Datenökonomie, Big Data und der Einsatz von Künstlicher Intelligenz sind in aller Munde. Für den Otto-Normal-Bürger ist das Thema oft schwer greifbar: Für ihn lässt sich kaum erahnen oder nur spekulieren, zu welchen positiven wie negativen Errungenschaften beispielsweise die KI und ihre rasante Entwicklung in der Lage ist und zur Folge haben könnte. Auf den ersten Blick mag schon die Komplexität der aktuellen Rechtslage abschreckend wirken und viele Rechtsanwender überfordern. Sie ist vor allem darauf zurückzuführen, dass zahlreiche Regelungsaspekte noch offen sind oder weiterer Anpassungen bedürfen. Das macht es für Unternehmen, die mit ihren Geschäftsmodellen erfolgreich und vor allem rechtssicher agieren wollen, nicht einfacher.

Wir haben Rechtsanwältin Marlene Schreiber gefragt, worauf es ankommt und wie sich rechtliche Fallstricke vermeiden lassen, um mit neuen Businessmodellen und im Dialogmarketing erfolgreich zu sein. Sie erklärt im Interview, warum es sich lohnt, auf KI zu setzen und warum Pragmatismus dabei so wichtig ist.

DDV: Frau Schreiber, ohne die Sammlung und Verarbeitung von Daten, einschließlich personenbezogener Informationen, geht es in der Unternehmenspraxis häufig nicht. Sie sind Expertin auf diesem Gebiet. Worauf muss ich achten, wenn ich meinen Business-Case formuliere?

Schreiber: Klären Sie, welche Daten benötigt und wann sie durch wen verarbeitet werden (z. B. zur Vertragserfüllung). Liegt eine Einwilligung vor oder muss auf das „berechtigten Interesse“ zurückgegriffen werden? Ohne Rechtsgrundlage ist keine Datenverarbeitung möglich. Das ist wichtig. Wenn eine Datenverarbeitung im Nicht-EU-Ausland erfolgt, wird es komplizierter, dann sind zusätzliche Garantien für ein ausreichendes Datenschutzniveau einzuhalten. Ggf. müssen mit allen an der Datenverarbeitung Beteiligten (z. B. Auftragsverarbeiter oder gemeinsam Verantwortliche) entsprechende Verträge geschlossen werden. Nicht zu vergessen: Sind die Rechte der von der Datenverarbeitung Betroffenen gewahrt? Also insbesondere: Informiere ich ausreichend transparent und habe ich interne Strukturen geschaffen, die mir die umgehende Erfüllung der gesetzlichen Betroffenenrechte (z. B. Auskunftsrechte) ermöglichen?

DDV: Das sind die Basics.

Schreiber: Ja, genau, wenn mein Businesscase die Einbindung von KI beinhaltet, sollte ich unbedingt prüfen, ob ggf. eine sog. Datenschutzfolgenabschätzung erforderlich ist. Das ist immer dann der Fall, wenn die Datenverarbeitung für die Rechte und Freiheiten der Betroffenen ein hohes oder ein sehr hohes Risiko zur Folge haben kann. Das kann zum Beispiel beim Einsatz von KI-gestützten Chatbots der Fall sein.

DDV: Wenn ein Unternehmen KI-Tools für das Dialogmarketing einsetzt, tauchen regelmäßig Fragen zur Haftung und zur Verantwortung auf. Wer ist verantwortlich, wenn z. B. ein KI-Tool fehlerhafte oder irreführende Informationen bereitstellt?

Schreiber: Verantwortlich ist grundsätzlich immer das Unternehmen, das das KI-Tool einsetzt. Wenn ich als Unternehmen z. B. ChatGPT nutze, um Newslettercontent zu erstellen und das Ergebnis verletzt Rechte Dritter, indem es z. B. Stellen eines urheberrechtlich geschützten Romans verwendet oder falsche Informationen verbreitet, dann hafte ich nach außen vollumfänglich dafür. Die Ausrede „Das war ich nicht, das war meine KI“ verfängt nicht.

