Checkliste für die Datenschutzerklärung von KI-Unternehmen (2026)

Eine Datenschutzerklärung ist keine Formsache. Für Unternehmen, die KI-Systeme bauen oder einsetzen, ist sie ein verbindliches Transparenzdokument, das Regulierungsbehörden aktiv unter die Lupe nehmen. In jüngsten Durchsetzungsverfahren haben Datenschutzbehörden Bußgelder von über 100 Millionen EUR für unzureichende Datenschutzhinweise verhängt, und KI-spezifische Transparenzmängel sind eine aufkommende Durchsetzungspriorität.

Die Herausforderung im Jahr 2026 ist, dass KI-Unternehmen nun mit überlappenden Transparenzanforderungen aus zwei großen Regelwerken konfrontiert sind: der DSGVO (Artikel 13-14 und die Bestimmungen zur automatisierten Entscheidungsfindung in Artikel 22) und dem EU AI Act (Artikel 50, der ab dem 2. August 2026 gilt). Die Anforderungen des einen Regelwerks zu erfüllen, genügt dem anderen nicht automatisch.

Dieser Leitfaden bietet eine abschnittsweise Checkliste für den Aufbau einer Datenschutzerklärung, die beide Rahmenwerke abdeckt, mit konkreten Hinweisen zur Offenlegung von KI-gestützten Funktionen, automatisierter Entscheidungsfindung, Praktiken bei Trainingsdaten und Chatbot-Interaktionen.

• Alle Pflichtelemente nach DSGVO Artikel 13/14: Identität des Verantwortlichen, Zwecke und Rechtsgrundlagen, Empfänger, Aufbewahrungsfristen, Rechte der betroffenen Personen und Kontaktangaben.
• Klare Offenlegung, welche Funktionen oder Prozesse KI nutzen, einschließlich der involvierten Logik, der Tragweite und der angestrebten Auswirkungen (DSGVO Artikel 13 Absatz 2 Buchstabe f / Artikel 14 Absatz 2 Buchstabe g).
• Transparenzoffenlegungen nach AI-Act-Artikel 50: Benachrichtigung, wenn Personen mit einem KI-System interagieren, wenn Inhalte KI-generiert sind oder wenn Emotionserkennung oder biometrische Kategorisierung im Einsatz ist.
• Eine Beschreibung der Praktiken bei KI-Trainingsdaten, also welche Daten erhoben werden, ob Nutzerdaten in das Modelltraining einfließen und wie man widerspricht.
• Informationen über das Recht auf menschliche Prüfung automatisierter Entscheidungen mit rechtlicher oder erheblicher Wirkung.
• Gesonderte Offenlegungen für KI-Chatbots, mit klarer Angabe, dass der Nutzer mit einem KI-System interagiert.
• Ein dokumentierter Aktualisierungsprozess, denn Datenschutzerklärungen müssen aktuell gehalten werden, während sich KI-Funktionen weiterentwickeln.

Was die DSGVO in einem Datenschutzhinweis verlangt (Artikel 13-14)

Die DSGVO schreibt bestimmte Informationen vor, die den betroffenen Personen bereitgestellt werden müssen. Artikel 13 gilt, wenn Daten direkt bei der Person erhoben werden; Artikel 14 gilt, wenn Daten aus anderen Quellen stammen (z. B. gescrapte Daten, APIs von Dritten, gekaufte Datensätze).

Pflichtelemente nach Artikel 13

Wenn Sie personenbezogene Daten direkt bei einem Nutzer erheben, muss Ihre Datenschutzerklärung Folgendes enthalten:

1. Identität und Kontaktangaben des Verantwortlichen (und des Vertreters, falls zutreffend).
2. Kontaktangaben des Datenschutzbeauftragten (falls einer bestellt ist).
3. Zwecke und Rechtsgrundlage für jede Verarbeitungstätigkeit.
4. Berechtigte Interessen, die verfolgt werden (wo Art. 6 Abs. 1 lit. f die Grundlage ist).
5. Empfänger oder Kategorien von Empfängern der Daten.
6. Angaben zu internationalen Übermittlungen, also ob Daten außerhalb des EWR übermittelt werden und welche Garantien bestehen.
7. Aufbewahrungsfrist oder Kriterien zu ihrer Festlegung.
8. Rechte der betroffenen Person, also Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch.
9. Recht auf Widerruf der Einwilligung (wo die Einwilligung die Rechtsgrundlage ist).
10. Recht auf Beschwerde bei einer Aufsichtsbehörde.
11. Ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist und welche Folgen die Nichtbereitstellung hat.
12. Automatisierte Entscheidungsfindung und Profiling, also das Bestehen automatisierter Entscheidungen, aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen.

