Einführung: Auftragsverarbeitung und Künstliche Intelligenz
Unternehmen beauftragen häufig Dienstleister mit der Durchführung spezifischer Aufgaben. Banken setzen beispielsweise spezialisierte Dienstleister ein, welche die Kreditwürdigkeit potentieller Kunden prüfen. In einer anderen Konstellation beauftragen Versicherer Dienstleister mit der Schadenbearbeitung. In beiden Fällen kommt es zunehmend auf Seiten der Dienstleister zum Einsatz von künstlicher Intelligenz, um die Durchführung der Dienstleister schneller und effizienter zu gestalten.
Die Dienstleister haben hierfür eigens KI-Systeme entwickelt oder entwickeln lassen, um ihre Leistungen gegenüber den Kunden (Banken, Versicherern etc.) anbieten zu können. Einzig der Dienstleister selbst nutzt also zur Leistungserbringung das hierfür konzipierte KI-System. Eine Nutzung durch die Kunden findet gerade nicht statt, eben weil sie zur Effizienzsteigerung diese Leistung an den Dienstleister ausgegliedert haben.
Datenschutzrechtliche und regulatorische Rollenverteilung
In dieser Konstellation würde man vermutlich von den folgenden Rollen ausgehen, wobei man im ersten Schritt zwischen der datenschutzrechtlichen Rolle und der Rolle nach der KI-VO unterscheiden würde:
- Kunde: der Kunde ist in aller Regel datenschutzrechtlich Verantwortlicher, weil die Verarbeitung der Kundendaten im Auftrag des Kunden erfolgt [je nach Ausgestalltung kann jedenfalls bei der Bonitätsprüfung auch eine gemeinsame Verantwortung vorliegen]. Zwischen den Parteien wird eine Vereinbarung nach Art. 28 DSGVO getroffen, wonach der Dienstleister die Kundendaten nur auf Basis der Weisungen des Kunden verarbeitet. Eine Rolle nach der KI-VO scheint für den Kunden hier fernliegend, weil dieser keinen Zugriff auf das eingesetzte KI-System hat. Vielmehr ist der Kunde am langen Ende lediglich der Verwender des Ergebnisses.
- Dienstleister: der Dienstleister ist konsequenterweise in datenschutzrechtlicher Hinsicht Auftragsverarbeiter, weil die Verarbeitung der Kundendaten letztlich im Auftrag des Kunden erfolgt (unterstellt, das Trainieren der eigenen KI ist vom Verantwortlichen untersagt). Ob der Dienstleister womöglich Anbieter des KI-Systems ist, ist für die vorliegende Betrachtung weniger relevant, denn jedenfalls dürfte er in dieser Konstellation als Betreiber anzusehen sein.
Unklare Abgrenzung durch die Aufsicht
Aber diese vordergründig naheliegende Rollenverteilung kommt durch verschiedene Verlautbarungen in der Literatur ins Wanken. So schreibt beispielsweise das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) zur Rollenverteilung:
„KI-Betreiber: Einsatz von KI-Systemen zu eigenen Zwecken. Dies führt i.d.R. zu einer eigenen Verantwortlichkeit entsprechend Art. 24 DS-GVO.“
Wie ist allerdings die hier zu betrachtende Konstellation zu werten, in der der Dienstleister das KI-System hauptsächlich auch für fremde Zwecke, nämlich die Durchführung von Kreditwürdigkeits- oder Schadensprüfungen der eigenen Kunden einsetzt? Soll der Betreiber dann weiterhin in eigener Verantwortung agieren, obwohl die Erledigung der Aufgabe im Auftrag des Kunden erfolgt? Oder sind Dienstleister und Kunde gemeinsam für die Verarbeitung verantwortlich? Die hier vorliegende Konstellation sieht das FAQ des BayLDA offenbar nicht vor. Die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der DSK bietet für die vorliegende Konstellation keinen weiteren Mehrwert.
Wie beantwortet die Fachliteratur diese Frage?
Auch die ersten Literaturstimmen in der Kommentierung der KI-VO sind nicht so ein-eindeutig, wie die oben skizzierte Rollenverteilung vermuten lässt.
