Wenn eine Aufgabe von einem Menschen auf ein System übergeht, ändert sich oft nicht nur, wer die Arbeit erledigt, sondern auch, wie personenbezogene Daten verarbeitet werden. Ein Mitarbeiter, der eine Kundenanfrage beurteilt, liest Daten, wägt sie ab und entscheidet. Ein System, das dieselbe Aufgabe übernimmt, verarbeitet diese Daten auf eine andere Weise: strukturiert, wiederholbar, manchmal mit Speicherung oder Weitergabe, die es zuvor nicht gab. Die DSGVO betrachtet die Verarbeitung, nicht die Frage, ob eine Aufgabe „automatisiert“ klingt. Das macht Automatisierung im Kern zu einem datenschutzrechtlichen Ereignis, auch wenn das Ergebnis für den Kunden gleich zu sein scheint.
Dies spielt auf jeder Ebene der Automatisierung eine Rolle, von einem einfachen Skript bis zu einem KI-System, das eigenständig Schlussfolgerungen zieht. Bei der Beurteilung einer Aufgabe auf ihre Eignung für KI gehört daher auch die Frage dazu, welche Daten dabei eine Rolle spielen und ob deren Verarbeitung noch zu dem Zweck passt, für den die Daten ursprünglich erhoben wurden. Wie wir eine Aufgabe beurteilen widmet sich aus diesem Grund der Art der Datenverarbeitung, neben der Frage, ob die Aufgabe inhaltlich für die Übertragung an ein System geeignet ist.
Drei Elemente verschieben sich meist, wenn eine Aufgabe automatisiert wird:
Keine dieser Verschiebungen ist per Definition ein Problem. Sie sind aber ein Moment, um die Verarbeitung erneut zu betrachten, statt anzunehmen, dass eine bestehende Rechtsgrundlage automatisch mit in die neue Arbeitsweise übergeht.
Jede Verarbeitung personenbezogener Daten benötigt eine Rechtsgrundlage, zum Beispiel Einwilligung, einen Vertrag, eine rechtliche Verpflichtung oder ein berechtigtes Interesse. Diese Rechtsgrundlage ist an eine Verarbeitung gekoppelt, wie sie damals gestaltet und beurteilt wurde. Ändert sich die Verarbeitung wesentlich, kann die ursprüngliche Rechtsgrundlage nicht mehr ausreichend sein.
Das ist häufiger der Fall, als es scheint. Ein berechtigtes Interesse, das für eine manuelle Verarbeitung abgewogen wurde, bleibt nicht automatisch bestehen, wenn Umfang, Geschwindigkeit oder Reichweite der Verarbeitung durch Automatisierung stark zunehmen. Eine Einwilligung, die für einen bestimmten Zweck eingeholt wurde, deckt keinen zweiten Zweck ab, der durch eine KI-Anwendung hinzukommt. Und bei automatisierter Entscheidungsfindung mit Rechtswirkung für Betroffene gelten zusätzliche Voraussetzungen, unabhängig davon, welche Rechtsgrundlage im Übrigen anwendbar ist.
Ob eine Aufgabe in Kategorie eins, zwei oder drei fällt — KI kann sie übernehmen, KI kann sie teilweise unter Aufsicht ausführen, oder sie bleibt Menschenwerk — sagt also noch nichts darüber aus, ob die zugrunde liegende Datenverarbeitung abgedeckt ist. Das sind zwei getrennte Prüfungen, die dennoch zusammenhängen: Eine Aufgabe, die aufgrund von Datenrisiken in Kategorie zwei oder drei bleibt, tut dies oft genau deshalb, weil die Rechtsgrundlage oder die Auswirkung auf Betroffene noch nicht geklärt ist.
Die DSGVO selbst, die Erläuterungen der zuständigen Datenschutzbehörde und die Leitlinien der europäischen Datenschutzaufsichtsbehörden sind die Stellen, an denen die aktuellen Anforderungen stehen, einschließlich etwaiger besonderer Regeln für KI-Anwendungen, die sich nach Veröffentlichung dieser Seite ändern können. Wir nennen hier bewusst keine Artikelnummern oder Fristen: Diese können sich ändern und gehören in den Quellentext, nicht in eine Übersicht, die zum Zeitpunkt Ihrer Lektüre möglicherweise nicht mehr aktuell ist.
Diese Seite beschreibt den Mechanismus, keine maßgeschneiderte Beratung. Ob eine konkrete Automatisierung eine neue Rechtsgrundlage erfordert, eine Datenschutz-Folgenabschätzung rechtfertigt oder automatisierte Entscheidungsfindung betrifft, ist eine juristische Frage, die je nach Situation beantwortet werden muss, in der Regel mit einem Juristen oder Datenschutzbeauftragten.
Wenn Automatisierung eine Aufgabe betrifft, die von mehreren Personen ausgeführt wird, ist die Datenschutzfrage meist nicht die einzige. Auch die Mitbestimmung kann relevant werden: Wann der Betriebsrat zuständig ist erklärt, in welchen Fällen Zustimmung oder Beratung erforderlich ist, wenn sich Arbeitsprozesse ändern. Beide Prozesse — Datenschutzprüfung und Mitbestimmung — laufen parallel und ersetzen sich nicht gegenseitig.
Diese Seite beschreibt, was sich bei der Automatisierung in der DSGVO-Verarbeitung ändert; sie beantwortet nicht, ob Ihre eigenen Aufgaben rechtlich abgedeckt oder für die Übertragung an KI geeignet sind. Für eine erste, unverbindliche Einschätzung, welcher Anteil der Stunden in Ihrem Profil heute von KI übernommen werden kann, können Sie den kostenlosen Schnelltest von ftetoai ausfüllen: zwölf Fragen, ohne Konto. Der Test befasst sich mit dem Aufgabeninhalt, nicht mit der Datenverarbeitung darum herum — diese Prüfung bleibt gesondert erforderlich. Der vollständige Arbeitsscan, der tiefer auf einzelne Prozesse eingeht, befindet sich noch im Aufbau.
Vraag maar. Ik ken de kennisbank van deze site; wat ik niet weet, zeg ik erbij.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.