Datenverarbeitung, -speicherung, -minimierung und -anonymisierung

Gewinne:

• Wenden Sie KI-Überlegungen in jeder Phase des Datenlebenszyklus an
• Legen Sie Aufbewahrungsfristen fest und beziehen Sie KI-Chatverläufe in die Vernichtungsrichtlinie ein
• Anwendung des Unterschieds zwischen Anonymisierung und Pseudonymisierung

Den „Nachher“-Teil der Daten übersieht ein Datenschutzbeauftragter oft. Sobald ein Text in die KI eingegeben wird, sieht es so aus, als wäre die Arbeit erledigt; Allerdings werden diese Daten irgendwo gespeichert, vielleicht für das Modelltraining verwendet, vielleicht sammeln sie sich über Monate hinweg im Chat-Verlauf an. In dieser Einheit besprechen wir Schritt für Schritt den Lebenszyklus personenbezogener Daten. Wir erfahren etwas über Aufbewahrungsfristen, die Zerstörung von KI-Chatverläufen und die Unterscheidung zwischen zwei kritischen Techniken – Anonymisierung und Pseudonymisierung. Das Ziel besteht darin, Daten während ihres gesamten Lebens zu verwalten, nicht nur bei der Eingabe.

Datenlebenszyklus und KI

Personenbezogene Daten durchlaufen einen Lebenszyklus; Jede Stufe hat KI-spezifische Aufmerksamkeitspunkte.

Bühne

Was passiert?

KI-Aufmerksamkeitspunkt

Sammlung

Es werden Daten erhoben

Sind Zweck und Grundlage klar? Wurde es minimiert?

Verwendung/Verarbeitung

In die KI eingegeben, verarbeitet

Wurde eine Maskierung durchgeführt? Zugelassenes Fahrzeug?

Lagerung

Daten bleiben erhalten

Wie lange dauert der Chatverlauf?

übertragen

geht an jemand anderen

Internationaler Server? Gibt es eine entsprechende Sicherheit?

Zerstörung

Löschung/Anonymisierung

Wurde es nach Zweckerfüllung gelöscht? Sind Ersatzteile enthalten?

Die beiden am meisten vernachlässigten Phasen sind Lagerung und Entsorgung. Daten werden „vergessen“ und sammeln sich weiterhin im System an – was sowohl gegen das KVKK-Prinzip verstößt als auch den Schaden im Falle eines Verstoßes vergrößert.

Lagerzeit: Wie lange ist es haltbar?

Der Aufbewahrungsgrundsatz von KVKK ist klar: Personenbezogene Daten dürfen nicht länger aufbewahrt werden, als es für den Zweck, für den sie verarbeitet werden, erforderlich ist. Wenn der Zweck nicht mehr gegeben ist, sollten die Daten gelöscht, vernichtet oder anonymisiert werden. Die Einrichtung erstellt eine Lager- und Entsorgungsrichtlinie; bestimmt, wie viel für jede Datenkategorie aufbewahrt werden soll.

KI-spezifischer kritischer Punkt: Auch KI-Chatverläufe sind gespeicherte Daten. Wenn ein Mitarbeiter über Monate hinweg Kundendaten in denselben Chat eingegeben hat, wird dieser Verlauf zu einem Datenspeicher. Dazu:

• Konfigurieren Sie die Datenaufbewahrungseinstellungen in den KI-Tools des Unternehmens (löschen Sie den Verlauf nach Möglichkeit automatisch oder deaktivieren Sie die Verwendung im Modelltraining).
• Beziehen Sie den Chatverlauf in Ihren Vernichtungsplan ein.
• Stellen Sie sicher, dass im Unternehmensvertrag die Option „Nicht in Modellschulungen verwenden“ (Opt-Out) vorhanden ist.

Achtung: Beim Löschen von Daten werden diese nicht nur vom Bildschirm entfernt. Auch Backups, Protokolle und Kopien auf dem Server des Anbieters sollten berücksichtigt werden. Wenn Sie „gelöscht“ sagen, stellen Sie sicher, dass das, was Sie gelöscht haben, wirklich unwiederbringlich ist.

Anonymisierung oder Pseudonymisierung?

Diese beiden Begriffe werden oft verwechselt, ihre rechtlichen Konsequenzen sind jedoch diametral entgegengesetzt.

• Anonymisierung: Daten so gestalten, dass sie in keiner Weise einer Person zugeordnet werden können. Bei korrekter Durchführung stellt das Ergebnis keine personenbezogenen Daten mehr dar und fällt nicht mehr in den Geltungsbereich von KVKK. Beispiel: Löschen einzelner Zeilen in einem Datensatz von 10.000 Personen und Belassen nur aggregierter Statistiken wie „Durchschnittliche Ausgaben in der Altersgruppe 25–34 in Istanbul“.
• Pseudonymisierung: Identitätsinformationen werden durch einen Code/Tag ersetzt, können aber mit einem „Schlüssel“ an die Person zurückgegeben werden. Beispiel: „Kunde-4471“ anstelle von „Ahmet Yılmaz“ schreiben, aber eine Tabelle führen, aus der hervorgeht, welcher Code zu wem gehört. Hierbei handelt es sich weiterhin um personenbezogene Daten, die in den Geltungsbereich der KVKK fallen.

