Löschkonzept für KI-Daten: Vorlage für kleine Betriebe

Das Problem

Im Betrieb wird KI genutzt: Es gibt Chatverläufe mit Kundenanfragen, hochgeladene Dokumente, Transkripte von Sitzungen, erzeugte Entwürfe. Niemand hat festgelegt, wie lange das aufbewahrt wird. Die Daten liegen in Konten einzelner Mitarbeitender, in Cloud-Diensten, auf Laptops und in E-Mail-Anhängen. Ob je etwas gelöscht wird, hängt vom Zufall ab.

Das ist aus mehreren Gründen ein Problem. Personendaten dürfen nicht länger gespeichert werden, als es für den Zweck nötig ist. Je mehr Altbestände existieren, desto grösser das Risiko bei einem Datenverlust oder einer Anfrage nach Auskunft oder Löschung. Gleichzeitig dürfen Sie Dinge nicht vorschnell löschen, wenn Aufbewahrungspflichten bestehen.

Ein Löschkonzept schafft Ordnung. Für kleine Betriebe genügt eine einfache Tabelle und eine Routine, die eine Person verantwortet. Rechtsberatung ersetzt diese Seite nicht.

So lösen Sie es mit KI – Schritt für Schritt

1. Datenquellen erfassen: Wo entstehen KI-Daten? Chatverläufe in Diensten, hochgeladene Dateien, Transkripte, exportierte Ergebnisse, Entwürfe, Protokolle. Ergänzen Sie das Verzeichnis, siehe KI im Verarbeitungsverzeichnis.
2. Zweck pro Datenart festhalten: Wozu werden die Daten gebraucht? Wenn der Zweck erfüllt ist, entfällt meist der Grund für die Aufbewahrung.
3. Aufbewahrungspflichten klären: Welche Daten müssen aus gesetzlichen oder vertraglichen Gründen aufbewahrt werden, etwa Buchhaltungsunterlagen? Dort gelten feste Fristen, die Sie nicht unterschreiten dürfen. Klären Sie sie mit Ihrer Treuhänderin oder Rechtsberatung.
4. Fristen festlegen: Bestimmen Sie für jede Datenart eine möglichst kurze, begründete Frist. Für reine Arbeitsentwürfe und Chatverläufe können wenige Wochen genügen.
5. Zuständigkeit bestimmen: Wer löscht, wer kontrolliert? Benennen Sie eine verantwortliche Person und eine Stellvertretung.
6. Technik prüfen: Gibt es in den Diensten Aufbewahrungseinstellungen, automatische Löschung oder Administratorfunktionen? Nutzen Sie sie. Siehe Chatverlauf löschen und Datenschutz.
7. Routine einführen: Planen Sie einen festen Termin, etwa vierteljährlich, an dem gelöscht und kontrolliert wird. Halten Sie die Durchführung fest.
8. Ausnahmen und Austritte regeln: Was gilt bei Streitfällen, Anfragen von Betroffenen oder beim Austritt von Mitarbeitenden? Siehe Austritt: Zugriffe und Daten.

Vorlage zum Kopieren

Mit diesem Auftrag lassen Sie sich eine Tabellenstruktur vorbereiten. Setzen Sie Ihre Datenarten ein, Fristen legen Sie selbst fest:

Wir sind ein [Betrieb, Branche, Mitarbeitende] in der Schweiz und nutzen KI für [Zwecke]. Bei uns entstehen folgende KI-Daten: [Liste, z. B. Chatverläufe, hochgeladene Dokumente, Transkripte, erzeugte Entwürfe, Protokolle].
Erstelle eine Tabelle für ein Löschkonzept mit den Spalten: Datenart, Speicherort, Zweck, Aufbewahrungsfrist (leer lassen, wir füllen sie aus), gesetzliche Aufbewahrungspflicht (zu klären), verantwortliche Person, Löschmethode, Kontrolle (Intervall).
Ergänze Hinweise, welche Fragen wir mit Treuhand oder Rechtsberatung klären müssen. Erfinde keine Fristen, Paragrafen oder Anbieterfunktionen und gib keine Rechtsberatung.

