Darf ich vorhandene Kundendaten für neue KI-Zwecke nutzen?

Das Problem

Sie haben über Jahre Kundendaten gesammelt: Namen, Adressen, Aufträge, Rechnungen, Korrespondenz. Nun reizt Sie der Gedanke, diese Daten mit KI auszuwerten: Welche Kundinnen kaufen regelmässig? Welche Anfragen häufen sich? Lassen sich Mails automatisch beantworten? Sie fragen sich, ob das erlaubt ist, denn die Daten haben Sie ursprünglich für Aufträge erhoben, nicht für KI-Projekte.

Die Frage ist berechtigt. Das Datenschutzrecht kennt den Grundsatz der Zweckbindung: Daten werden für einen bestimmten Zweck erhoben und sollen später nicht beliebig für etwas ganz anderes verwendet werden. Wer diesen Grundsatz ignoriert, riskiert Vertrauensverlust und rechtliche Probleme.

Gleichzeitig heisst Zweckbindung nicht, dass Sie nichts Neues tun dürfen. Es kommt darauf an, ob der neue Zweck mit dem ursprünglichen vereinbar ist, und ob die Betroffenen damit rechnen konnten.

Einfach erklärt

Im Schweizer Datenschutzgesetz heisst es sinngemäss: Personendaten dürfen nur zu einem bestimmten Zweck beschafft werden, der für die betroffene Person erkennbar ist, und nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist. Die DSGVO kennt einen ähnlichen Grundsatz und verlangt bei Zweckänderungen eine Prüfung der Vereinbarkeit.

Ein Gedankenspiel hilft: Würde die Kundin überrascht oder verärgert sein, wenn sie erführe, wozu ihre Daten nun dienen? Je grösser die Überraschung, desto eher liegt ein neuer, nicht vereinbarer Zweck vor.

So lösen Sie es mit KI – Schritt für Schritt

So prüfen Sie ein KI-Vorhaben vor dem Start:

1. Ursprünglichen Zweck feststellen: Wofür haben Sie die Daten erhoben? Schauen Sie in Datenschutzerklärung, Verträge und Formulare.
2. Neuen Zweck beschreiben: Was genau soll die KI mit den Daten tun? Schreiben Sie es in zwei Sätzen auf.
3. Vergleichen: Wie nahe liegen alter und neuer Zweck? Würden die Betroffenen damit rechnen? Gibt es einen sachlichen Zusammenhang?
4. Daten reduzieren: Prüfen Sie, welche Angaben für den neuen Zweck nötig sind. Siehe Datenminimierung bei KI.
5. Dienst und Rolle klären: Wohin gehen die Daten, wer verarbeitet sie, und nutzt der Anbieter sie für eigene Zwecke? Siehe Auftragsverarbeitung erkennen.
6. Information prüfen: Informiert Ihre Datenschutzerklärung über den neuen Zweck und die KI-Nutzung? Wenn nicht, prüfen Sie, ob eine Anpassung aufgrund der konkreten Informationspflichten erforderlich ist. Siehe Datenschutzerklärung für KI.
7. Rechtfertigung klären: Reicht der bestehende Rahmen, oder ist eine Einwilligung oder andere Grundlage nötig? Siehe Einwilligung für KI-Verarbeitung und KI ohne Einwilligung.
8. Entscheid dokumentieren: Halten Sie fest, wie Sie geprüft haben und zu welchem Ergebnis Sie gekommen sind. Bei Unsicherheit holen Sie eine Beratung ein.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie Ihre Prüfung vor. Beschreiben Sie Datenarten und Zwecke, keine echten Daten:

Wir sind ein [Betrieb, Branche, Standort Schweiz]. Wir haben von Kundschaft folgende Daten für den Zweck [ursprünglicher Zweck, z. B. Auftragsabwicklung und Rechnungsstellung] erhoben: [Datenarten].
Neu planen wir, diese Daten mit KI für folgenden Zweck zu nutzen: [neuer Zweck, z. B. Auswertung von Anfragen, Antwortentwürfe, Kundenanalyse].
Der KI-Dienst ist: [Dienst oder noch offen]. Die Betroffenen wurden bisher informiert über: [Datenschutzerklärung ja/nein, Inhalt].
Erstelle eine Liste mit Fragen, die geprüft werden müssen, um zu beurteilen, ob der neue Zweck mit dem ursprünglichen vereinbar ist, und welche Schritte (Information, Einwilligung, Vertrag mit dem Anbieter) vorzubereiten sind.
Gib keine Rechtsberatung, kennzeichne Unsicherheiten und erfinde keine Gesetzesstellen.

