Datenschutzverstoß durch KI und dessen Konsequenzen

Künstliche Intelligenz verändert Geschäftsprozesse, Kundenkommunikation und interne Abläufe in Unternehmen. Gleichzeitig steigen die datenschutzrechtlichen Anforderungen. Werden personenbezogene Daten unzulässig in KI-Systemen verarbeitet oder sensible Informationen ohne ausreichende Schutzmaßnahmen genutzt, kann dies einen Datenschutzverstoß zur Folge haben – mit erheblichen rechtlichen, wirtschaftlichen und organisatorischen Konsequenzen.

Für Unternehmen, Selbstständige und Verantwortliche stellt sich häufig die Frage, wann der Einsatz von KI datenschutzrechtlich problematisch wird, welche Folgen drohen und welche Maßnahmen erforderlich sind. Dieser Beitrag erläutert die rechtlichen Grundlagen, typische Fallkonstellationen sowie mögliche Konsequenzen eines Datenschutzverstoßes durch KI.

Was ist ein Datenschutzverstoß durch KI?

Ein Datenschutzverstoß durch KI liegt vor, wenn bei der Entwicklung, Einführung oder Nutzung eines KI-Systems personenbezogene Daten entgegen den Vorgaben der Datenschutz-Grundverordnung (DSGVO) oder anderer datenschutzrechtlicher Vorschriften verarbeitet werden.

Personenbezogene Daten sind sämtliche Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Hierzu gehören beispielsweise:

• Name und Kontaktdaten
• E-Mail-Adressen
• Kundendaten
• Gesundheitsdaten
• Standortdaten
• Beschäftigtendaten
• IP-Adressen
• Fotos oder Sprachaufnahmen

Der Einsatz von KI führt nicht automatisch zu einem Datenschutzverstoß. Entscheidend ist vielmehr, ob die Verarbeitung personenbezogener Daten rechtmäßig erfolgt und die gesetzlichen Anforderungen eingehalten werden.

Welche rechtlichen Grundlagen gelten beim Einsatz von KI?

Der Einsatz künstlicher Intelligenz unterliegt in Deutschland insbesondere folgenden rechtlichen Regelungen:

• Datenschutz-Grundverordnung (DSGVO)
• Bundesdatenschutzgesetz (BDSG)
• gegebenenfalls spezialgesetzliche Datenschutzvorschriften
• ergänzend die europäische KI-Verordnung (AI Act), soweit deren Regelungen für das jeweilige KI-System bereits anwendbar sind

Während der AI Act vor allem Anforderungen an bestimmte KI-Systeme und deren Risiken stellt, bleibt die DSGVO maßgeblich für die Verarbeitung personenbezogener Daten.

Wann liegt beim Einsatz von KI ein Datenschutzverstoß vor?

Ob ein Datenschutzverstoß vorliegt, hängt stets vom konkreten Einzelfall ab. Typische Fallgruppen sind:

Personenbezogene Daten werden ohne Rechtsgrundlage verarbeitet

Eine Verarbeitung personenbezogener Daten setzt regelmäßig eine gesetzliche Grundlage nach Art. 6 DSGVO voraus. Fehlt diese, kann bereits die Dateneingabe in ein KI-System rechtswidrig sein.

Dies betrifft beispielsweise:

• Eingabe vollständiger Kundendaten in öffentliche KI-Anwendungen
• Nutzung personenbezogener Daten zu Trainingszwecken ohne Rechtsgrundlage
• Weitergabe personenbezogener Informationen an externe KI-Anbieter ohne datenschutzrechtliche Prüfung

Unzulässige Verarbeitung besonderer Kategorien personenbezogener Daten

Gesundheitsdaten, biometrische Daten oder Informationen über politische Meinungen unterliegen einem besonderen Schutz.

Werden solche Daten in KI-Systeme eingegeben oder automatisiert verarbeitet, gelten erhöhte gesetzliche Anforderungen.

Fehlende Transparenz gegenüber Betroffenen

Die DSGVO verpflichtet Unternehmen dazu, betroffene Personen über die Datenverarbeitung zu informieren.

Problematisch kann beispielsweise sein:

• fehlende Datenschutzhinweise
• unvollständige Informationen über KI-gestützte Entscheidungen
• unklare Angaben zur Speicherdauer oder Weitergabe von Daten

Unzureichende technische und organisatorische Maßnahmen

Unternehmen müssen personenbezogene Daten angemessen schützen.

Ein Datenschutzverstoß kann unter anderem entstehen durch:

• fehlende Zugriffsbeschränkungen
• unverschlüsselte Datenübertragung
• mangelnde Protokollierung
• unzureichende Sicherheitsmaßnahmen bei Cloud-Diensten
• fehlende interne Richtlinien zum Einsatz von KI

Automatisierte Entscheidungen mit rechtlicher Wirkung

Art. 22 DSGVO enthält besondere Vorgaben für automatisierte Entscheidungen, die erhebliche Auswirkungen auf Betroffene haben können.

