KI und Datenschutz in Österreich: DSGVO, DSG und die DSB

KI und Datenschutz gehen in Österreich zusammen. Es gilt die DSGVO und zusätzlich das nationale Datenschutzgesetz (DSG). Die Aufsicht führt die Datenschutzbehörde (DSB). Wer personenbezogene Daten in eine KI eingibt, braucht eine Rechtsgrundlage und muss sparsam mit Daten umgehen. Kurz gesagt: KI ist erlaubt, aber nur mit klaren Regeln.

DSGVO und DSG in Österreich

In Österreich gelten zwei Ebenen zusammen. Die DSGVO ist das europäische Fundament. Das nationale DSG ergänzt sie. Laut DSG sind einige Punkte genauer geregelt.

• Die DSGVO gilt direkt in allen EU-Ländern, auch in Österreich.
• Das DSG ergänzt sie, etwa beim Datenschutz im Beschäftigungskontext.
• Laut DSG gilt ein Datengeheimnis (§ 6 DSG) für Mitarbeitende.
• In Österreich hat der Datenschutz mit § 1 DSG sogar Verfassungsrang (Grundrecht auf Datenschutz).
• Beide Ebenen gelten für die KI-Nutzung parallel.

Die Datenschutzbehörde (DSB)

Die DSB ist die zentrale Aufsichtsbehörde in Österreich. Sie wacht über die Einhaltung der DSGVO und des DSG. Bei Verstößen kann sie handeln.

• Die DSB ist die nationale Aufsichtsbehörde für den Datenschutz.
• Sie prüft Beschwerden von betroffenen Personen.
• Sie kann Verfahren einleiten und DSGVO-Bußgelder verhängen.
• Sie veröffentlicht Entscheidungen und Leitlinien.
• Unternehmen sollten ihre Entscheidungen und Verarbeitungen dokumentieren.

Rechtsgrundlage und Datenminimierung

Jede KI-Nutzung braucht eine rechtliche Grundlage. Art. 6 DSGVO nennt die möglichen Grundlagen. Art. 5 DSGVO verlangt zudem Datenminimierung. Laut OpenAI werden Eingaben von Geschäftskunden standardmäßig nicht zum Training verwendet. Prüfen Sie das trotzdem in der aktuellen Dokumentation.

• Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO.
• Art. 5 DSGVO verlangt Datenminimierung: nur so viel wie nötig.
• Mit dem KI-Anbieter brauchen Sie einen AVV nach Art. 28 DSGVO.
• Automatisierte Einzelentscheidungen sind nach Art. 22 DSGVO eingeschränkt.
• Prüfen Sie, ob der Anbieter Ihre Eingaben zum Training nutzt.

Was nicht in eine offene KI gehört

Manche Daten sind besonders geschützt. Art. 9 DSGVO zählt diese Kategorien abschließend auf. Ein einfacher Name gehört nicht dazu.

• Besondere Kategorien nach Art. 9 DSGVO sind besonders geschützt.
• Dazu zählen Gesundheit, Herkunft, Religion, Biometrie und mehr.
• Ein einfacher Name oder eine Adresse fällt nicht darunter.
• Solche sensiblen Daten gehören nicht in eine offene KI.
• Reduzieren Sie personenbezogene Angaben vor jeder Eingabe.

Praktische Schritte für Unternehmen

Datenschutz bei KI ist gut planbar. Ein paar feste Schritte helfen im Alltag. So bleiben Sie gegenüber der DSB auskunftsfähig.

1. 1Klären Sie die Rechtsgrundlage für jeden KI-Einsatz.
2. 2Schließen Sie einen AVV mit dem Anbieter ab.
3. 3Minimieren Sie Daten: pseudonymisieren Sie vor dem Senden.
4. 4Dokumentieren Sie Ihre Entscheidungen für die DSB.
5. 5Schulen Sie Ihr Team im Umgang mit KI.

Hier hilft ein Werkzeug wie ONYRI Sanitize. Es erkennt sensible Daten im Text und ersetzt sie durch umkehrbare Jetons, bevor der Text zur KI geht. Die Zuordnungstabelle bleibt im Browser und wird nie an einen Server gesendet. Nach der Antwort werden die echten Werte wieder eingesetzt. Wichtig und ehrlich: Das ist Pseudonymisierung, keine Anonymisierung. Pseudonymisierte Daten bleiben personenbezogen (Erwägungsgrund 26 DSGVO). ONYRI senkt die Datenexposition, ersetzt aber weder einen AVV noch eine Rechtsgrundlage.

KI und Datenschutz schließen sich in Österreich nicht aus. Mit DSGVO, DSG und der Aufsicht durch die DSB gibt es feste Regeln. Wer Daten minimiert und seine Entscheidungen dokumentiert, nutzt KI sicherer.