AI Literacy Training

🖱️ Interaktiv: Ziehen zum Drehen · Lektion 5

Lernziele

Nach dieser Lektion kannst du:

DSGVO-Grundsätze auf KI-Anwendungen anwenden
Erkennen, wann eine DPIA (Datenschutz-Folgenabschätzung) erforderlich ist
Auftragsverarbeitungsverträge (AVV) für KI-Tools bewerten
Die relevanten Rechtsgrundlagen für KI-Datenverarbeitung benennen

DSGVO-Grundsätze für KI

Die DSGVO (Datenschutz-Grundverordnung) gilt unabhängig vom EU AI Act. KI-Systeme müssen beide Regelwerke einhalten. Die wichtigsten Grundsätze:

1. Datenminimierung

Nur die Daten verarbeiten, die für den Zweck unbedingt erforderlich sind. Ein KI-Tool muss nicht alle verfügbaren Daten erhalten — Zugriff sollte auf das Notwendige beschränkt werden.

2. Zweckbindung

Daten dürfen nur für den Zweck verarbeitet werden, für den sie erhoben wurden. KI-Trainingsdaten brauchen eine eigene Rechtsgrundlage.

3. Transparenz

Betroffene müssen verstehen können, wie ihre Daten in KI-Systemen verarbeitet werden.

4. Richtigkeit

KI-Entscheidungen, die Personen betreffen, müssen korrekt sein. Betroffene haben ein Recht auf Korrektur falscher Daten.

💡 DSGVO vs. EU AI Act

DSGVO und EU AI Act ergänzen sich. Während der EU AI Act die Sicherheit von KI-Systemen reguliert, schützt die DSGVO die Grundrechte der betroffenen Personen. Ein KI-System kann EU AI Act-konform sein, aber gegen die DSGVO verstoßen — und umgekehrt.

Datenschutz-Folgenabschätzung (DPIA)

Eine DPIA ist erforderlich, wenn KI-Systeme voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellen. Dies ist bei Hochrisiko-KI-Systemen nach EU AI Act fast immer der Fall.

Wann ist eine DPIA erforderlich?

KI-gestützte Bewertung von Personen (Bonität, Versicherung)
Automatisierte Entscheidungen mit rechtlicher Wirkung
Umfassende Profilerstellung
Verarbeitung besonderer Kategorien von Daten
Biometrische Überwachung
KI im Gesundheitswesen

📝 Schnellprüfung

Wann ist eine Datenschutz-Folgenabschätzung (DPIA) für ein KI-System erforderlich?

Auftragsverarbeitungsvertrag (AVV)

Wenn du ein KI-Tool eines Drittanbieters nutzt (z.B. ChatGPT Enterprise, Copilot), benötigst du einen AVV mit dem Anbieter. Dieser muss regeln:

Welche Daten verarbeitet werden
Wo die Daten gespeichert werden (Server-Standort)
Ob Daten für das Training des Modells verwendet werden dürfen
Welche technischen und organisatorischen Maßnahmen getroffen werden
Löschfristen und Datenübertragbarkeit

Prüffragen für den AVV

Werden meine Daten für das KI-Training verwendet? (Opt-Out prüfen!)
Wo stehen die Server? (EU/US/Other)
Gibt es ein Data Processing Agreement (DPA)?
Wurde das Modell mit meinen Daten trainiert? (Retention Policy)

🏢 Praxis-Szenario: Datenschutz bei ChatGPT Enterprise

Dein Unternehmen möchte ChatGPT Enterprise einführen. Der Vertrag sieht vor, dass eure Daten nicht für das Modell-Training verwendet werden. Allerdings speichert OpenAI eure Konversationen für 30 Tage zur Sicherheitsüberprüfung. Ein Mitarbeiter gibt versehentlich Patientendaten in ChatGPT ein.

Rechtsgrundlagen für KI-Datenverarbeitung

Die Verarbeitung personenbezogener Daten in KI-Systemen braucht eine Rechtsgrundlage:

Rechtsgrundlage	Anwendung bei KI
Einwilligung (Art. 6 Abs. 1a)	Freiwillig, jederzeit widerrufbar — selten praktikabel
Vertragserfüllung (Art. 6 Abs. 1b)	KI als Werkzeug zur Vertragserfüllung
Berechtigtes Interesse (Art. 6 Abs. 1f)	Interessenabwägung erforderlich, Dokumentation
Rechtliche Verpflichtung (Art. 6 Abs. 1c)	Wenn KI gesetzlich vorgeschrieben

💡 Wichtig: Keine Daten für KI-Training ohne Rechtsgrundlage

Bestandsdaten dürfen nicht automatisch für KI-Training verwendet werden. Ohne explizite Rechtsgrundlage (und Information der Betroffenen) ist dies ein DSGVO-Verstoß. Prüfe die AGBs deiner KI-Tools — viele reservieren sich das Recht, Daten für das Training zu nutzen!

Rechte der betroffenen Personen

Betroffene haben bei KI-Entscheidungen besondere Rechte:

Recht auf Auskunft: Welche KI wurde eingesetzt? Welche Daten wurden verwendet?
Recht auf Korrektur: Falsche Daten müssen berichtigt werden
Recht auf Löschung: Daten müssen gelöscht werden (mit Einschränkungen)
Recht auf automatisierte Entscheidung: Bei Hochrisiko-Entscheidungen haben Betroffene ein Recht auf menschliche Überprüfung

✅ Wichtige Erkenntnisse

Haken setzen, um deinen Lernfortschritt zu markieren:

→ Vertiefung: Haftung & Compliance — Bußgelder und Haftungsrisiken bei DSGVO-Verstößen · Transparenzpflichten — AI-Inventory und Dokumentation

Datenschutz & DSGVO