team, das die Verzerrungen prüft.
3. Dokumentieren Sie die Notwendigkeit und Verhältnismäßigkeit der Verarbeitung sensibler Daten für die Erkennung von Verzerrungen in Ihrer DSFA.
4. Löschen oder anonymisieren Sie die sensiblen Daten, sobald die Prüfung abgeschlossen ist.

Grenzüberschreitende Übermittlung von Trainingsdaten

KI-Trainingsdaten stammen oft aus mehreren Rechtsräumen. Die DSGVO beschränkt die Übermittlung personenbezogener Daten außerhalb der EU/des EWR (Kapitel V):

Übermittlungsmechanismen

Praxisbeispiel: Ein Berliner KI-Unternehmen schickt annotierte Trainingsdaten an ein Labeling-Team auf den Philippinen. Kein Angemessenheitsbeschluss deckt die Philippinen ab, also muss das Unternehmen SCCs mit dem Auftragsverarbeiter abschließen und eine Transfer Impact Assessment durchführen, um zu bewerten, ob das philippinische Recht in der Praxis einen angemessenen Schutz bietet.

Cloud- und Infrastruktur-Erwägungen

KI-Workloads laufen häufig auf Cloud-Infrastruktur von US-Hyperscalern (AWS, Google Cloud, Azure). Stellen Sie sicher:

• Der Cloud-Anbieter bietet Optionen zur EU-Datenresidenz und die Daten werden innerhalb des EWR verarbeitet.
• Verlassen Daten den EWR, sind geeignete Übermittlungsmechanismen (in der Regel SCCs) vorhanden.
• Der Auftragsverarbeitungsvertrag (AVV) des Anbieters erfüllt die Anforderungen von Artikel 28 DSGVO.

Anforderungen an einen DSB für KI-Unternehmen

Ein Datenschutzbeauftragter muss bestellt werden, wenn:

1. Die Organisation eine Behörde ist (außer Gerichten in ihrer justiziellen Tätigkeit).
2. Die Kerntätigkeit in Verarbeitungsvorgängen besteht, die eine regelmäßige und systematische Überwachung von Personen in großem Umfang erfordern.
3. Die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht.

Die meisten KI-Unternehmen, deren Kernprodukt Profiling, Verhaltensanalyse, biometrische Verarbeitung oder Gesundheitsdaten umfasst, erfüllen eine dieser Schwellen. Selbst wenn nicht zwingend erforderlich, gilt die Bestellung eines DSB als Best Practice und signalisiert regulatorische Reife.

Der DSB muss unabhängig sein, unmittelbar der obersten Leitungsebene berichten und darf für die Wahrnehmung seiner Aufgaben nicht abberufen oder benachteiligt werden. Er kann ein interner Beschäftigter oder ein externer Dienstleister sein.

DSGVO-Compliance-Checkliste für KI-Unternehmen

Nutzen Sie diese Checkliste, um Ihren aktuellen Stand einzuschätzen:

Dateninventar und -mapping

• Alle von KI-Systemen verarbeiteten personenbezogenen Daten sind in einem Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Artikel 30 dokumentiert.
• Datenflüsse sind durchgängig abgebildet: Erhebung, Speicherung, Verarbeitung (einschließlich Modelltraining), Ergebnis, Weitergabe und Löschung.
• Datenquellen von Dritten (APIs, gescrapte Daten, gekaufte Datensätze) sind identifiziert und ihre Rechtsgrundlage ist dokumentiert.

Rechtsgrundlage

• Für jede Verarbeitung personenbezogener Daten ist eine Rechtsgrundlage identifiziert und dokumentiert.
• Wo berechtigtes Interesse herangezogen wird, ist eine Interessenabwägung erstellt und verfügbar.
• Einwilligungsmechanismen erfüllen die DSGVO-Anforderungen (freiwillig, spezifisch, informiert, unmissverständlich, widerrufbar).

Transparenz

• Die Datenschutzerklärung deckt KI-spezifische Verarbeitung ab, einschließlich automatisierter Entscheidungen und Profiling. Siehe die Checkliste für Datenschutzerklärungen.
• Personen werden zum Zeitpunkt der Datenerhebung oder davor über die KI-Verarbeitung informiert.
• Wo Daten nicht bei der betroffenen Person erhoben wurden (Art. 14), wird die Information innerhalb eines Monats bereitgestellt.

Betroffenenrechte

• Es gibt Prozesse, um Anfragen zu Auskunft, Berichtigung, Löschung, Übertragbarkeit, Einschränkung und Widerspruch innerhalb eines Monats zu beantworten.
• Es gibt einen Prozess, um aussagekräftige Informationen über automatisierte Entscheidungen nach Artikel 22 bereitzustellen.
• Für automatisierte Entscheidungen mit rechtlicher oder erheblicher Wirkung ist eine menschliche Überprüfung verfügbar.

