Wenn KI sich einschleicht – Datenschutz-Monitoring als Herausforderung

Vor dem Einsatz künstlicher Intelligenz im Unternehmen werden die datenschutzrechtlichen Anforderungen überprüft: Erfüllt die Software die Datenschutz-Grundprinzipien? Enthält der Auftragsverarbeitungsvertrag die erforderlichen Mindestinhalte? Welche Rechtsgrundlage kann herangezogen werden? Eben alles, was es braucht, um eine Software datenschutzkonform einzusetzen.

Wie sieht es aber aus, wenn KI mit dem nächsten Software-Update fester Bestandteil einer bereits genutzten Software wird? Dürfen Softwareanbieter die Unternehmensdaten für ihr eigenes KI-Training verwenden? Wir geben Ihnen Praxistipps für Ihr Datenschutz-Monitoring an die Hand und erklären, warum sich ein Blick in alte Auftragsverarbeitungsverträge lohnen kann.

Inzwischen steckt KI in vielen gängigen Softwareprodukten. Vom Chatbot im Helpdesk über KI-Auswertungen bis hin zu Zusammenfassungen von komplexen Inhalten können KI-Funktionalitäten mal mehr, mal weniger prozessrelevante Aufgaben erfüllen. Dabei kann es auch vorkommen, dass mit der nächsten Softwareversion KI Einzug in die Produktivumgebung eines Systems findet. Gerade bei Software-as-a-Service, die über Webanwendungen genutzt wird, kann schon ein einziges Update zu Änderungen führen, die zuvor nicht aktiv geprüft wurden. Die KI-Funktionalität zu entdecken, fällt dabei in der Regel nicht schwer – schließlich wird gerne mit dem Trendbegriff KI aktiv geworben.

Ganz im juristischen Sinne muss die Antwort wie so oft „Es kommt drauf an!“ lauten. In den meisten Fällen wird der Softwareanbieter als Auftragsverarbeiter nach Art. 28 EU-Datenschutz-Grundverordnung (DSGVO) tätig. Auftragsverarbeiter dürfen personenbezogene Daten demnach nur auf dokumentierte Weisung des verantwortlichen Unternehmens verarbeiten (Art. 28 Abs. 3 lit. a, Art. 29 DSGVO). Die Einzelheiten hierzu werden in einem Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO vereinbart. Nutzt der Auftragsverarbeiter die Daten jedoch zu eigenen Zwecken, verstößt er nicht nur gegen den Auftragsverarbeitungsvertrag, er wird nach Art. 28 Abs. 10 DSGVO auch selbst für diese Daten Verantwortlicher.

Und genau hier lohnt sich ein Blick in den geschlossenen Auftragsverarbeitungsvertrag: Nicht selten enthalten diese Verträge Klauseln, die den Auftragsverarbeiter berechtigen, die Daten im Rahmen der Auftragsverarbeitung zu anonymisieren, um sie anschließend zu eigenen Zwecken weiterzuverarbeiten. Die Anonymisierung führt dazu, dass die anonymisierten Daten mangels Personenbezug nicht mehr der DSGVO unterliegen. Anonymisierte Daten können also bspw. ohne Einwilligungen, Betroffenenrechte und Sicherheitsmaßnahmen zu KI-Training verwendet werden. Vorsicht ist hier jedoch geboten: Ob tatsächlich eine echte Anonymisierung oder lediglich eine Pseudonymisierung vorliegt, ist im Einzelfall häufig strittig – und solange ein Personenbezug (auch mittelbar) durch nutzende Partei hergestellt werden kann, bleibt die DSGVO für diese anwendbar. Gleichzeitig wird von Aufsichtsbehörden und Teilen der Literatur vertreten, dass für die Anonymisierung selbst als Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO erforderlich ist. Verantwortlich für die Rechtmäßigkeit der Anonymisierung ist – gemäß dem Prinzip der Auftragsverarbeitung – in dieser Konstellation das Unternehmen, das die Software einsetzt. Praktisch für die Softwareanbieter, riskant für die Unternehmen, deren Daten verwendet werden. Riskant deshalb, weil das einsetzende Unternehmen als Verantwortlicher für diese Verarbeitung geradesteht: Es haftet gegenüber den Betroffenen und den Aufsichtsbehörden, muss die Rechtsgrundlage nachweisen können und trägt das Bußgeldrisiko – während der eigentliche Nutzen der Daten beim Softwareanbieter liegt.

Im ersten Schritt kommt es also darauf an, anstehende Änderungen frühzeitig zu erkennen. Softwareanbieter stellen regelmäßig Informationen zu anstehenden Software-Releases bereit. Teilweise können diese auch per E-Mail abonniert werden. So behalten Sie Ihre Software und die datenschutzrelevanten Änderungen im Blick. Bei kritischen Änderungen, wie Anpassungen bei Default-Einstellungen, neuen (KI-)Funktionalitäten und Erweiterungen von Anbindungen leiten Sie diese Information an Ihre*n Datenschutzbeauftragte*n (DSB) weiter.

Prüfen Sie zudem bestehende Auftragsverarbeiter und die zugehörigen Verträge:

• Sind die Inhalte der Vereinbarungen noch aktuell?
• Wurden Änderungen vertraglich festgehalten?

Mit regelmäßigen Auftragskontrollen, bspw. mithilfe standardisierter Fragebögen, kommen Sie Ihrer Kontroll- und Rechenschaftspflicht nach. 

Nicht zuletzt sollten Sie Ihre Dokumentation aktualisieren:

• Sind die Angaben aus dem Verzeichnis von Verarbeitungstätigkeiten noch aktuell?
• Deckt die Rechtsgrundlage ggf. neue Funktionen aus der Software ab?
• Wurden Einstellungen, bspw. zur automatischen Löschung oder Anbindungen an andere Systeme, verändert?
• Beruhen Entscheidungen mittlerweile auf automatisierten Prozessen ohne menschliche Gegenprüfung (automatisierte Entscheidungsfindung nach Art. 22 DSGVO)?
• Ist inzwischen eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich bzw. muss eine bestehende DSFA aktualisiert werden?

Was jedenfalls nicht ausreichend wird, ist, dass Sie sich auf Aussagen der Softwareanbieter wie „100 % DSGVO konform“ verlassen – dahinter stecken in der Regel keine Zertifizierungen oder Haftungsübernahmen. Binden Sie frühzeitig Ihre*n DSB ein, wenn Sie nicht sicher sind, ob sich Änderungen auf den Datenschutz auswirken können.

Autorin: Rebecca Schimkat LL.M.