DSGVO und KI in kleinen Unternehmen: Kundendaten, ChatGPT und Ihr ERP
Ihr Team nutzt KI längst mit Kundendaten. Ein praxisnaher Leitfaden (keine Rechtsberatung) zu den DSGVO-Fragen: Zugriff, Zugangsdaten und Nachweise.
Ihr Team nutzt KI bereits. Die DSGVO-Frage ist, wie
In den meisten kleinen und mittleren Unternehmen kam KI ohne Projektplan ins Haus. Jemand hat eine Kundenbeschwerde in ChatGPT eingefügt, um eine Antwort zu entwerfen. Jemand hat einen Auftragsexport hochgeladen, um schnell ein Diagramm zu bekommen. Jemand hat eine KI-App mit dem Shop verbunden.
Nichts davon ist automatisch rechtswidrig. Aber die DSGVO stellt Fragen, die ein einzelnes Chat-Konto kaum gut beantworten kann: Wessen Daten sind das, wer kann sie sehen, wozu, und können Sie es nachweisen?
Dieser Artikel erläutert praktische Überlegungen. Er ist keine Rechtsberatung. Besprechen Sie Ihre konkrete Situation mit Ihrem Datenschutzbeauftragten oder Ihrer Anwältin bzw. Ihrem Anwalt.
Fünf Fragen, die Sie zu jedem KI-Werkzeug stellen sollten
1. Wessen personenbezogene Daten gehen hinein?
Namen, Adressen, Bestellhistorien und Rechnungen von Kunden – und im Hotel Hinweise zu Allergien oder Barrierefreiheit – sind personenbezogene Daten. Gesundheitsdaten gehören zu einer besonderen Kategorie mit strengeren Regeln.
2. Wer kann sie danach sehen?
Lädt ein Mitarbeiter eine Kundenliste in ein persönliches KI-Konto hoch, liegt diese Liste im Chatverlauf dieser Person. Kann ein Kollege sie öffnen? Verschwindet sie, wenn der Mitarbeiter das Unternehmen verlässt? Wurde sie per Link geteilt?
3. Ist der Zugriff auf das beschränkt, was jede Person braucht?
Der DSGVO-Grundsatz der Datenminimierung gilt auch innerhalb Ihres Unternehmens. Ihr Lagerteam braucht keine Zahlungshistorien von Kunden. Ein eingefügter API-Token gibt jedem, der ihn hat, die vollen Rechte seines Inhabers.
4. Was passiert mit Zugangsdaten?
API-Token und Logins für Ihr ERP oder Ihren Shop sind die Schlüssel zu all Ihren Kundendaten. Liegen sie in Chatverläufen, Skripten und Tabellen, können Sie nicht sagen, wer Zugriff hat.
5. Können Sie es dokumentieren?
Fragt ein Kunde, was mit seinen Daten passiert ist, oder will eine Behörde wissen, wie Sie den Zugriff kontrollieren, brauchen Sie Nachweise: wer auf welches System zugegriffen hat, welche Änderungen vorgenommen wurden und wer sie genehmigt hat.
Persönliche KI-Konten oder ein Team-Arbeitsbereich
| Frage | Persönliche KI-Konten | Team-Arbeitsbereich wie Steward |
|---|---|---|
| Wo die Daten landen | Im Chatverlauf jedes einzelnen Mitarbeiters | In gemeinsamen Projekten des Unternehmens; verarbeitet von Steward und den genutzten KI-Modellanbietern |
| Zugriff pro Person | Was jeder selbst hochlädt oder verbindet | Pro Person und Team, pro System erteilt |
| Zugangsdaten | Oft von Einzelnen eingefügt oder gespeichert | Einmal eingegeben, verschlüsselt, nie angezeigt |
| Änderungen an Kundendaten | Oft direkt | Vorschläge, die vor der Ausführung geprüft werden |
| Wenn jemand das Unternehmen verlässt | Die Chats gehen mit ihm oder bleiben bei ihm | Zugriff an einer Stelle entfernen |
| Nachweise | Verstreut | Fragen, Vorschläge und Genehmigungen an einem Ort |
Wie Steward gute Datenschutzpraxis unterstützt
Steward ist so gebaut, dass der vernünftige Weg der Standard ist:
- Verbindungen gehören dem Unternehmen. Ein Administrator verbindet weclapp, Shopify oder ASA HOTEL einmalig. Zugangsdaten werden verschlüsselt, nie wieder angezeigt und nie an die KI weitergegeben.
- Projektrollen. Betrachter verfolgen Ergebnisse, Mitwirkende nutzen eingerichtete Verbindungen und bereiten Änderungen vor, Projektmanager genehmigen. Eingeladene Projektmitglieder benötigen keine separate Verbindungsfreigabe.
- Vier-Augen-Prinzip für Änderungen. Der voreingestellte Modus „Genehmigung anfordern“ und Genehmigungsregeln stellen eine Person zwischen die KI und Ihre Daten.
- Nachvollziehbarkeit. Vorschläge zeigen, wer entschieden hat, und die Ergebnisse der Ausführung. Siehe Wer hat das genehmigt?
- Sauberes Offboarding. Wenn Sie eine Person oder ein Teammitglied entfernen, endet ihr Weg zu den Daten, ohne dass neue Passwörter nötig sind. Siehe Offboarding und KI-Zugänge.
- Bedachtes Teilen. Öffentliche Freigabelinks kopieren nur ausgewählte sichtbare Inhalte, und Steward entfernt gängige Muster von Zugangsdaten. Geschäftliche Texte prüfen Sie vor dem Teilen trotzdem selbst. Siehe Ein Ergebnis teilen.
Fragen, die Sie mit Ihrem Datenschutzbeauftragten klären sollten
Auch mit guten Werkzeugen gehören einige Punkte in Ihre eigene Dokumentation:
- Welche KI-Werkzeuge für welche Daten freigegeben sind – und welche nicht.
- Ihre Auftragsverarbeitungsverträge mit den beteiligten Anbietern, einschließlich der Anbieter der KI-Modelle. Die Bedingungen zur Datenverarbeitung bei Steward erhalten Sie auf Anfrage von uns.
- Ob besondere Kategorien wie Gesundheitsdaten im Hotel verarbeitet werden dürfen, und von wem.
- Wie lange Chats und Dateien in Ihrem Arbeitsbereich aufbewahrt werden sollen.
- Wer dafür zuständig ist, Zugriffe zu erteilen und jedes Quartal zu überprüfen.
Eine einfache Richtlinie für den Anfang
- Keine Zugangsdaten in Chat-Werkzeugen. Geschäftssysteme werden nur über den Arbeitsbereich des Unternehmens verbunden.
- Keine Kundenexporte in persönlichen KI-Konten.
- Standardmäßig nur lesen. Änderungen laufen über Vorschläge und Genehmigung.
- Zugriff nach Rolle. Überprüfen Sie Projekt- und Verbindungszugriffe vierteljährlich.
- Offboarding schließt KI ein. Entfernen Sie Arbeitsbereichs-, Team- und Verbindungszugriffe am letzten Arbeitstag.
Jetzt starten
Projektrollen. Betrachter verfolgen Ergebnisse, Mitwirkende nutzen eingerichtete Verbindungen und bereiten Änderungen vor, Projektmanager genehmigen. Eingeladene Projektmitglieder benötigen keine separate Verbindungsfreigabe.