Kaum ein Begriff begegnet einem beim Thema KI-Tools so häufig wie die DSGVO. Wer sie einmal im Überblick verstanden hat, kann viele Einzelbegriffe rund um Datenschutz — AVV, SCCs, Drittlandübermittlung — deutlich leichter einordnen.
Was bedeutet DSGVO?
Die Datenschutz-Grundverordnung (DSGVO) ist das zentrale EU-Gesetz zum Schutz personenbezogener Daten. Sie gilt seit Mai 2018 unmittelbar in allen EU-Mitgliedstaaten und regelt, unter welchen Voraussetzungen Unternehmen, Behörden und andere Stellen personenbezogene Daten verarbeiten dürfen.
Die DSGVO gilt nicht nur für Unternehmen mit Sitz in der EU, sondern auch für Anbieter außerhalb der EU, sobald sie Daten von EU-Bürgern verarbeiten (Marktortprinzip, Art. 3 DSGVO) — das betrifft direkt auch viele US-amerikanische KI-Tool-Anbieter.
Warum ist die DSGVO für mein Unternehmen wichtig?
Für KMU und Freelancer ist die DSGVO relevant, sobald personenbezogene Daten verarbeitet werden — und das ist bei nahezu jedem Geschäftsbetrieb der Fall: Kundendaten, Mitarbeiterdaten, Newsletter-Adressen. Auch der Einsatz eines KI-Tools, das Kundennamen oder E-Mail-Inhalte verarbeitet, unterliegt der DSGVO.
Verstöße können mit Bußgeldern von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro geahndet werden — je nachdem, welcher Betrag höher ist (Art. 83 DSGVO). Für KMU ist deshalb wichtig zu wissen, welche Grundprinzipien gelten und wo im eigenen Betrieb Handlungsbedarf besteht.
Die Grundprinzipien der DSGVO
- Rechtmäßigkeit: Jede Verarbeitung braucht eine Rechtsgrundlage (z. B. Einwilligung, Vertrag, berechtigtes Interesse)
- Zweckbindung: Daten dürfen nur für den ursprünglich festgelegten Zweck verwendet werden
- Datenminimierung: Nur so viele Daten erheben, wie für den Zweck nötig sind
- Speicherbegrenzung: Daten nicht länger als nötig aufbewahren
- Transparenz: Betroffene müssen wissen, wie ihre Daten verarbeitet werden
- Integrität und Vertraulichkeit: Daten müssen technisch und organisatorisch abgesichert werden
Aus diesen Prinzipien leiten sich die konkreten Pflichten ab, die im Alltag begegnen: Auftragsverarbeitungsverträge, Verarbeitungsverzeichnis, Betroffenenrechte und — bei hohem Risiko — eine Datenschutz-Folgenabschätzung.
DSGVO in der Praxis
Ein Freelancer nutzt ein KI-Schreibtool, um E-Mail-Entwürfe mit Kundennamen vorzuformulieren. Sobald diese Namen an den Tool-Anbieter übertragen werden, findet eine DSGVO-relevante Verarbeitung statt. Der Freelancer muss dafür sorgen, dass eine Rechtsgrundlage vorliegt, der Anbieter — sofern eine Auftragsverarbeitung vorliegt — einen AVV bereitstellt und die Datenübermittlung dokumentiert ist.
Weiterführendes
- Was ist ein AVV? — zentrales Vertragsinstrument der DSGVO für Auftragsverarbeitung
- Was sind personenbezogene Daten? — der Grundbegriff, an dem die DSGVO ansetzt
- Was ist ein Verarbeitungsverzeichnis? — die zentrale Dokumentationspflicht
Häufige Fragen
Gilt die DSGVO auch für Kleinunternehmen und Freelancer?
Ja. Die DSGVO kennt keine generelle Ausnahme für kleine Unternehmen — sie gilt, sobald personenbezogene Daten verarbeitet werden, unabhängig von der Unternehmensgröße.
Gilt die DSGVO auch für US-amerikanische KI-Tool-Anbieter?
Ja, sofern diese Daten von Personen in der EU verarbeiten (Marktortprinzip nach Art. 3 DSGVO) — unabhängig davon, wo der Anbieter seinen Sitz hat.
Was passiert bei einem DSGVO-Verstoß?
Datenschutzbehörden können Bußgelder von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro verhängen, je nachdem, welcher Betrag höher ist. In der Praxis richtet sich die Höhe nach Schwere und Umständen des Verstoßes.