Datenschutz bei Automatisierung: Fragen, die Sie stellen sollten.
Veröffentlicht am Aktualisiert am
Datenschutz bei Automatisierung und KI: welche Fragen Sie Ihrem Dienstleister stellen sollten, damit Ihre Abläufe DSGVO-konform laufen.
Wer Abläufe automatisiert, lässt Daten durch neue Programme laufen. Das ist kein Grund, es zu lassen. Es ist ein Grund, vorher ein paar Fragen zu stellen. Welche das sind, beschreibe ich hier aus der Sicht von jemandem, der solche Abläufe baut. Ich bin kein Anwalt, und dieser Text ist keine Rechtsberatung. Er hilft Ihnen, die richtigen Fragen zu stellen und Antworten einzuordnen.
Wo liegen die Daten?
Fragen Sie, auf welchem Server die Automatisierung läuft und in welchem Land er steht. Für die meisten Betriebe in Deutschland ist ein Server in der EU die einfachste Lösung.
Das betrifft mehr als einen Ort. Ein Ablauf besteht oft aus mehreren Diensten: dem Werkzeug, das ihn ausführt, dem E-Mail-Anbieter, der Branchensoftware, vielleicht einem KI-Dienst. Jeder davon speichert oder verarbeitet Daten irgendwo. Lassen Sie sich für jeden Dienst den Standort nennen.
Liegt ein Dienst außerhalb der EU, etwa in den USA, heißt das nicht automatisch, dass er tabu ist. Für Datenübermittlungen in die USA gibt es zum Beispiel das EU-US Data Privacy Framework, für andere Länder Standardvertragsklauseln. Das bedeutet aber mehr Prüfaufwand. Wo es eine gleichwertige Lösung in der EU gibt, nehme ich lieber die.
Wer hat Zugriff?
Während des Projekts brauche ich Zugang zu Ihren Systemen. Danach sollte klar sein, wer welche Zugänge behält. Lassen Sie sich alle Zugangsdaten übergeben und ändern Sie die Passwörter nach dem Projekt, wenn Sie möchten. Ein seriöser Dienstleister hat damit kein Problem.
Achten Sie auf eigene Zugänge pro Person statt eines gemeinsamen Logins für alle. Wenn ein Mitarbeiter geht, schalten Sie seinen Zugang ab, und der Rest läuft weiter. Wo es angeboten wird, gehört eine Anmeldung mit zweitem Faktor dazu, etwa per App auf dem Handy.
Gibt es einen Vertrag zur Auftragsverarbeitung?
Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie in der Regel einen solchen Vertrag. Das gilt für mich genauso wie für die Dienste, die in der Automatisierung stecken.
Geregelt ist das in Art. 28 DSGVO. Im Vertrag steht unter anderem, welche Daten wofür verarbeitet werden, wie sie geschützt sind und was nach dem Ende der Zusammenarbeit mit ihnen passiert. Die großen Anbieter stellen solche Verträge meist als Standard bereit, oft zum Abschluss direkt im Kundenkonto.
Fragen Sie auch nach den Unterauftragsverarbeitern. Das sind die Dienste, die Ihr Dienstleister selbst einsetzt. Bei mir sind das zum Beispiel der Serveranbieter und, falls ein Ablauf damit arbeitet, ein KI-Anbieter. Sie sollten diese Liste kennen und erfahren, wenn sich daran etwas ändert.
Nur so viele Daten wie nötig
Die DSGVO kennt den Grundsatz der Datenminimierung. Für einen Ablauf heißt das ganz praktisch: Jeder Schritt bekommt nur die Daten, die er wirklich braucht.
Ein Beispiel. Ein Ablauf soll eingehende Mails nach Anfrage, Rechnung oder Reklamation sortieren. Dafür braucht die KI den Text der Mail, aber nicht unbedingt den Namen, die Telefonnummer und die Signatur mit Adresse. Die kann ein fester Schritt vorher entfernen oder durch Platzhalter ersetzen. Die Sortierung funktioniert trotzdem.
Dasselbe gilt für Protokolle. Werkzeuge wie n8n speichern bei jeder Ausführung, welche Daten durchgelaufen sind. Das hilft bei der Fehlersuche. Diese Protokolle sollten aber nicht ewig liegen bleiben. Ich stelle eine Frist ein, nach der sie automatisch gelöscht werden.
Auch beim Testen gilt das. Wo es geht, teste ich mit erfundenen Beispieldaten. Manche Sonderfälle zeigen sich aber nur an echten Fällen. Dann geschieht das mit Ihrem Wissen, mit so wenigen Datensätzen wie möglich, und die Testdaten werden danach gelöscht.
Was passiert in KI-Diensten mit den Daten?