Zusätzliche Elemente nach Artikel 14

Wenn Daten nicht bei der betroffenen Person erhoben werden (häufig bei KI-Trainingsdaten), müssen Sie zusätzlich offenlegen:

1. Die Kategorien personenbezogener Daten, die verarbeitet werden.
2. Die Quelle der personenbezogenen Daten (einschließlich der Angabe, ob sie aus öffentlich zugänglichen Quellen stammen).

Die entscheidende KI-Klausel: Artikel 13 Abs. 2 lit. f / 14 Abs. 2 lit. g

Das ist die Bestimmung, die die meisten KI-Unternehmen zu wenig offenlegen. Wo automatisierte Entscheidungsfindung (einschließlich Profiling) besteht, muss der Verantwortliche Folgendes bereitstellen:

• Das Bestehen automatisierter Entscheidungsfindung.
• Aussagekräftige Informationen über die involvierte Logik.
• Die Tragweite und die angestrebten Auswirkungen für die betroffene Person.

"Aussagekräftige Informationen über die involvierte Logik" verlangt nicht die Offenlegung von Quellcode oder Modellgewichten. Es bedeutet, in einer für Laien verständlichen Weise zu erklären, welche Faktoren das System berücksichtigt, wie der Entscheidungsprozess auf allgemeiner Ebene funktioniert und welche Auswirkung er auf die Person haben kann.

Transparenzanforderungen des AI Act (Artikel 50)

Artikel 50 des EU AI Act ergänzt Transparenzpflichten, die über die DSGVO hinausgehen:

Diese Pflichten gelten unabhängig von der Risikostufe. Selbst ein Chatbot mit minimalem Risiko muss die Regel zur Offenlegung der KI-Interaktion erfüllen.

Praxisbeispiel: Ein Legal-Tech-Unternehmen bietet einen KI-Assistenten an, der Vertragsklauseln entwirft. Nach Artikel 50 muss das Unternehmen die Nutzer darüber informieren, dass sie mit einem KI-System interagieren. Nach DSGVO Artikel 13 Abs. 2 lit. f muss dies, wenn die KI die Daten des Nutzers verarbeitet, um Ergebnisse zu personalisieren, oder Entscheidungen über ihn trifft, auch in der Datenschutzerklärung offengelegt werden.

Abschnittsweise Vorlage für die Datenschutzerklärung von KI-Unternehmen

Nachfolgend eine Vorlagenstruktur mit 16 Abschnitten. Jeder Abschnitt enthält, was aufzunehmen ist, und häufige Stolperfallen.

Abschnitt 1: Identität des Verantwortlichen

Nennen Sie den vollständigen rechtlichen Namen des Unternehmens, die eingetragene Adresse, die Handelsregisternummer und eine Kontakt-E-Mail. Wenn Sie einen Vertreter in der EU haben (für Nicht-EU-Unternehmen erforderlich, die EU-Daten verarbeiten), geben Sie dessen Angaben an.

Abschnitt 2: Datenschutzbeauftragter

Wenn Sie einen Datenschutzbeauftragten bestellt haben, geben Sie dessen Namen (oder Titel) und Kontaktangaben an. Auch wo ein Datenschutzbeauftragter nicht verpflichtend ist, zeigt die Angabe einer Datenschutz-Kontaktstelle gute Praxis.

