Neues von der Datenschutzkonferenz (DSK) – Wichtige Erkenntnisse für kleine Unternehmen & Selbstständige

Microsoft 365 ist für viele Unternehmen ein unverzichtbares Werkzeug – es kombiniert E-Mail-Kommunikation, Datenablage, Team-Kollaboration und zahlreiche weitere Funktionen in einer Cloud-basierten Lösung. Doch aus Sicht der DSK ist der Einsatz nicht unproblematisch.

Das Hauptproblem liegt in der mangelnden Transparenz, wo und wie Microsoft Daten verarbeitet. Hinzu kommt der sogenannte „Patriot Act“ in den USA, der US-Behörden weitreichende Zugriffsrechte auf gespeicherte Daten einräumt – auch dann, wenn diese auf Servern außerhalb der USA liegen. Das kann insbesondere dann problematisch werden, wenn personenbezogene Daten europäischer Bürger betroffen sind.

Für Unternehmen bedeutet das: Der Einsatz von Microsoft 365 ist nicht verboten, aber es müssen klare Datenschutzmaßnahmen getroffen werden. Dazu gehört, genau zu dokumentieren, wofür die Software genutzt wird, welche Daten verarbeitet werden und wer Zugriff hat. Diese Angaben sollten im Verzeichnis der Verarbeitungstätigkeiten festgehalten werden.

Zudem ist eine Risikobewertung notwendig: Welche Daten werden in der Cloud gespeichert? Sind darunter besonders sensible Informationen wie Gesundheits- oder Personaldaten? Falls ja, müssen zusätzliche Schutzmaßnahmen getroffen werden – etwa Verschlüsselung oder Zugriffsbeschränkungen.

Kleinere Unternehmen sollten außerdem die Standardvertragsklauseln von Microsoft sichern, um im Falle einer Prüfung nachweisen zu können, dass ein gültiger Datenschutzvertrag besteht. Bei sensiblen Daten ist es ratsam, diese nicht in OneDrive oder SharePoint zu speichern, sondern lokal oder in speziell gesicherten Umgebungen zu verwalten.

Wer Microsoft 365 einsetzt, sollte sich bewusst sein, dass die Verantwortung für die Einhaltung der DSGVO immer beim Unternehmen liegt – nicht bei Microsoft. Eine klare Dokumentation und regelmäßige Überprüfung der Nutzung sind daher unerlässlich.

Künstliche Intelligenz (KI) ist längst in unserem Arbeitsalltag angekommen – von Textgeneratoren wie ChatGPT über automatisierte Chatbots auf Webseiten bis hin zu Tools, die Daten analysieren und Entscheidungen vorbereiten. Für Unternehmen bieten diese Technologien enorme Chancen, gleichzeitig bringen sie jedoch erhebliche datenschutzrechtliche Risiken mit sich.

Die Datenschutzkonferenz (DSK) weist ausdrücklich darauf hin, dass beim Einsatz von KI-Tools besondere Vorsicht geboten ist, sobald personenbezogene Daten verarbeitet werden. Das bedeutet: Daten, die Rückschlüsse auf eine konkrete Person zulassen – wie Name, Adresse, Geburtsdatum oder auch Kundennummern – dürfen nicht unbedacht in KI-Systeme eingegeben werden.

Vor allem bei öffentlichen KI-Diensten wie ChatGPT ist Vorsicht geboten, da eingegebene Daten potenziell zur Weiterentwicklung des Systems genutzt werden. Hier gilt: Entweder die Daten vorher vollständig anonymisieren oder auf geschlossene, interne KI-Lösungen setzen, bei denen sichergestellt ist, dass die Informationen das Unternehmen nicht verlassen.

Ein weiteres zentrales Thema ist der Einsatz von KI bei automatisierten Entscheidungen. Wenn beispielsweise ein Bewerbermanagementsystem KI nutzt, um Bewerbungen zu filtern, darf die endgültige Entscheidung nicht allein durch die KI erfolgen – es muss immer eine menschliche Überprüfung stattfinden. Dies soll verhindern, dass unfaire oder diskriminierende Entscheidungen getroffen werden, die auf fehlerhaften Algorithmen basieren.

Zusätzlich fordert die DSK, dass der Einsatz von KI transparent gemacht wird. Kunden, Bewerber oder Mitarbeiter müssen darüber informiert werden, wann und wie KI zum Einsatz kommt. Eine entsprechende Dokumentation im Datenschutzkonzept ist Pflicht.

Wer KI nutzen möchte, sollte daher frühzeitig prüfen, welche Daten verarbeitet werden, welche Risiken bestehen und wie diese minimiert werden können. Nur so lässt sich Innovation mit Datenschutz in Einklang bringen.

Der AI-Act der Europäischen Union ist die erste umfassende gesetzliche Regelung für den Einsatz von Künstlicher Intelligenz in Europa. Er hat das Ziel, klare Standards für die Entwicklung und Nutzung von KI-Systemen festzulegen – mit besonderem Fokus auf Sicherheit, Transparenz und Datenschutz.

Für Unternehmen bedeutet das: Der Einsatz von KI wird künftig deutlich stärker reguliert. Vor allem Unternehmen, die KI in sensiblen Bereichen wie Personalmanagement, Kundendatenverarbeitung oder automatisierten Entscheidungen nutzen, müssen umfangreiche Prüfungen und Dokumentationen vornehmen.

