KI einsetzen und trotzdem datenschutzkonform bleiben
Viele KMU zögern beim Thema KI, weil sie Angst vor Datenschutzproblemen haben. Die Sorge ist verständlich — aber in den meisten Fällen unbegründet, wenn man ein paar Grundregeln beachtet. In diesem Artikel erklären wir, was Sie beim Einsatz von KI-Tools und Automatisierungen in Bezug auf die DSGVO beachten sollten.
Grundsatz 1: Personenbezogene Daten brauchen eine Rechtsgrundlage
Wenn Ihre Automation personenbezogene Daten verarbeitet — also Namen, E-Mail-Adressen, Telefonnummern oder ähnliches — brauchen Sie eine Rechtsgrundlage dafür. In den meisten Geschäftskontexten ist das entweder die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) oder das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO). Für Marketing-Zwecke brauchen Sie in der Regel eine explizite Einwilligung.
Grundsatz 2: Auftragsverarbeitung (AVV) nicht vergessen
Wenn Sie Tools wie Make, Zapier oder einen KI-Dienst einsetzen, der personenbezogene Daten Ihrer Kunden verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) mit dem jeweiligen Anbieter. Die gute Nachricht: Die meisten seriösen Anbieter stellen diese Verträge standardmäßig zur Verfügung. Bei Make und Zapier können Sie den AVV direkt in den Kontoeinstellungen abschließen.
Grundsatz 3: Datenminimierung
Verarbeiten Sie nur die Daten, die Sie tatsächlich brauchen. Wenn Ihre Automation nur den Namen und die E-Mail-Adresse benötigt, dann schicken Sie nicht den gesamten Kundendatensatz durch die Pipeline. Das ist nicht nur gute Datenschutzpraxis, sondern spart auch API-Kosten.
Grundsatz 4: Serverstandort und Datenübertragung
Achten Sie darauf, wo Ihre Daten verarbeitet werden. Für die DSGVO ist entscheidend, ob Daten in die USA oder andere Drittländer übertragen werden. Seit dem EU-U.S. Data Privacy Framework ist die Übertragung in die USA unter bestimmten Bedingungen wieder zulässig — aber prüfen Sie, ob Ihr Anbieter entsprechend zertifiziert ist.
Wer auf der sicheren Seite sein will, setzt auf n8n mit Self-Hosting auf einem europäischen Server. Dann verlassen die Daten die EU gar nicht erst.
Grundsatz 5: Transparenz gegenüber Ihren Kunden
Wenn Sie einen KI-Chatbot auf Ihrer Website einsetzen, müssen Ihre Besucher wissen, dass sie mit einer KI kommunizieren — nicht mit einem Menschen. Ein einfacher Hinweis wie „Dieser Chat wird von einem KI-Assistenten betrieben“ reicht in den meisten Fällen aus. Außerdem sollte Ihre Datenschutzerklärung die eingesetzten Tools und deren Zweck beschreiben.
Häufige Fehler, die wir sehen
Kein AVV mit dem Automation-Anbieter abgeschlossen. Datenschutzerklärung nicht aktualisiert nach Einführung neuer Tools. Mehr Daten verarbeitet als nötig, „weil man sie ja vielleicht mal braucht“. Kein Löschkonzept — Daten werden endlos gespeichert.
Fazit
DSGVO und KI-Automation schließen sich nicht aus. Mit den richtigen Vorkehrungen — AVV, Datenminimierung, Transparenz und einem sauberen Löschkonzept — können Sie KI bedenkenlos einsetzen. Wenn Sie unsicher sind, beraten wir Sie im Erstgespräch auch zum Thema Datenschutz.
Hinweis: Dieser Artikel ist keine Rechtsberatung. Für konkrete rechtliche Fragen wenden Sie sich bitte an einen Datenschutzbeauftragten oder Rechtsanwalt.
