Datenpanne durch KI: Meldepflicht in 72 Stunden (DSGVO)

Ein Mitarbeiter fügt Kundendaten in ChatGPT ein. Ist das eine Datenpanne? Oft ja. Wenn personenbezogene Daten ohne Rechtsgrundlage an einen Dritten gelangen, liegt eine Verletzung der Vertraulichkeit vor. Dann gilt: Sie melden den Vorfall der Aufsichtsbehörde ohne unangemessene Verzögerung, möglichst binnen 72 Stunden. Es sei denn, ein Risiko für die Betroffenen ist unwahrscheinlich.

Was ist eine Datenpanne durch KI?

Viele denken bei einer Datenpanne nur an einen Hackerangriff. Das ist zu eng. Auch eine unbefugte Offenlegung zählt dazu. Wenn Daten an einen KI-Dienst ohne Vertrag und ohne Rechtsgrundlage gehen, ist das eine solche Offenlegung.

• Eine Verletzung der Vertraulichkeit: Daten gelangen an einen unbefugten Dritten.
• Ein KI-Dienst ohne Vertrag (AVV) und ohne Rechtsgrundlage zählt als solcher Dritter.
• Es braucht keinen Hackerangriff — auch das versehentliche Einfügen genügt.
• Betroffen sind Namen, Kontaktdaten, Verträge oder interne Kundendokumente.
• Entscheidend ist, ob personenbezogene Daten die Kontrolle Ihres Unternehmens verlassen.

Die 72-Stunden-Frist nach Art. 33

Ist ein Risiko für die Betroffenen wahrscheinlich, greift die Meldepflicht nach Art. 33 DSGVO. Sie melden dann ohne unangemessene Verzögerung, möglichst binnen 72 Stunden. Gehen Sie ruhig und in klaren Schritten vor.

1. 1Erkennen Sie den Vorfall und stoppen Sie den weiteren Datenabfluss.
2. 2Bewerten Sie das Risiko für die Rechte und Freiheiten der Betroffenen.
3. 3Ist ein Risiko wahrscheinlich, melden Sie binnen 72 Stunden an die Aufsichtsbehörde.
4. 4Die Frist läuft ab dem Zeitpunkt, an dem Ihnen die Panne bekannt wird.
5. 5Fehlen noch Details, melden Sie zuerst und reichen Informationen schrittweise nach.

Wann Sie die Betroffenen informieren müssen

Art. 34 DSGVO geht weiter als die reine Meldung an die Behörde. Er verlangt, dass Sie auch die betroffenen Personen informieren. Das gilt aber nur bei einem hohen Risiko für diese Personen.

• Art. 34 greift, wenn ein hohes Risiko für die Betroffenen besteht.
• Dann informieren Sie die Personen direkt und in klarer Sprache.
• Beschreiben Sie die Panne, die Folgen und Ihre Gegenmaßnahmen.
• Bei sensiblen Daten nach Art. 9 (z. B. Gesundheit) ist das Risiko oft hoch.
• Eine Information kann entfallen, wenn die Daten wirksam verschlüsselt waren.

Dokumentieren Sie jede Panne

Auch eine Panne, die Sie nicht melden, verschwindet nicht einfach. Art. 33 Abs. 5 verlangt eine interne Dokumentation. So können Sie Ihre Entscheidung später belegen.

• Art. 33 Abs. 5 verlangt, dass Sie jede Panne intern dokumentieren.
• Das gilt auch für Vorfälle, die Sie nicht als meldepflichtig einstufen.
• Halten Sie Fakten, Auswirkungen und Ihre Entscheidung fest.
• Ein Melderegister hilft der Behörde und schützt Sie bei Prüfungen.
• Legen Sie eine feste Meldeprozedur fest, bevor der Ernstfall eintritt.

So verkleinern Sie die Angriffsfläche

Die beste Panne ist die, die gar nicht erst entsteht. Sie können das Risiko schon vor der Eingabe senken. Der Schlüssel ist weniger Daten und klare Regeln.

• Schulen Sie Ihr Team: Keine echten Kundendaten in öffentliche KI-Tools.
• Klären Sie, welche KI-Dienste erlaubt sind und welche einen Vertrag haben.
• Laut OpenAI werden Eingaben aus Enterprise- und API-Produkten nicht zum Training genutzt; für Verbraucherkonten gelten andere Regeln.
• Minimieren Sie Daten vor der Eingabe (Art. 5 DSGVO) — geben Sie nur das Nötige preis.
• Ersetzen Sie identifizierende Angaben durch Platzhalter, bevor Text die KI erreicht.

Genau hier setzt ONYRI Sanitize an. Das Tool erkennt sensible Daten im Text und ersetzt sie durch reversible Platzhalter (Tokens), bevor etwas an eine KI geht. Die Zuordnungstabelle Token zu Wert bleibt in Ihrem Browser und wird nie an einen Server gesendet. Nach der Antwort der KI stellt ONYRI die echten Werte wieder her. Wichtig und ehrlich: Das ist Pseudonymisierung, keine Anonymisierung. Pseudonymisierte Daten bleiben personenbezogene Daten (Erwägungsgrund 26 DSGVO). ONYRI senkt die Angriffsfläche, ersetzt aber weder einen AVV noch eine Rechtsgrundlage — und entbindet nicht von den Meldepflichten, falls doch eine Panne eintritt.

Eine Datenpanne durch KI ist oft menschlich und schnell passiert. Handeln Sie ruhig und systematisch: Risiko bewerten, binnen 72 Stunden melden, alles dokumentieren. Am besten ist die Panne, die gar nicht erst entsteht — durch weniger Daten in der Eingabe.