Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Kategorie: KI & Datenschutz

  • KI-Omnibus in Kraft: Hochrisiko-Pflichten erst ab Dezember 2027

    Eigentlich sollten am 2. August 2026 große Teile der KI-Verordnung gelten, insbesondere die strengen Regeln für Hochrisiko-KI-Systeme. Kurz vor diesem Stichtag hat der EU-Gesetzgeber den Zeitplan geändert: Die Verordnung (EU) 2026/1744, der sogenannte KI-Omnibus, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Unternehmen gewinnen bei Hochrisiko-Systemen Zeit bis Ende 2027 bzw. 2028. Die Transparenzpflichten gelten aber schon jetzt, und die DSGVO bleibt der wichtigste rechtliche Rahmen für KI mit Personenbezug.

    Die neuen Fristen für Hochrisiko-KI

    • Für eigenständige Hochrisiko-Systeme nach Anhang III, etwa in den Bereichen Beschäftigung (z. B. Bewerberauswahl), Bildung, Kreditwürdigkeitsprüfung, Strafverfolgung oder kritische Infrastruktur, gelten die Pflichten nicht mehr ab dem 2. August 2026, sondern ab dem 2. Dezember 2027.
    • Für KI in Produkten nach Anhang I, die bereits EU-Produktsicherheitsrecht unterliegen, etwa Medizinprodukte, Maschinen oder Spielzeug, verschiebt sich der Termin auf den 2. August 2028.

    Was nicht verschoben wurde

    Die Transparenzpflichten gelten weiterhin ab dem 2. August 2026. Dazu gehört insbesondere, dass Menschen erkennen können müssen, wenn sie mit einem KI-System interagieren, dass Deepfakes und bestimmte KI-generierte Inhalte zu kennzeichnen sind und dass über den Einsatz von Emotionserkennung und biometrischer Kategorisierung zu informieren ist. Für bestimmte maschinenlesbare Kennzeichnungspflichten bei generativen KI-Systemen, die bereits vor dem 2. August 2026 auf dem Markt waren, gibt es eine kurze Übergangsfrist von vier Monaten.

    Unverändert gelten außerdem die seit Februar 2025 anwendbaren Verbote bestimmter KI-Praktiken und die Pflicht zur Förderung der KI-Kompetenz; siehe unseren Beitrag „KI-Kompetenz nach Art. 4 AI Act“.

    Und die DSGVO?

    Die Verschiebung betrifft nur die KI-Verordnung. Die DSGVO gilt unverändert für jede KI-Anwendung, die personenbezogene Daten verarbeitet. Gerade im Personalbereich bleiben damit die Anforderungen an Rechtsgrundlage, Transparenz, Datenschutz-Folgenabschätzung und automatisierte Einzelentscheidungen (Art. 22 DSGVO) voll bestehen. Wie weit Art. 22 DSGVO reicht, hat der EuGH im SCHUFA-Urteil gezeigt; welche Erklärungen Betroffene verlangen können, im Urteil Dun & Bradstreet.

    Was Unternehmen jetzt tun sollten

    1. Chatbots auf der Website als KI kennzeichnen und KI-generierte Bilder und Texte prüfen.
    2. Das KI-Inventar aktualisieren: Welche Systeme fallen künftig unter Anhang III?
    3. Die gewonnene Zeit nutzen und Hochrisiko-Anwendungen, etwa eine KI-gestützte Bewerbervorauswahl, strukturiert vorbereiten statt abzuwarten.
    4. Den Datenschutz nicht aus dem Blick verlieren: DSFA, Informationspflichten und Auftragsverarbeitungsverträge gelten bereits heute.

    Die Gesamtschau der KI-Verordnung finden Sie in unserem Beitrag „KI-Verordnung (AI Act) in Kraft“. Welche KI-Pflichten Ihr Unternehmen wann treffen, klären wir gern im Einzelnen mit Ihnen: Kontakt aufnehmen oder Termin buchen.