DDV: Also besser Hände weg von Künstlicher Intelligenz?!

Schreiber: Nein. Auch wenn es eine Reihe von Risiken gibt, sollten Unternehmen nicht vor lauter Angst den Anschluss an neue Technologien verlieren. Besser ist es, die Risiken zu analysieren und zu überlegen, wie man diese minimieren kann. Dabei sollte man nicht leichtsinnig, aber pragmatisch an die Herausforderungen herangehen. Zusätzlich können interne Prozesse, z. B. zur Kontrolle des Outputs vor dessen Einsatz mithilfe von Plagiatsprüfern sowie interne Vorgaben zum Umgang mit entsprechenden Tools helfen.

DDV: Welche Maßnahmen zum Schutz der Daten empfehlen Sie? Welche Vorkehrungen müssen beispielsweise getroffen werden, um potenzielle Datenlecks oder unbefugten Zugriff zu verhindern?

Schreiber: Wenn ich als Unternehmen personenbezogene Daten verarbeite, sollte ich zwingend über ein angemessenes Datenschutz- und IT-Sicherheitskonzept verfügen. Das beste Konzept hilft aber nicht, wenn es nicht auch „gelebt“ wird. Dabei darf man nicht unterschätzen, dass das größte Risiko häufig nicht die Technik, sondern der Mensch, der sie bedient, ist. Wir empfehlen daher Mandanten vor allem, ihre Mitarbeitenden aktiv in die Umsetzung der Maßnahmen einzubeziehen und sie fortlaufend zu schulen.

DDV: Welche Chancen schreiben Sie neuen Techniken zur Anonymisierung und Verschlüsselung zu?

Schreiber: Aus datenschutzrechtlicher Sicht ist eine echte Anonymisierung eine gute Sache und wenn Unternehmen ihre Ziele auch mit Daten erreichen können, die keinerlei Personenbezug (mehr) haben, ist das absolut empfehlenswert. Das Problem ist nur: nicht überall wo „Anonymisierung“ drauf steht, sind auch nur noch Daten ohne Personenbezug drin.

Häufig ist es nicht möglich, vollständig auf die Verarbeitung personenbezogener Daten zu verzichten. Dann können Verschlüsselungstechniken erheblich zur Datensicherheit beitragen. Insbesondere ein zentrales Schlüsselmanagement erleichtert die effektive und wirksame Umsetzung im Unternehmen. Wichtig ist auch hier, das Verschlüsselungskonzept stets aktuell zu halten und regelmäßig zu überprüfen, ob Anpassungen erforderlich sind.

DDV: Welche rechtlichen Aspekte sollten bei der Gestaltung der Nutzungsbedingungen für den Einsatz von KI-Tools berücksichtigt werden? Wie können Haftungsrisiken minimiert werden?

Schreiber: Das kommt immer darauf an, welche Funktionen das KI-Tool hat und ob es gegenüber Verbrauchern oder Unternehmern eingesetzt wird. Wichtig ist, die Leistungspflichten klar zu definieren. Werden konkrete Ergebnisse versprochen oder wird dem Nutzer lediglich die Nutzung des Tools ermöglicht? Wie sind die Nutzungsrechte am In- und Output gestaltet?

Was die Beschränkung der Haftung über AGB bzw. Nutzungsbedingungen angeht, ist das deutsche AGB-Recht – insbesondere im B2C-Bereich – sehr restriktiv.

DDV: Welche Vorschriften und Bestimmungen in Bezug auf Wettbewerbsrecht und Irreführung müssen bei der Verwendung von KI-Tools im Dialogmarketing beachtet werden? Wie kann ein Unternehmen sicherstellen, dass die Verwendung von KI-Tools keine Verletzung von geistigem Eigentum, wie Urheberrechten oder Markenrechten, darstellt?

Hier muss man zwischen dem In- und Output unterscheiden. Ob die Verwendung von urheberrechtlich geschütztem Input eine Verletzungshandlung darstellt, ist nicht abschließend geklärt – ich gehe derzeit nicht davon aus.

