Braucht Ihr Unternehmen einen Datenschutzbeauftragten für den KI-Einsatz?

Die Antwort liegt in einer Nuance. Nein, der Einsatz von KI zwingt Sie nicht für sich allein dazu, einen Datenschutzbeauftragten (DPO) zu bestellen. Ja, Ihre Nutzung kann diese Pflicht in bestimmten Fällen auslösen. Alles hängt von der Art und dem Umfang der Daten ab, die Sie verarbeiten. Nicht vom Werkzeug. Artikel 37 der DSGVO nennt drei Fälle, in denen ein Datenschutzbeauftragter Pflicht ist. Außerhalb dieser Fälle empfiehlt die CNIL die Bestellung dennoch. Und in jedem Fall gilt eine unmittelbare Pflicht: Minimieren und anonymisieren Sie Ihre Daten, bevor Sie sie der KI anvertrauen.

Ein Datenschutzbeauftragter ist in drei Fällen Pflicht

Artikel 37 der DSGVO ist präzise. Die Bestellung eines Datenschutzbeauftragten ist nur in drei Situationen Pflicht. Es genügt, eine einzige davon zu erfüllen, um betroffen zu sein.

• Die Verarbeitung wird von einer Behörde oder öffentlichen Stelle durchgeführt.
• Ihre Kerntätigkeiten bestehen in der umfangreichen regelmäßigen und systematischen Überwachung von Personen.
• Ihre Kerntätigkeiten bestehen in der umfangreichen Verarbeitung besonderer Kategorien von Daten (Gesundheit, Biometrie, Meinungen, Herkunft…) oder von Daten über strafrechtliche Verurteilungen.

Zwei Wörter verdienen Aufmerksamkeit: „Kerntätigkeiten“. Das Kriterium zielt auf den Kern Ihres Geschäfts. Nicht auf eine Nebenaufgabe. Ein Unternehmen, dessen Haupttätigkeit weder die Überwachung von Personen noch der Umgang mit sensiblen Daten ist, fällt oft nicht unter die drei Fälle. Die CNIL setzt dies durchaus durch: Sie hat französische Gemeinden förmlich aufgefordert, einen Datenschutzbeauftragten zu bestellen. Kommunen sind öffentliche Stellen und fallen damit unter den ersten Fall.

Der KI-Einsatz begründet die Pflicht nicht

KI allein löst keine Pflicht zur Bestellung eines Datenschutzbeauftragten aus. Entscheidend ist, was Sie verarbeiten und in welchem Umfang. Die umfangreiche Analyse von Gesundheitsdaten mittels einer KI kann Sie in den dritten Fall kippen. Ein KI-Assistent zum Verfassen von E-Mails nicht. Die meisten KMU, die KI für alltägliche Aufgaben nutzen, bleiben außerhalb der drei Fälle.

Dennoch geht die CNIL weiter. Auch ohne Pflicht empfiehlt sie, einen Datenschutzbeauftragten zu bestellen. Ein einziger Ansprechpartner hilft, die Konformität aller Ihrer Verarbeitungen zu steuern. Das ist eine Empfehlung, keine versteckte Verpflichtung. Wägen Sie den Nutzen gegen Ihren Reifegrad ab.

„Kein Datenschutzbeauftragter, keine Auflagen“: das ist falsch

Der Einwand kommt oft. Kein verpflichtender Datenschutzbeauftragter, also keine Auflage. Das ist falsch. Die DSGVO gilt unabhängig davon, ob Sie einen Datenschutzbeauftragten haben. Mehrere Pflichten bleiben bei jeder beruflichen Nutzung von KI in vollem Umfang bestehen.

Eine Rechtsgrundlage für Ihre Verarbeitung (Artikel 6). Die Datenminimierung (Artikel 5). Die Information der betroffenen Personen. Das Führen des Verzeichnisses der Verarbeitungstätigkeiten. Die Sicherheit. Und eine DSFA (Datenschutz-Folgenabschätzung, Artikel 35), sobald eine Verarbeitung ein hohes Risiko darstellt.

Die DSFA ist ein vom Datenschutzbeauftragten getrenntes Instrument. Sie ist beispielsweise bei der umfangreichen Verarbeitung sensibler Daten oder beim automatisierten Profiling erforderlich. Manche KI-Nutzungen schaffen genau diese Konstellationen. Datenschutzbeauftragter und DSFA sind zwei getrennte Pflichten. Die eine befreit niemals von der anderen.

Der Hebel, den Sie heute ansetzen können

Ob Datenschutzbeauftragter Pflicht ist oder nicht — ein Hebel senkt das Risiko sofort. Die Minimierung. Übermitteln Sie der KI nur die unbedingt erforderlichen Daten. Entfernen oder anonymisieren Sie personenbezogene und sensible Daten zuvor. Bevor sie Ihre Umgebung verlassen. Dieser Schritt beantwortet Artikel 5 der DSGVO unmittelbar, und Sie warten auf keine organisatorische Entscheidung, um ihn umzusetzen.

1. 1Erfassen Sie die personenbezogenen und sensiblen Daten in Ihren Prompts.
2. 2Entfernen oder anonymisieren Sie, was die Antwort nicht benötigt.
3. 3Senden Sie der KI nur den anonymisierten Text.
4. 4Stellen Sie die echten Werte in der Antwort lokal wieder her.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten — Namen, Kontaktdaten, Kennungen, Gesundheitsdaten, technische Geheimnisse — und ersetzt sie vor dem Senden durch umkehrbare Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Klar gesagt: ONYRI ist weder ein Datenschutzbeauftragter noch ein Ersatz für Ihre DSGVO-Konformität. Es ist eine technische Minimierungskontrolle, die das Risiko im Vorfeld senkt — ob Sie einen Datenschutzbeauftragten haben oder nicht.