DSFAs und Risikomanagement

• DSFAs sind für alle risikoreichen KI-Verarbeitungen erstellt.
• DSFAs werden überprüft und aktualisiert, wenn sich die Verarbeitung wesentlich ändert.
• Die DSFA-Ergebnisse sind wo einschlägig mit dem Risikomanagement nach dem AI Act verknüpft.

Datenqualität und Datenminimierung

• Trainingsdaten werden auf Richtigkeit, Relevanz und Repräsentativität geprüft.
• Merkmale, die nicht zur Modellleistung beitragen, werden entfernt.
• Aufbewahrungsfristen sind für Trainingsdaten, Inferenz-Logs und Modellergebnisse definiert und werden durchgesetzt.

Sicherheit

• Geeignete technische und organisatorische Maßnahmen sind umgesetzt (Art. 32): Verschlüsselung, Pseudonymisierung, Zugriffskontrollen, Incident Response.
• Die Modellsicherheit adressiert Risiken wie Datenextraktion, Model Inversion und adversarielle Angriffe.
• Verfahren zur Meldung von Datenschutzverletzungen sind vorhanden (Meldung innerhalb von 72 Stunden an die Aufsichtsbehörde nach Art. 33).

Verzerrungen und Fairness

• Prozesse zur Erkennung und Minderung von Verzerrungen sind vorhanden, mit dokumentierter Rechtsgrundlage für jede Verarbeitung besonderer Datenkategorien.
• Modellergebnisse werden auf ungleiche Auswirkungen über geschützte Gruppen hinweg überwacht.

Internationale Übermittlungen

• Alle grenzüberschreitenden Datenübermittlungen sind durch einen geeigneten Mechanismus abgedeckt (Angemessenheit, SCCs, BCRs).
• Transfer Impact Assessments sind für Übermittlungen in nicht angemessene Länder dokumentiert.
• Cloud- und Infrastruktur-Anbieter haben DSGVO-konforme AVVs und Optionen zur EU-Datenresidenz.

Governance

• Ein DSB ist bestellt, sofern erforderlich (oder freiwillig als Best Practice).
• Mitarbeiter, die personenbezogene Daten verarbeiten, erhalten regelmäßig DSGVO- und KI-spezifische Schulungen.
• Auftragsverarbeitungsverträge sind mit allen Auftragsverarbeitern vorhanden (Art. 28).

DSGVO- und AI-Act-Compliance koordinieren

Die DSGVO und der EU AI Act sind sich ergänzende Regelwerke mit überschneidenden Anforderungen. Sie zu koordinieren, vermeidet Doppelarbeit und Lücken:

Für einen ausführlichen Vergleich siehe EU AI Act vs. DSGVO: Unterschiede und Überschneidungen.

Häufige Fehler bei der DSGVO-Compliance für KI

1. Modellergebnisse als nicht-personenbezogene Daten behandeln. Erzeugt ein KI-System einen Kredit-Score, eine Risikoklassifizierung oder ein Verhaltensprofil, das mit einer identifizierbaren Person verknüpft ist, ist dieses Ergebnis ein personenbezogenes Datum im Sinne der DSGVO.
2. Auf Einwilligung setzen, wenn berechtigtes Interesse passender ist (und umgekehrt). Einwilligung gibt Nutzern maximale Kontrolle, ist aber im Trainingsdaten-Umfang brüchig. Berechtigtes Interesse ist praktikabler, erfordert aber eine gründliche, dokumentierte Abwägung.
3. Artikel 14 bei gescrapten oder fremden Daten ignorieren. Werden personenbezogene Daten nicht direkt bei der betroffenen Person erhoben, verlangt Artikel 14 eine Datenschutzinformation innerhalb eines Monats nach Erhalt der Daten, eine Anforderung, die viele KI-Unternehmen übersehen.
4. Eine DSFA als einmalige Häkchen-Übung behandeln. DSFAs müssen überprüft und aktualisiert werden, wenn sich die Verarbeitung ändert. Eine DSFA für Modell v1 deckt womöglich nicht die Risiken ab, die v3 einführt.
5. Annehmen, Pseudonymisierung sei gleich Anonymisierung. Pseudonymisierte Daten sind nach der DSGVO weiterhin personenbezogen. Nur wirklich anonymisierte Daten (bei denen eine Re-Identifizierung nicht mehr mit vertretbarem Aufwand möglich ist) fallen aus dem Anwendungsbereich der DSGVO.
6. Nicht für Löschanfragen vorsorgen. Verlangt eine betroffene Person die Löschung und wurden ihre Daten zum Training eines Modells verwendet, brauchen Sie eine Strategie, sei es erneutes Training, Machine Unlearning oder die Dokumentation, warum die Löschung nach den verfügbaren Ausnahmen technisch unverhältnismäßig ist.
7. Die Rechtsgrundlage nicht vor Beginn der Verarbeitung dokumentieren. Die DSGVO verlangt, dass Sie Ihre Rechtsgrundlage vor Beginn der Verarbeitung bestimmen und dokumentieren. Eine nachträgliche Rechtfertigung ist ein Compliance-Verstoß.

