Für den Mittelstand

Sie arbeiten in einem Unternehmen mit bis zu etwa 500 Beschäftigten, etwa in Verwaltung, Einkauf, Qualitätssicherung, Konstruktion oder technischer Dokumentation? Hier finden Sie Antworten auf vier Fragen, die vor der Einführung von KI oft gestellt werden. Die Größe ist nur eine Orientierung. Die Antworten gehen tiefer als auf den anderen Seiten; sie richten sich auch an Datenschutzbeauftragte und Führungskräfte. ^Grundsatz Ob eine bestimmte Nutzung erlaubt ist, beurteilt dieses Angebot nicht. Es zeigt, worauf Sie achten können und wo Sie selbst nachsehen sollten. ^Grundsatz Grundlagen wie betriebliche Konten, eine einfache KI-Regel und die Einweisung stehen unter „Für kleine Betriebe“; sie gelten auch hier.

Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag (AVV), englisch Data Processing Addendum (DPA). Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag, verlangt die DSGVO dafür einen Vertrag mit festgelegten Mindestinhalten, schriftlich oder elektronisch. ^{Q40 Art. 28 Abs. 1, 3, 9} Bei ChatGPT und Claude sehen die gelesenen Bedingungen einen solchen Vertrag für die Tarife für Unternehmen und die API vor, nicht für die privaten Tarife. ^{Q19, Q44, Q22, Q23; Q20, Q24, Q46} Ob ein AVV im Einzelfall nötig ist, beurteilt dieses Angebot nicht.

→ Die vier Fragen, Frage 4

„EU-Datenresidenz“ meint, dass Daten in Europa gespeichert oder verarbeitet werden. Bei ChatGPT und Claude gibt es das nur für bestimmte Tarife und Zugänge, und Speichern und Verarbeiten sind dabei nicht dasselbe.

• ChatGPT Enterprise und Edu: Eine EU-Speicherung ist für berechtigte Arbeitsbereiche möglich. Für ChatGPT Business wird sie nicht genannt. ^{Q10, Q45}
• OpenAI API: EU-Verarbeitung für neue API-Projekte; andere Regionen als die USA setzen die Freigabe der Regeln zur Missbrauchsüberwachung voraus. ^{Q9, Q10}
• Claude Team und Enterprise: standardmäßig Verarbeitung in ausgewählten Ländern in den USA, Europa, Asien und Australien, Speicherung in den USA. ^{Q1, Q3, Q5, Q23, Q26}
• Claude API: Verarbeitung „us“ oder „global“, Speicherung nur „us“. ^Q5
• Claude über Cloud-Plattformen (AWS Bedrock, Google Vertex AI, Microsoft Foundry): Über AWS Bedrock und Google Vertex AI sind EU-Regionen möglich, für Microsoft Foundry ist Europa als „Coming soon“ (demnächst) markiert. Es gilt der Vertrag mit dem Cloud-Anbieter, Einzelheiten dort. ^Q6
• Private Tarife: Bei ChatGPT ist OpenAI Ireland Verantwortlicher, verarbeitet wird auch außerhalb des Europäischen Wirtschaftsraums (EWR), unter anderem in den USA. ^Q43 Bei Claude werden Daten an Server in den USA oder andere Länder außerhalb des EWR übermittelt; ein genauer Verarbeitungsort ist nicht veröffentlicht. ^{Q1, Q2, Q24, Q25, Q46}

Alle Tarife im Überblick: Anbieterübersicht.

„Vertragspartner in Irland, Speicherung in der EU – dann ist alles geklärt.“

Ein europäischer Vertragspartner heißt nicht, dass die Daten in Europa bleiben: OpenAI Ireland verarbeitet auch in den USA. ^Q43 Und wo verarbeitet wird, ist nicht immer dort, wo gespeichert wird. Bei Claude Team und Enterprise etwa wird standardmäßig in mehreren Weltregionen verarbeitet und in den USA gespeichert. ^{Q1, Q3, Q5, Q23, Q26} Training, Speicherdauer und Zugriff sind damit noch nicht beantwortet.