  • KI-Meeting-Assistenten: Transkription und Protokoll datenschutzkonform

    Ein Klick, und die KI schreibt das Meeting mit, erstellt ein Protokoll und eine Aufgabenliste: KI-Meeting-Assistenten sind in vielen Videokonferenzdiensten integriert oder als eigenständige Tools verfügbar. Sie sparen Zeit, verarbeiten aber Stimme, gesprochene Inhalte und oft auch Bilder aller Teilnehmenden. Datenschutzrechtlich ist das ein deutlich stärkerer Eingriff als eine klassische Videokonferenz.

    Was passiert technisch?

    Die Tools zeichnen den Ton (teilweise auch das Bild) auf, wandeln Sprache in Text um, ordnen Redebeiträge Personen zu und erstellen mithilfe von Sprachmodellen Zusammenfassungen. Je nach Anbieter werden die Daten in der Cloud verarbeitet, gespeichert und mitunter zur Verbesserung der Modelle verwendet. Teilweise treten die Assistenten als eigene „Teilnehmer“ einer Konferenz auf, die von einzelnen Nutzern eingeladen werden, auch ohne Wissen der übrigen Teilnehmenden.

    Rechtliche Anforderungen

    • Die Aufzeichnung und Transkription ist eine eigenständige Verarbeitung, die eine Rechtsgrundlage braucht. Berechtigte Interessen an effizienter Dokumentation können sie im Einzelfall tragen; bei externen Teilnehmenden und sensiblen Inhalten wird häufig eine Einwilligung erforderlich sein.
    • Das unbefugte Aufnehmen des nichtöffentlich gesprochenen Wortes kann nach § 201 StGB strafbar sein. Alle Teilnehmenden müssen daher vorab wissen, dass aufgezeichnet wird, und sollten dem zustimmen.
    • Informiert wird vor Beginn, in der Einladung und zu Beginn des Meetings. Ab dem 2. August 2026 gelten zudem die Transparenzpflichten der KI-Verordnung, etwa für KI-generierte Inhalte.
    • Beim Anbieter sind Auftragsverarbeitungsvertrag, Serverstandort, Ausschluss der Nutzung für Training und Löschfristen zu prüfen. Hinweise in unserem Beitrag zu Videokonferenz-Tools.

    Besonderheiten im Beschäftigungsverhältnis

    Transkripte von Teambesprechungen lassen Rückschlüsse auf Leistung und Verhalten einzelner Beschäftigter zu, etwa über Redeanteile oder Formulierungen. Eine Auswertung zu Kontrollzwecken ist regelmäßig unzulässig. Der Betriebsrat ist bei der Einführung zu beteiligen, weil es sich um eine technische Einrichtung handelt, die zur Leistungs- und Verhaltenskontrolle geeignet ist. Eine Einwilligung von Beschäftigten ist nur wirksam, wenn sie wirklich freiwillig ist. Künftig können zudem die Hochrisiko-Regeln der KI-Verordnung für bestimmte KI-Anwendungen im Beschäftigungsbereich greifen; deren Geltungsbeginn soll nach den laufenden Plänen des EU-Gesetzgebers allerdings verschoben werden.

    Regeln für den Einsatz im Unternehmen

    1. Nur freigegebene Tools nutzen; private Assistenten, die sich selbst in Meetings einwählen, unterbinden.
    2. Aufzeichnung standardmäßig aus, Aktivierung nur nach Ankündigung.
    3. Keine Aufzeichnung bei Personal-, Gesundheits- oder vertraulichen Mandantengesprächen.
    4. Transkripte kurz speichern, Protokoll behalten, Audiodatei löschen.
    5. Ergebnisse prüfen, denn KI-Zusammenfassungen können Aussagen verfälschen.
    6. Die Regeln in die KI-Richtlinie aufnehmen und Beschäftigte schulen; siehe KI-Kompetenz nach Art. 4 AI Act.

    Niemand darf von einer Aufzeichnung überrascht werden: Wer vorab informiert, Zustimmung einholt und sensible Gespräche ausnimmt, hält die Risiken gering. Bei der Einführung von KI-Meeting-Tools und einer Betriebsvereinbarung dazu beraten wir Sie gern. Nehmen Sie Kontakt auf oder buchen Sie einen Termin.