Füllen Sie die Klammern aus. Die Liste dient als Gesprächsgrundlage mit der Datenschutzverantwortlichen oder einer Fachperson.

Worauf Sie achten müssen

• Erkennbarkeit: Entscheidend ist, was Betroffene vernünftigerweise erwarten durften. Was in keiner Information vorkam, gilt oft als nicht erkennbar.
• Neue Zwecke brauchen Prüfung: Marketing, Profilbildung und Modelltraining sind typische Zweckänderungen.
• Datenschutzerklärung aktuell halten: Prüfen Sie, ob der konkrete KI-Einsatz die Bearbeitung oder die erforderlichen Informationen relevant verändert. Passen Sie den Datenschutzhinweis an, wenn dies nach dem anwendbaren Recht erforderlich ist.
• Besonders schützenswerte Daten: Hier sind die Anforderungen höher. Siehe Sensible Daten und KI.
• EU-Bezug: Bei EU-Kundschaft kann die DSGVO gelten, mit eigenem Prüfschema für Zweckänderungen, siehe DSGVO für Schweizer Firmen.
• Berufsgeheimnis und Verträge: Besondere Pflichten aus Berufsgeheimnis oder Vertrag können den Spielraum einschränken.
• Keine Rechtsberatung: Die Prüfung ist einzelfallabhängig. Fachleute sind im Zweifel beizuziehen.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Reisebüro in Luzern hat für Buchungen Kundendaten gesammelt und möchte mit KI herausfinden, welche Kundinnen und Kunden sich für Kreuzfahrten interessieren könnten, um ihnen gezielt Angebote zu schicken.

Vorher: Der Inhaber lädt die Kundenliste mit Reisehistorie in einen Cloud-Dienst und lässt Gruppen bilden. Später fragt eine Kundin, woher sie die Werbung habe.

Nachher: Beim nächsten Mal prüft er zuerst: Der ursprüngliche Zweck war die Abwicklung von Buchungen, der neue Zweck ist Werbung auf Basis von Auswertungen. Das ist ein eigener Zweck. Er informiert in der Datenschutzerklärung über die Analyse, bietet eine einfache Möglichkeit zum Widerspruch, wertet nur nötige Daten aus und verwendet einen Dienst, mit dem ein passender Vertrag besteht. Die Beratung bestätigt, dass er für die Werbung weitere Anforderungen beachten muss.

So hilft Ihnen Alpasana

Wer Datenschutz und KI im Betrieb verständlich einordnen lernen möchte, findet bei absofort passende Weiterbildung. Die KI-Weiterbildung für Unternehmen behandelt laut Beschreibung Schweizer Praxisbezug und Datenschutz als Lerninhalte sowie den verantwortungsbewussten Umgang mit Unternehmensdaten, mit Lernen im eigenen Tempo und verifizierbaren Abschlüssen. Rechtsberatung ersetzt das nicht.

Häufige Fragen

Darf ich Kundendaten ohne Einwilligung mit KI auswerten?

Das hängt von Zweck, Daten und Dienst ab. Nicht jede Auswertung braucht eine Einwilligung, aber jede braucht eine Prüfung. Siehe KI ohne Einwilligung.

Reicht ein Hinweis in der Datenschutzerklärung?

Information ist wichtig, ersetzt aber nicht die Prüfung, ob der Zweck zulässig ist. Bei neuen oder überraschenden Zwecken kann zusätzlich eine Einwilligung nötig sein.

Was gilt für Daten aus alten Aufträgen?

Dieselben Grundsätze. Prüfen Sie, wie lange Sie die Daten aufbewahren dürfen und müssen, und löschen Sie, was nicht mehr nötig ist. Siehe Löschkonzept für KI-Daten.

Gilt das auch für Mitarbeiterdaten?

Ja, die Grundsätze gelten auch dort, mit zusätzlichen arbeitsrechtlichen Vorgaben. Siehe KI und Mitarbeiterdaten.