Funktion

Anonymisierung

Pseudonymisierung

Kann die Person zurückgegeben werden?

Nein (wenn richtig gemacht)

Ja, mit dem Schlüssel

Handelt es sich noch um personenbezogene Daten?

Nein

Ja

KVKK-Bereich

draußen

in

Um in die KI einzusteigen

Der sicherste Weg

Auch hier ist eine Grundlage/Regel erforderlich

Tipp: „Ist es reversibel?“ bevor Daten in die KI eingegeben werden. fragen. Sollte ein Schlüssel/Match darin enthalten sein, handelt es sich um pseudonymisierte und dennoch personenbezogene Daten. Bei der echten Anonymisierung wird das aggregierte Ergebnis geteilt, nicht einzelne Zeilen.

drei Mini-Koffer

Fall 1 – Gefälschte Anonymität. Ein Gesundheitsunternehmen übergibt AI einen Satz von Daten, die es angeblich „anonymisiert“ hat, zur Analyse. Aber das Set enthält das Geburtsdatum, den Landkreis und eine seltene Diagnose; Dieses Trio könnte auf eine einzelne Person in einem kleinen Landkreis hinweisen. Dies ist keine Anonymisierung; Daten sind weiterhin personenbezogen. Der richtige Weg: Konvertieren des Geburtsdatums in eine Altersspanne, Verallgemeinerung nach Landkreis, Gruppierung seltener Diagnosen – also echte Aggregation.

Fall 2 – Gespräche häufen sich. In einem Callcenter geben 6 Agenten 4 Monate lang Kundendaten in dasselbe KI-Unternehmenskonto ein. Niemand räumt die Vergangenheit auf; Schließlich sammelten sich mehr als 12.000 Kundeninteraktionen an einem Ort. Bei einer Prüfung wird diese Häufung als wesentliches Risiko gekennzeichnet. Lösung: Einstellung zum automatischen Löschen des Verlaufs alle 30 Tage, eine Regel zum Abmelden, wenn der Auftrag abgeschlossen ist, und eine Klausel zur Öffnung der Aufbewahrungsrichtlinie.

Fall 3 – Korrekte Pseudonymisierung. Bei der Analyse der Mitarbeiterleistung mit KI kodiert ein HR-Team Namen wie „Mitarbeiter-001“ und speichert die Übereinstimmungstabelle in einer separaten, zugriffsbeschränkten Datei. Das ist Pseudonymisierung; Die Daten sind weiterhin personenbezogen, das Risiko ist jedoch geringer. Das Team ist sich darüber im Klaren, dass es sich dabei nicht um eine Anonymisierung handelt und legt deren Rechtsgrundlage und Aufbewahrungsfrist entsprechend fest.

Kopierbare Vorlagen

VORLAGE 1 – Richtlinie zur Aufbewahrung und Vernichtung: „Schlagen Sie eine Richtlinie zur Aufbewahrung und Vernichtung für die folgende Datenkategorie vor: [Kategorie]. Felder: Aufbewahrungszeitraum (durch Zweck gerechtfertigt), Vernichtungsmethode (Löschung/Vernichtung/Anonymisierung), ob KI-Chat-Verlauf enthalten ist, verantwortliche Rolle. Erinnern Sie daran, ob eine gesetzliche Aufbewahrungspflicht besteht.“

VORLAGE 2 – Anonymisierungsprüfung: „Bewerten Sie, ob der folgende Datensatz wirklich anonym ist: [Felder auflisten]. Welche Feldkombinationen könnten eine Person wieder identifizierbar machen (z. B. Geburtsdatum + Postleitzahl + seltenes Merkmal)? Schlagen Sie eine Verallgemeinerung für jedes Risikofeld (z. B. Altersgruppe, Provinzebene) vor, um die Anonymität zu stärken.“

VORLAGE 3 – Maskierung + Rückgabeschlüsseltrennung: „Pseudonym für den folgenden Text: Persönliche Daten kodieren (wie [NAME]->K001), aber mir SEPARAT eine passende Tabelle geben. Lassen Sie keine wirkliche Identität im Text selbst. Beachten Sie, dass es sich bei der passenden Tabelle um „persönliche Daten“ handelt und diese separat gespeichert werden sollten.“