Liest ein Ablauf zum Beispiel Text aus einem Beleg mit KI aus, fragen Sie nach, ob der Anbieter die Daten zum Training verwendet. Bei den Geschäftsangeboten der großen Anbieter lässt sich das in der Regel ausschließen. Bei kostenlosen Versionen oft nicht.
Zwei weitere Fragen gehören dazu. Wie lange speichert der Anbieter die Eingaben? Viele bewahren sie für eine begrenzte Zeit auf, etwa um Missbrauch zu erkennen. Die Frist steht in den Bedingungen. Und wo werden die Daten verarbeitet? Manche Anbieter bieten inzwischen eine Verarbeitung in Europa an. Ob das für den jeweiligen Dienst gilt, steht ebenfalls in den Bedingungen und ändert sich gelegentlich.
Kann man KI DSGVO-konform einsetzen?
Nach meiner Erfahrung ja, wenn ein paar Bedingungen erfüllt sind. Sie arbeiten mit dem Geschäftsangebot eines Anbieters, nicht mit einem privaten Konto. Es gibt einen Vertrag zur Auftragsverarbeitung. Die Daten werden nicht zum Training verwendet. Der Ablauf gibt nur weiter, was nötig ist. Und Ihre Datenschutzerklärung sowie Ihr Verzeichnis der Verarbeitungstätigkeiten sind auf dem aktuellen Stand.
Eine Grenze sollten Sie kennen. Entscheidungen, die Menschen spürbar betreffen, etwa die Absage an einen Bewerber oder die Ablehnung eines Kunden, sollte nicht allein eine Maschine treffen. Die DSGVO setzt solchen rein automatisierten Entscheidungen in Art. 22 enge Grenzen. In meinen Abläufen bereitet die KI vor, und ein Mensch entscheidet.
Für Kanzleien und andere Berufe mit Schweigepflicht kommen eigene Regeln dazu. Die klären Sie am besten mit Ihrer Kammer oder Ihrem Datenschutzbeauftragten, bevor Mandantendaten durch einen neuen Dienst laufen.
Was passiert, wenn doch etwas schiefgeht?
Auch ein gut gebauter Ablauf kann einmal eine Mail an den falschen Empfänger schicken oder Daten an eine Stelle schreiben, an die sie nicht gehören. Dann zählt, dass Sie schnell merken, was passiert ist. Die Protokolle des Ablaufs zeigen, welche Daten wann wohin gegangen sind.
Bei einer Datenpanne gibt es Meldepflichten. Nach Art. 33 DSGVO muss die Meldung an die Aufsichtsbehörde in der Regel unverzüglich und möglichst innerhalb von 72 Stunden erfolgen, sofern ein Risiko für die Betroffenen besteht. Klären Sie mit Ihrem Dienstleister vorher, wer Sie in so einem Fall wie schnell informiert. Im Vertrag zur Auftragsverarbeitung sollte das stehen.
Welche Fragen sollte ich meinem Dienstleister stellen?
Diese Fragen können Sie in jedes Erstgespräch mitnehmen. Auf welchem Server läuft der Ablauf, und wo steht er? Welche weiteren Dienste sind beteiligt, und wo verarbeiten die ihre Daten?
Bekomme ich einen Vertrag zur Auftragsverarbeitung, und welche Unterauftragsverarbeiter stehen darin? Werden Daten an einen KI-Dienst gegeben, und wenn ja, welche? Verwendet dieser Dienst sie zum Training?
Wie lange werden Protokolle gespeichert? Wer hat nach dem Projekt Zugriff, und bekomme ich alle Zugangsdaten? Und zuletzt: Was passiert mit meinen Daten, wenn wir die Zusammenarbeit beenden?
Auf jede dieser Fragen sollte es eine klare Antwort geben. Wer ausweicht oder sagt, darum müssen Sie sich nicht kümmern, ist der falsche Partner.
Wie ich das selbst handhabe
Meine n8n-Installationen laufen bei Hostinger in einem Rechenzentrum in der EU. Wo ich personenbezogene Daten in Ihrem Auftrag verarbeite, schließen wir einen Vertrag zur Auftragsverarbeitung. KI-Modelle von Anthropic und OpenAI setze ich über deren Schnittstellen für Unternehmen ein. Dort werden Ihre Daten nicht zum Training verwendet. Dienste, die Ihre Daten zum Training verwenden, kommen bei mir nicht in den Ablauf.
Am Ende des Projekts bekommen Sie alle Zugänge und eine Beschreibung des Ablaufs: welche Daten wohin fließen, welche Dienste beteiligt sind, wann Protokolle gelöscht werden. Diese Beschreibung können Sie Ihrem Datenschutzbeauftragten geben. Meist erspart sie ihm eine Menge Nachfragen.