Datenschutz und DSGVO in KI-Projekten: eine Checkliste

Rechtsgrundlage und Zweck der Verarbeitung, Datenminimierung, Zugriffskontrolle, Transparenz gegenüber Betroffenen, gegebenenfalls eine Datenschutz-Folgenabschätzung (DSFA), eine geprüfte Grundlage für Drittlandtransfers, Auftragsverarbeiter-Verträge sowie Lösch- und Auskunftskonzepte. Die einzige Aufsicht in Österreich ist die Datenschutzbehörde (DSB). Dies ist keine Rechtsberatung.

Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene birgt — etwa bei umfangreicher Verarbeitung sensibler Daten oder systematischer Bewertung von Personen. Viele KI-Anwendungen fallen darunter. Im Zweifel mit der Datenschutzbehörde oder einem Berater abklären.

Transfers in die USA brauchen eine gültige Grundlage — das EU–US Data Privacy Framework (für zertifizierte Empfänger) oder Standardvertragsklauseln mit Transfer-Folgenabschätzung. Die DSB ist hier streng. Oft ist es einfacher, den Transfer durch EU-Hosting oder lokale Inferenz zu vermeiden. dgm gestaltet solche Architekturen.