Abschnitt 3: Kategorien der erhobenen personenbezogenen Daten

Führen Sie alle Kategorien personenbezogener Daten auf, die Sie verarbeiten, darunter:

• Kontodaten (Name, E-Mail, Telefonnummer)
• Nutzungsdaten (IP-Adresse, Gerätekennungen, Browsertyp)
• Inhaltsdaten (Nutzereingaben, hochgeladene Dateien, Nachrichten)
• KI-spezifische Daten: Eingaben in KI-Funktionen, KI-generierte Ergebnisse, die mit Personen verknüpft sind, abgeleitete oder hergeleitete Daten (Scores, Klassifizierungen, Vorhersagen)
• Finanzdaten (Zahlungsangaben, Transaktionshistorie)
• Besondere Kategorien von Daten (falls vorhanden, also Gesundheit, Biometrie, politische Meinungen usw.)

Häufiger Fehler: Es wird versäumt, KI-abgeleitete Daten (z. B. Risiko-Scores, Sentiment-Klassifizierungen, empfohlene Kategorien) als Kategorie personenbezogener Daten aufzuführen. Wenn diese Daten mit einer Person verknüpft oder verknüpfbar sind, sind sie personenbezogene Daten.

Abschnitt 4: Quellen der personenbezogenen Daten

Beschreiben Sie, woher Sie Daten beziehen:

• Direkt von Nutzern (Formulare, Kontoerstellung, Nutzereingaben)
• Automatisch erhoben (Cookies, Analytics, Server-Logs)
• Quellen von Dritten (APIs, Datenbroker, öffentliche Datenbanken)
• Quellen für KI-Trainingsdaten (falls Ihr Modell auf Nutzerdaten, Daten von Partnern oder öffentlich beschafften Datensätzen trainiert wird)

Hier gilt Artikel 14 für Daten, die nicht bei der betroffenen Person erhoben werden.

Abschnitt 5: Zwecke und Rechtsgrundlagen

Geben Sie für jeden Verarbeitungszweck die konkrete Rechtsgrundlage an:

Häufiger Fehler: Eine einzige pauschale Rechtsgrundlage für die gesamte Verarbeitung zu verwenden. Jeder eigenständige Zweck erfordert seine eigene Prüfung der Rechtsgrundlage.

Abschnitt 6: KI-gestützte Funktionen und automatisierte Entscheidungsfindung

Das ist der wichtigste KI-spezifische Abschnitt und der, in dem die meisten Unternehmen zu kurz greifen. Nehmen Sie auf:

a) Liste der KI-gestützten Funktionen. Nennen Sie jede Funktion, die KI oder ML nutzt, in einfacher Sprache beschrieben:

• "Unsere Empfehlungs-Engine nutzt maschinelles Lernen, um auf Grundlage Ihres Browserverlaufs relevante Inhalte vorzuschlagen."
• "Unser Betrugserkennungssystem nutzt die automatisierte Analyse von Transaktionsmustern, um potenziell betrügerische Aktivitäten zu kennzeichnen."
• "Unser Kundensupport-Chatbot nutzt ein großes Sprachmodell, um Antworten auf Ihre Anfragen zu erzeugen."

b) Involvierte Logik. Erklären Sie für jede KI-Funktion auf allgemeiner Ebene, wie sie funktioniert:

• Welche Eingabedaten das System berücksichtigt.
• Was das System erzeugt (Art des Ergebnisses).
• Die allgemeine Methodik (z. B. "Musterabgleich mit historischen Daten" oder "Verarbeitung natürlicher Sprache zur Interpretation Ihrer Anfrage").

c) Tragweite und Auswirkungen. Erklären Sie, was die KI-Entscheidung für die Person bedeutet:

• "Wenn unser Betrugserkennungssystem Ihre Transaktion kennzeichnet, kann sie vorübergehend zur manuellen Prüfung zurückgehalten werden, was die Bearbeitung um bis zu 24 Stunden verzögern kann."
• "Die Empfehlungs-Engine beeinflusst, welche Inhalte in Ihrem Feed zuerst erscheinen, schränkt aber den Zugang zu keinem Inhalt ein."

d) Ob vollständig automatisierte Entscheidungen getroffen werden. Wenn Entscheidungen ausschließlich automatisiert getroffen werden und rechtliche oder erhebliche Wirkung haben, geben Sie dies ausdrücklich an und beschreiben Sie die bestehenden Schutzmaßnahmen (Recht auf menschliche Prüfung, Recht auf Anfechtung, Recht auf Darlegung des eigenen Standpunkts).

