KI-Tools in Websites und Apps einzubauen kann sinnvoll sein. Aber sobald ein KI-Dienst Nutzerdaten verarbeitet, stellt sich die DSGVO-Frage.
Das grundlegende Problem
Die großen Anbieter sitzen in den USA, und Datentransfers dorthin sind nach der DSGVO nur unter bestimmten Bedingungen erlaubt. Sobald Ihre Website Nutzerdaten (auch nur eine IP-Adresse oder einen eingetippten Text) an einen US-Anbieter schickt, brauchen Sie dafür eine Rechtsgrundlage.
Die Optionen
- Einwilligung: der Nutzer stimmt aktiv zu, bevor seine Daten den Dienst erreichen. Passt für optionale Funktionen, nicht für solche, die beim Seitenaufruf automatisch laufen.
- Anonymisierung vor der Übertragung: werden keine personenbezogenen Daten gesendet, schrumpft das Problem deutlich.
- EU-Anbieter nutzen: Dienste mit EU-Servern und sauberem Setup sind für viele Fälle die unkomplizierteste Wahl.
- Selbst gehostete Modelle: alles läuft lokal, keine Drittanbieter, keine Transfers, oft die sauberste Lösung für sensible Daten.
In jedem Projekt mit KI nehme ich vorab auf, welche Daten wohin fließen, und dokumentiere diese Datenflüsse. Ob die Verarbeitung zulässig ist, auf welcher Rechtsgrundlage sie steht und ob ein Auftragsverarbeitungsvertrag nötig ist, ist eine rechtliche Bewertung und gehört zur Rechtsberatung. Diese technische Bestandsaufnahme ist meist in einer halben Stunde erledigt und gibt der rechtlichen Prüfung eine klare Grundlage. Was sich für Ihren Betrieb lohnt, lesen Sie unter KI-Tools für kleine Unternehmen.