Gewinne:
- Sechs Rechtsgrundlagen für die Datenverarbeitung mit KI unterscheiden und die richtige auswählen
- Bewertung der Bedingungen einer ausdrücklichen Einwilligung und der Nachteile, sich auf eine Einwilligung zu verlassen
- Erstellung eines Whitepapers zum Einsatz von KI
In der vorherigen Einheit haben wir gesagt: „Die Eingabe von Daten in die KI ist eine Verarbeitung und erfordert eine gültige Rechtsgrundlage.“ Was ist also diese Rechtsgrundlage und wie wird sie gewählt? Der häufigste Fehler, den Compliance-Beauftragte machen, ist der Versuch, alles mit „ausdrücklicher Zustimmung“ zu lösen. Allerdings ist die Einwilligung oft die schwächste und fragilste Grundlage. In dieser Einheit lernen wir die von KVKK angebotene Rechtsgrundlage kennen, wählen die richtige aus, die Informationspflicht und den tatsächlichen Stellenwert der ausdrücklichen Einwilligung im Zusammenhang mit der KI-Nutzung.
Was ist die Rechtsgrundlage?
Rechtsgrundlage (Voraussetzung für die Verarbeitung) ist der Rechtfertigungsgrund, der die Verarbeitung personenbezogener Daten rechtmäßig macht. Laut KVKK erfolgt die Verarbeitung personenbezogener Daten grundsätzlich mit ausdrücklicher Einwilligung; Allerdings nennt das Gesetz sechs Ausnahmen, für die keine ausdrückliche Einwilligung erforderlich ist. Eine Transaktion muss auf mindestens einer dieser Grundlagen basieren. Eine Verarbeitung ohne Begründung ist rechtswidrig.
Rechtsgrundlage
kurz
Beispiel für die KI-Nutzung
Gesetzlich nicht eindeutig geregelt
Sofern gesetzlich vorgeschrieben
Aufzeichnungen, die gesetzlich aufbewahrt werden müssen
Vertragserfüllung
Sofern es für den Vertrag zwingend erforderlich ist
Vorbereiten der Bestellzusammenfassung für den Kunden mit KI
gesetzliche Verpflichtung
Für die gesetzliche Pflicht der Institution
Erstellen von Steuer-/Prüfungsunterlagen
Veröffentlichung
Wenn die Person die Daten selbst öffentlich gemacht hat
Analyse der eigenen öffentlichen Schriften
berechtigtes Interesse
Ohne dem Betroffenen zu schaden
Themenanalyse von Beschwerdetexten mit KI
Begründung/Schutz eines Rechts
Für Klage/Rechtsverteidigung
Zusammenfassen der Streitfallakte mit AI
Ausdrückliche Zustimmung
Freie, informierte Einwilligung des Einzelnen
Wenn keiner der oben genannten Punkte zutrifft
Achtung: Die ausdrückliche Einwilligung steht am Ende der Liste, da sie die fragilste Grundlage darstellt: Eine Person kann jederzeit widerrufen, und sobald sie widerrufen wird, muss die Verarbeitung eingestellt werden. Sofern möglich, wird zunächst eine der anderen Grundlagen (insbesondere Vertragserfüllung oder berechtigtes Interesse) bewertet.
Abwägung berechtigter Interessen
Das berechtigte Interesse ist eine flexible Grundlage, die genutzt werden kann, wenn die Einrichtung ein berechtigtes Interesse hat und dieses Interesse die Rechte und Freiheiten der betroffenen Person nicht beeinträchtigt. Aber es bedarf einer Abwägung: Überwiegt das Interesse der Institution oder das Recht des Einzelnen? Beim Einsatz von KI erfolgt diese Prüfung wie folgt:
- Ist das Interesse real und legitim? (Z. B. Beschwerden schnell lösen.)
- Ist für diesen Nutzen der Einsatz von KI notwendig? Gibt es eine weniger aufdringliche Möglichkeit?
- Werden die Rechte der Person verletzt? Bei sensiblen Daten, Profiling oder unerwarteter Nutzung verschiebt sich das Gleichgewicht zugunsten des Einzelnen.
Wenn die Bilanz zu Gunsten des Einzelnen ausfällt, kann man sich nicht auf ein berechtigtes Interesse berufen; eine andere Grundlage (in der Regel eine ausdrückliche Einwilligung) oder ein Widerspruch gegen die Verarbeitung ist erforderlich.
drei Mini-Koffer
Fall 1 – Einwilligungsfalle. Ein HR-Team holt die „ausdrückliche Einwilligung“ der Mitarbeiter ein, um die Leistungsbewertungen der Mitarbeiter mithilfe von KI zu analysieren. Es besteht jedoch ein Machtungleichgewicht zwischen Arbeitnehmer und Arbeitgeber; Das Ergebnis einer „Nein“-Sage ist ungewiss, sodass die Einwilligung möglicherweise nicht als freiwillig angesehen wird. Der richtige Weg: Diese Verarbeitung nicht auf einer Einwilligung, sondern auf berechtigten Interessen aus der Geschäftsbeziehung oder dem Vertrag zu stützen und die Abwägung zu dokumentieren.