Ergänzen Sie Ihre Datenarten und füllen Sie Fristen und Zuständigkeiten gemeinsam im Team aus.

Worauf Sie achten müssen

• Gesetzliche Aufbewahrungspflichten: Für Geschäftsbücher und Buchungsbelege gelten gesetzliche Fristen, die Sie einhalten müssen. Prüfen Sie, welche KI-Ergebnisse dazu zählen.
• Nicht jede Löschung ist möglich: Anbieter behalten Daten teils länger. Prüfen Sie Fristen in den Bedingungen, siehe Datenschutz bei gelöschten Chats.
• Streitfälle und Anfragen: Wenn ein Streit oder eine Auskunftsanfrage läuft, dürfen betroffene Daten nicht einfach gelöscht werden. Klären Sie das vorher.
• Mehrfachspeicherung: Daten liegen oft an mehreren Orten. Ein Konzept muss alle Orte erfassen, inklusive Downloads und E-Mails.
• Eigenverantwortung: Ohne Zuständige geschieht nichts. Benennen Sie Verantwortliche und prüfen Sie die Umsetzung.
• Dokumentation: Halten Sie fest, was wann gelöscht wurde, ohne den gelöschten Inhalt zu speichern.
• Rechtliche Prüfung: Fristen sind Einzelfallfragen. Lassen Sie das Konzept von Fachleuten prüfen.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Architekturbüro in Chur mit zwölf Mitarbeitenden nutzt KI für Texte, Übersetzungen und Sitzungsprotokolle.

Vorher: In den Konten der Mitarbeitenden liegen hunderte alte Chats mit Projektdaten, auch von ausgetretenen Personen. Niemand weiss, was noch gespeichert ist.

Nachher: Die Büroleiterin erfasst die Datenquellen, klärt mit der Treuhänderin, was aufbewahrt werden muss, und legt für Chats und Transkripte kurze Fristen fest. Sie stellt in den Diensten die Aufbewahrungseinstellungen ein, benennt sich als Verantwortliche und plant jedes Quartal einen Kontrolltermin. Beim Austritt von Mitarbeitenden gibt es eine Checkliste. Die Tabelle wird Teil der Datenschutzdokumentation.

So hilft Ihnen Alpasana

Wer KI-Abläufe im Betrieb geordnet einführen möchte, kann sich beraten lassen. Die KI-Beratung und digitale Transformation von Alpasana umfasst laut Beschreibung die Aufnahme von Prozessen, KI-Potenzialanalysen, das Priorisieren von Vorhaben, einen Umsetzungsplan sowie Einsatzregeln beim Integrieren von KI-Agenten. Projekte werden individuell offeriert. Eine Rechtsberatung ersetzt das nicht.

Häufige Fragen

Wie lange darf ich KI-Daten aufbewahren?

So lange, wie es für den Zweck nötig ist, und bei geschäftlichen Unterlagen so lange, wie es das Gesetz verlangt. Legen Sie für jede Datenart eine begründete Frist fest.

Muss ich alle Chats löschen?

Nicht alle, aber solche ohne weiteren Zweck. Chats, die als Arbeitsgrundlage oder Geschäftsunterlage dienen, behandeln Sie wie andere Geschäftsdokumente.

Wer ist dafür zuständig?

Der Betrieb legt eine verantwortliche Person fest, oft die Datenschutzverantwortliche oder die Büroleitung. Die Geschäftsleitung bleibt verantwortlich.

Was, wenn der Anbieter nicht löscht?

Dann können Sie eine Löschung verlangen, siehe Löschungsantrag-Vorlage. Prüfen Sie auch, ob der Dienst für Ihre Daten geeignet ist.