Der Einsatz von Künstlicher Intelligenz (KI) nimmt im Alltag – sowohl im privaten als auch im geschäftlichen Umfeld – rasant zu und ist aus vielen Bereichen kaum noch wegzudenken. Auch Unternehmen setzen zunehmend auf KI-Anwendungen und integrieren diese in bestehende Prozesse, um Arbeitsabläufe effizienter zu gestalten, Entscheidungen zu unterstützen, Prozesse zu automatisieren oder die Kommunikation mit Kundinnen und Kunden zu verbessern. Insbesondere im Kundenservice bieten KI-Systeme vielfältige Möglichkeiten, etwa durch eine schnellere Bearbeitung von Anfragen, eine gezielte Priorisierung von Anliegen oder eine bessere Unterstützung der Mitarbeitenden.
Dabei greifen Unternehmen zunehmend auf bereits vorhandene Informationen aus dem laufenden Geschäftsbetrieb zurück. Kundenanfragen, Kommunikationsverläufe oder interne Prozessdaten können wertvolle Grundlagen für die Entwicklung und Verbesserung von KI-Systemen darstellen, da sie reale Anwendungsszenarien abbilden. Gleichzeitig enthalten solche Daten häufig personenbezogene Informationen. Genau hier können bei einer unbedachten Herangehensweise rechtliche Fallstricke entstehen.
Ein Fall aus Berlin
Eine Immobilienvermittlungsplattform wollte die Qualität ihres Kundenservices verbessern und hierfür ein unterstützendes KI-System einsetzen. Ziel war es, eingehende Nachrichten automatisiert zu klassifizieren, damit Kundenanfragen schneller und gezielter bearbeitet werden können. Für das Training des Systems nutzte das Unternehmen eingehende Originalanfragen und Kommunikationsverläufe aus dem Kundenservice. Die betroffenen Kundinnen und Kunden wurden darüber jedoch weder in der Datenschutzerklärung noch auf anderem Wege informiert.
Über einen längeren Zeitraum sammelte das Unternehmen auf diese Weise eine mittlere sechsstellige Anzahl an Kundenanfragen. Dadurch war eine hohe Anzahl an Personen betroffen. Aufgrund der laufenden Geschäftsbeziehungen ist zudem davon auszugehen, dass einzelne Personen mehrfach mit dem Kundenservice kommuniziert hatten.
Die Verarbeitung der Daten zum zweckfremden KI-Training stützte das Unternehmen nach eigenen Angaben auf ein berechtigtes Interesse gemäß Art. 6 Abs. 1 Satz 1 lit. f DSGVO. Die Nutzung bestehender Kommunikationsdaten für das Training eines KI-Systems wurde somit als notwendige Maßnahme zur Verbesserung des Kundenservices bewertet. Problematisch war jedoch insbesondere, dass die betroffenen Personen über diese Weiterverarbeitung ihrer Daten nicht hinreichend genau informiert wurden.
Über den Fall berichtete auch die Berliner Beauftragte für den Datenschutz und Informationsfreiheit in ihrem zuletzt veröffentlichten Tätigkeitsbericht (TB 2025, S. 65)
KI-Training mit Bestandsdaten – kein rechtsfreier Raum
Der zugrunde Der Fall zeigt eine Herausforderung, mit der sich viele Unternehmen aktuell auseinandersetzen: Daten, die ursprünglich für einen bestimmten Zweck erhoben wurden, können auch für weitere Anwendungen interessant sein. Gerade beim Einsatz von KI-Systemen entsteht dadurch häufig der Wunsch, bestehende Datenbestände für die Entwicklung oder das Training von Modellen zu nutzen, beispielsweise um einen eigenen Chatbot anzulernen.
Der bloße Besitz dieser Daten berechtigt jedoch nicht automatisch zu einer anderweitigen (zweckfremden) Nutzung. Werden personenbezogene Daten für einen neuen Zweck verarbeitet, müssen die datenschutzrechtlichen Anforderungen eingehalten werden. Eine zentrale Bedeutung kommt dabei dem Transparenzgebot und dem Zweckbindungsgrundsatz zu. Unternehmen müssen betroffene Personen verständlich darüber informieren, welche Daten in welchem Umfang verarbeitet werden, zu welchen Zwecken dies geschieht und auf welcher Rechtsgrundlage die Verarbeitung beruht. Fehlt es an einer ausreichenden Information über die Verarbeitung und deren Zweck, kann dies dazu führen, dass die Verarbeitung mangels Transparenz rechtswidrig ist.
Der Einsatz von KI beginnt mit einer sauberen Datengrundlage
Der Fall verdeutlicht, dass KI-Projekte nicht erst bei der technischen Umsetzung datenschutzrechtlich bewertet werden sollten. Bereits vor der Entwicklung oder Einführung eines KI-Systems muss geprüft werden, welche vorhandenen Daten überhaupt potenziell verwendet werden können und ob deren Nutzung für den vorgesehenen Zweck zulässig ist.