Beispiele sind:

• automatisierte Kreditentscheidungen
• Bewerberauswahl ausschließlich durch KI
• automatisierte Leistungsbewertungen ohne menschliche Überprüfung

Ob eine solche Verarbeitung zulässig ist, hängt von den gesetzlichen Voraussetzungen und den jeweiligen Schutzmaßnahmen ab.

Welche Konsequenzen kann ein Datenschutzverstoß durch KI haben?

Die Folgen eines Datenschutzverstoßes können erheblich sein und mehrere Rechtsbereiche betreffen.

Maßnahmen der Datenschutzaufsichtsbehörden

Die zuständigen Datenschutzbehörden können unter anderem:

• Auskünfte verlangen
• Prüfungen durchführen
• die Datenverarbeitung untersagen
• Löschungen anordnen
• bestimmte KI-Anwendungen einschränken
• Bußgelder verhängen

Welche Maßnahme im Einzelfall ergriffen wird, hängt insbesondere von Art, Umfang und Schwere des Verstoßes ab.

Bußgelder nach der DSGVO

Die DSGVO sieht empfindliche Geldbußen vor.

Bei der Bemessung berücksichtigen die Behörden unter anderem:

• Schwere des Verstoßes
• Dauer des Verstoßes
• Zahl der betroffenen Personen
• Art der verarbeiteten Daten
• Vorsatz oder Fahrlässigkeit
• Zusammenarbeit mit der Aufsichtsbehörde
• bereits getroffene Schutzmaßnahmen

Nicht jeder Datenschutzverstoß führt automatisch zu einem hohen Bußgeld. Die Entscheidung erfolgt stets anhand der konkreten Umstände.

Schadensersatzansprüche Betroffener

Unter bestimmten Voraussetzungen können betroffene Personen nach Art. 82 DSGVO Schadensersatz verlangen.

Dabei kommen sowohl materielle als auch immaterielle Schäden in Betracht.

Ob tatsächlich ein Anspruch besteht und in welcher Höhe, hängt vom jeweiligen Sachverhalt und der aktuellen Rechtsprechung ab.

Reputationsschäden

Neben den rechtlichen Folgen können Datenschutzverstöße erhebliche wirtschaftliche Auswirkungen haben.

Hierzu zählen etwa:

• Vertrauensverlust bei Kunden
• negative Medienberichterstattung
• Vertragskündigungen
• erschwerte Geschäftsbeziehungen
• interne Compliance-Probleme

Gerade bei KI-Anwendungen kann der öffentliche Vertrauensverlust erhebliche Auswirkungen auf das Unternehmen haben.

Besteht eine Meldepflicht bei Datenschutzverstößen?

Nicht jeder Datenschutzverstoß muss gemeldet werden.

Liegt jedoch eine Verletzung des Schutzes personenbezogener Daten vor, kann eine Meldung an die zuständige Datenschutzaufsichtsbehörde erforderlich sein.

Die DSGVO sieht hierfür grundsätzlich eine Frist von 72 Stunden ab Kenntnis des Vorfalls vor, sofern ein Risiko für die Rechte und Freiheiten betroffener Personen besteht.

Unter bestimmten Voraussetzungen müssen zusätzlich die betroffenen Personen informiert werden.

Ob eine Meldepflicht besteht, sollte sorgfältig geprüft werden. Fehler bei der Risikobewertung können selbst weitere rechtliche Folgen nach sich ziehen.

Typische Fehler beim Einsatz von KI

In der Praxis treten immer wieder ähnliche Problemfelder auf.

Hierzu gehören insbesondere:

• Nutzung frei verfügbarer KI-Systeme für vertrauliche Mandanten- oder Kundendaten
• fehlende Prüfung der Datenschutzbestimmungen des KI-Anbieters
• keine Auftragsverarbeitungsvereinbarung, obwohl diese erforderlich wäre
• keine Datenschutz-Folgenabschätzung trotz erhöhten Risikos
• fehlende interne KI-Richtlinien
• unzureichende Schulung von Beschäftigten
• fehlende Dokumentation der Datenverarbeitung
• ungeprüfte Nutzung neuer KI-Funktionen

Bereits organisatorische Versäumnisse können das Risiko eines Datenschutzverstoßes erheblich erhöhen.

Welche Beweise sollten nach einem Datenschutzvorfall gesichert werden?

Eine sorgfältige Dokumentation kann sowohl gegenüber Aufsichtsbehörden als auch bei späteren Schadensersatzforderungen von Bedeutung sein.

Sinnvoll können unter anderem sein:

• Protokolle des Vorfalls
• Server- und Systemlogs
• Zugriffsprotokolle
• interne Kommunikationsunterlagen
• Verträge mit KI-Anbietern
• Datenschutzdokumentation
• technische Analysen
• Nachweise über bereits getroffene Sicherheitsmaßnahmen

Je früher relevante Informationen gesichert werden, desto besser lässt sich der Sachverhalt später aufklären.

