GDPR Compliance

Überblick

Die DSGVO legt strikte Regeln für die Verarbeitung personenbezogener Daten fest und erfordert: (1) Rechtmäßige Grundlage für die Verarbeitung (Einwilligung, Vertrag, berechtigtes Interesse), (2) Datenminimierung (nur notwendige Daten erfassen), (3) Zweckbindung (Daten nur für angegebenen Zweck verwenden), (4) Speicherbegrenzung (löschen, wenn nicht mehr benötigt), (5) Sicherheitsmaßnahmen, (6) Nutzerrechte (Zugang, Berichtigung, Löschung, Portabilität). Für KI: Trainingsdaten müssen DSGVO-konform sein. Auf personenbezogenen Daten trainierte Modelle erben Compliance-Verpflichtungen. Outputs können personenbezogene Informationen enthalten, die Schutz erfordern. Automatisierte Entscheidungen benötigen menschliche Aufsicht oder Erklärung (Artikel 22). LLMs stellen Herausforderungen dar: Wie löscht man Trainingsdaten? Wie gewährleistet man das Recht auf Vergessenwerden? Wie bietet man Erklärungen für Black-Box-Modelle?

DSGVO-Anforderungen für KI-Systeme

• Rechtsgrundlage: Einwilligung, Vertrag oder berechtigtes Interesse für Datenverarbeitung
• Datenschutz-Folgenabschätzung (DSFA): Erforderlich für Hochrisiko-KI-Systeme
• Recht auf Erklärung: Nutzer können Erklärung automatisierter Entscheidungen anfordern
• Datenminimierung: Minimal notwendige Daten für KI-Training/Inferenz erfassen
• Anonymisierung: Personenidentifizierbare Informationen aus Datensätzen entfernen
• Datenportabilität: Nutzer können ihre Daten in maschinenlesbarem Format exportieren
• Recht auf Vergessenwerden: Nutzerdaten aus Systemen löschen (inkl. trainierter Modelle)
• Grenzüberschreitende Transfers: Spezielle Regeln für Daten, die die EU verlassen (Angemessenheitsbeschlüsse, SCC)

Technische Umsetzung

• Verschlüsselung: AES-256 für ruhende Daten, TLS 1.3 für übertragene Daten
• Anonymisierung: k-Anonymität, Differential Privacy, synthetische Datengenerierung
• Zugriffskontrollen: Rollenbasierter Zugriff (RBAC), Audit-Logs, MFA
• Datenaufbewahrung: Automatisierte Löschung nach Aufbewahrungsfrist
• Einwilligungsverwaltung: Tracking und Durchsetzung von Nutzereinwilligungspräferenzen
• Modell-Governance: Versionskontrolle, Lineage-Tracking, Audit-Trails
• Pseudonymisierung: Identifikatoren durch Pseudonyme zur Verarbeitung ersetzen
• Sichere Enklaven: Sensible Daten in isolierten Umgebungen verarbeiten (SGX, TEE)

Code-Beispiel

# GDPR-compliant data handling example
import hashlib
from cryptography.fernet import Fernet
from datetime import datetime, timedelta

class GDPRCompliantDataHandler:
    def __init__(self, encryption_key):
        self.cipher = Fernet(encryption_key)
        self.consent_db = {}  # In production: use proper database
        self.retention_periods = {"analytics": 90, "training": 365}
    
    def pseudonymize(self, user_id: str) -> str:
        """Replace user ID with irreversible pseudonym"""
        return hashlib.sha256(user_id.encode()).hexdigest()
    
    def encrypt_pii(self, data: str) -> bytes:
        """Encrypt personally identifiable information"""
        return self.cipher.encrypt(data.encode())
    
    def decrypt_pii(self, encrypted_data: bytes) -> str:
        """Decrypt data (only when necessary)"""
        return self.cipher.decrypt(encrypted_data).decode()
    
    def check_consent(self, user_id: str, purpose: str) -> bool:
        """Verify user consent for specific purpose"""
        consent = self.consent_db.get(user_id, {})
        return consent.get(purpose, {}).get("granted", False)
    
    def record_consent(self, user_id: str, purpose: str, granted: bool):
        """Record user consent with timestamp"""
        if user_id not in self.consent_db:
            self.consent_db[user_id] = {}
        self.consent_db[user_id][purpose] = {
            "granted": granted,
            "timestamp": datetime.now().isoformat()
        }
    
