KI und Datenschutz: Spannungen konkret prüfen

Redaktionelle Einordnung zu Fragen aus dem Gastbeitrag von Prof. Dr. Angelika Kreitel: Welche Spannungen entstehen beim KI-Einsatz, und worauf kommt es bei der konkreten Datenschutzprüfung an?

KI und Datenschutz: Spannungen konkret prüfen

KI-Systeme können große Datenmengen verarbeiten und Muster erschließen, die für Betroffene schwer erkennbar sind. Daraus entstehen anspruchsvolle Fragen zu Zweckbindung, Datenminimierung, Transparenz und Betroffenenrechten. Daraus folgt jedoch nicht, dass KI und Datenschutz grundsätzlich unvereinbar sind.

Auf die konkrete Verarbeitung kommt es an

Training eines Modells, seine Bereitstellung und die Nutzung in einer Organisation sind unterschiedliche Verarbeitungssituationen. Es ist jeweils zu prüfen, ob personenbezogene Daten betroffen sind, welche Stelle verantwortlich ist und welche Rechtsgrundlage sowie Schutzmaßnahmen erforderlich sind.

Der Europäische Datenschutzausschuss betont, dass die Anonymität eines KI-Modells nicht pauschal vorausgesetzt werden darf. Auch die Berufung auf berechtigte Interessen verlangt eine konkrete Prüfung. Die bloße Aussage „Das Modell enthält nur statistische Muster“ beantwortet diese Fragen nicht.

Rechte und Verantwortung verschwinden nicht

Technische Schwierigkeiten bei Auskunft, Berichtigung oder Löschung heben die gesetzlichen Pflichten nicht auf. Ebenso beseitigt eine KI-gestützte Entscheidung weder die Verantwortlichkeit beteiligter Stellen noch mögliche Haftungsansprüche. Zu klären sind die tatsächlichen Datenflüsse, Entscheidungsprozesse und Eingriffsmöglichkeiten.

Was Organisationen daraus ableiten können

• Für jeden Einsatz Zweck, Datenarten und Empfänger erfassen.
• Unnötige personenbezogene Eingaben vermeiden und interne Regeln festlegen.
• Rechte Betroffener und Zuständigkeiten praktisch organisieren.
• Erforderliche Datenschutz-Folgenabschätzungen und besondere Regeln für automatisierte Entscheidungen prüfen.
• Menschen so qualifizieren, dass sie Grenzen erkennen und tatsächlich eingreifen können.

KI-Kompetenz unterstützt diese Aufgaben. Artikel 4 der KI-Verordnung ersetzt weder die DSGVO noch die Prüfung des konkreten Verfahrens.

Quellen: EDSA zur Stellungnahme 28/2024 über KI-Modelle · DSGVO. Stand: 21. Oktober 2026.