Ein zentraler Punkt des AI-Acts ist die Pflicht zur Schulung von Mitarbeitern. Unternehmen müssen sicherstellen, dass alle, die mit KI-Systemen arbeiten, gezielt auf die Prozesse und Risiken geschult werden. Allgemeine KI-Kurse oder einmalige Einführungen reichen nicht aus – die Schulung muss spezifisch auf den jeweiligen Anwendungsfall zugeschnitten sein.

Darüber hinaus schreibt der AI-Act vor, dass KI-Systeme in Risikokategorien eingeteilt werden. Hochrisiko-KI – wie beispielsweise Systeme, die über Kreditzusagen, Bewerbungen oder medizinische Diagnosen entscheiden – unterliegt besonders strengen Anforderungen. Hier sind regelmäßige Überprüfungen, genaue Dokumentationen und ein aktives Risikomanagement Pflicht.

Unternehmen sollten sich frühzeitig mit dem AI-Act vertraut machen, um nicht von den neuen Vorschriften überrascht zu werden. Wer bereits jetzt seine Prozesse dokumentiert, Datenschutz-Folgenabschätzungen durchführt und Mitarbeiter schult, ist bestens vorbereitet.

Die DSK betont, dass der AI-Act und die DSGVO eng miteinander verzahnt sind. Das heißt: Wer die DSGVO-Anforderungen sauber umsetzt, legt gleichzeitig die Grundlage für eine gesetzeskonforme Nutzung von KI unter dem AI-Act.

Cookie-Banner sind für viele Webseitenbetreiber ein leidiges, aber unvermeidbares Thema. Sie sind die erste Schnittstelle, an der Besucher entscheiden können, ob und in welchem Umfang ihre Daten verarbeitet werden. Die DSK hat hierzu klare Anforderungen formuliert, die jeder Webseitenbetreiber kennen und umsetzen sollte.

Zunächst muss ein Cookie-Banner so gestaltet sein, dass der Nutzer eine echte Wahl hat. Das bedeutet: Die Schaltflächen „Akzeptieren“ und „Ablehnen“ müssen gleich groß und gleich sichtbar sein – keine versteckten Ablehn-Buttons, keine irreführenden Farben oder Formulierungen.

Außerdem muss es möglich sein, mit einem einzigen Klick nur die technisch notwendigen Cookies zu akzeptieren. Tracking- oder Marketing-Cookies dürfen nicht voreingestellt aktiviert sein. Der Nutzer muss aktiv zustimmen.

Ein weiteres wichtiges Detail: Der Cookie-Banner muss jederzeit aufrufbar sein, damit der Nutzer seine Entscheidung ändern kann. Das ist besonders relevant, wenn neue Tools, Plugins oder externe Inhalte (z. B. YouTube-Videos oder Google Maps) eingebunden werden.

Unternehmen sollten auch sicherstellen, dass alle im Cookie-Banner genannten Cookies in der Datenschutzerklärung detailliert erklärt werden – inklusive Zweck, Speicherdauer und Empfänger. Ein nicht aktueller Cookie-Banner oder eine veraltete Datenschutzerklärung kann schnell zu Abmahnungen oder Bußgeldern führen.

Die DSK empfiehlt zudem, den Cookie-Banner regelmäßig zu überprüfen, insbesondere nach technischen Änderungen an der Website. So wird sichergestellt, dass neue Cookies nicht unbemerkt eingesetzt werden und die Einwilligung der Nutzer weiterhin rechtlich gültig ist.

Datenschutz muss nicht kompliziert sein, wenn man ihn systematisch angeht. Die DSK gibt klare Hinweise, wie Unternehmen auch mit wenig Ressourcen datenschutzkonform arbeiten können.

Der erste Schritt ist die Erstellung und Pflege eines Verzeichnisses der Verarbeitungstätigkeiten. Hier werden alle Prozesse erfasst, bei denen personenbezogene Daten verarbeitet werden – von der Kundenverwaltung bis zum Newsletter-Versand.

Zweitens sollten Unternehmen mit allen externen Dienstleistern, die Daten verarbeiten, einen Auftragsverarbeitungsvertrag (AV-Vertrag) abschließen. Das gilt für Cloud-Anbieter, Newsletter-Tools, Buchhaltungssoftware und viele weitere Dienste.

Drittens ist die regelmäßige Überprüfung der Website Pflicht. Dabei sollte nicht nur der Cookie-Banner, sondern auch die Datenschutzerklärung auf Aktualität geprüft werden. Jede technische Änderung kann Auswirkungen auf den Datenschutz haben.

Viertens: Mitarbeiterschulungen. Auch in kleinen Unternehmen sollten alle, die mit Kundendaten arbeiten, in den Grundlagen der DSGVO geschult werden. Das beugt Fehlern vor und stärkt das Bewusstsein für Datenschutz.

Fünftens: Technische und organisatorische Maßnahmen wie sichere Passwörter, Zwei-Faktor-Authentifizierung, verschlüsselte Datenübertragung und klare Zugriffsrechte sind essenziell.

Wer diese Punkte beachtet, kann Datenschutz nicht nur als gesetzliche Pflicht, sondern als Wettbewerbsvorteil nutzen. Kunden vertrauen Unternehmen eher, die transparent und sicher mit ihren Daten umgehen.