VORLAGE 4 – Prüfung der Datenspeicherung von KI-Tools: „Bereiten Sie eine Liste mit Fragen vor, um das Datenspeicherverhalten des von uns verwendeten KI-Tools zu prüfen: Wie lange wird der Verlauf aufbewahrt, kann er gelöscht werden, wird er im Modelltraining verwendet, gibt es ein Opt-out, wo werden die Daten verarbeitet, welche Backups gibt es? Schreiben Sie auf jede Frage die erwartete „sichere“ Antwort.“

Schwache Eingabeaufforderung / Starke Eingabeaufforderung

SCHWACH: „Diese Daten anonymisieren.“ (kodiert und hinterlässt die Namen) -> Nur Spitznamen; Es bestehen weiterhin Risiken bei der Neuidentifizierung, wie z. B. Geburtsdatum, seltenes Merkmal; Es entsteht die Illusion von „anonym“. GÜÇLÜ: „Suchen Sie Kombinationen von Feldern in diesem Satz, die die Person erneut identifizieren können; verallgemeinern Sie jedes davon (Altersgruppe, Provinzebene). Mein Ziel ist kein einzelner Datensatz, sondern aggregierte Statistiken. Daher kann niemand als einzelne Person unterschieden und überprüft werden.“ -> Das Modell tendiert zu einer echten Anonymisierung, wodurch das Risiko einer erneuten Identifizierung verringert wird.

Häufige Fehler

• Pseudonymisierung mit Anonymisierung verwechseln; vergessen, dass es sich um personenbezogene Daten handelt.
• Namen löschen und beschreibende Kombinationen wie Geburtsdatum + Ort + seltenes Merkmal beibehalten.
• Unterwerfen Sie den KI-Chatverlauf keiner Aufbewahrungs-/Vernichtungsregel. sammeln sich auf unbestimmte Zeit an.
• Nichteinhaltung der Klausel „Nicht im Modelltraining verwenden“ (Opt-out) im Vertrag.
• Wenn ich „Löschen“ sage, meine ich, einfach den Bildschirm leeren und Backups und Protokolle vergessen.
• Längere Aufbewahrungsdauer für „nur für den Fall“ und nicht für den Zweck.
• Dabei wird außer Acht gelassen, dass die Übertragung und Speicherung auch auf dem Server des Anbieters erfolgt.

Zusammenfassend

• Personenbezogene Daten durchlaufen einen Lebenszyklus; Die am meisten vernachlässigten Phasen sind Lagerung und Entsorgung.
• Die Daten dürfen nicht länger aufbewahrt werden, als es für den Zweck erforderlich ist; Die Einrichtung sollte eine Richtlinie zur Aufbewahrung und Vernichtung festlegen.
• Auch KI-Chatverläufe sind gespeicherte Daten; sollten im Entsorgungsplan und in den Lagereinstellungen enthalten sein.
• Durch die Anonymisierung werden die Daten aus KVKK entfernt. Durch die Pseudonymisierung bleiben die Daten weiterhin personenbezogen.
• Das Löschen eines Namens stellt keine Anonymisierung dar; Alle Kombinationen, bei denen das Risiko einer erneuten Identifizierung besteht, sollten verallgemeinert werden.

Anwendungsaufgabe

Wählen Sie eine Kategorie von Daten aus, die Ihr Unternehmen mit KI verarbeitet (z. B. Kundensupportaufzeichnungen). Schreiben Sie eine Richtlinie zur Aufbewahrung und Vernichtung für diese Kategorie: Aufbewahrungszeitraum (gerechtfertigt), Vernichtungsmethode, ob der KI-Chat-Verlauf einbezogen wird, und verantwortliche Rolle. Nehmen Sie dann einen Beispieldatensatz aus denselben Daten und pseudonymisieren Sie ihn zunächst (halten Sie die übereinstimmende Tabelle getrennt). Schreiben Sie dann, welche Felder Sie verallgemeinern und wie Sie diesen Datensatz zu einer echten Anonymisierung bringen. Bereiten Sie abschließend fünf Fragen vor, die das Datenspeicherverhalten des von Ihnen verwendeten KI-Tools steuern, und fügen Sie zu jeder Frage die „sichere“ Antwort hinzu, die Sie erwarten.

Checkliste

• [ ] Ich habe die Aufbewahrungsfrist und die Vernichtungsmethode für die Datenkategorie festgelegt.
• [ ] Ich habe den KI-Chatverlauf in den Zerstörungsplan aufgenommen.
• [ ] Ich habe den Deaktivierungspunkt „Nicht im Modelltraining verwenden“ aktiviert.
• [ ] Ich habe den Unterschied zwischen Pseudonymisierung und Anonymisierung umgesetzt.
• [ ] Ich habe verallgemeinerte Feldkombinationen, bei denen das Risiko einer erneuten Identifizierung besteht.
• [ ] Ich habe auch Backups und Protokolle in den Löschumfang einbezogen.
• [ ] Ich habe das Datenspeicherverhalten des KI-Tools überprüft.