Wer KI-Tools wie ChatGPT, Copilot oder ähnliche Dienste im Unternehmen einsetzt, verarbeitet damit fast immer Personendaten, auch wenn das nicht so aussieht. Das revidierte Datenschutzgesetz (revDSG) verlangt dafür dieselben Grundsätze wie für jede andere Datenbearbeitung: eine Rechtsgrundlage, Transparenz gegenüber den betroffenen Personen und einen Vertrag mit dem Anbieter. Dieser Artikel gibt eine Orientierung, keine Rechtsberatung für den Einzelfall.
Das revDSG gilt bereits seit September 2023, doch mit der schnellen Verbreitung von KI-Tools im Arbeitsalltag wird die Frage erst jetzt für viele Unternehmen konkret: Was früher ein theoretisches Risiko war, betrifft heute fast jede Abteilung, von der Kundenbetreuung bis zur Personalabteilung.
Wo Personendaten in KI-Tools landen, ohne dass man es merkt
Ein Mitarbeiter kopiert eine Kundenanfrage in ChatGPT, um eine Antwort zu formulieren. Eine Recruiterin lädt einen Lebenslauf hoch, um ihn zusammenfassen zu lassen. Ein Berater fügt Notizen aus einem Kundengespräch in ein KI-Tool ein, um ein Protokoll zu erstellen. In allen drei Fällen werden Personendaten an einen externen Anbieter übermittelt, oft ohne dass sich jemand bewusst war, eine Datenbearbeitung im Sinne des revDSG vorzunehmen.
Die wichtigsten Punkte des revDSG für KI-Einsatz
- Rechtsgrundlage: Für die Bearbeitung von Personendaten braucht es einen legitimen Grund, etwa einen bestehenden Vertrag, eine Einwilligung oder ein überwiegendes Interesse des Unternehmens.
- Transparenz: Betroffene Personen müssen grundsätzlich wissen, dass ihre Daten bearbeitet werden, auch wenn ein KI-Tool im Hintergrund beteiligt ist.
- Auftragsverarbeitung (AVV): Wird ein externer Anbieter wie ein KI-Tool eingesetzt, braucht es in der Regel einen Vertrag, der regelt, wie der Anbieter mit den Daten umgehen darf.
- Datenübermittlung ins Ausland: Viele KI-Anbieter verarbeiten Daten in den USA. Das ist nach revDSG nicht grundsätzlich verboten, verlangt aber zusätzliche Schutzmassnahmen, wenn kein angemessenes Datenschutzniveau besteht.
US-Cloud-Tools: der blinde Fleck vieler Unternehmen
Die meisten grossen KI-Anbieter sind US-Unternehmen, auch wenn sie Server in Europa betreiben. Das bedeutet: Der Serverstandort allein schafft keine Sicherheit, denn US-Gesetze wie der CLOUD Act können US-Unternehmen weltweit zur Herausgabe von Daten verpflichten. Für Unternehmen heisst das, bei der Anbieterwahl bewusst hinzuschauen, welche Verträge und Schutzmassnahmen der Anbieter tatsächlich bietet, statt sich allein auf Marketingaussagen zu verlassen.
Praktische Schritte für den Unternehmensalltag
- Interne Leitlinie erstellen: Welche KI-Tools sind erlaubt, welche Daten dürfen dort eingegeben werden, und welche nicht.
- Mitarbeitende schulen: Die meisten Datenschutzprobleme entstehen nicht aus Böswilligkeit, sondern weil niemand daran gedacht hat, dass ein Copy-Paste in ein KI-Tool eine Datenbearbeitung ist.
- Anonymisieren, wo möglich: Namen, Adressen oder Kundennummern vor der Eingabe entfernen oder durch Platzhalter ersetzen.
- Verträge prüfen: Vor dem Einsatz eines neuen KI-Tools abklären, ob ein Auftragsverarbeitungsvertrag vorliegt und was dieser regelt.
Diese Massnahmen lassen sich gut mit einer KI-Strategie in 5 Schritten verbinden, damit Datenschutz von Anfang an mitgedacht wird statt nachträglich repariert zu werden. Wer sich einen Überblick verschaffen will, wo KI im eigenen Betrieb sinnvoll ansetzt, findet das im Artikel KI im KMU.
Dieser Artikel ersetzt keine Rechtsberatung: Ob eine konkrete Datenbearbeitung zulässig ist, hängt vom Einzelfall ab, und dafür lohnt sich der Gang zu einer spezialisierten Anwältin oder einem Anwalt. Für die strategische Einordnung von KI im Unternehmen steht die KI-Beratung zur Verfügung.
Möchten Sie das für Ihr Unternehmen umsetzen? Wir prüfen Ihre Website kostenlos in der klassischen und der KI-Suche und zeigen die grössten Hebel.