KVKK-Grundlagen, allgemeine Grundsätze und VERBIS

Gewinne:

• Unterscheidung der Konzepte personenbezogener Daten, Daten besonderer Qualität, Datenverantwortlicher und Datenverarbeiter
• Anwendung der allgemeinen KVKK-Grundsätze (Zweckbeschränkung, Minimierung) auf den Einsatz von KI
• Machen Sie sich bewusst, dass die Eingabe von Daten in die KI eine Verarbeitung und oft auch eine Übermittlung ist und dass eine Aufzeichnungspflicht besteht

Der Einsatz von KI in einem Unternehmen ist fast immer mit der Verarbeitung personenbezogener Daten verbunden: das Zusammenfassen einer Kunden-E-Mail, das Auswerten eines Lebenslaufs, das Analysieren einer Anrufaufzeichnung. Daher ist das Rückgrat der KI-Governance das Verständnis des türkischen Datenschutzgesetzes KVKK (Gesetz Nr. 6698 zum Schutz personenbezogener Daten). In dieser Einheit lernen wir die Grundkonzepte, allgemeinen Prinzipien und die VERBIS-Registrierung von KVKK kennen und verknüpfen diese direkt mit dem Einsatz von KI. Das Ziel besteht nicht darin, Anwalt zu werden; Es soll eine solide Grundlage dafür schaffen, dass ein Datenschutzbeauftragter im Alltag korrekte Entscheidungen treffen kann.

Grundkonzepte: Wer ist wer?

Die Sprache von KVKK basiert auf mehreren Schlüsselkonzepten. Ohne diese Unterscheidung kann keine KI-Entscheidung richtig getroffen werden.

Konzept

Bedeutung

Beispiel in der KI

Persönliche Daten

Alle Informationen über eine identifizierte/identifizierbare natürliche Person

Name, E-Mail, Telefon, IP, Kundennummer

Daten in besonderer Qualität

Sensible Kategorien wie Gesundheit, Religion, Biometrie

Anamnese, Blutgruppe, Gesichtsdaten

Ansprechpartner

Person, deren Daten verarbeitet werden (Dateneigentümer)

Kunde, Mitarbeiter, Kandidat

Datenverantwortlicher

Bestimmung des Zwecks und der Art der Verarbeitung

Organisation mit KI

Datenverarbeiter

Die Partei, die Daten im Auftrag des Verantwortlichen verarbeitet

Unternehmen, das KI-Dienste anbietet

Diese Unterscheidung hat rechtliche Konsequenzen: Der Datenverantwortliche (die Institution selbst) ist der Haupteigentümer der Haftung. Der KI-Anbieter ist häufig der Auftragsverarbeiter und mit ihm muss ein schriftlicher Vertrag (Auftragsverarbeitungsvertrag) abgeschlossen werden. Die Aussage „Der KI-Anbieter hat es getan“ entbindet die Organisation nicht von der Haftung.

Achtung: Daten sind personenbezogene Daten, solange sie sie „identifizierbar“ machen. Es reicht nicht aus zu sagen: „Ich habe den Namen gelöscht“; Schon die Kombination aus Geburtsdatum + Postleitzahl + Beruf kann eine Person identifizierbar machen. Überprüfen Sie stets die kombinierte Identifizierbarkeit der in AI eingegebenen Daten.

Allgemeine Grundsätze von KVKK und KI

KVKK legt allgemeine Grundsätze fest, die bei jeder Verarbeitung eingehalten werden müssen. Die direkte Übersetzung zur KI-Nutzung lautet:

1. Gesetzestreue und Ehrlichkeit: Daten heimlich oder irreführend verarbeiten.
2. Um genau und auf dem neuesten Stand zu sein: KI kann Halluzinationen hervorrufen; Die Ausgabe kann ohne Überprüfung nicht als personenbezogene Daten gespeichert werden.
3. Spezifischer, klarer und legitimer Zweck: Daten können nicht verarbeitet werden, weil „sie möglicherweise in Zukunft benötigt werden“; Der Zweck ist im Voraus klar.
4. Zweckbezogen, begrenzt und gemessen (Datenminimierung): Es werden nur die für den Zweck notwendigen Daten in die KI eingegeben.
5. Aufbewahrung für den erforderlichen Zeitraum: Nach Ablauf des Zwecks werden die Daten (einschließlich des KI-Chatverlaufs) gelöscht/anonymisiert.

Datenminimierung ist das am häufigsten verletzte Prinzip in der KI: Anstatt die gesamte Datei einzufügen, um einen Text zusammenzufassen, muss nur der erforderliche Absatz eingegeben werden, und zwar möglichst in maskierter Form (Namen werden ausgeblendet).

drei Mini-Koffer

Fall 1 – Zu viele Daten. Ein Callcenter-Manager speist 5.000 Anrufprotokolle zusammen mit Namen, Telefonnummer und ID-Nummer in die KI ein, um „Themen der Kundenunzufriedenheit zu extrahieren“. Für die Themenanalyse sind jedoch keine Identitätsdaten erforderlich. Nach dem Minimierungsprinzip ist es richtig, die ID-Felder zu löschen und nur den Anruftext anzugeben. Somit werden die Identitätsdaten von 5.000 Personen nicht unnötig verarbeitet.

