Rechtsgrundlagen
Welche Grundlage für welchen KI-Einsatz trägt, warum Einwilligung im Beschäftigungsverhältnis schwach ist und was Artikel 22 auslöst.
Welche Grundlage wofür
| Grundlage | Typischer KI-Einsatz | Anmerkung |
|---|---|---|
| Vertragserfüllung, lit. b | Ticketbearbeitung, Bestellabwicklung, Auskunft | Nur was zur Erfüllung erforderlich ist |
| Rechtliche Verpflichtung, lit. c | Geldwäscheprüfung, Aufbewahrung, Meldewesen | Die Pflicht muss konkret sein |
| Berechtigtes Interesse, lit. f | Betrugserkennung, interne Auswertung, IT-Sicherheit | Abwägung dokumentieren |
| Öffentliche Aufgabe, lit. e | Verwaltungsverfahren | Fachgesetzliche Grundlage nötig |
| Einwilligung, lit. a | Newsletter, freiwillige Zusatzdienste | Im Arbeitsverhältnis heikel |
Besondere Kategorien
Gesundheit, Herkunft, politische Meinung, Religion, Gewerkschaftszugehörigkeit, Genetik, Biometrie zur Identifizierung, Sexualleben. Für sie ist eine Grundlage nach Art. 9 Abs. 2 zusätzlich nötig, und die Liste ist eng.
Die Abwägung beim berechtigten Interesse
- 01
Interesse benennen
Konkret, nicht als Floskel. „Betrugsschäden senken“ trägt, „Prozesse verbessern“ nicht.
- 02
Erforderlichkeit prüfen
Gibt es ein milderes Mittel, das denselben Zweck erreicht?
- 03
Interessen der Betroffenen abwägen
Erwartbarkeit, Eingriffstiefe, Kreis der Betroffenen, mögliche Folgen.
- 04
Schriftlich festhalten
Ohne Dokument ist die Abwägung im Streitfall nicht vorhanden.
Artikel 22 im KI-Kontext
Die Vorschrift greift, wenn drei Merkmale zusammenkommen: eine Entscheidung, allein auf automatisierter Verarbeitung beruhend, mit rechtlicher Wirkung oder erheblicher Beeinträchtigung.
- Allein automatisiert heißt: kein Mensch nimmt eine eigenständige inhaltliche Bewertung vor. Ein Bestätigungsklick genügt nicht.
- Rechtliche Wirkung ist etwa Vertragsschluss oder -ablehnung, Kündigung, Leistungsbewilligung.
- Erhebliche Beeinträchtigung kann auch bei einer Kulanzablehnung oder einer Preisgestaltung vorliegen.
Liegt der Fall vor, bestehen Ansprüche auf menschliches Eingreifen, auf Darlegung des eigenen Standpunkts und auf Anfechtung. Zusätzlich gelten Informationspflichten über die involvierte Logik und die Tragweite.
Was „involvierte Logik“ praktisch heißt
Nicht der Algorithmus, sondern eine verständliche Beschreibung: welche Datenkategorien einfließen, welche Kriterien tragen und was sich ändern müsste, damit die Entscheidung anders ausfällt. Eine Zuschreibung wie „Merkmal X trug 0,3 bei“ genügt dafür nicht.
Genau deshalb sind bei Entscheidungen über Personen lineare Modelle weiterhin verbreitet: Ihre Koeffizienten lassen sich in Fachsprache übersetzen. Siehe Regression.
Der Zweckwechsel
Für eine Weiterverarbeitung zu einem anderen Zweck ist entweder eine eigene Grundlage oder eine Vereinbarkeitsprüfung nach Art. 6 Abs. 4 nötig. Zu prüfen sind: Zusammenhang der Zwecke, Zusammenhang der Erhebung, Art der Daten, mögliche Folgen, und ob geeignete Garantien wie Verschlüsselung oder Pseudonymisierung bestehen.
Für Modelltraining aus Bestandsdaten fällt diese Prüfung häufig negativ aus, weil die Folgen für Betroffene schwer absehbar sind und eine Löschung aus dem Modell nicht möglich ist.
Der Entscheidungsbogen
KOSTENLOSES KONTO
Entscheidungsbogen Rechtsgrundlage
Ein Bogen, der von der Datenart über die Grundlage bis zur Abwägung führt, mit dem Vermerk, den eine Prüfung sehen will.
Arbeitsblatt3 Elemente
Passende Kurse und Quellen
CNIL zu künstlicher Intelligenz
Die französische Aufsichtsbehörde veröffentlicht die praxisnächsten Handreichungen zu KI und Datenschutz in Europa, jeweils auch auf Englisch.
Für Datenschutzverantwortliche, die eine aufsichtsnahe Auslegung brauchen und nicht nur den Gesetzestext.
Leitlinien des Europäischen Datenschutzausschusses
Die Auslegung der DSGVO durch das Gremium der Aufsichtsbehörden. Bei Streit über eine Rechtsgrundlage die belastbarste Quelle nach dem Gesetzestext.
Für Rechtsabteilungen und Datenschutzbeauftragte, wenn eine Auslegung belastbar sein muss.