  • KI-Kompetenz nach Art. 4 AI Act: Pflicht seit Februar 2025

    Seit dem 2. Februar 2025 gelten die ersten Vorschriften der europäischen KI-Verordnung. Neben den Verboten bestimmter KI-Praktiken ist das vor allem Art. 4 AI Act: die Pflicht, für ausreichende KI-Kompetenz der eigenen Beschäftigten zu sorgen. Sie betrifft praktisch jedes Unternehmen, in dem KI-Tools genutzt werden, vom Chatbot über Übersetzungsdienste bis zur KI-Funktion in der Bürosoftware, und auch kleine Betriebe. Einen Überblick über die KI-Verordnung insgesamt gibt unser Beitrag „KI-Verordnung (AI Act) in Kraft“.

    Was verlangt Art. 4 AI Act?

    Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Dabei sind die technischen Kenntnisse, die Erfahrung, die Ausbildung der Personen und der Einsatzkontext zu berücksichtigen. „Betreiber“ ist bereits, wer ein KI-System in eigener Verantwortung beruflich nutzt, also auch das Handwerksunternehmen, das einen KI-Chatbot für Kundenanfragen einsetzt.

    Was bedeutet „KI-Kompetenz“?

    Gemeint sind Fähigkeiten, Kenntnisse und Verständnis, die einen sachkundigen Einsatz von KI-Systemen ermöglichen und ein Bewusstsein für Chancen, Risiken und mögliche Schäden schaffen. Eine bestimmte Schulungsform oder ein Zertifikat schreibt die Verordnung nicht vor. Die Maßnahmen müssen aber zum Unternehmen und zum Einsatz passen.

    Inhalte einer praxisnahen Schulung

    • wie generative KI-Systeme funktionieren und warum sie falsche Ergebnisse („Halluzinationen“) liefern können,
    • welche Anwendungen im Unternehmen freigegeben sind und welche nicht,
    • keine personenbezogenen Daten in nicht freigegebene Tools; Umgang mit Kunden-, Beschäftigten- und Gesundheitsdaten,
    • Schutz von Geschäfts- und Berufsgeheimnissen,
    • Prüfung von KI-Ergebnissen, bevor sie verwendet oder an Kunden weitergegeben werden,
    • Urheberrecht und Kennzeichnung KI-generierter Inhalte,
    • Meldewege bei Fehlern oder Vorfällen.

    Datenschutz und KI-Kompetenz verbinden

    Viele Unternehmen schulen ihre Beschäftigten ohnehin regelmäßig im Datenschutz. Es bietet sich an, die KI-Kompetenz in diese Schulungen zu integrieren. Grundlage sollte eine KI-Nutzungsrichtlinie sein, wie wir sie in unserer ChatGPT-Checkliste für Arbeitgeber beschrieben haben. Bei KI-Systemen, die personenbezogene Daten in größerem Umfang verarbeiten, sollte zudem geprüft werden, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

    Dokumentation

    Halten Sie fest, welche KI-Systeme im Einsatz sind, welche Beschäftigten damit arbeiten, welche Schulungen wann durchgeführt wurden und welche Richtlinien gelten. Eine solche Dokumentation hilft, gegenüber Behörden und im Haftungsfall nachzuweisen, dass das Unternehmen seiner Pflicht nachgekommen ist.

    Ein KI-Inventar, eine klare Nutzungsrichtlinie und eine kurze Schulung, die Datenschutz und Vertraulichkeit einbezieht, reichen in vielen Unternehmen aus. Richtlinie und Schulungskonzept erarbeiten wir gern mit Ihnen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • KI-Verordnung (AI Act) in Kraft: Was KMU jetzt wissen müssen

    Am 1. August 2024 ist die europäische KI-Verordnung (Verordnung (EU) 2024/1689, „AI Act“) in Kraft getreten. Sie ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Ihre Pflichten gelten gestaffelt in den kommenden Jahren; für die meisten KMU sind sie zunächst überschaubar. Wer KI-Tools nutzt, vom Chatbot bis zur Bewerbervorauswahl, sollte sich jetzt einen Überblick verschaffen.