Fall 2 – Richtige Grundlage, unnötige Einwilligung. Ein E-Commerce-Unternehmen erstellt bei der Vorbereitung der Bestellung Rechnungsauszüge mit KI. Diese Verarbeitung erfolgt unmittelbar im Rahmen der Vertragserfüllung; Eine zusätzliche Einwilligung ist nicht erforderlich. Das Team fügt ein unnötiges Einwilligungsfeld hinzu, der Kunde bricht die Transaktion ab. Die Wahl der richtigen Grundlage verbessert sowohl das Gesetz als auch das Kundenerlebnis.
Fall 3 – Der Gleichgewichtstest fällt zugunsten der Person aus. Ein Unternehmen möchte die Social-Media-Profile von Kandidaten mit KI „persönlichkeitsanalysieren“ und bewerten. Dies ist ein Verfahren, mit dem der Kandidat nicht gerechnet hat und das seine Privatsphäre zutiefst berührt; Der Gleichgewichtstest endet eindeutig zu seinen Gunsten. Ein berechtigtes Interesse kann nicht geltend gemacht werden; Das Unternehmen gibt diese Praxis auf.
Vier Bedingungen für eine gültige ausdrückliche Einwilligung
Wenn eine ausdrückliche Einwilligung wirklich notwendig ist, muss sie alle vier Bedingungen erfüllen, um gültig zu sein; Fehlt eine solche, ist die Einwilligung rechtsunwirksam:
- Bezogen auf ein bestimmtes Thema: Eine allgemeine Einwilligung wie „Ich stimme jeder Verarbeitung zu“ ist ungültig; Die Einwilligung muss zweckgebunden sein.
- Informationsbasiert: Die Person muss klar wissen, womit sie einverstanden ist (welche Daten, welcher Zweck, welche KI, Übermittlung ins Ausland).
- Erklärt durch den freien Willen: Die Einwilligung gilt nicht als frei, wenn Druck, Auferlegung oder die Bedingung „keine Dienstleistung, wenn Sie nicht zustimmen“ vorliegen.
- Widerruflich: Die Person muss ihre Einwilligung jederzeit widerrufen können und die Verarbeitung muss mit dem Widerruf eingestellt werden.
Im Zusammenhang mit KI ist letzteres die am häufigsten verletzte Bedingung: Der Person wird nicht mitgeteilt, dass ihre Daten in eine KI eingegeben und möglicherweise im Ausland verarbeitet werden. Dieses Versäumnis kann selbst eine Einwilligung ungültig machen, die technisch gesehen scheinbar eingeholt wurde.
Achtung: Wenn Sie die Einwilligung zur Voraussetzung für einen Dienst machen („Akzeptieren oder nicht fortfahren“), ist die Einwilligung in den meisten Fällen ungültig. Die Einwilligung sollte eine Entscheidung sein, bei der die Person tatsächlich „Nein“ sagen kann; Andernfalls ist die Suche nach einer anderen Rechtsgrundlage erforderlich.
Informationspflicht
Unabhängig von der Rechtsgrundlage besteht bei KVKK eine Informationspflicht: Der betroffenen Person muss klar dargelegt werden, wer Sie sind, zu welchem Zweck und auf welcher Grundlage Sie die Daten verarbeiten, an wen Sie diese übermitteln und welche Rechte sie haben. Wenn KI ins Spiel kommt, sollte auch der Offenlegungstext aktualisiert werden – insbesondere sollten die Formulierungen „Ihre Daten können durch automatisierte Systeme/künstliche Intelligenz analysiert werden“ und „können auf Server im Ausland übertragen werden“ hinzugefügt werden.
Hinweis: „Kann eine Person den Aufklärungstext in 2 Minuten lesen und verstehen, worum es geht?“ den Test bestehen. Den Einsatz von KI in einem einfachen Satz zu benennen, anstatt ihn zu verbergen, ist sowohl eine rechtliche Verpflichtung als auch ein Vertrauensaufbau.
