Nicht jede Verarbeitung braucht eine Einwilligung
Die DSGVO kennt mehrere Rechtsgrundlagen in Artikel 6. Welche für einen Vorgang geeignet ist, muss anhand des Zwecks und der Umstände geprüft werden. Bei besonderen Kategorien personenbezogener Daten sind zusätzlich die Anforderungen aus Artikel 9 zu beachten.
Eine pauschale Behauptung, jede Eingabe personenbezogener Daten in ein KI-Werkzeug sei ohne Einwilligung rechtswidrig, greift zu kurz. Ebenso wenig genügt der Hinweis, dass ein Dienst in Europa gehostet wird.
Vier Fragen an den Datenweg
Datenminimierung, klarer Verarbeitungszweck, Aufbewahrungsdauer und begrenzte Zugriffe bilden den Ausgangspunkt. Auftragsverarbeitung nach Artikel 28, Sicherheitsmaßnahmen nach Artikel 32 und gegebenenfalls Drittlandübermittlungen gehören zu einer zusammenhängenden Bewertung.
- Zweck und Rechtsgrundlage dokumentieren
- Vertrag und Unterauftragnehmer prüfen
- Lösch- und Betroffenenrechte organisieren
- Risiken und gegebenenfalls Folgenabschätzung bewerten
Technik unterstützt die Umsetzung
Maskierung, Zugriffskontrollen und Protokolle können Risiken reduzieren und Prozesse überprüfbar machen. Die erforderliche Rechtsgrundlage bleibt davon unberührt. Das AI-Link-Onboarding verbindet technische und organisatorische Anforderungen mit den zuständigen Personen im Unternehmen.
Quellen & Vertiefung
Originalpublikationen, Herstellerdokumentation und weiterführende Informationen zu den erläuterten Begriffen und Zahlen.