Praxisbeispiel (gute Offenlegung):

"Wir nutzen ein Modell des maschinellen Lernens, um die Kreditwürdigkeit auf Grundlage Ihrer Finanzhistorie, Ihrer Einkommensdaten und Ihrer Auskunfteidaten zu bewerten. Das Modell erzeugt einen Risiko-Score, der bestimmt, ob Ihr Antrag genehmigt, abgelehnt oder zur manuellen Prüfung verwiesen wird. Wenn Sie eine automatisierte Ablehnung erhalten, haben Sie das Recht, eine menschliche Prüfung der Entscheidung zu verlangen, Ihren Standpunkt darzulegen und das Ergebnis anzufechten. Sie können diese Rechte ausüben, indem Sie unser Datenschutzteam unter privacy@example.com kontaktieren."

Praxisbeispiel (schlechte Offenlegung):

"Wir setzen möglicherweise KI und automatisierte Technologien ein, um unsere Dienste zu verbessern."

Das legt nichts Aussagekräftiges offen, keine konkreten Funktionen, keine Logik, keine Auswirkungen, keine Rechte.

Abschnitt 7: Praktiken bei KI-Trainingsdaten

Wenn Ihr Unternehmen personenbezogene Daten nutzt, um KI-Modelle zu trainieren oder per Fine-Tuning anzupassen, legen Sie offen:

• Welche Daten für das Training genutzt werden (z. B. Nutzerinteraktionen, hochgeladene Inhalte, Nutzungsmuster).
• Ob Nutzerdaten zum Training von Modellen genutzt werden, seien Sie eindeutig. "Ihre Eingaben in [Funktionsname] können genutzt werden, um unsere KI-Modelle zu verbessern" oder "Ihre Daten werden nicht für das Modelltraining genutzt."
• Wie man widerspricht, damit Daten nicht für Trainingszwecke genutzt werden.
• Praktiken zur Anonymisierung und Aggregation, erklären Sie, ob Daten vor dem Training anonymisiert oder aggregiert werden.
• Aufbewahrung für das Training, also wie lange Trainingsdaten aufbewahrt werden und wann sie gelöscht werden.

Abschnitt 8: Empfänger und Datenweitergabe

Führen Sie die Kategorien von Empfängern auf:

• Auftragsverarbeiter und Dienstleister (Hosting, Analytics, Zahlung)
• KI-Modellanbieter (falls Sie KI-APIs von Dritten nutzen, OpenAI, Anthropic, Google usw.)
• Konzerngesellschaften
• Rechts- oder Aufsichtsbehörden
• Geschäftspartner oder Werbetreibende (falls zutreffend)

Legen Sie bei KI-API-Anbietern von Dritten offen, dass Nutzerdaten zur Inferenz an den KI-Anbieter übermittelt werden können, und ob der Anbieter diese Daten für das Modelltraining aufbewahrt oder nutzt.

Abschnitt 9: Internationale Datenübermittlungen

Beschreiben Sie:

• Länder oder Regionen, in denen Daten verarbeitet werden.
• Den verwendeten Übermittlungsmechanismus (Angemessenheitsbeschluss, Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften).
• Wie man eine Kopie der Garantien erhält (typischerweise "kontaktieren Sie uns unter …").
• Die konkrete Nennung von KI-Infrastrukturanbietern und wo diese Daten verarbeiten.

Abschnitt 10: Aufbewahrungsfristen

Geben Sie konkrete Aufbewahrungsfristen pro Datenkategorie an. Vermeiden Sie "so lange wie nötig" ohne weitere Präzisierung. Nehmen Sie auf:

• Kontodaten: für die Dauer des Kontos plus [X] Jahre.
• KI-Trainingsdaten: [konkreter Zeitraum] oder "bis das Modell neu trainiert wird, danach werden die Rohdaten gelöscht."
• KI-generierte Ergebnisse: [konkreter Zeitraum].
• Server-Logs: [konkreter Zeitraum].