Ob Sie das dürfen, beurteilt dieses Angebot nicht. ^Grundsatz Bei Zeichnungen, Prüfberichten und Lieferantendaten geht es oft nicht nur um Datenschutz, sondern auch um Betriebsgeheimnisse und um das, was Sie mit Kunden und Lieferanten vereinbart haben. Drei Fragen helfen beim Klären:

1. Was sagen Ihre Verträge? Etwa eine Geheimhaltungsvereinbarung mit dem Kunden, der die Zeichnung beigestellt hat, oder Regeln mit Lieferanten zur Weitergabe an Dienstleister.
2. Was gilt im genutzten Tarif? In den Tarifen für Unternehmen und über die API wird nach Angaben beider Anbieter standardmäßig nicht mit Ihren Eingaben trainiert; in den privaten Tarifen kann das passieren. ^{siehe Tabelle} In Firmenkonten können Administratoren bzw. der Inhaber des Firmenkontos auf Inhalte zugreifen oder sie exportieren. ^{Q20, Q43 · Q53, Q54} Speicherung und Ort je Tarif zeigt die Anbieterübersicht.
3. Stehen Personen darin? Prüfberichte und Lieferantenunterlagen enthalten oft Namen, etwa von Prüfern oder Ansprechpartnern. Dann kommen die Datenschutzfragen hinzu, auch die nach dem Vertrag zur Auftragsverarbeitung (Frage 1).

Was grundsätzlich nicht hineingehört, steht unter „Das gibt man nie ein“.

Drei Themen stehen oft an, bevor ein Unternehmen KI einführt: Datenschutzbeauftragte, Betriebsrat und eine Datenschutz-Folgenabschätzung (DSFA). Ob sie im Einzelfall beteiligt werden müssen, beurteilt dieses Angebot nicht.

Datenschutzbeauftragte: Die Aufsichtsbehörden empfehlen, die oder den Datenschutzbeauftragten beim Einsatz von KI stets einzubinden. ^{Q13 Abschn. 1.12} Ob Ihr Unternehmen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen muss, behandelt dieses Angebot nicht.

Betriebsrat: Die Aufsichtsbehörden empfehlen außerdem zu prüfen, ob Betriebs- oder Personalrat zu beteiligen sind. ^{Q13 Abschn. 1.12} Was das Betriebsverfassungsgesetz dazu sagt, steht im Folgenden.

Datenschutz-Folgenabschätzung (DSFA)

Datenschutz-Folgenabschätzung (DSFA): eine Prüfung vor Beginn einer Verarbeitung, wenn diese – insbesondere mit neuen Technologien – voraussichtlich ein hohes Risiko für die betroffenen Personen hat. Die Aufsichtsbehörden veröffentlichen Listen, wann sie nötig ist. ^{Q40 Art. 35 Abs. 1, 4} Die deutschen Aufsichtsbehörden halten eine DSFA beim Einsatz von KI „vielfach“ für erforderlich. ^{Q13 Abschn. 2.3} Entscheidend ist das Risiko der konkreten Verarbeitung; das beurteilt dieses Angebot nicht.

Empfehlungen zum Abhaken vor und bei der Einführung – keine Prüfung Ihres Einzelfalls. ^Grundsatz

• Vertrag klären: Gibt es für den genutzten Tarif einen Vertrag zur Auftragsverarbeitung? Die gelesenen Bedingungen beider Anbieter sehen einen für die Tarife für Unternehmen und die API vor. Bei ChatGPT Business im Konto prüfen, ob er abgeschlossen ist. ^{Q19, Q44, Q22, Q23} → Frage 1
• Ort klären: Wo wird verarbeitet, wo gespeichert? Eine Speicherung in der EU beantwortet nicht, ob trainiert wird, wie lange gespeichert wird und wer zugreifen kann. → Frage 2
• Unterlagen: Vor der Eingabe von Zeichnungen, Prüfberichten oder Lieferantendaten die Verträge mit Kunden und Lieferanten ansehen. → Frage 3
• Datenschutzbeauftragte früh einbinden und die Beteiligung des Betriebsrats prüfen. Das empfehlen die Aufsichtsbehörden. ^{Q13 Abschn. 1.12} → Frage 4
• Risiko vorab bewerten: Eine DSFA halten die Aufsichtsbehörden beim KI-Einsatz vielfach für erforderlich; entscheidend ist das Risiko der konkreten Verarbeitung. ^{Q13 Abschn. 2.3} → Frage 4
• Personal-, Bewerber-, Gesundheits- oder Kinderdaten: den Einsatz von KI vorher fachkundig prüfen lassen. ^Grundsatz
• Grundlagen wie im kleinen Betrieb: betriebliche Konten mit festen Voreinstellungen, eine KI-Regel, eine Einweisung. ^{Q13 Abschn. 2.2, 2.4, 2.5 · Q16} → „Für kleine Betriebe“

Passend dazu: der Selbstcheck mit bis zu sieben Fragen zum Ankreuzen. ^Grundsatz