Podcast
Mit Dr. Sebastian Kraska, Rechtsanwalt und externer Datenschutzbeauftragter
Diese Folge räumt mit dem Reflex „geht nicht wegen Datenschutz“ auf. Dr. Sebastian Kraska zeigt ruhig und konkret, was die DSGVO beim KI-Einsatz wirklich verlangt, wo Auftragsverarbeitung reicht, warum Schatten-IT riskanter ist als viele Verbote und weshalb der Mensch bei automatisierten Entscheidungen vorerst im Mittelpunkt bleiben soll.
Das pauschale „geht nicht wegen Datenschutz“ löst Probleme nicht, es verschiebt sie nur. Wenn Mitarbeitende dann private Free- oder Personal-Accounts nutzen, verliert das Unternehmen Kontrolle, Vertragssicherheit und oft auch die Hoheit über die Trainingsnutzung. Genau dort liegt das eigentliche Risiko.
Dr. Kraska erklärt das Grundprinzip der Auftragsverarbeitung: Ein Dienstleister darf Daten im Auftrag und nach Weisung verarbeiten. Für KI-Tools heißt das, rechtskonforme Nutzung ist möglich, solange kein eigener Zweck, etwa Modelltraining mit Kundendaten, dazukommt.
Artikel 22 DSGVO steht für die Grenze automatisierter Einzelentscheidungen. KI soll zuarbeiten, nicht die menschliche Entscheidung ersetzen. Gerade bei Agentensystemen braucht es deshalb klare Rollen, Freigaben, Guardrails und nachvollziehbare Grenzen, sonst wird aus Effizienz schnell Kontrollverlust.
Die Folge setzt bei einem verbreiteten Reflex an: Sobald KI, ChatGPT, Claude oder ein Agent auftaucht, wird Datenschutz als Totschlagargument genutzt, um nicht weiter diskutieren zu müssen. Sebastian Kraska hält dagegen, dass das nicht nur fachlich zu kurz greift, sondern in vielen Fällen riskanter ist als der kontrollierte Einsatz eines Tools.
Der größere Schaden entsteht oft dort, wo Unternehmen offizielle Nutzung verbieten und die Leute dann auf private Accounts oder andere nicht freigegebene Wege ausweichen. Diese Schatten-IT entzieht sich der Kontrolle und ist datenschutzrechtlich meist heikler als ein sauber vertraglich eingebundenes Business-Tool.
Kernpunkt der Episode ist die Auftragsverarbeitung. KI-Dienstleister dürfen Daten im Auftrag verarbeiten, wenn das vertraglich geregelt ist und sie an Weisungen gebunden bleiben. Genau das ist bei den Geschäftsprodukten großer Anbieter inzwischen häufig der Fall, inklusive Auftragsverarbeitungsvertrag und dem Verzicht auf Training mit Kundendaten.
Wichtig bleibt die Trennung zwischen Verarbeitung im Auftrag und eigenem Zweck des Anbieters. Sobald Daten zusätzlich für das Training der Modelle genutzt werden sollen, braucht es dafür eine eigene Rechtsgrundlage. Das macht den Unterschied zwischen rechtssicherer Nutzung und problematischer Vermischung aus.
Die Diskussion um deutsche oder europäische Server wird in der Folge entdramatisiert. Ein Serverstandort in Frankfurt macht den Zugriff unter bestimmten US-Gesetzen nicht automatisch unproblematisch. Gleichzeitig gibt es mit den USA derzeit einen formalen Angemessenheitsbeschluss der EU-Kommission, auf dessen Grundlage der Einsatz dortiger Anbieter aktuell zulässig ist.
Kraska ordnet das als Mischung aus Recht, Politik und Risikosteuerung ein. Für Unternehmen ist die Frage weniger, ob der Standort allein alles löst, sondern welche Abhängigkeiten sie eingehen wollen und welche Alternativen sie realistisch haben.
Sobald KI-Systeme mehr tun als nur antworten, also etwa auf Mails, Dokumente oder Kalender zugreifen, reicht ein bloßes Freischalten nicht mehr aus. Dann braucht es dieselben Grundprinzipien wie bei Mitarbeitenden: Rechte- und Rollenkonzepte, Erforderlichkeitsprinzip, Grenzen für Löschen, Duplizieren und Nachvollziehbarkeit.
Die Folge macht klar: Man kann einem Agenten nicht einfach freie Hand geben und hoffen, dass schon alles passt. Wer ein solches System einführt, bleibt als Unternehmen verantwortlich und muss es so bauen, als würde ein Beschäftigter mit denselben Regeln arbeiten.
Externer Inhalt
Wird von Google Ireland Ltd. geladen.
„Datenschutz ist kein KI-Verhinderer: Warum die DSGVO eigentlich euer bester Verbündeter ist | Dr. Sebastian Kraska, Rechtsanwalt und externer Datenschutzbeauftragter" ist bei YouTube gehostet. Beim Laden wird eine Verbindung zu YouTube/Google aufgebaut.
Beim Laden werden Daten (z. B. IP-Adresse, Browser-Informationen) an Google Ireland Ltd. / Google LLC übertragen. Beim Laden Verbindung zu YouTube/Google; eine Übermittlung in die USA kann nicht ausgeschlossen werden.
Wir haben die Kernideen dieser Quelle als strukturierte Markdown Datei aufbereitet, damit du es perfekt als Kontext für dein eigenes KI-Projekt nutzen kannst. Lade die Datei herunter, wirf sie in das Tool deiner Wahl und arbeite damit weiter!
Wenn du aus deinem Interesse echte Praxis machen willst, komm' in die Blackboat Academy! Von kompakten Workshops über mehrwöchige Intensivprogramme bis zur persönlichen Begleitung über ein ganzes Quartal: in unserer Academy findest du das Format, das zu deinem Ziel, deinem Level und deinem Zeitrahmen passt.
Wenn das Thema gerade für dein Team, dein Event oder deine Führungsebene relevant ist, kann Christoph den Impuls auch live in eure Organisation bringen.
Kennst du jemanden, der unbedingt mit Christoph abnerden sollte? Jemanden mit einer starken Story, einer ungewöhnlichen Perspektive oder echtem KI-Praxiswissen? Oder möchtest du mit deinem Produkt die richtige Zielgruppe erreichen? AI to the DNA erreicht Entscheider:innen, die KI nicht nur verstehen, sondern umsetzen. Wenn dein Angebot dazu passt, lass uns sprechen!