    Der risikobasierte Ansatz

    • Bestimmte KI-Anwendungen werden verboten, etwa Social Scoring durch Behörden, manipulative Techniken oder Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen Ausnahmen).
    • Hochrisiko-KI-Systeme in sensiblen Bereichen wie Beschäftigung (z. B. Auswahl von Bewerbern), Bildung, Kreditwürdigkeitsprüfung oder kritische Infrastruktur unterliegen strengen Anforderungen.
    • Transparenzpflichten gelten etwa für Chatbots, die als KI erkennbar sein müssen, und für KI-generierte Inhalte wie Deepfakes.
    • Die meisten KI-Anwendungen fallen in keine dieser Kategorien und unterliegen nur wenigen Pflichten.

    Zusätzlich enthält die Verordnung eigene Regeln für KI-Modelle mit allgemeinem Verwendungszweck, also die großen Sprachmodelle hinter Diensten wie ChatGPT. Diese richten sich in erster Linie an deren Anbieter.

    Die wichtigsten Fristen

    • Ab 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken und die Pflicht zur Förderung von KI-Kompetenz (Art. 4).
    • Ab 2. August 2025 gelten die Regeln für KI-Modelle mit allgemeinem Verwendungszweck und die Sanktionsvorschriften.
    • Ab 2. August 2026 gilt der Großteil der übrigen Vorschriften, insbesondere für viele Hochrisiko-Systeme.
    • Ab 2. August 2027 folgen weitere Vorschriften für bestimmte Hochrisiko-Systeme, die in regulierte Produkte eingebettet sind.

    Anbieter oder Betreiber?

    Die meisten KMU entwickeln keine KI, sondern setzen KI-Systeme anderer ein. Sie sind dann „Betreiber“ im Sinne der Verordnung. Betreiber von Hochrisiko-Systemen müssen unter anderem die Systeme gemäß Gebrauchsanweisung verwenden, eine menschliche Aufsicht durch kompetentes Personal sicherstellen, Eingabedaten auf Relevanz prüfen, Protokolle aufbewahren und im Beschäftigungskontext Beschäftigte und deren Vertretungen vorab informieren. Schon ab Februar 2025 müssen Unternehmen zudem dafür sorgen, dass ihr Personal, das mit KI-Systemen arbeitet, über ausreichende KI-Kompetenz verfügt.

    Verhältnis zur DSGVO

    Der AI Act lässt die DSGVO unberührt. Sobald ein KI-System personenbezogene Daten verarbeitet, gelten beide Regelwerke nebeneinander: Rechtsgrundlage, Transparenz, Betroffenenrechte, gegebenenfalls Datenschutz-Folgenabschätzung. Hinzu kommt Art. 22 DSGVO zu automatisierten Einzelentscheidungen, den der EuGH im SCHUFA-Urteil weit ausgelegt hat. Praktische Hinweise zum datenschutzkonformen Einsatz von KI-Chatbots finden Sie in unserer ChatGPT-Checkliste.

    Erste Schritte

    1. Inventar aller im Unternehmen genutzten KI-Systeme erstellen.
    2. Jedes System einer Risikokategorie zuordnen.
    3. Schulungskonzept für KI-Kompetenz bis Februar 2025 aufsetzen.
    4. KI-Richtlinie mit Datenschutz- und Vertraulichkeitsregeln einführen.
    5. Bei HR-Tools zur Bewerberauswahl besonders genau prüfen, ob ein Hochrisiko-System vorliegt.