So führen Kirschke-Biller/Füllsack (in BeckOK KI-Recht/Kirschke-Biller/Füllsack KI-VO Art. 3 Rn. 113, 114) zu den einzelnen Tatbestandsmerkmalen des Begriffs „Betreiber“ unter dem Merkmal „In eigener Verantwortung“ was folgt aus:
„d) In eigener Verantwortung. Das Merkmal „in eigener Verantwortung“ hat ebenfalls wertenden Charakter, dient aber der negativen Abgrenzung. Letztlich sollen hierdurch Fälle ausgeschlossen werden, bei denen zwar eine Verwendung vorliegt, es aber unbillig wäre, dem Verwender die Pflichten eines Betreibers aufzuerlegen, weil er die Rahmenbedingungen der Verwendung nicht kontrolliert und/oder weil die Verwendung nur für eine andere Person (bzw. ein Unternehmen) erfolgt.
Das betrifft etwa einzelne Mitarbeiter innerhalb von Unternehmen, die ein KI-System zwar faktisch bedienen, dabei aber für das Unternehmen als eigentlichen Betreiber handeln. Auch bei Dienstleistern kann es an einer Verwendung in eigener Verantwortung fehlen, selbst wenn der Betrieb des KI-Systems technisch völlig der Kontrolle des Dienstleisters unterliegt (etwa bei SaaS). Insoweit kommt es regelmäßig auf die vertragliche Ausgestaltung an. Ein Sonderfall ist die datenschutzrechtliche Auftragsverarbeitung (Art. 28 DS-GVO), bei der personenbezogene Daten durch einen Dienstleister nach den Weisungen des Verantwortlichen mittels eines KI-Systems verarbeitet werden. Zwar bedeutet „Verantwortlichkeit“ iSd Datenschutzrechts (englisch „control“) nicht das gleiche wie Verantwortung iRv Art. 3 Nr. 4 (englisch „authority“). Trotzdem dürfte die Weisungsgebundenheit des Auftragsverarbeiters regelmäßig eine Verwendung des KI-Systems in eigener Verantwortung ausschließen.“
Für die Konstellation der Auftragsverarbeitung scheint es also, dass dort die Auffassung vertreten wird, dass der Dienstleister nicht zugleich Betreiber des KI-Systems im Sinne der KI-VO ist. Begründet wird dies damit, dass die Weisungsgebundenheit einer Nutzung „in eigener Verantwortung“ entgegenstünde.
Auch Wendehorst (in Martini/Wendehorst/Wendehorst KI-VO Art. 3 Rn. 91-93) diskutiert diese Fallgruppe und führt auf, dass im Falle des Outsourcing von Funktionen eine gewisse Problematik bei der Rollenverteilung nicht außer Acht gelassen werden kann:
dd) Outsourcing von Funktionen
In der dritten Grundkonstellation schließlich verwendet eine Partei ein KI-System im eigenen Herrschaftsbereich, handelt aber im Übrigen im Auftrag ihrer Kunden, welche bestimmte Funktionen an die erste Partei ausgelagert haben. Ein Beispiel wäre eine Kreditauskunftei, welche die Kreditwürdigkeit individueller Verbraucher auf der Grundlage von Aufträgen, die es von einzelnen Kreditinstituten erhält, ermittelt und dafür ein KI-System einsetzt. Mit anderen Worten liegt eine reine Dienstleistung vor, die an die Kreditinstitute erbracht wird, wobei allein die auftraggebenden Kreditinstitute darüber entscheiden, wessen Kreditwürdigkeit in welcher konkreten Situation berechnet wird und welche Schlüsse daraus gezogen werden.
In dieser Situation ist jedenfalls die Kreditauskunftei Betreiber des KI-Systems. Hat sie das KI-System selbst für den Eigengebrauch entwickelt oder entwickeln lassen, ist sie zugleich Anbieter. Fraglich erscheint, ob zugleich das Kreditinstitut als Betreiber eingeordnet werden kann. Dafür spricht, dass die Informationen und Anweisungen gemäß Art. 13 sich jedenfalls auch an das Kreditinstitut richten müssen, muss dieses doch genau wissen, was die Fähigkeiten und Limitationen des verwendeten KI-Systems sind, um daraus für die Kreditvergabe die richtigen Schlüsse ziehen zu können. Dagegen spricht freilich, dass der gesamte Einsatz des KI-Systems außerhalb des Herrschaftsbereichs des Kreditinstituts erfolgt und sich die in Art. 13 erwähnten Betriebsanleitungen in erster Linie an diejenige Partei richten müssen, welche das KI-System konkret bedient. Ein Kunde kann oft gar nicht wissen, ob sich ein Dienstleister eines KI-Systems bedient. Die besseren Argumente sprechen daher dafür, dass das Kreditinstitut bloßer Verwender der vom KI-System generierten Ausgaben ist, ohne selbst Betreiber zu sein.
