Welche personenbezogenen Daten mit KI verarbeitet werden dürfen, richtet sich nach der konkreten Aufgabe. Entscheidend sind Zweck, Erforderlichkeit, Rechtsgrundlage und Schutzbedarf. Dass eine Information technisch eingegeben werden kann, bedeutet nicht, dass ihre Verarbeitung erforderlich oder zulässig ist.
Mit der Aufgabe beginnen
Zunächst muss feststehen, welches Ergebnis benötigt wird. Für die Prüfung eines allgemeinen Vertragstextes sind häufig weniger personenbezogene Angaben erforderlich als für die Bewertung eines konkreten Verarbeitungsvorgangs. Daten sollen deshalb nicht vorsorglich oder ohne klaren Bezug zur Fragestellung bereitgestellt werden.
Identifizierende Angaben möglichst reduzieren
Namen, Kontaktdaten, Personalnummern und vergleichbare Identifikationsmerkmale werden für viele Datenschutzaufgaben nicht benötigt. Soweit es der fachliche Zweck erlaubt, können solche Angaben entfernt, ersetzt oder verallgemeinert werden. Eine Pseudonymisierung verringert Risiken, macht personenbezogene Daten aber nicht automatisch anonym.
Besonders geschützte Informationen
Gesundheitsdaten, biometrische oder genetische Daten sowie Angaben zu Religion, politischer Meinung oder Gewerkschaftszugehörigkeit gehören zu den besonderen Kategorien personenbezogener Daten. Auch Beschäftigtendaten, Geschäftsgeheimnisse und andere vertrauliche Unterlagen können einen erhöhten Schutzbedarf haben.
Vor ihrer KI-gestützten Verarbeitung ist besonders sorgfältig zu prüfen, ob eine geeignete Rechtsgrundlage besteht, die Angaben tatsächlich benötigt werden und das vorgesehene System für den Schutzbedarf geeignet ist. Wenn eine Aufgabe ohne solche Inhalte bearbeitet werden kann, sollen sie nicht einbezogen werden.
Der eingesetzte Dienst muss passen
Nicht jeder KI-Dienst ist für Mandantendaten geeignet. Anbieter, Vertragsform, Speicherpraxis, Unterauftragnehmer, Datenübermittlungen und technische Einstellungen müssen zum vorgesehenen Zweck passen. Zugriffe sind auf die Personen und Systeme zu begrenzen, die für die Bearbeitung benötigt werden.
Menschen entscheiden über die Datenauswahl
PrivacyMaster entscheidet nicht selbst, welche Daten verwendet werden dürfen. Qualifizierte Menschen grenzen die Aufgabe ein, beurteilen die Erforderlichkeit und prüfen, ob zusätzliche Schutzmaßnahmen notwendig sind. Sie kontrollieren außerdem die Ergebnisse, bevor diese weiterverwendet werden.
Datenarme Bearbeitung abstimmen
Weitere Hinweise finden Sie unter Umgang mit Mandantendaten. Wenn Sie klären möchten, welche Informationen für Ihren Auftrag erforderlich sind, nehmen Sie Kontakt mit uns auf.