Kurz gesagt: Sobald Sie personenbezogene Daten in ein KI-Tool eingeben, gilt die DSGVO. Die niederländische Datenschutzbehörde, die Autoriteit Persoonsgegevens (AP), rät, zuerst zu prüfen, ob Sie KI ohne personenbezogene Daten nutzen können. Treffen Sie klare Vereinbarungen mit Ihrem Team und mit dem Anbieter.
Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Er beruht auf den Hinweisen der niederländischen Aufsichtsbehörde; in Deutschland oder Österreich ist die jeweilige nationale Datenschutzaufsicht zuständig.
Wann ist es eine Datenpanne?
Bei der AP gingen mehrere Meldungen über Datenpannen ein, weil Mitarbeitende personenbezogene Daten von Kunden oder Patienten in einen KI-Chatbot eingegeben hatten. In einem Fall gab ein Mitarbeiter einer Hausarztpraxis medizinische Daten ein. In einem anderen Fall lud ein Mitarbeiter eines Telekommunikationsunternehmens eine Datei mit Kundenadressen in einen Chatbot.
Laut der AP gilt:
- Nutzt ein Mitarbeiter einen Chatbot entgegen den internen Regeln und gibt dabei personenbezogene Daten ein, ist das eine Datenpanne.
- Ist die Nutzung erlaubt, ist es keine Datenpanne, aber laut AP oft auch nicht rechtmäßig.
- Die meisten Unternehmen hinter Chatbots speichern alles, was Sie eingeben.
- Geht etwas schief, ist eine Meldung an die Aufsichtsbehörde und an die Betroffenen in vielen Fällen Pflicht. Eine Datenpanne melden Sie der Aufsichtsbehörde innerhalb von 72 Stunden, nachdem Sie sie bemerkt haben.
Was empfiehlt die AP?
- Treffen Sie Vereinbarungen mit Ihren Mitarbeitenden: Darf KI genutzt werden, und wenn ja, mit welchen Daten und mit welchen nicht?
- Regeln Sie mit dem Anbieter, dass eingegebene Daten nicht gespeichert werden.
- Prüfen Sie, ob es ohne personenbezogene Daten geht. Das ist der erste Rat im Leitfaden der AP.
- Bringen Sie die Grundlagen in Ordnung, bevor Sie einer KI Zugriff auf Ihre Dateien geben: ein Verzeichnis von Verarbeitungstätigkeiten, ein Überblick, welche personenbezogenen Daten wo liegen, und Zugriffsrechte nach Rolle. Ein KI-System darf nicht mehr sehen als die Person, die es nutzt.
- Treffen Sie Vereinbarungen mit den beteiligten Parteien. Verarbeitet ein KI-Anbieter personenbezogene Daten in Ihrem Auftrag, ist er nach der DSGVO ein Auftragsverarbeiter, und Sie brauchen einen Auftragsverarbeitungsvertrag (Artikel 28 DSGVO).
- Führen Sie bei Bedarf eine DSFA durch. Der Leitfaden der AP ersetzt keine Datenschutz-Folgenabschätzung (DSFA). Möglicherweise müssen Sie trotzdem eine DSFA durchführen, und die Verarbeitung gehört in Ihr Verzeichnis von Verarbeitungstätigkeiten.
Der Leitfaden der AP
Die AP hat einen kostenlosen Leitfaden erstellt: Hulpmiddel inzet generatieve AI & de AVG (auf Niederländisch). Sie gehen Schritt für Schritt Aussagen durch, von den Grundlagen bis zur Wahl und Nutzung eines Systems. Er ist für Organisationen gedacht, die KI nutzen, nicht für Unternehmen, die selbst Modelle entwickeln. Um den AI Act geht es darin nicht; dazu lesen Sie Der EU AI Act kurz erklärt.
Quellen
- Autoriteit Persoonsgegevens: Let op, gebruik AI-chatbot kan leiden tot datalekken (6. August 2024, Niederländisch)
- Autoriteit Persoonsgegevens: Hulpmiddel inzet generatieve AI & de AVG (PDF, Niederländisch)
- Autoriteit Persoonsgegevens: Datalek voorkomen en voorbereid zijn (Niederländisch)
- EUR-Lex: Datenschutz-Grundverordnung (DSGVO), u. a. Artikel 28 und 33
Abgerufen am 21. Oktober 2026.