Datenschutzbehörden prüfen KI-Einsatz: Diese 7 Fragen müssen Unternehmen jetzt beantworten

Datenschutzbehörden KI
Kategorien:
Bild von  Aristotelis Zervos

Aristotelis Zervos

Aristotelis Zervos, Editorial Director bei 2B Advice, vereint juristische und journalistische Expertise in Datenschutz, IT-Compliance und KI-Regulierung.

Derzeit erhalten verschiedene Unternehmen Schreiben der Datenschutzbehörden zum Einsatz von KI. Grundlage ist ein Informationsersuchen gemäß Art. 58 Abs. 1 lit. a DSGVO, mit dem die Behörden ihre Prüfkompetenz ausüben. Damit wollen die Aufsichtsbehörden offenbar einen aktuellen Überblick über den Einsatz von KI in Unternehmen, insbesondere im HR-Bereich, gewinnen. Welche konkreten Fragen die Datenschutzbehörden stellen und wie Unternehmen reagieren sollten, wenn sie ein Informationsersuchen erhalten.

Hintergrund: Umfrage der Datenschutzbehörden zum KI-Einsatz

Uns liegt ein Original-Schreiben des Landesbeauftragten für den Datenschutz und die Informationsfreiheit in Rheinland-Pfalz vor. Ziel der Erhebung ist es, “den Status quo der Digitalisierung im Personalwesen zu bewerten” und zu analysieren, inwieweit Unternehmen KI-gestützte Tools einsetzen.

Die Behörde betont dabei ausdrücklich, dass KI insbesondere bei der Verarbeitung großer Datenmengen neue Effizienzpotenziale schafft, was den Prüfbedarf weiter erhöhe.

Link-Tipp: Einsatz von KI und Aufgaben der Datenschutzaufsicht (Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz)

Unternehmen sollen diese 7 Fragen zum Einsatz von KI beantworten

Das Auskunftsersuchen umfasst sieben detaillierte Fragen. Bereits der Betreff des Schreibens macht die Stoßrichtung deutlich: „Datenverarbeitung beim Personalmanagement; Einsatz von Künstliche Intelligenz (KI)-Tools“

Unternehmen müssen folgende Punkte beantworten:

  1. Welche Software/IT-Tools nutzen Sie in Ihrem Unternehmen für die Bewältigung des Personalmanagements? Bitte beschreiben Sie die Funktionen des IT-Tools und nennen Sie die Kategorien personenbezogener Daten, die damit verarbeitet werden.

  2. Bitte legen Sie sämtliche diesbezüglichen Verarbeitungsverzeichnisse gem. Art. 30 DSGVO vor, die im Zusammenhang mit der Verarbeitung von Personaldaten stehen.

  3. Sofern Datenschutz-Folgenabschätzungen im Zusammenhang mit der Bewältigung des Personalmanagements durchgeführt wurden, legen Sie diese bitte vor.

  4. Falls nicht bereits unter Frage 1 beantwortet: Welche Software/IT-Tools nutzen Sie für die Durchführung von Bewerbungsverfahren. Bitte beschreiben Sie die Datenverarbeitung.

  5. Wird in Ihrem Unternehmen ein IT-Tool eingesetzt, welches auf der Basis von Künstlicher Intelligenz arbeitet oder in Teilbereichen seiner Funktionalität auf Künstliche Intelligenz zurückgreift? Falls ja, beschreiben Sie bitte den Einsatzzweck und dessen Funktionsweise. Benennen Sie dabei auch das KI-Modell, auf das das IT-Tool zurückgreift.

  6. Falls Frage 5 mit Ja beantwortet wurde: Werden diese IT-Tools durch Beschäftigte eingesetzt oder werden damit Personaldaten verarbeitet? Bitte beschreiben Sie insbesondere die in diesem Zusammenhang erfolgte Verarbeitung von Personaldaten.

  7. Falls Frage 5 mit Ja beantwortet wurde: Werden KI-Tools bei der Durchführung von Bewerbungsverfahren eingesetzt?


Bei allen Antworten sollen Unternehmen auch erläutern, wie die Tools technisch betrieben werden (z. B. SaaS, IaaS, On-Premise).