Häufig gestellte Fragen

Brauche ich DSGVO-Compliance, wenn mein KI-System keine personenbezogenen Daten verarbeitet?

Verarbeitet Ihr KI-System wirklich keine personenbezogenen Daten, etwa ein Modell zur Wettervorhersage, das ausschließlich mit meteorologischen Sensordaten trainiert wurde, gilt die DSGVO für diese konkrete Verarbeitung nicht. Aber Vorsicht: Daten, die nicht-personenbezogen erscheinen, können im Kontext personenbezogen werden (z. B. lassen sich Standortdaten in Kombination mit Zeitstempeln Personen zuordnen).

Darf ich öffentlich verfügbare Daten zum Training meines KI-Modells nutzen?

Dass Daten öffentlich verfügbar sind, nimmt sie nicht aus der DSGVO heraus. Sie brauchen weiterhin eine Rechtsgrundlage, müssen eine Datenschutzinformation bereitstellen (Art. 14) und die Betroffenenrechte wahren. Dass die Daten von der betroffenen Person selbst öffentlich gemacht wurden, kann ein Argument für berechtigtes Interesse stützen, das aber im Einzelfall zu prüfen ist.

Wie gehe ich mit Löschanfragen zu Daten um, die bereits im Modelltraining verwendet wurden?

Das ist eine der schwierigsten DSGVO-Fragen bei KI. Optionen sind: das Modell ohne die Daten der Person erneut trainieren, Machine-Unlearning-Techniken anwenden, dokumentieren, dass die Daten in den Modellgewichten so weit anonymisiert sind, dass sie kein personenbezogenes Datum mehr sind, oder eine Ausnahme geltend machen, wenn die Löschung die Verarbeitung unmöglich machen oder das Erreichen eines Forschungszwecks ernsthaft beeinträchtigen würde (Art. 17(3)(d)).

Gilt Artikel 22 DSGVO für KI-gestützte (nicht vollständig automatisierte) Entscheidungen?

Artikel 22 gilt für Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen. Gibt es eine wesentliche menschliche Beteiligung, bei der ein Mensch das KI-Ergebnis tatsächlich überprüft und vor der Entscheidung ein eigenständiges Urteil fällt, gilt Artikel 22 nicht. Das bloße Abnicken einer KI-Empfehlung ist jedoch keine wesentliche menschliche Beteiligung.

Wie sollte ich meine DSFA mit den Risikomanagement-Anforderungen des AI Act koordinieren?

Erstellen Sie eine einzige integrierte Risikobewertung, die sowohl die DSFA-Anforderungen der DSGVO als auch das Risikomanagement nach Artikel 9 des AI Act abdeckt. Die DSFA konzentriert sich auf Datenschutzrisiken; das Risikomanagement-System des AI Act deckt breitere Sicherheits-, Grundrechte- und technische Risiken ab. Ein gemeinsamer Prozess vermeidet Doppelarbeit und sorgt für Konsistenz. Siehe den vollständigen AI-Act-Leitfaden für das gesamte regulatorische Bild.

Ist eine Interessenabwägung dasselbe wie eine DSFA?

Nein. Eine Interessenabwägung (LIA) rechtfertigt Ihre Wahl der Rechtsgrundlage nach Artikel 6(1)(f). Eine DSFA bewertet das Gesamtrisiko der Verarbeitung für die Rechte und Freiheiten der Betroffenen. Wenn Sie sich bei risikoreicher KI-Verarbeitung auf berechtigtes Interesse stützen, brauchen Sie wahrscheinlich sowohl eine dokumentierte LIA als auch eine DSFA.

Nächste Schritte

DSGVO-Compliance ist die eine Hälfte des regulatorischen Bildes für KI-Unternehmen. Um zu verstehen, wie der AI Act Ihre Pflichten ergänzt und wo sich die beiden Regelwerke überschneiden, führen Sie die kostenlose AI-Act-Bewertung durch und lesen Sie den vollständigen AI-Act-Leitfaden.

Legalithm ist ein KI-gestütztes Tool für Compliance-Workflows, keine Rechtsberatung. Finale Compliance-Entscheidungen sollten von qualifizierten Rechtsberatern geprüft werden.