Dabei müssen sich Unternehmen insbesondere folgende Fragen beantworten:
- Welche Daten werden für das Training oder die Weiterentwicklung des KI-Systems benötigt?
- Enthalten diese Daten personenbezogene Informationen?
- Wurden die betroffenen Personen über die entsprechende Verarbeitung informiert?
- Gibt es eine geeignete Rechtsgrundlage für die Nutzung?
- Können Daten anonymisiert oder anderweitig reduziert werden?
Gerade bei Kundendaten ist besondere Vorsicht geboten. Kundenkommunikation enthält häufig nicht nur Kontaktdaten, sondern auch Informationen über persönliche Situationen, Vertragsverhältnisse oder individuelle Anliegen. Diese Informationen können für KI-Anwendungen zwar wertvolle Grundlagen darstellen, bergen bei einer unzulässigen Nutzung jedoch erhebliche datenschutzrechtliche Risiken.
Die datenschutzrechtlichen Anforderungen können dabei je nach Anwendungsfall unterschiedlich ausfallen. Während bestimmte Verarbeitungsvorgänge unter klar definierten Voraussetzungen möglich sein können, kommen in besonders sensiblen Bereichen, etwa im Gesundheitswesen, zusätzliche Anforderungen hinzu, die frühzeitig berücksichtigt werden müssen.
Daher sollte bereits in der Konzeptionsphase eines Projekts der zuständige Datenschutzverantwortliche eingebunden werden. So können rechtliche Anforderungen frühzeitig geprüft, Risiken bewertet und notwendige Maßnahmen von Beginn an in die Planung integriert werden.
Transparenz schafft Vertrauen
Der Einsatz von KI kann Unternehmen erhebliche Vorteile bringen. Automatisierte Unterstützung im Kundenservice, intelligente Sortierung von Anfragen oder effizientere interne Prozesse können die tägliche Arbeit erleichtern. Gleichzeitig darf die technische Entwicklung nicht dazu führen, dass grundlegende Datenschutzanforderungen vernachlässigt werden. Transparenz ist dabei kein bloßer Formalismus, sondern eine wesentliche Voraussetzung für Vertrauen.
Betroffene müssen wissen, wenn ihre Kommunikation nicht nur zur Bearbeitung eines konkreten Anliegens verwendet wird, sondern beispielsweise auch zur Verbesserung oder zum Training eines KI-Systems dient.
Fazit
Der Einsatz von KI eröffnet eine vielfältige Möglichkeit, Prozesse weiterzuentwickeln, Arbeitsabläufe effizienter zu gestalten und neue Formen der Unterstützung im Kundenservice zu schaffen. Damit diese Potenziale nachhaltig genutzt werden können, sollten rechtliche und organisatorische Anforderungen von Beginn an in die Planung einbezogen werden. Insbesondere bei der Nutzung bereits vorhandener Daten im Training von eigenen Anwendungen oder der Weiterverarbeitung zu weiteren Zwecken ist Vorsicht zu walten und stets eine sorgfältige Prüfung erforderlich.
Welche Anforderungen im Einzelnen konkret zu beachten sind, hängt dabei stets vom jeweiligen Anwendungsfall sowie der Zielsetzung ab. Während bestimmte Verarbeitungsvorgänge unter klar definierten Voraussetzungen zulässig sein können, gelten insbesondere in sensiblen Bereichen, etwa im Gesundheitswesen oder bei der Verarbeitung besonderer Kategorien personenbezogener Daten, weitergehende Anforderungen, die frühzeitig berücksichtigt werden müssen.
Umso wichtiger ist es, KI-Projekte nicht erst nach der technischen Umsetzung datenschutzrechtlich zu bewerten, sondern bereits in der Planungsphase die relevanten rechtlichen und organisatorischen Fragestellungen zu berücksichtigen. Eine frühzeitige Einbindung der zuständigen Datenschutz und Compliance Verantwortlichen ermöglicht es, potenzielle Risiken zu erkennen, geeignete Maßnahmen abzuleiten und den Einsatz von KI nachhaltig und verantwortungsvoll zu gestalten.
Bei Bedarf unterstützen wir bei der Umsetzung von KI-Vorhaben und begleiten Projekte sowohl aus datenschutzrechtlicher als auch aus Compliance Sicht. Dabei helfen wir, Anforderungen frühzeitig zu identifizieren, Prozesse rechtskonform auszugestalten und den Einsatz von KI-Anwendungen so zu gestalten, dass Innovation und rechtliche Sicherheit miteinander verbunden werden können.
Keine Kommentare