KI im Unternehmen: Wer ist wann nach der DSGVO verantwortlich?

Der Einsatz von Künstlicher Intelligenz für Unternehmen ist weit mehr als eine rein technologische Entscheidung. Wer KI-Anwendungen in seine Geschäftsprozesse integriert oder bestehende Modelle anpasst, muss frühzeitig klären, welche datenschutzrechtliche Rolle er dabei einnimmt. Davon hängen nicht nur die Einhaltung der DSGVO, sondern auch Haftungsfragen, Vertragsgestaltung und Governance-Strukturen ab. Der Bericht der schwedischen Datenschutzbehörde (IMY) und das zugrunde liegende Pilotprojekt mit dem Unternehmen Eggsplain verdeutlicht, dass die Verantwortlichkeit kein statischer Zustand ist, sondern sich je nach konkreter Einflussnahme auf die Datenverarbeitung verändern kann.

Die Bestimmung der Verantwortlichkeit als Compliance-Fundament

Ein Unternehmen, das eine KI-Anwendung für seine eigenen geschäftlichen Zwecke nutzt, handelt grundsätzlich als Verantwortlicher für die dabei stattfindende Verarbeitung personenbezogener Daten. Dies gilt insbesondere für die Eingabe von Daten durch Mitarbeiter – etwa in Form von Prompts – sowie für die Verarbeitung der generierten Ergebnisse. Das Unternehmen entscheidet über Zweck und Mittel der Nutzung und trägt damit die Verantwortung für Rechtsgrundlagen, Transparenz, Betroffenenrechte sowie geeignete technische und organisatorische Maßnahmen.

Drei mögliche Rollen bei der KI-Anpassung

Die datenschutzrechtliche Verantwortlichkeit kann bei KI-Projekten nicht pauschal bestimmt werden. Ein KI-Anbieter kann nahezu die gesamte technische Wertschöpfungskette einer KI-Plattform abbilden. Von der Bereitstellung der Serverinfrastruktur über die Steuerung der KI-Nutzung bis hin zu einem eigenen App-Store für KI-Anwendungen. So kann eine standardisierte KI-Anwendung bis hin zur individuell erarbeiteten Anwendung eingekauft werden.

Entscheidend ist dabei nicht die eingesetzte Technologie, sondern die Frage, wer tatsächlich über Zweck und wesentliche Mittel der Verarbeitung entscheidet. Je nach Art der Zusammenarbeit zwischen Anbieter und Kundenunternehmen kann sich die datenschutzrechtliche Rolle verändern.

Anbieter als Verantwortlicher

Wenn ein KI-Anbieter ein vorrainiertes Modell auf eigene Initiative und für seine eigene Produktentwicklung feinjustiert, tritt er in der Regel als alleiniger Verantwortlicher auf. In diesem Szenario bestimmt der Anbieter selbstständig über die wesentlichen Mittel und Zwecke, indem er etwa festlegt, welche Datensätze zur Optimierung verwendet werden und für welchen allgemeinen Kundenkreis das Produkt bestimmt ist. Er trägt damit die volle Verantwortung für die Einhaltung sämtlicher DSGVO-Pflichten, von der Informationspflicht gegenüber Betroffenen bis hin zur Datensicherheit.

Auftragsverarbeitung bei kundenspezifischen Anpassungen

Erfolgt die Feinabstimmung ausschließlich im Auftrag eines Kunden und auf dessen dokumentierte Weisungen, übernimmt der Anbieter regelmäßig die Rolle eines Auftragsverarbeiters. Der Kunde bleibt Verantwortlicher, da er Zweck und wesentliche Parameter der Verarbeitung bestimmt. Der Anbieter stellt seine technische Expertise zur Verfügung, darf die Daten jedoch nicht für eigene Zwecke verwenden.

Gemeinsame Verantwortlichkeit bei Kooperationen

Arbeiten Anbieter und Kunde gemeinsam an der Weiterentwicklung eines Modells und entscheiden gemeinsam über Zwecke sowie wesentliche Mittel der Verarbeitung, liegt regelmäßig eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor. In diesem Fall ist eine transparente Vereinbarung erforderlich, welche die jeweiligen Verantwortlichkeiten, insbesondere hinsichtlich Informationspflichten und Betroffenenrechten, eindeutig regelt.

Wie sieht eine Vereinbarung bei gemeinsamer Verantwortlichkeit aus?

Wenn Akteure eine gemeinsame Verantwortlichkeit gemäß Artikel 26.1 DSGVO eingehen, sind sie verpflichtet, in einer transparenten Vereinbarung festzulegen, wer von ihnen welche spezifischen Aufgaben zur Erfüllung der Datenschutz-Grundverordnung übernimmt.