Vor der Verwendung des Outputs muss ich als Unternehmen prüfen, ob das Tool urheberrechtlich geschützte Werke in unzulässiger Form übernommen hat. Am einfachsten gelingt dies durch einen Plagiatsprüfer.

DDV: Welche Empfehlungen haben Sie, um die rechtlichen Risiken im Zusammenhang mit dem Einsatz von KI-Tools im Dialogmarketing zu minimieren?

Schreiber: Eine Checkliste sollte aus meiner Sicht folgende Punkte beinhalten:

1. Interne Vorgaben zum Umgang mit KA entwickeln
2. Sorgfalt bei der Auswahl von Dienstleistern
3. Flexibilität bei Dienstleitern, um Abhängigkeiten zu vermeiden
4. DSGVO im Blick behalten (ggf. Einwilligung einholen, ggf. Datenschutzfolgeabschätzung durchführen)
5. Kontrolle der Ergebnisse, um Rechtsverletzungen zu vermeiden
6. Entwicklungen beim AI Act im Blick behalten

„Regulierungen sind so auszugestalten, dass alle Akteure der KI-Wertschöpfungskette davon profitieren“

DDV: Es empfiehlt sich sicherlich, dass die Dialogmarketing-Branche proaktiv mit diesen rechtlichen Herausforderungen umgeht. Wie wichtig ist eine transparente Kommunikation gegenüber dem Verbraucher? Warum wird aus Ihrer Sicht das Dialogmarketing von Big Data und Künstlicher Intelligenz profitieren?

Schreiber: Ja, dem stimme ich zu. Ich denke, dass das Dialogmarketing – wie viele andere Branchen auch – mit dem Einsatz von KI effizienter werden kann. Big Data kann dabei helfen, Angebote und Kommunikation noch passgenauer auf die Zielgruppe zuzuschneiden und damit einen höheren Mehrwert zu schaffen. Allerdings ist der zielgerichtete Einsatz entscheidend. KI einzusetzen, nur um KI einzusetzen, ohne dass damit ein reales Problem gelöst werden soll, wird mehr Probleme schaffen, als es löst.

KI-Anwendungen können im Wissens- und Kreativbereich die Produktivität steigern und ggf. die wachsende Lücke schließen, die durch den Fachkräftemangel entsteht.

DDV: Letzte Frage: Was wünschen Sie sich vom Gesetzgeber?

Schreiber: Ich begrüße das Bestreben der EU, mit dem AI Act einen einheitlichen Rechtsrahmen zu schaffen, der Innovationen fördern und Rechtssicherheit bringen soll. Es wird eine große Herausforderung, insbesondere bei generativer KI, ein Gleichgewicht zwischen der angemessenen Bewältigung der bestehenden Risiken auf der einen Seite und der Entwicklung und dem Einsatz in praktikabler und der Gesellschaft nützenden Weise andererseits zu schaffen. Ich wünsche mir daher vom Gesetzgeber, dass er Regulierungen so gestaltet, dass sie wirksam und umsetzbar sind, sodass tatsächlich alle Akteure der KI-Wertschöpfungskette davon profitieren.

DDV: Frau Schreiber, vielen Dank für das Gespräch!

Das Gespräch führten Franz Peter Altemeier und Boris von Nagy (DDV).

Zur Person: Rechtsanwältin Marlene Schreiber ist Fachanwältin für IT-Recht und Partnerin in der Kanzlei Härting Rechtsanwälte Berlin. Ihr Herz schlägt für Digitalisierung, Networking und das Meer.

Podcast-Empfehlung: „Me, myself and AI - Regulierung künstlicher Intelligenz“ - Juraprofessor Philipp Hacker (Europa Universität Viadrina) im Gespräch mit den Rechtsanwälten Marlene Schreiber und Dr. Martin Schirmbacher (Kanzlei Härting Berlin). Nachzuhören unter: bit.ly/Podcast-AI.