Rechtsgrundlagen für AI-Verarbeitung

Jede Verarbeitung personenbezogener Daten durch ein AI-System braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Ohne gültige Rechtsgrundlage ist die Verarbeitung rechtswidrig — egal wie nützlich die AI ist.

Die relevantesten Rechtsgrundlagen für AI

1. Einwilligung (Art. 6 Abs. 1 lit. a)

Die Einwilligung des Betroffenen ist die bekannteste Rechtsgrundlage:

Voraussetzungen:

• Freiwillig (keine Nachteile bei Verweigerung)
• Informiert (klare Erklärung, was mit den Daten passiert)
• Spezifisch (für den konkreten AI-Zweck)
• Eindeutig (aktive Handlung, kein Pre-checked Checkbox)
• Widerrufbar (jederzeit, so einfach wie die Erteilung)

Geeignet für: Newsletter-Personalisierung, optionale AI-Features, Forschung

Problematisch bei AI:

• Schwer erklärbar, was genau das Modell mit den Daten macht
• Widerruf kann schwierig sein, wenn Daten bereits im Training enthalten sind
• Machtungleichgewicht (z. B. Arbeitgeber-Arbeitnehmer)

2. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)

Das berechtigte Interesse ist in der Praxis die häufigste Rechtsgrundlage für AI:

Drei-Stufen-Test:

1. Berechtigtes Interesse identifizieren: z. B. Effizienzsteigerung, Betrugsprävention, Qualitätssicherung
2. Erforderlichkeit prüfen: Ist AI die mildeste Maßnahme, die das Ziel erreicht?
3. Interessenabwägung: Überwiegt das Unternehmensinteresse die Interessen der Betroffenen?

Geeignet für: Spam-Filter, Anomalie-Erkennung, Prozessoptimierung, Kundensupport-AI

Dokumentation: Die Interessenabwägung muss schriftlich dokumentiert werden (Accountability).

3. Vertragserfüllung (Art. 6 Abs. 1 lit. b)

Wenn die AI-Verarbeitung zur Erfüllung eines Vertrags notwendig ist:

Voraussetzungen:

• Der Betroffene ist Vertragspartei
• Die AI-Verarbeitung ist objektiv notwendig für die Vertragserfüllung
• Keine bloße Nützlichkeit — sondern Notwendigkeit

Geeignet für: AI-basierte Produktempfehlungen als Teil des Dienstes, automatisierte Vertragsanalyse, personalisierte Dienstleistungen

Nicht geeignet für: „Wir nutzen Ihre Daten für AI-Training" als Vertragsbestandteil — das ist keine echte Vertragserfüllung.

Rechtsgrundlage wählen: Entscheidungsbaum

1. Ist die AI-Verarbeitung vertraglich nötig? → Art. 6 Abs. 1 lit. b
2. Besteht eine gesetzliche Pflicht zur Verarbeitung? → Art. 6 Abs. 1 lit. c
3. Überwiegt das berechtigte Interesse? → Art. 6 Abs. 1 lit. f
4. Ist eine freiwillige Einwilligung realistisch? → Art. 6 Abs. 1 lit. a
5. Keine Rechtsgrundlage möglich? → Verarbeitung nicht erlaubt

Rechtsgrundlage für AI-Training

Ein besonderes Thema: Dürfen Sie Nutzerdaten zum Training Ihres AI-Modells verwenden?

• Einwilligung: Möglich, aber Widerruf problematisch (Daten aus trainiertem Modell entfernen?)
• Berechtigtes Interesse: Möglich bei Anonymisierung oder Pseudonymisierung
• Vertragserfüllung: In der Regel nicht anwendbar

Praxis-Tipp: Wählen Sie die Rechtsgrundlage vor dem Start des AI-Projekts — nicht nachträglich. Ein Wechsel der Rechtsgrundlage ist zwar möglich, aber riskant und kann die Aufsichtsbehörde misstrauisch machen.