Fall 2 – Zweckdrift. Das Marketing übermittelt die Ein- und Ausstempelzeiten der Mitarbeiter zur „Produktivitätsanalyse“ an die KI. Diese Daten wurden jedoch zum Zweck des Arbeitsschutzes erhoben. Missbrauch verstößt gegen den Grundsatz der Zweckbindung. Die richtige Entscheidung: Vor der Verarbeitung der Daten für diesen neuen Zweck die Rechtsgrundlage neu prüfen und klären.

Fall 3 – Die unauslöschliche Vergangenheit. Ein Versicherungsexperte gibt seit Monaten Kundendaten in denselben KI-Chat ein, um den Schaden zu bewerten, und der Verlauf wird nie gelöscht. 8 Monate später sind die Daten von mehr als 300 Kunden in einem einzigen Chat gesammelt. Gemäß der Aufbewahrungsrichtlinie sollte dieser Verlauf gelöscht werden, sobald der Zweck erfüllt ist (die Datei wird geschlossen) oder die Transaktion sollte in ein institutionelles Tool ohne Protokolle verschoben werden.

Die Eingabe von Daten in die KI ist „Verarbeitung“

Verarbeitung im KVKK; Dabei handelt es sich um jeden Vorgang einschließlich der Erhebung, Aufzeichnung, Speicherung und Übermittlung von Daten. Das Einfügen eines Textes in AI bedeutet, dass die Daten an den Server des Anbieters gesendet werden – es handelt sich dabei um eine Transaktion und häufig um eine Übertragung (wenn sich der Server im Ausland befindet). Daher bedarf jeder Einsatz von KI einer dahinter stehenden gültigen Rechtsgrundlage (Thema der nächsten Einheit) und einem entsprechenden Vertrag.

Tipp: „Kann ich diese Daten in die KI eingeben?“ Testen Sie die Frage mit drei Filtern: (1) Persönliche Daten? (2) Ist es für den Zweck notwendig und wurde es minimiert? (3) Verfüge ich über eine gültige Rechtsgrundlage und einen passenden Vertrag? Wenn alle drei nicht „Ja“ sind, halten Sie inne und bewerten Sie.

VERBIS und Verarbeitungsinventar

VERBIS (Data Controllers Registry Information System) ist das offizielle Register, in dem Datenverantwortliche, die bestimmte Schwellenwerte überschreiten, ihre Aktivitäten zur Verarbeitung personenbezogener Daten aufzeichnen. Die Einrichtung führt ein Verzeichnis der Verarbeitung personenbezogener Daten: eine Live-Aufzeichnung, aus der hervorgeht, welche Daten sie zu welchem ​​Zweck, auf welcher Rechtsgrundlage, wie viele Daten sie speichert und an wen sie übermittelt werden. Wenn eine neue KI-basierte Verarbeitungsaktivität gestartet wird, sollte dieser Bestand aktualisiert und gegebenenfalls im VERBIS-Datensatz widergespiegelt werden.

Lagerraum

Beispiel für KI-Aktivität

Zweck der Verarbeitung

Automatische Zusammenfassung von Kunden-E-Mails

Datenkategorie

Kontakt, Kundentransaktionsdaten

Rechtsgrundlage

Vertragserfüllung / berechtigtes Interesse

Empfängergruppe

KI-Dienstleister (Datenverarbeiter)

übertragen

Server im Ausland (mit entsprechender Zusicherung)

Speicherdauer

Beim Schließen der Datei löschen

Kopierbare Vorlagen

VORLAGE 1 – Den Text maskieren, ohne ihn in die KI einzugeben: „Entfernen Sie personenbezogene Daten (Vorname, Nachname, Telefon, E-Mail, ID-Nummer, Adresse) aus dem Text unten und ersetzen Sie sie durch Tags wie [NAME], [TEL]. Behalten Sie die Bedeutung und Struktur des Textes bei. Geben Sie nur den maskierten Text zurück, geben Sie keine anderen Erklärungen ab.“

VORLAGE 2 – Minimierungsprüfung: „Ich werde die folgende Aufgabe ausführen: [Aufgabe schreiben]. Listen Sie auf, welche der FOLGENDEN Datenfelder für diese Aufgabe NICHT ERFORDERLICH wären: [Felder schreiben]. Markieren Sie „verwerfen“ alle Felder, die für den Zweck nicht benötigt werden, und schreiben Sie in einem Satz, warum.“