Abschnitt 11: Rechte der betroffenen Person

Führen Sie alle DSGVO-Rechte mit praktischen Hinweisen zu ihrer Ausübung auf:

• Recht auf Auskunft (Art. 15)
• Recht auf Berichtigung (Art. 16)
• Recht auf Löschung (Art. 17)
• Recht auf Einschränkung der Verarbeitung (Art. 18)
• Recht auf Datenübertragbarkeit (Art. 20)
• Recht auf Widerspruch (Art. 21), einschließlich des Rechts, dem Profiling zu widersprechen
• Rechte im Zusammenhang mit automatisierter Entscheidungsfindung (Art. 22), einschließlich des Rechts auf menschliches Eingreifen
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3)
• Recht auf Beschwerde bei einer Aufsichtsbehörde

Bieten Sie einen klaren Mechanismus zur Ausübung der Rechte (E-Mail-Adresse, Webformular oder Funktion im Produkt) und geben Sie die Antwortfrist an (ein Monat, verlängerbar um zwei Monate bei komplexen Anfragen).

Abschnitt 12: Recht auf menschliche Prüfung von KI-Entscheidungen

Wenn Ihr KI-System automatisierte Entscheidungen mit rechtlicher oder erheblicher Wirkung trifft, verdient dies einen eigenen Unterabschnitt:

• Erklären Sie, dass die Person das Recht hat, eine menschliche Prüfung jeder automatisierten Entscheidung zu verlangen.
• Beschreiben Sie, wie man dies verlangt (Kontaktkanal, erwartete Frist).
• Erklären Sie, was der menschliche Prüfprozess umfasst (eine qualifizierte prüfende Person untersucht das KI-Ergebnis und die zugrunde liegenden Daten, um eine unabhängige Entscheidung zu treffen).

Abschnitt 13: Offenlegung zu KI-Chatbots und dialogorientierter KI

Wenn Sie KI-Chatbots oder virtuelle Assistenten betreiben, nehmen Sie eine konkrete Offenlegung auf:

• Dass der Chatbot ein KI-System ist, kein menschlicher Mitarbeiter.
• Welche Daten der Chatbot während der Gespräche erhebt (Eingaben, Gesprächsprotokolle).
• Ob Gespräche gespeichert werden und wie lange.
• Ob Gesprächsdaten für das Modelltraining genutzt werden.
• Wie man zu einem menschlichen Mitarbeiter eskaliert.

Nach AI-Act-Artikel 50 muss diese Offenlegung auch am Punkt der Interaktion erscheinen (z. B. zu Beginn der Chat-Sitzung), nicht nur in der Datenschutzerklärung.

Abschnitt 14: Cookies und Tracking-Technologien

Standardmäßige Cookie-Offenlegung, darunter:

• Kategorien von Cookies (unbedingt erforderlich, funktional, Analytics, Marketing).
• Cookies von Dritten und ihre Zwecke.
• Link zur Verwaltung der Cookie-Präferenzen.

Hinweis: KI-gestützte Personalisierung, die auf Cookies oder Tracking beruht, erfordert eine Offenlegung hier und im Abschnitt zu den KI-Funktionen.

Abschnitt 15: Daten von Kindern

Wenn Ihr KI-System von Kindern genutzt werden könnte, beschreiben Sie:

• Mechanismen zur Altersverifizierung.
• Anforderungen an die elterliche Einwilligung (unter 16 Jahren, oder unter 13 bis 16 Jahren je nach Mitgliedstaat).
• Beschränkungen der KI-Verarbeitung von Kinderdaten.

Abschnitt 16: Änderungen dieser Erklärung

• Beschreiben Sie, wie Sie Nutzer über wesentliche Änderungen benachrichtigen.
• Verpflichten Sie sich auf einen konkreten Benachrichtigungsmechanismus (E-Mail, In-App-Benachrichtigung, Website-Banner).
• Führen Sie eine Versionshistorie mit datiertem Änderungsprotokoll.