    def should_delete(self, data_created: datetime, purpose: str) -> bool:
        """Check if data exceeds retention period"""
        retention_days = self.retention_periods.get(purpose, 365)
        return datetime.now() > data_created + timedelta(days=retention_days)
    
    def export_user_data(self, user_id: str) -> dict:
        """Right to data portability (Article 20)"""
        # Collect all user data from all systems
        return {
            "user_id": user_id,
            "consent_records": self.consent_db.get(user_id, {}),
            "exported_at": datetime.now().isoformat(),
            "format": "JSON"
        }
    
    def delete_user_data(self, user_id: str):
        """Right to be forgotten (Article 17)"""
        # Delete from all systems
        if user_id in self.consent_db:
            del self.consent_db[user_id]
        # In production: also delete from:
        # - Databases, S3 buckets, logs, backups
        # - Training datasets (if feasible)
        # - Notify third parties

# Usage example
key = Fernet.generate_key()
handler = GDPRCompliantDataHandler(key)

# Record user consent
user_id = "user123"
handler.record_consent(user_id, "analytics", True)
handler.record_consent(user_id, "marketing", False)

# Check consent before processing
if handler.check_consent(user_id, "analytics"):
    # Process analytics data
    pseudonym = handler.pseudonymize(user_id)
    encrypted_email = handler.encrypt_pii("user@example.com")
    print(f"Pseudonymized ID: {pseudonym}")

# Export user data (portability)
user_data = handler.export_user_data(user_id)
print(f"Exported data: {user_data}")

# Delete user data (right to be forgotten)
handler.delete_user_data(user_id)
print(f"User {user_id} data deleted")

Strafen und Durchsetzung

DSGVO-Verstöße ziehen erhebliche Bußgelder nach sich: Stufe 1 (bis zu 10 Mio. € oder 2% des weltweiten Umsatzes) für Verfahrensverstöße. Stufe 2 (bis zu 20 Mio. € oder 4% des weltweiten Umsatzes) für schwere Verstöße wie unbefugte Verarbeitung oder unzureichende Sicherheit. Bemerkenswerte KI-bezogene Bußgelder (Stand Oktober 2025): 746 Mio. € an Amazon (2021), 90 Mio. € an Google (2022), verschiedene Bußgelder von 10-50 Mio. € für Gesichtserkennung, automatisierte Entscheidungsfindung ohne Einwilligung und unzureichenden Datenschutz. Durchsetzung durch nationale Datenschutzbehörden (DSB). Unternehmen sollten DSFAs durchführen, Dokumentation führen, DSB für umfangreiche Verarbeitung ernennen und Privacy by Design implementieren.

DSGVO vs. KI-Verordnung

DSGVO (2018): Regelt Verarbeitung personenbezogener Daten, gilt für alle Systeme mit EU-Daten. EU-KI-Verordnung (2024): Reguliert Hochrisiko-KI-Systeme unabhängig vom Datentyp. Überschneidung: Beide erfordern Transparenz, Dokumentation, menschliche Aufsicht für automatisierte Entscheidungen. Unterschiede: DSGVO fokussiert auf Datenrechte, KI-Verordnung auf Systemsicherheit und Rechenschaftspflicht. Für KI-Systeme: Beide müssen eingehalten werden. DSGVO für Trainingsdaten und Nutzerinformationen, KI-Verordnung für Hochrisikoanwendungen (Beschäftigung, Kreditbewertung, Strafverfolgung). Kombinierte Compliance-Last erheblich, aber notwendig für EU-Marktzugang.

Professionelle Integrationsdienste von 21medien

21medien bietet DSGVO-Compliance-Services für KI-Systeme inklusive Datenschutz-Folgenabschätzungen (DSFA), technischer Implementierung (Verschlüsselung, Anonymisierung, Einwilligungsverwaltung), Dokumentation und Audit-Vorbereitung. Unser Team hilft Organisationen, DSGVO-Compliance bei gleichzeitigem Aufbau effektiver KI-Systeme zu erreichen. Für detaillierte DSGVO-Anleitungen siehe unseren Blogpost: DSGVO-Compliance für KI-Systeme (Beitrag Nr. 03). Kontaktieren Sie uns für Compliance-Beratung.

Ressourcen

DSGVO-Originaltext: https://gdpr.eu | EU-KI-Verordnung: https://artificialintelligenceact.eu | DSB-Liste: https://edpb.europa.eu | Blogpost: /de/blog/gdpr-compliance-ai-systems