    Wer Hochrisiko-Anwendungen nutzt, sollte die Zeit bis August 2026 für eine strukturierte Vorbereitung nutzen; die DSGVO gilt ohnehin schon heute für jede KI, die personenbezogene Daten verarbeitet. Welche Pflichten der AI Act für Ihr Unternehmen konkret mit sich bringt, klären wir gern mit Ihnen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • ChatGPT im Unternehmen: Datenschutz-Checkliste für Arbeitgeber

    Seit Ende 2022 hat ChatGPT einen beispiellosen Boom ausgelöst. Texte entwerfen, E-Mails formulieren, Dokumente zusammenfassen: Viele Beschäftigte nutzen KI-Chatbots bereits im Arbeitsalltag, oft ohne Wissen des Arbeitgebers. Datenschutzrechtlich ist das nicht ohne Risiko. Ende März 2023 hat die italienische Datenschutzbehörde die Verarbeitung von Daten italienischer Nutzer durch ChatGPT vorläufig beschränkt; das Thema steht damit auch bei anderen europäischen Aufsichtsbehörden auf der Agenda. Unternehmen sollten den Umgang mit KI-Chatbots deshalb jetzt aktiv regeln.

    Wo liegen die Risiken?

    • Wer Kundenanfragen, Bewerbungen oder Gesprächsnotizen in einen Chatbot kopiert, übermittelt personenbezogene Daten an den Anbieter. Dafür braucht es eine Rechtsgrundlage, und die fehlt in vielen Fällen.
    • Je nach Einstellungen und Vertragsbedingungen können Eingaben vom Anbieter zur Verbesserung seiner Modelle verwendet werden. Die Kontrolle über die Daten geht dann verloren.
    • Die bekanntesten Anbieter sitzen in den USA. Seit dem Schrems-II-Urteil ist eine Übermittlung dorthin nur mit zusätzlichen Garantien möglich.
    • Neben dem Datenschutz sind Vertraulichkeitspflichten betroffen, also Geschäfts- und Berufsgeheimnisse. Für Ärzte, Anwälte oder Steuerberater ist das sogar strafrechtlich bewehrt.
    • KI-Systeme können falsche Aussagen über Personen erzeugen. Werden diese übernommen, kann das Persönlichkeitsrechte verletzen.

    Checkliste für Unternehmen

    1. Erheben Sie, welche KI-Tools im Unternehmen bereits genutzt werden, von wem und wofür.
    2. Legen Sie in einer Richtlinie fest, welche Tools für welche Aufgaben zugelassen sind. Die Grundregel lautet: keine personenbezogenen Daten und keine vertraulichen Informationen in frei zugängliche Chatbots.
    3. Prüfen Sie Unternehmenslizenzen. Business-Angebote bieten teils vertragliche Zusicherungen, etwa zum Ausschluss der Nutzung für Training, und einen Auftragsverarbeitungsvertrag.
    4. Deaktivieren Sie Chatverlauf und Trainingsnutzung, soweit möglich.
    5. Schulen Sie die Beschäftigten: Sie müssen wissen, was sie eingeben dürfen und dass Ergebnisse geprüft werden müssen.
    6. Sollen personenbezogene Daten in größerem Umfang verarbeitet werden, ist zu prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
    7. Binden Sie den Betriebsrat ein. Wird die Nutzung technisch gesteuert oder ausgewertet, können Mitbestimmungsrechte bestehen.

    Verbieten oder gestalten?

    Ein pauschales Verbot ist schwer durchzusetzen und verschenkt Potenzial. Erfolgversprechender ist ein kontrollierter Einsatz mit freigegebenen Tools, klaren Regeln und geschulten Beschäftigten. Für viele Aufgaben, etwa das Formulieren allgemeiner Texte ohne Personenbezug, lassen sich KI-Werkzeuge risikoarm nutzen.

    Regulatorischer Ausblick

    Auf europäischer Ebene wird derzeit über eine KI-Verordnung verhandelt, die Pflichten für Anbieter und Nutzer von KI-Systemen festlegen soll. Unabhängig davon gilt schon heute: Sobald personenbezogene Daten verarbeitet werden, ist die DSGVO anwendbar.

    Die wichtigste Regel bleibt einfach: keine personenbezogenen oder vertraulichen Daten in öffentliche KI-Dienste. Für Ihre KI-Richtlinie, die Verträge mit Anbietern und die Risikobewertung stehen wir Ihnen zur Verfügung. Nehmen Sie Kontakt auf oder vereinbaren Sie einen Termin.