Gute vs. schlechte KI-Offenlegungen: Vergleich

Häufige Lücken in Datenschutzerklärungen von KI-Unternehmen

1. Keinerlei Erwähnung von KI. Die Datenschutzerklärung liest sich, als gäbe es keine KI-Funktionen, obwohl das Produkt stark auf maschinellem Lernen beruht.
2. Widerspruch gegen KI-Trainingsdaten fehlt. Nutzer finden nicht, wie sie verhindern können, dass ihre Daten für das Modelltraining genutzt werden, oder die Option existiert nicht.
3. Vage Logikbeschreibungen. "Wir nutzen KI, um unsere Dienste zu verbessern" vermittelt keine aussagekräftige Information darüber, was die KI tut, welche Daten sie nutzt oder wie sie die Person betrifft.
4. Keine Schutzmaßnahmen nach Artikel 22. Es werden automatisierte Entscheidungen mit rechtlicher oder erheblicher Wirkung getroffen, aber die Datenschutzerklärung erwähnt weder das Recht auf menschliches Eingreifen noch das Recht auf Anfechtung oder das Recht auf Darlegung des eigenen Standpunkts.
5. KI-Anbieter von Dritten nicht offengelegt. Nutzerdaten werden zur Inferenz an OpenAI, Google oder andere Anbieter gesendet, aber dies wird im Abschnitt zu den Empfängern nicht offengelegt.
6. KI-generierte Inhalte nicht gekennzeichnet. Das Unternehmen erzeugt KI-Inhalte (Bilder, Text, Audio), ohne dies gegenüber den Nutzern offenzulegen, und verstößt damit gegen AI-Act-Artikel 50.
7. Keine Chatbot-Offenlegung. Der KI-Chatbot beginnt zu antworten, ohne den Nutzer darüber zu informieren, dass er mit einem KI-System kommuniziert.
8. Fehlende Aufbewahrungsfristen für KI-Daten. Allgemeine Aufbewahrungsfristen werden angegeben, aber KI-spezifische Daten (Trainingsdatensätze, Inferenz-Logs, Gesprächsverläufe) werden nicht behandelt.
9. Cookie-Richtlinie von der KI-Personalisierung getrennt. KI-gestützte Personalisierung nutzt Tracking-Daten, aber die Cookie-Richtlinie verweist nicht auf den Abschnitt zu den KI-Funktionen.
10. Kein Aktualisierungsmechanismus. KI-Funktionen entwickeln sich rasch weiter, aber die Datenschutzerklärung hat keinen Prozess für zeitnahe Aktualisierungen, wenn neue KI-Fähigkeiten eingeführt werden.

Aktualisierung Ihrer Datenschutzerklärung für den AI Act

Da die Transparenzpflichten des AI Act nun für Hochrisiko-Systeme durchsetzbar sind und die Transparenzanforderungen für begrenztes Risiko nach Artikel 50 breit gelten, sollten KI-Unternehmen:

Schritt 1: Auditieren Sie Ihre KI-Funktionen

Katalogisieren Sie jede Funktion, die KI, ML oder automatisierte Entscheidungsfindung nutzt. Dokumentieren Sie für jede: welche Daten sie verarbeitet, was sie ausgibt und welche Wirkung sie auf Nutzer hat.

Schritt 2: Ordnen Sie den regulatorischen Anforderungen zu

Bestimmen Sie für jede KI-Funktion:

• Gilt DSGVO Artikel 13 Abs. 2 lit. f / 14 Abs. 2 lit. g? (Offenlegung der automatisierten Entscheidungsfindung)
• Gilt AI-Act-Artikel 50? (KI-Interaktion, Inhaltserzeugung, Emotionserkennung, biometrische Kategorisierung)
• Ist das System nach dem AI Act Hochrisiko? (falls ja, zusätzliche Transparenzpflichten für Betreiber nach Artikel 26)

Schritt 3: Entwerfen Sie die Offenlegungen

Schreiben Sie konkrete, klar verständliche Offenlegungen für jede KI-Funktion, unter Nutzung der obigen Abschnittsvorlage.

