Welche Daten verlassen Ihren Betrieb, wenn ein KI-Assistent arbeitet? Die Antwort hängt vom konkreten Aufbau ab. Dieser Leitfaden hilft Ihnen, Angaben, Anbieter, Zugriffe und Aufbewahrung für ein Vorhaben festzuhalten. Damit können Sie offene Datenschutzfragen gezielt mit den zuständigen Personen klären.
Zeichnen Sie zuerst einen einzelnen Datenweg
Ein Assistent soll eine Kundenanfrage zusammenfassen. Dafür können neben der Website auch eine Verbindung zum KI-Anbieter, das CRM und technische Protokolle beteiligt sein. «Die Website steht in Europa» beschreibt deshalb noch nicht den gesamten Weg.
Notieren Sie für jeden Schritt: Welche Angaben werden benötigt, wo werden sie bearbeitet und wer kann sie sehen? Verwenden Sie in der ersten Skizze ein erfundenes Anliegen. So lässt sich der geplante Ablauf besprechen, bevor echte Personendaten übermittelt werden. Die rechtliche Beurteilung bleibt vom konkreten Einsatz und seinen Voraussetzungen abhängig.
Welche Daten braucht die Aufgabe wirklich?
Beschreiben Sie zuerst das gewünschte Ergebnis. Soll ein Assistent Produktwissen finden, eine Anfrage zusammenfassen oder einen Antwortentwurf vorbereiten? Daraus ergibt sich, welche Informationen nötig sind.
Für einen ersten Entwurf reichen häufig frei erfundene Beispiele ohne Personendaten. Übernehmen Sie keine echten Kundendossiers, um eine Idee zu erklären. «Namen entfernt» bedeutet auch nicht automatisch anonym: Prüfen Sie, ob die Person über andere Angaben weiterhin erkennbar wäre.
Der EDÖB bestätigt, dass das geltende Datenschutzgesetz auch auf KI-gestützte Personendatenbearbeitung anwendbar ist. Die Bezeichnung «KI» schafft keine Ausnahme von der Datenprüfung.
Welche Datenwege sollten wir festhalten?
Zeichnen Sie einen einzelnen Vorgang vom Eingang bis zum Ergebnis nach. Eine kurze Arbeitsübersicht kann so aussehen:
| Klärung | Was Ihr Team festhält |
|---|---|
| Eingang | Quelle, benötigte Angaben und Zweck |
| Bearbeitung | System, Anbieter und berechtigte Rollen |
| Ergebnis | Empfänger, Prüfung und weitere Verwendung |
| Aufbewahrung | Speicherorte, Fristen und zuständige Person |
Erfassen Sie neben der Hauptanwendung auch eingebundene Dienste und Protokolle. Klären Sie ausdrücklich, ob Eingaben für weitere Zwecke wie Modelltraining verwendet werden und welche Einstellungen sowie Verträge tatsächlich gelten.
Die Einsatzkarte oben unterstützt diese erste Übersicht. Sie ist eine Planungshilfe für die Aufgabe und ersetzt keine abgeschlossene Datenschutzprüfung.
Was müssen wir beim Anbieter klären?
Der EDÖB erläutert, dass die Verantwortung für den Datenschutz bei einer Auftragsbearbeitung nicht einfach an den Dienstleister übergeht. Klären Sie vor der Anbindung:
- Auftrag und Vertrag: Welche Bearbeitung ist vereinbart, welche Weisungen gelten?
- Beteiligte Stellen: Welche Anbieter und Unterauftragnehmer kommen zum Einsatz?
- Orte und Zugriffe: Wo findet die Bearbeitung statt und wer kann zugreifen?
- Unterstützung: Wie werden Auskunft, Korrekturen, Löschfragen und Sicherheitsvorfälle bearbeitet?
Ein Hostingland allein beantwortet diese Fragen nicht. Bei einer Bekanntgabe ins Ausland muss der konkrete Übermittlungsweg mit seinen Voraussetzungen geprüft werden. Lassen Sie unbekannte Anbieterangaben als offene Punkte stehen, statt sie mit einer allgemeinen Sicherheitszusage zu ersetzen.
Wann kommt zusätzlich die DSGVO ins Spiel?
«Wir haben EU-Kunden» ist als alleinige Regel zu ungenau. Die Europäische Kommission beschreibt unter anderem die Bearbeitung im Rahmen einer EU-Niederlassung sowie Angebote an oder Verhaltensbeobachtung von Personen in der EU.
Lassen Sie den tatsächlichen Anwendungsbereich für Ihr Unternehmen und den geplanten Ablauf prüfen. Schweizer DSG und europäische DSGVO sollten dabei nicht als identische Checklisten behandelt werden.
Was müssen Menschen erkennen und klären können?
Nach den Hinweisen des EDÖB sind Zweck, Funktionsweise und Datenquellen transparent auszuweisen. Bei einem direkt kommunizierenden Sprachmodell sollen Menschen wissen, inwieweit sie mit einer Maschine sprechen und wofür ihre Eingaben verwendet werden.
Für die Umsetzung planen wir bei AgenticIT die erkennbare KI-Kennzeichnung und eine verantwortliche Rolle für Rückfragen ein. Legen Sie zusätzlich fest, wie betroffene Personen die zuständige Stelle erreichen und wie ihr Anliegen bearbeitet wird.
Bei Entscheidungen mit erheblichen Folgen für Menschen, besonders schützenswerten Angaben oder weiteren erhöhten Risiken braucht es eine vertiefte Prüfung. Ob zusätzliche gesetzliche Pflichten bestehen, lässt sich nicht aus einer kurzen Website-Checkliste ableiten.
Wie machen wir aus offenen Fragen den nächsten Schritt?
Notieren Sie pro ungeklärtem Punkt eine verantwortliche Rolle und den benötigten Nachweis: etwa eine Anbieterantwort, eine Vertragsprüfung oder die Bestätigung eines Speicherorts. Vereinbaren Sie, welche Punkte vor einer Verarbeitung echter Daten geklärt sein müssen.
Die technische Durchsetzung von Befugnissen beschreibt der Beitrag KI-Agenten: Wer darf was?. Im interaktiven Ablaufbeispiel können Sie Vorbereitung, Teamprüfung und Freigabe ohne echte Daten ausprobieren.
Dieser Beitrag bietet eine allgemeine Orientierung für die Projektvorbereitung. Die rechtliche Beurteilung erfolgt am konkreten Einsatzfall.