Was Sie zu DSGVO, KI-Verordnung und Betriebsrat wissen sollten.

Wenn ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, verlangt Artikel 28 der DSGVO einen Vertrag zur Auftragsverarbeitung. Das betrifft die meisten KI-Dienste, sobald Kundendaten, Mails oder Belege hineinfließen. Wir klären das pro Dienst und halten es schriftlich fest.

Nur, wenn eine Rechtsgrundlage besteht, ein passender Vertrag vorliegt und die Einstellungen stimmen. Ohne diese Klärung sollten keine personenbezogenen Daten in private oder unklare Konten wandern. Für wiederkehrende Abläufe nutzen wir Dienste mit geschäftlichen Bedingungen oder lokale KI.

Sie ist in Artikel 35 der DSGVO geregelt und nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene mit sich bringt. Ob das auf Ihren Einsatz zutrifft, hängt von Daten und Zweck ab. Fragen Sie Ihren Datenschutzbeauftragten, wir liefern die Beschreibung des Ablaufs dafür.

Ein neuer Ablauf, der personenbezogene Daten verarbeitet, gehört in das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 der DSGVO. Wir liefern pro Automatisierung eine Beschreibung mit Zweck, Datenarten und Empfängern als Entwurf, die Sie übernehmen können.

Die Verordnung gilt stufenweise und unterscheidet nach Risiko. Bestimmte Praktiken sind verboten, und Betreiber müssen für ausreichende KI-Kompetenz ihres Personals sorgen. Die meisten Büroabläufe fallen nicht in die Hochrisiko-Stufe. Prüfen Sie den aktuellen Stand und Ihre Einordnung im Einzelfall rechtlich.

Unternehmen, die KI-Systeme einsetzen, sollen Maßnahmen ergreifen, damit ihr Personal über ausreichende KI-Kompetenz verfügt. In der Praxis heißt das: Wer mit KI arbeitet, weiß, was sie kann, wo sie irrt und was geprüft werden muss. Eine kurze, dokumentierte Einweisung gehört bei uns zu jeder Automatisierung.

Wenn ein Betriebsrat besteht, hat er nach § 87 Absatz 1 Nummer 6 des Betriebsverfassungsgesetzes mitzubestimmen bei technischen Einrichtungen, die geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Binden Sie ihn früh ein. Wir liefern eine verständliche Beschreibung, welche Daten wie verarbeitet werden.

Das hängt vom Fall. Bei Systemen, die direkt mit Menschen sprechen, etwa Chatbots, sieht die KI-Verordnung Transparenzpflichten vor, deren Zeitpunkt und Umfang Sie prüfen sollten. Bei Entwürfen, die ein Mensch prüft und unter dem Namen Ihres Betriebs versendet, tragen Sie wie bisher selbst die Verantwortung für den Inhalt.

Gegenüber Ihren Kunden haften Sie wie bei jedem Werkzeug für das, was Ihr Betrieb versendet. Deshalb gibt es Freigabeschritte. Unsere Haftung als Dienstleister regelt der Vertrag. Eine Rechtsberatung zu Ihrem Einzelfall ersetzt das nicht.

Das deutsche Urheberrecht schützt persönliche geistige Schöpfungen von Menschen. Rein maschinell erzeugte Texte sind deshalb meist nicht geschützt. Für Geschäftsmails und Angebote spielt das selten eine Rolle, für Marketingtexte und Markenauftritte sollten Sie es bedenken.

Die Pflichten ändern sich nicht durch KI. Je nach Unterlage gelten Aufbewahrungsfristen von sechs bis zehn Jahren, und steuerlich relevante Unterlagen müssen den GoBD entsprechen. Die KI darf Originale nicht verändern oder löschen. Details klären Sie mit Ihrem Steuerberater.

Daten von Beschäftigten, etwa Stundenzettel, unterliegen besonderen Anforderungen, unter anderem § 26 des Bundesdatenschutzgesetzes. Zweck, Zugriffe und Löschfristen müssen klar sein, und Leistungsüberwachung ist kein Ziel unserer Abläufe. Mit Betriebsrat und Datenschutzbeauftragtem früh abstimmen.