Wann müssen die Fragen 6 & 7 beantwortet werden?

Unternehmen sollten genau auf die Formulierungen in den Fragen achten:
Frage 5 bezieht sich auf den KI-Einsatz im gesamten Unternehmen, nicht nur im HR-Bereich.

Das bedeutet:

  • Wird im Unternehmen ein KI-Tool genutzt (z. B. MS 365 Copilot, ChatGPT, KI-gestützte Analysetools),
  • auch wenn keine personenbezogenen Daten verarbeitet werden,
  • muss Frage 5 mit „Ja“ beantwortet werden.


In diesem Fall müssen auch Frage 6 und 7 beantwortet werden. Betrifft der KI-Einsatz nicht das Personalmanagement, können die Fragen verneint werden.

Damit erhöht sich der Dokumentations- und Prüfaufwand.

Lese-Tipp: Darum sind Modellkarten für die KI-Dokumentation so wichtig

Handlungsempfehlungen für Unternehmen

Unternehmen sollten das behördliche Informationsersuchen nicht unterschätzen. Folgende Schritte sind sinnvoll:

1. Vollständige Bestandsaufnahme aller eingesetzten IT- und KI-Tools

Auch versteckte KI-Funktionen in Standardsoftware (z. B. HR-Suiten, Bewerbermanagementsysteme, Office-Tools) müssen berücksichtigt werden.

2. Aktualisierung der Verarbeitungsverzeichnisse

Gemeinsam mit den Fachabteilungen ist sicherzustellen, dass alle Prozesse nach Art. 30 DSGVO korrekt dokumentiert sind.

3. Prüfung der DSFA-Pflicht bei KI-gestützten Vorgängen

KI, die Personaldaten wie etwa im Recruiting verarbeitet, kann zwingend eine Datenschutz-Folgenabschätzung (DSFA) erfordern.

4. Technische Betriebsmodelle dokumentieren

Behörden legen zunehmend Wert auf Angaben zu Hosting, Speicherorten, Rechenzentren und Servicearchitektur.

5. Interne Verantwortlichkeiten klären

HR, IT, Datenschutz und ggf. Compliance müssen abgestimmt vorgehen, um Fristen einzuhalten.

6. Schreiben juristisch prüfen lassen

Falsche oder unvollständige Angaben können Nachfragen oder vertiefte Prüfungen nach sich ziehen. Um aufsichtsbehördliche Maßnahmen zu vermeiden, sollten Sie das Ersuchen daher von einem Datenschutzexperten prüfen lassen.

Fazit

Die aktuellen Auskunftsersuchen zeigen deutlich, dass die Aufsichtsbehörden den Einsatz von KI im Personalmanagement und in Unternehmen insgesamt verstärkt in den Fokus nehmen. Unternehmen sollten solche Schreiben sorgfältig prüfen und sicherstellen, dass sämtliche Angaben vollständig, korrekt und rechtlich belastbar sind.

Benötigen Sie Unterstützung bei der Beantwortung des behördlichen Informationsersuchens oder bei der Bewertung Ihres KI-Einsatzes? Unsere Datenschutzexperten prüfen Ihr Schreiben, erstellen die notwendigen Unterlagen und unterstützen Sie bei allen regulatorischen Anforderungen. Kontaktieren Sie uns für eine unverbindliche Erstberatung.

Tipp: Mit Ailance KI-Governance haben Sie alle eingesetzten KI-Modelle in Ihrem Unternehmen im Blick. Die Dokumentation für die Aufsichtsbehörde können Sie schnell und einfach erstellen.

Aristotelis Zervos ist Editorial Director bei 2B Advice, Jurist und Journalist mit profundem Know-how in Datenschutz, DSGVO, IT-Compliance und KI-Governance. Er veröffentlicht regelmäßig fundierte Artikel zu KI-Regulierung, DSGVO-Compliance und Risikomanagement. Mehr über ihn erfahren Sie auf seiner Autorenprofil-Seite.

Tags:
Share this post :