Welche KI-Tools darf ich eigentlich mit Kundendaten füttern? Eine DSGVO-Nachfrage bei mir selbst
Eine Frage, die ich mir viel zu spät gestellt habe. Was ich über den Umgang mit sensiblen Kundendaten in KI-Tools gelernt habe.
Dieser Beitrag informiert allgemein über rechtliche Anforderungen an Websites, so wie es das Rechtsdienstleistungsgesetz für Darstellungen in Medien zulässt (§ 2 Abs. 3 Nr. 5 RDG). Er bezieht sich nicht auf Ihren Einzelfall. Die rechtliche Prüfung einer konkreten Angelegenheit ist eine Rechtsdienstleistung, die nur Rechtsanwälte und andere nach dem RDG befugte Personen erbringen dürfen (§§ 2, 3 RDG). Als Webdesigner setze ich technische Vorgaben um; die rechtliche Bewertung Ihrer Website, Ihrer Datenverarbeitung oder Ihrer Verträge gehört zu einer Kanzlei oder Ihrem Datenschutzbeauftragten. Rechtslage und Rechtsprechung ändern sich — maßgeblich ist der Stand zum Veröffentlichungsdatum.
Mir ist letzte Woche bei einem Kundenprojekt eine unangenehme Frage durch den Kopf gegangen: Wo landen eigentlich die Informationen, die ich in ChatGPT eingebe, wenn ich zum Beispiel eine E-Mail eines Kunden umformulieren lasse, in der personenbezogene Daten stehen?
Ich habe mich danach genauer eingelesen. Standardmäßig können Eingaben bei vielen KI-Diensten zu Trainingszwecken verwendet werden, wenn man das nicht explizit deaktiviert. Für sensible oder personenbezogene Daten ist das aus DSGVO-Sicht heikel, insbesondere weil die Server vieler Anbieter außerhalb der EU stehen.
Meine neue, striktere Eigenregel seitdem: keine echten Kundennamen, keine echten Adressen, keine echten sensiblen Details in irgendeinem KI-Tool, es sei denn, der jeweilige Dienst bietet nachweislich eine DSGVO-konforme, europäische Verarbeitung an, was bei den gängigen Werkzeugen aktuell kaum der Fall ist. Ich anonymisiere jetzt konsequent, bevor ich überhaupt etwas eingebe.
Das kostet etwas mehr Zeit, aber es ist der einzige Weg, mit dem ich mich als Dienstleister, der mit sensiblen Kundeninformationen arbeitet, wohlfühle. Ich vermute, viele kleine Unternehmen machen sich über genau diese Frage noch gar keine Gedanken, und ich würde jedem raten, das schnellstmöglich nachzuholen.
Beitrag aus dem Jahr 2023, übernommen aus dem Blog meiner früheren Website. Gegenüber dem damaligen Original wurden eventuell Rechtschreibfehler korrigiert und Bilder ersetzt.
Konrad Griesser
Webdesigner & SEO-Experte aus Augsburg — seit 1999
Ähnliche Beiträge
Datenschutz im europäischen Web: Was Unternehmen beachten müssen
Consent-Tools richtig einbinden: DSGVO-konforme Cookie-Banner