Welche Kostenrisiken bestehen?

Die finanziellen Folgen eines Datenschutzverstoßes können je nach Einzelfall erheblich variieren.

Mögliche Kosten entstehen beispielsweise durch:

• Bußgelder
• Rechtsberatung
• interne Untersuchungen
• IT-forensische Analysen
• Benachrichtigung Betroffener
• Schadensersatzforderungen
• technische Nachbesserungen
• Reputationsmanagement

Nicht jeder Datenschutzverstoß führt zu sämtlichen dieser Kostenpositionen. Umfang und Höhe hängen maßgeblich von den konkreten Umständen ab.

Welche Verjährungsfristen können relevant sein?

Die Verjährung richtet sich nach der jeweiligen Anspruchsgrundlage.

Schadensersatzansprüche können unterschiedlichen Verjährungsregelungen unterliegen. Auch behördliche Maßnahmen und Bußgeldverfahren folgen eigenen gesetzlichen Vorgaben.

Da die Berechnung der Fristen von zahlreichen Faktoren abhängen kann, empfiehlt sich eine frühzeitige rechtliche Prüfung.

Wann ist eine anwaltliche Prüfung sinnvoll?

Eine rechtliche Bewertung kann insbesondere sinnvoll sein, wenn:

• personenbezogene Daten in KI-Systeme eingegeben wurden,
• eine Datenschutzbehörde Ermittlungen aufgenommen hat,
• ein Sicherheitsvorfall festgestellt wurde,
• Betroffene Schadensersatz verlangen,
• eine Meldepflicht geprüft werden muss,
• eine Datenschutz-Folgenabschätzung erforderlich sein könnte,
• neue KI-Anwendungen im Unternehmen eingeführt werden oder
• Unsicherheiten hinsichtlich der Vereinbarkeit des KI-Einsatzes mit der DSGVO bestehen.

Gerade beim Zusammenspiel von Datenschutzrecht, IT-Sicherheit, Vertragsrecht und den Anforderungen des AI Act ist häufig eine einzelfallbezogene rechtliche Bewertung erforderlich.

Fazit

Ein Datenschutzverstoß durch KI kann erhebliche rechtliche und wirtschaftliche Folgen nach sich ziehen. Neben aufsichtsbehördlichen Maßnahmen und möglichen Bußgeldern kommen Schadensersatzansprüche, Meldepflichten sowie organisatorische und technische Nachbesserungen in Betracht.

Ob tatsächlich ein Datenschutzverstoß vorliegt und welche Konsequenzen sich daraus ergeben, hängt jedoch stets von den konkreten Umständen des Einzelfalls ab. Eine frühzeitige rechtliche Prüfung kann dazu beitragen, Risiken zu erkennen, geeignete Maßnahmen einzuleiten und datenschutzrechtliche Anforderungen beim Einsatz von KI rechtssicher umzusetzen.

FAQ

Kann die Nutzung von ChatGPT oder anderen KI-Systemen gegen die DSGVO verstoßen?

Ja. Werden personenbezogene Daten ohne geeignete Rechtsgrundlage oder ohne ausreichende Datenschutzmaßnahmen verarbeitet, kann ein Verstoß gegen die DSGVO vorliegen. Ob dies der Fall ist, hängt von der konkreten Nutzung und den jeweiligen Umständen ab.

Muss jeder Datenschutzverstoß durch KI gemeldet werden?

Nein. Eine Meldung an die Datenschutzaufsichtsbehörde ist nur erforderlich, wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen begründet. Die Bewertung muss im Einzelfall erfolgen.

Welche Bußgelder drohen bei einem Datenschutzverstoß?

Die DSGVO ermöglicht erhebliche Geldbußen. Deren Höhe richtet sich unter anderem nach Schwere, Dauer und Umfang des Verstoßes sowie dem Verschulden und dem Verhalten des Verantwortlichen.

Können Betroffene Schadensersatz verlangen?

Unter bestimmten Voraussetzungen ja. Sowohl materielle als auch immaterielle Schäden können ersatzfähig sein. Ob ein Anspruch besteht, hängt von den konkreten Umständen und der aktuellen Rechtsprechung ab.

Wie können Unternehmen Datenschutzverstöße beim Einsatz von KI vermeiden?

Wesentliche Maßnahmen sind eine datenschutzrechtliche Prüfung vor dem KI-Einsatz, klare interne Richtlinien, Mitarbeiterschulungen, geeignete technische und organisatorische Schutzmaßnahmen, eine vollständige Dokumentation sowie – soweit erforderlich – eine Datenschutz-Folgenabschätzung und der Abschluss einer Auftragsverarbeitungsvereinbarung.