DSGVO-konforme KI: damit der Einsatz eine Prüfung übersteht

In vielen Fällen ja — es hängt am Inhalt und am Tarif. Entscheidend sind drei Punkte: ob für den genutzten Tarif ein Vertrag zur Auftragsverarbeitung zu bekommen ist, ob die Eingaben zum Training verwendet werden und welche Datenkategorien überhaupt hineingehen. Firmentexte ohne Personenbezug sind der einfache Fall, Bewerbungs- und Gesundheitsdaten der schwere. Wir ordnen Ihre Fälle einzeln ein und sagen, welcher mit kleiner Änderung tragfähig wird und welcher ein anderes Werkzeug braucht.

Die KI-Governance ist das betriebliche Regelwerk: Verzeichnis der Anwendungen, Rollen, Freigabeweg für neue Werkzeuge, Einstufung nach dem EU AI Act. Diese Seite beantwortet die datenschutzrechtliche Hälfte: Grundlage je Verarbeitung, Verträge mit den Anbietern, Eingaberegeln, Protokolle, Löschfristen, Information und Betroffenenrechte. Beides greift ineinander, wird aber von verschiedenen Leuten geprüft — die Aufsichtsbehörde fragt nach dem einen, der Auditor nach dem anderen.

Immer dann, wenn der Dienst in Ihrem Auftrag personenbezogene Daten verarbeitet — und das ist bei KI-Werkzeugen die Regel, sobald Namen, Adressen, Bewerbungen oder Kundenvorgänge in die Eingabe geraten. Verarbeiten wir selbst personenbezogene Daten in Ihrem Auftrag, schließen wir einen Auftragsverarbeitungsvertrag. Gibt ein Anbieter keinen her, bleiben drei Wege: Einsatz auf Inhalte ohne Personenbezug begrenzen, Daten vor der Eingabe pseudonymisieren oder das Werkzeug wechseln. Welchen wir empfehlen, steht je Fall in der Mappe.

Hier ist der Spielraum am engsten. Bewertung von Leistung und Verhalten über KI-Auswertungen ist arbeitsrechtlich heikel, mitbestimmungspflichtig und je nach Ausgestaltung eine hochriskante Anwendung nach dem EU AI Act. Was wir bauen und begleiten, sind Entlastungen: Auslastung und Reaktionszeit als Kennzahl eines Ablaufs, nicht als Profil einer Person. Wo Sie mehr wollen, sagen wir früh, dass dafür die Bewertung Ihrer Kanzlei und ein Beschluss mit dem Betriebsrat vorangehen müssen.

Wo ein Betriebsrat besteht, in der Regel ja: Werkzeuge, mit denen Beschäftigte arbeiten und die ihr Verhalten oder ihre Leistung erfassen können, sind mitbestimmungspflichtig. Das gilt auch dann, wenn die Erfassung nur technisch möglich und gar nicht gewollt ist. Praktisch bewährt sich der umgekehrte Weg: zuerst eine kurze Beschreibung des Einsatzes samt Eingaberegel und abgeschalteter Auswertung vorlegen, dann entscheiden. Die Unterlagen dafür formulieren wir mit, am Tisch sitzen Ihre Geschäftsführung und das Gremium.

Die Anwendung selbst läuft auf eigenen Servern bei Hetzner in Deutschland und der EU. Die Modelle dagegen betreiben deren Anbieter, bei den stärksten Unternehmen mit Sitz in den USA — deshalb steht je Fall in der Mappe, welcher Inhalt zu welchem Anbieter geht, welcher Vertrag das deckt und worauf die Übermittlung in ein Drittland gestützt ist. Soll ein Fall ohne fremden Anbieter auskommen, bleibt der Weg über ein Modell auf eigener Hardware; dazu finden Sie die Seite zur lokalen KI.

Wir erheben, ordnen ein, formulieren und bauen die Nachweise. Die verbindliche rechtliche Bewertung bleibt bei Ihrer Datenschutzbeauftragten und Ihrer Kanzlei; eine Rechtsberatung im juristischen Sinn ist unsere Arbeit nicht, und wo wir die Grenze sehen, sagen wir es im Erstgespräch statt erst im Bericht. Gezeichnet wird von der Geschäftsführung — sie bleibt die Verantwortliche im Sinne der Datenschutz-Grundverordnung, auch wenn Technik und Unterlagen von uns kommen.