Kopierbare Vorlagen
VORLAGE 1 – Auswahl der Rechtsgrundlage: „Ich werde die folgende Verarbeitung durchführen: [die Verarbeitung beschreiben]. Listen Sie mit Begründung auf, welche der 6 Rechtsgrundlagen von KVKK ANGEMESSEN sein können und welche NICHT. Betrachten Sie die ausdrückliche Zustimmung nur als letzten Ausweg. Endgültige rechtliche Entscheidungsfindung; listen Sie die Optionen auf, die zur rechtlichen Genehmigung vorgelegt werden müssen.“
VORLAGE 2 – Test zur Abwägung berechtigter Interessen: „Entwerfen Sie den Test zur Abwägung berechtigter Interessen für die folgende Verwendung von KI: [Beschreiben Sie die Verwendung]. Drei Überschriften: (1) Ist das Interesse der Organisation echt, (2) Gibt es weniger einschneidende Alternativen, (3) Werden die Rechte des Einzelnen verletzt? Schreiben Sie unter jeder Überschrift separate Pro/Contra-Argumente.“
VORLAGE 3 – KI-Ergänzung zum Klarstellungstext: „Schlagen Sie einen Absatz vor, der den Einsatz von KI in unserem aktuellen Klarstellungstext widerspiegelt. Geben Sie im Klartext an: dass die Daten durch automatische/KI-Systeme analysiert werden können, dass die Möglichkeit einer Übermittlung ins Ausland besteht, dass die menschliche Kontrolle gewahrt bleibt und das Recht der betroffenen Person auf Widerspruch besteht. Maximal 120 Wörter.“
VORLAGE 4 – Einwilligungserfordernisprüfung: „Bewerten Sie diese 5 Prozesse einzeln und geben Sie für jeden an, ob ‚ausdrückliche Einwilligung ERFORDERLICH‘ oder ‚andere Grundlage ausreichend ist‘: [Listen Sie 5 Prozesse auf]. Erinnern Sie jede Zeile an den Nachteil einer unnötigen Einwilligungseinholung.“
Schwache Eingabeaufforderung / Starke Eingabeaufforderung
SCHWACH: „Schreiben Sie einen Einwilligungstext für diese Datenverarbeitung.“ -> Lockert die Institution möglicherweise auf eine unnötige oder ungültige Einwilligung, ohne zu hinterfragen, ob die Einwilligung die richtige Grundlage ist. STARK: „Beurteilen Sie zunächst, welche Rechtsgrundlage für diese Verarbeitung geeignet ist. Ist eine Einwilligung wirklich erforderlich? Verfassen Sie bei Bedarf eine freie, informierte und widerrufliche Einwilligung. Wenn dies nicht erforderlich ist, schlagen Sie vor, auf welcher Grundlage Sie sitzen und was zum Informationstext hinzugefügt werden soll.“ -> Das Modell hinterfragt zunächst die richtige Grundlage und erstellt dann den entsprechenden Text.
Häufige Fehler
- Es wird versucht, jede Verarbeitung mit „ausdrücklicher Einwilligung“ automatisch aufzulösen.
- Betrachten Sie die Zustimmung als „frei“ in Beziehungen mit Machtungleichgewichten, wie z. B. Arbeitnehmer-Arbeitgeber.
- Einholung unnötiger Einwilligungen bei Vorliegen einer korrekten Grundlage (Vertrag, berechtigtes Interesse).
- Versäumnis, den Saldo zu prüfen oder zu dokumentieren, wenn man sich auf ein berechtigtes Interesse beruft.
- Dies spiegelt überhaupt nicht den Einsatz von KI im Beleuchtungstext wider.
- Internationalen Transfer in der Beleuchtung verbergen.
- Es wird kein Mechanismus eingerichtet, um die Verarbeitung zu stoppen, wenn die Einwilligung widerrufen wird.
Zusammenfassend
- Jede KI-basierte Verarbeitung muss auf mindestens einer der sechs Rechtsgrundlagen der KVKK stehen.
- Die ausdrückliche Zustimmung ist die fragilste Grundlage; kann im Falle eines Machtungleichgewichts zurückgezogen und für nichtig erklärt werden.
- Berechtigtes Interesse ist flexibel, erfordert aber eine Abwägungsprüfung; Es kann nicht verwendet werden, wenn die Rechte der Person überwiegen.
- Unabhängig von der Rechtsgrundlage besteht eine Aufklärungspflicht; KI und Überseetransfer spiegeln sich im Text wider.
- Die Wahl der richtigen Grundlage verbessert sowohl das Gesetz als auch das Kunden-/Mitarbeitererlebnis.
Anwendungsaufgabe
Identifizieren Sie drei verschiedene Verarbeitungsszenarien, die mit KI in Ihrem Unternehmen durchgeführt werden (z. B. Analyse von Kundenbeschwerden, Unterstützung bei der Kandidatenbewertung, Rechnungszusammenfassung). Wählen Sie für jedes Szenario die am besten geeignete Rechtsgrundlage mit Begründung aus und erläutern Sie, warum eine ausdrückliche Einwilligung nicht erforderlich ist (oder warum dies der Fall ist). Schreiben Sie Ihren dreistufigen Abwägungstest für mindestens ein Szenario, bei dem Sie ein berechtigtes Interesse begründen. Entwerfen Sie abschließend einen Absatz, der diese Szenarien in den Offenlegungstext aufnehmen und Informationen über die automatisierte KI-Verarbeitung und die Übermittlung ins Ausland enthalten soll.
Checkliste
- [ ] Ich habe für jede Verarbeitung die richtige Rechtsgrundlage gewählt.
- [ ] Eine ausdrückliche Einwilligung habe ich nur dann genutzt, wenn es wirklich notwendig war.
- [ ] Ich habe die Abwägungsprüfung im Szenario „Berechtigtes Interesse“ durchgeführt und dokumentiert.
- [ ] Ich stellte die Gültigkeit der Einwilligung in Beziehungen mit einem Machtungleichgewicht in Frage.
- [ ] Ich habe dem Beleuchtungstext KI- und automatische Verarbeitungsinformationen hinzugefügt.
- [ ] Ich habe die Versetzung ins Ausland klar angegeben.
- [ ] Ich habe den Mechanismus zum Widerruf der Einwilligung geplant.