Die DSK-Orientierungshilfe: Was die Aufsichtsbehörden wirklich von Ihrem KI-Einsatz erwarten

Der beispielhafte KI-Prozess: ein KI-Assistent fürs Büroteam

Ein mittelständischer Betrieb, sagen wir ein Anlagenbauer mit 60 Mitarbeitern, führt einen KI-Assistenten für das Büro ein. Der Geschäftsführer will, dass sein Team schneller schreibt: Angebote, Kundenantworten, Zusammenfassungen langer Dokumente. Die Idee ist gut. Die Umsetzung entscheidet, ob sie rechtssicher ist.

So läuft der Prozess konkret ab. Eine Mitarbeiterin bekommt eine Kundenbeschwerde per Mail. Sie kopiert den Text in das KI-Tool und bittet um einen freundlichen Antwortentwurf. In der Beschwerde stehen Name, Adresse, Kundennummer, die Bestellhistorie und manchmal ein Satz wie: Ich konnte wegen meiner Erkrankung nicht abnehmen. Die KI verarbeitet all das, formuliert einen Entwurf, schlägt einen Ton vor. Der Kollege liest gegen, passt an, schickt raus. An anderer Stelle wirft jemand einen 40-seitigen Vertrag hinein und lässt ihn zusammenfassen. Wieder woanders soll die KI aus Stichpunkten ein Angebot bauen.

Was reingeht: Kundendaten, Vertragsdaten, gelegentlich Gesundheitsangaben, auch Beschäftigtendaten. Was die KI macht: Sie verarbeitet diese Daten auf einem Server, oft in den USA, und erzeugt daraus Text. Was rauskommt: ein Entwurf, den ein Mensch übernimmt. Klingt harmlos. Aus Sicht der Aufsichtsbehörden ist genau hier der Punkt, an dem es sauber oder unsauber wird.

Datenschutzrechtliche Einordnung: die Orientierungshilfe als Fahrplan

Die Datenschutzkonferenz, das gemeinsame Gremium der deutschen Aufsichtsbehörden, kurz DSK, hat 2024 eine Orientierungshilfe zu KI und Datenschutz veröffentlicht. Sie ist kein neues Gesetz. Sie zeigt, wie die Behörden das bestehende Recht auf KI anwenden. Wer sie kennt, weiß, worauf im Prüfungsfall geschaut wird. Das ist Gold wert, weil es die Unsicherheit nimmt.

Der erste Punkt: Es sind personenbezogene Daten im Spiel, sobald ein Kundenname oder eine Kundennummer im Prompt landet. Damit greift die DSGVO voll. Ich brauche eine Rechtsgrundlage. Für die Bearbeitung eines laufenden Kundenvorgangs ist das meist die Vertragserfüllung oder das berechtigte Interesse (Art. 6). Der heikle Fall ist der Satz über die Erkrankung. Gesundheitsdaten sind besonders geschützt (Art. 9). Solche Angaben gehören nicht ungefiltert in ein offenes KI-Tool.

Die Orientierungshilfe denkt in Phasen: Auswahl, Einführung, Nutzung. Das ist der praktische Kern. In der Auswahl prüfe ich das Tool. Wo stehen die Server? Werden meine Eingaben zum Training des Modells verwendet? Gibt es einen Auftragsverarbeitungsvertrag? Bei US-Anbietern kommt die Drittlandfrage dazu. In der Einführung lege ich fest, welche Daten rein dürfen und welche nicht, und ich schreibe das in eine kurze, verständliche Richtlinie. In der Nutzung zählt, dass die Mitarbeiter wissen, was sie tun, und dass niemand Gesundheits- oder Bewerberdaten in das Tool kippt.

Drei Stolpersteine sehe ich immer wieder. Erstens die Transparenz. Kunden und Beschäftigte müssen erfahren, dass KI im Einsatz ist. Das gehört in die Datenschutzinformationen, nicht ins Kleingedruckte, das keiner findet. Zweitens die Richtigkeit. KI erfindet Dinge. Ein Entwurf ist ein Vorschlag, keine Wahrheit. Ein Mensch muss gegenlesen, gerade wenn aus dem Output eine Entscheidung über einen Menschen wird. Wo eine KI faktisch allein entscheidet, wird Art. 22 relevant, das grundsätzliche Verbot automatisierter Einzelentscheidungen. Drittens die Betroffenenrechte. Auskunft, Löschung und Berichtigung müssen auch dann funktionieren, wenn Daten durch ein KI-System gelaufen sind.

Dazu kommt der AI Act. Für die meisten Büro-Assistenten im Mittelstand gilt vor allem eine Pflicht: Schulung. Die Menschen, die KI bedienen, müssen ausreichend kompetent sein, Stichwort KI-Kompetenz. Ein reiner Schreibassistent ist in der Regel kein Hochrisiko-System. Aber sobald KI etwa bei der Bewerberauswahl oder der Bonität mitentscheidet, ändert sich die Lage grundlegend.

Der saubere Weg ist unspektakulär: das richtige Tool mit Vertrag und EU-Serverwahl, eine klare Richtlinie, eine kurze Schulung, ein Satz in der Datenschutzinformation und die einfache Regel, sensible Daten zu anonymisieren oder draußen zu lassen. Mehr braucht es meist nicht.

Fazit: Der KI-Einsatz lohnt sich, mit Leitplanken

Ja, so ein Assistent spart echte Zeit, und der Nutzen im Alltag ist sofort spürbar. Die DSK-Orientierungshilfe ist dabei keine Bremse, sondern eine Checkliste. Sie sagt Ihnen im Voraus, was eine Behörde später sehen will. Wer die drei Phasen ernst nimmt, das passende Tool wählt und seine Leute einmal sauber einweist, ist auf der sicheren Seite und kann die KI ruhigen Gewissens laufen lassen. Es kommt nicht auf teure Technik an, sondern auf ein paar klare Entscheidungen am Anfang. Ob in Ihrem Fall das berechtigte Interesse trägt oder ob Sie eine andere Grundlage brauchen, hängt am Einzelfall. Genau dafür ist das kostenlose Erstgespräch da. Melden Sie sich, dann sortieren wir Ihren KI-Einsatz gemeinsam so, dass er läuft und der Prüfung standhält.