Schritt 4: Schichten Sie die Informationen

Nutzer sollten keine Datenschutzerklärung mit 10.000 Wörtern lesen müssen, um die KI-Offenlegungen zu finden. Nutzen Sie einen geschichteten Ansatz:

• Erste Ebene: Kurze KI-Offenlegung am Punkt der Interaktion (Chatbot-Begrüßung, Funktions-Tooltip, Bildschirm mit Inferenzergebnis).
• Zweite Ebene: Zusammenfassende Tabelle der KI-Funktionen in der Datenschutzerklärung.
• Dritte Ebene: Vollständige, detaillierte Offenlegung in eigenen Abschnitten der Datenschutzerklärung.

Schritt 5: Legen Sie eine Prüftaktung fest

Setzen Sie einen vierteljährlichen Prüfzyklus für Ihre Datenschutzerklärung an. Jedes Mal, wenn eine neue KI-Funktion eingeführt wird, prüfen Sie, ob die Datenschutzerklärung aktualisiert werden muss, bevor die Funktion live geht.

Praxisbeispiel: Eine Recruiting-Plattform ergänzt eine KI-Funktion, die Kandidaten nach vorhergesagter Eignung sortiert. Vor dem Start aktualisiert das Datenschutzteam die Datenschutzerklärung, um Folgendes offenzulegen: das Bestehen der Funktion, die Daten, die sie berücksichtigt (Lebenslauf, Fähigkeiten, Erfahrung), die allgemeine Logik (Abgleich von Kandidatenprofilen mit den Anforderungen der Stelle), die Tragweite (die Sortierung beeinflusst, welche Kandidaten der Arbeitgeber zuerst sieht, lehnt aber niemanden automatisch ab) und das Recht auf Widerspruch. Der Chatbot, der die Kandidaten betreut, wird ebenfalls um eine Offenlegung der KI-Interaktion nach Artikel 50 ergänzt.

Häufige Fehler beim Entwerfen von KI-Datenschutzerklärungen

1. Eine Vorlage kopieren, ohne sie für KI anzupassen. Generische Vorlagen für Datenschutzerklärungen enthalten keine KI-spezifischen Abschnitte. Sie lassen Sie von Tag eins an nicht konform sein.
2. Für Juristen statt für Nutzer schreiben. Die DSGVO verlangt, dass Informationen in einer "präzisen, transparenten, verständlichen und leicht zugänglichen Form in klarer und einfacher Sprache" bereitgestellt werden (Artikel 12). Juristenjargon verfehlt den Zweck.
3. Die Erklärung aktualisieren, ohne Nutzer zu benachrichtigen. Wesentliche Änderungen erfordern eine Benachrichtigung. Das Hinzufügen von KI-Training mit Nutzerdaten ist zum Beispiel eine wesentliche Änderung, über die Nutzer informiert werden müssen.
4. Nicht zwischen Anbieter- und Betreiber-Offenlegungen unterscheiden. Wenn Sie ein KI-System eines Dritten einsetzen, müssen Sie dies getrennt von Ihren eigenen KI-Funktionen offenlegen, einschließlich der Identität des KI-Anbieters. Siehe Pflichten von Anbietern vs. Betreibern.
5. Keine Versionskontrolle. Führen Sie ein Änderungsprotokoll mit Datumsangaben. Regulierungsbehörden können während einer Untersuchung frühere Versionen anfordern.
6. KI-Offenlegungen in allgemeinen Abschnitten verstecken. KI-spezifische Informationen sollten in einem klar gekennzeichneten, leicht auffindbaren Abschnitt stehen, nicht in einem allgemeinen Absatz "Wie wir Ihre Daten nutzen" verborgen sein.

Häufig gestellte Fragen

Brauche ich eine separate KI-Offenlegung oder kann ich sie in meine bestehende Datenschutzerklärung aufnehmen?

Sie können KI-Offenlegungen in Ihre bestehende Datenschutzerklärung aufnehmen, aber sie müssen klar erkennbar und nicht in allgemeinem Text verborgen sein. Viele Unternehmen erstellen einen eigenen Abschnitt "KI und automatisierte Entscheidungsfindung" innerhalb ihrer Datenschutzerklärung, dazu kurze Offenlegungen im Produkt an den Punkten der KI-Interaktion (wie von AI-Act-Artikel 50 verlangt).