Die zentralen Pflichten, die in dieser Vereinbarung geregelt werden müssen, umfassen insbesondere:

• Wahrnehmung der Betroffenenrechte: Es muss klar definiert werden, welcher der Verantwortlichen dafür zuständig ist, Anfragen von Personen zu bearbeiten, die ihre Rechte (z. B. auf Auskunft, Löschung oder Berichtigung) ausüben wollen.
• Erfüllung der Informationspflichten: Die Vereinbarung muss festlegen, wer die betroffenen Personen über die Datenverarbeitung informiert und wie diese Information bereitgestellt wird.
• Sicherstellung der rechtlichen Grundlage: Es muss geregelt sein, wer dafür verantwortlich ist, dass die Verarbeitung auf einer gültigen Rechtsgrundlage basiert.
• Datensicherheit: Die Parteien müssen festlegen, wer für die Implementierung und Aufrechterhaltung technischer und organisatorischer Sicherheitsmaßnahmen zuständig ist.
• Management von Auftragsverarbeitern: Falls externe Dienstleister hinzugezogen werden, muss geklärt sein, wer die entsprechenden Auftragsverarbeitungsverträge abschließt und die Einhaltung der Garantien überwacht.
• Transparenz: Die wesentlichen Aspekte der Vereinbarung müssen den betroffenen Personen zur Verfügung gestellt werden.

Ziel dieser Vereinbarung ist es, eine klare Verteilung der Verantwortlichkeit zu schaffen, damit sowohl die beteiligten Unternehmen als auch die betroffenen Personen genau wissen, wer für welchen Aspekt des Datenschutzes die Verantwortung trägt.

Dennoch: Auch wenn die Akteure intern eine Aufteilung vornehmen, können betroffene Personen ihre Rechte nach der DSGVO grundsätzlich gegenüber jedem einzelnen der Verantwortlichen geltend machen.

Technologische Risiken und die Vermeidung von Sanktionen

Neben der korrekten Rollenverteilung müssen Unternehmen die spezifischen Risiken moderner KI-Systeme berücksichtigen. Die oftmals eingeschränkte Nachvollziehbarkeit komplexer Modelle erschwert transparente Informationen gegenüber Betroffenen. Hinzu kommen Risiken fehlerhafter Ergebnisse, Halluzinationen oder diskriminierender Verzerrungen (Bias), die aus Trainingsdaten oder Modellarchitekturen resultieren können.

Unternehmen sollten deshalb Verfahren etablieren, mit denen eingesetzte oder feinjustierte Modelle regelmäßig hinsichtlich Richtigkeit, Robustheit und möglicher Verzerrungen überprüft werden. Datenschutz-Compliance endet nicht mit der Auswahl eines geeigneten KI-Systems, sondern erfordert eine kontinuierliche Überwachung während des gesamten Lebenszyklus.

Vertragliche Absicherung und Haftungsmanagement

Die Auswahl geeigneter KI-Anbieter und eine sorgfältige Vertragsgestaltung sind zentrale Elemente des Risikomanagements. Unternehmen sollten prüfen, welche datenschutzrechtliche Rolle der Anbieter im konkreten Projekt tatsächlich einnimmt. Maßgeblich ist dabei nicht die vertragliche Bezeichnung, sondern die tatsächliche Ausgestaltung der Zusammenarbeit und der reale Einfluss auf die Datenverarbeitung.

Gerade bei Supportleistungen, Modellanpassungen oder Migrationen personenbezogener Daten können sich Rollen verändern. Diese Konstellationen sollten bereits im Vorfeld vertraglich berücksichtigt werden. Gleichzeitig ist zwischen der öffentlich-rechtlichen Verantwortlichkeit nach der DSGVO und der zivilrechtlichen Haftung für Leistungs- oder Systemfehler zu unterscheiden. Diese wird regelmäßig über Service-Level-Agreements und Haftungsklauseln geregelt.

Handlungsbedarf für die unternehmensweite KI-Strategie

Vor der Einführung oder Anpassung von KI-Systemen sollten Unternehmen sämtliche Verarbeitungsschritte systematisch erfassen und dokumentieren. Dabei empfiehlt sich insbesondere:

• Bestimmung der datenschutzrechtlichen Rollen aller Beteiligten
• Analyse der tatsächlichen Entscheidungsbefugnisse über Zwecke und Mittel
• Prüfung, ob eine Auftragsverarbeitung oder gemeinsame Verantwortlichkeit vorliegt
• Durchführung einer Datenschutz-Folgenabschätzung bei erhöhtem Risiko
• Implementierung interner KI-Governance und verbindlicher Nutzungsrichtlinien
• Regelmäßige Überprüfung eingesetzter Modelle auf Datenschutz-, Qualitäts- und Bias-Risiken

Fazit zur rechtssicheren KI-Nutzung

Der IMY-Bericht verdeutlicht, dass datenschutzrechtliche Verantwortlichkeiten bei KI-Projekten stets anhand der tatsächlichen Einflussnahme auf die Datenverarbeitung zu bestimmen sind. Unternehmen können sich daher nicht allein auf Vertragsbezeichnungen verlassen, sondern müssen ihre Rolle innerhalb jedes einzelnen Verarbeitungsschritts sorgfältig analysieren und dokumentieren. Wer Verantwortlichkeiten frühzeitig klärt, Verträge entsprechend ausgestaltet und technische Risiken durch geeignete Governance-Maßnahmen begleitet, reduziert Haftungsrisiken und schafft die Grundlage für einen rechtssicheren und nachhaltigen Einsatz von Künstlicher Intelligenz.