VORLAGE 3 – Übersicht über die Verarbeitungsinventarzeile: „Füllen Sie die Inventarzeile zur Verarbeitung personenbezogener Daten für die folgende KI-Nutzung aus: [Beschreiben Sie die Verwendung]. Felder: Verarbeitungszweck, Datenkategorie, Kontaktgruppe, mögliche Rechtsgrundlagen (mehrere vorschlagen), Empfänger, Übertragung, geschätzte Aufbewahrungsfrist. Präzise rechtliche Entscheidungsfindung, aktuelle Optionen.“

VORLAGE 4 – Erkennung personenbezogener Daten: „Welche Arten personenbezogener Daten und insbesondere welche SPEZIELLE Daten (Gesundheit, Religion, Biometrie usw.) sind in diesem Dokument enthalten? Listen Sie die Typen auf und notieren Sie jeweils, in welche Klasse sie fallen. Ändern Sie das Dokument nicht, sondern erkennen Sie es einfach.“

Schwache Eingabeaufforderung / Starke Eingabeaufforderung

SCHWACH: „Analysieren Sie diese Kundenliste.“ (mit vollständigem Namen, Telefon, ID) -> Verstößt gegen die Minimierung; sendet unnötige persönliche/private Daten an den Anbieter; wirft rechtliche Grundlagen und Übertragungsprobleme auf.STRONG: „Analysieren Sie die regionale Nachfrageverteilung nur anhand der Spalten „Stadt“ und „Produktkategorie“ in der Liste unten. Ignorieren Sie die Spalten „Name“, „Telefon“ und „ID“ – ich habe sie bereits gelöscht.“ -> Es werden nur nicht personenbezogene Daten verarbeitet, die für den Zweck erforderlich sind; Das Prinzip bleibt erhalten.

Häufige Fehler

• Ich denke: „Ich habe den Namen gelöscht, er ist nicht mehr persönlich“; wohingegen kombinierte Daten eine Person identifizierbar machen können.
• Keine Unterscheidung zwischen Datenverantwortlichem und Datenverarbeiter treffen und keinen Vertrag mit dem Anbieter abschließen.
• Die für den Zweck unnötigen Bereiche werden ebenfalls in die KI eingetragen und die Minimierung verletzt.
• Verwendung von Daten, die für einen Zweck in der KI gesammelt wurden, für einen anderen Zweck (Zweckdrift).
• Speichern der KI-Ausgaben als „richtige und aktuelle“ personenbezogene Daten, ohne sie zu überprüfen.
• Reflektiert keine neuen KI-Aktivitäten bei der Verarbeitung von Inventar und VERBIS, falls erforderlich.
• Sammeln des KI-Chatverlaufs, ohne ihn an eine Aufbewahrungs-/Löschregel zu binden.

Zusammenfassend

• Der Kern von KVKK; besteht darin, die Begriffe „personenbezogene Daten“, „Datenverantwortlicher“ und „Datenverarbeiter“ zu unterscheiden.
• Der Datenverantwortliche (Institution) ist der Hauptschuldner; Der KI-Anbieter ist häufig der Datenverarbeiter und benötigt einen Vertrag.
• Unter den allgemeinen Prinzipien sind Datenminimierung und Zweckbindung die wichtigsten für KI.
• Die Eingabe von Daten in die KI ist eine Transaktion und oft eine Übertragung; Rechtsgrundlage und Vertrag erforderlich.
• Jede neue KI-Aktivität sollte im Verarbeitungsinventar erfasst und ggf. im VERBIS-Datensatz widergespiegelt werden.

Anwendungsaufgabe

Wählen Sie eine reale Verarbeitungsaktivität, die Ihr Unternehmen mit KI durchführen möchte (z. B. thematische Analyse von Kundenbeschwerden). Füllen Sie für diese Aktivität eine Verarbeitungsinventarzeile aus: Zweck, Datenkategorie, Kontaktgruppe, mögliche Rechtsgrundlagen, Empfänger, Übertragungsstatus und Aufbewahrungsfrist. Führen Sie dann die in dieser Aktivität in die KI einzugebenden Daten durch einen Minimierungsfilter: Listen Sie auf, welche Felder unnötig sind und welche maskiert werden sollen. Schreiben Sie abschließend auf, wer der Datenverantwortliche für diese Aktivität ist, wer der Datenverarbeiter ist und welcher Vertrag zwischen ihnen erforderlich ist.

Checkliste

• [ ] Ich habe in der Aktivität personenbezogene und private Daten festgestellt.
• [ ] Ich habe den Datenverantwortlichen und den Datenverarbeiter geklärt.
• [ ] Ich habe die Minimierung angewendet: unnötige Bereiche entfernt/maskiert.
• [ ] Ich habe den Zweck der Verarbeitung konkret und rechtmäßig definiert.
• [ ] Ich habe eine Verarbeitungsinventarzeile ausgefüllt.
• [ ] Ich habe die Übertragungssituation (Übersee-Server) bewertet.
• [ ] Ich habe den Aufbewahrungszeitraum und die Löschung des KI-Verlaufs geplant.