Was gilt als "aussagekräftige Information über die involvierte Logik" nach der DSGVO?

Sie müssen weder Quellcode, Modellgewichte noch Geschäftsgeheimnisse offenlegen. Sie müssen erklären: welche Kategorien von Daten das System als Eingaben nutzt, die allgemeine Methodik (z. B. "Musterabgleich", "Klassifizierungsmodell", "Verarbeitung natürlicher Sprache"), welches Ergebnis das System erzeugt und welche Wirkung das Ergebnis auf die Person hat. Maßstab ist, ob ein vernünftiger Laie verstehen würde, wie das System auf funktionaler Ebene arbeitet.

Verlangt der AI Act von mir, die Entscheidungsfindung meines Modells zu erklären?

Artikel 50 konzentriert sich auf die Offenlegung von KI-Interaktion, Inhaltserzeugung und biometrischer Verarbeitung, nicht auf die Erklärbarkeit des Modells als solche. Für Hochrisiko-Systeme verlangt Artikel 13 jedoch Nutzungshinweise, die es Betreibern ermöglichen, die Systemergebnisse zu interpretieren. Kombiniert mit DSGVO Artikel 22 entsteht daraus eine praktische Pflicht, KI-Entscheidungen erklärbar zu machen.

Wie oft sollte ich meine Datenschutzerklärung aktualisieren?

Prüfen Sie vierteljährlich und aktualisieren Sie immer dann, wenn Sie eine neue KI-Funktion einführen, ändern, wie bestehende KI-Funktionen Daten verarbeiten, neue KI-Anbieter von Dritten hinzufügen oder Ihre Praktiken bei Trainingsdaten ändern. Wesentliche Änderungen erfordern eine Benachrichtigung der Nutzer, bevor sie wirksam werden.

Was, wenn ich eine KI-API eines Dritten nutze (z. B. OpenAI, Anthropic)?

Legen Sie offen: dass Nutzerdaten zur Verarbeitung an einen KI-Anbieter eines Dritten gesendet werden, die Identität des Anbieters, den Zweck (Inferenz, Modellverbesserung), ob der Anbieter die Daten für sein eigenes Training aufbewahrt oder nutzt, den Übermittlungsmechanismus, falls Daten den EWR verlassen, und den bestehenden Auftragsverarbeitungsvertrag. Prüfen Sie die Bedingungen des Anbieters, denn einige Anbieter bewahren Eingabe- und Ausgabedaten standardmäßig auf, sofern Sie nicht über ihre API-Einstellungen widersprechen.

Kann meine Datenschutzerklärung auch als mein Transparenzhinweis nach dem AI Act dienen?

Teilweise. Ihre Datenschutzerklärung kann die vom AI Act verlangten Offenlegungen enthalten, aber die Anforderungen von Artikel 50 an die kontextbezogene Benachrichtigung (z. B. die Offenlegung der KI-Interaktion zu Beginn einer Chatbot-Sitzung) müssen am Punkt der Interaktion erfolgen, denn die Datenschutzerklärung allein erfüllt dies nicht. Nutzen Sie einen geschichteten Ansatz: sofortiger kontextbezogener Hinweis plus vollständige Details in der Datenschutzerklärung.

Um Ihre volle regulatorische Position sowohl unter der DSGVO als auch unter dem AI Act zu bewerten, führen Sie die kostenlose AI-Act-Bewertung durch und lesen Sie den vollständigen AI-Act-Leitfaden für das umfassendere Compliance-Bild. Für einen tieferen Blick darauf, wie diese beiden Regelwerke zusammenwirken, siehe EU AI Act vs. DSGVO: Unterschiede und Überschneidungen, oder starten Sie mit der Compliance-Checkliste zum EU AI Act.

Legalithm ist ein KI-gestütztes Compliance-Workflow-Tool, keine Rechtsberatung. Endgültige Compliance-Entscheidungen sollten von qualifiziertem Rechtsbeistand geprüft werden.