Die KI-VO schließt es keinesfalls aus, dass die Kreditauskunftei in diesem Fall eine vertragliche oder gesetzliche Pflicht trifft, das Kreditinstitut über die Aussagekraft der generierten Ausgaben ebenso wie über alle anderen Umstände, welche für das Kreditinstitut in diesem Zusammenhang relevant sind, zu informieren. Nach deutschem oder österreichischem Recht könnte der Vertrag zwischen Kreditauskunftei und Kreditinstitut insofern als Vertrag mit Schutzwirkung zugunsten der betroffenen Person, dh dem Kreditwerber, qualifiziert werden.
Wendehost positioniert sich allerdings und stellt fest, dass der Kunde faktisch keinen Einfluss auf die konkrete Verwendung eines KI-Systems hat. Die Annahme, dass ein Kunde oftmals nicht wisse, dass ein KI-System bedient wird, kann allerdings nur dort zutreffend sein, wo keine personenbezogenen Daten der Kunden des Kunden verarbeitet werden. Gleichwohl ist seiner Schlussfolgerung zuzustimmen, dass allein der Dienstleister Betreiber des KI-Systems ist und der Kunde lediglich Verwender der vom KI-System generierten Ausgaben. Eine andere Auffassung würde letztlich dazu führen, dass die datenschutzrechtliche Weisungsbefugnis allein in Bezug auf die Art und Weise der Datenverarbeitung den Verantwortlichen KI-rechtlich zu einem Betreiber eines KI-Systems macht – mit allen dazugehörigen Pflichten – welches er weder in seinem Machtbereich hat, noch unmittelbar bedient. Umgekehrt erscheint es auch widersinnig, den Dienstleister aus seiner tatsächlichen Betreiberrolle nach der KI-VO zu verdrängen, nur weil er im Rahmen der Erbringung seiner Dienstleistung für seinen Kunden personenbezogene Daten im Auftrag verarbeitet.
Kein Schluss von der datenschutzrechtlichen Rolle auf die Rolle nach der KI-Verordnung
Dass sich die Verwendung eines KI-Systems durch den Betreiber auf andere Personen auswirken kann, ohne dass diese wiederum selber zum Betreiber werden, sieht auch Erwägungsgrund 13, S. 2 vor:
„Je nach Art des KI‑Systems kann sich dessen Verwendung auf andere Personen als den Betreiber auswirken.“
In Erwägungsgrund 10 S. 4 wird sodann klargestellt, dass die Regelungen der KI-VO nicht die Anwendbarkeit der Regelungen der DSGVO berühren:
„Diese Verordnung soll die Anwendung des bestehenden Unionsrechts zur Verarbeitung personenbezogener Daten, einschließlich der Aufgaben und Befugnisse der unabhängigen Aufsichtsbehörden, die für die Überwachung der Einhaltung dieser Instrumente zuständig sind, nicht berühren.“
Die KI-VO greift somit nicht in das Regelwerk der DSGVO ein, was sich sodann noch einmal aus Satz 5 (Erw. 10) ergibt:
„Sie lässt ferner die Pflichten der Anbieter und Betreiber von KI‑Systemen in ihrer Rolle als Verantwortliche oder Auftragsverarbeiter, die sich aus dem Unionsrecht oder dem nationalen Recht über den Schutz personenbezogener Daten ergeben, unberührt, soweit die Konzeption, die Entwicklung oder die Verwendung von KI‑Systemen die Verarbeitung personenbezogener Daten umfasst.“
Allein die Einstufung als Betreiber eines KI-Systems führt damit nicht zu einer Änderung der datenschutzrechtlichen Rolle als Verantwortlicher oder Auftragsverarbeiter. Die Einstufung in eine bestimmte Rolle hat damit ausschließlich nach Maßgabe der jeweils gesetzlich vorgegebenen Tatbestandsmerkmale und Wertungen zu erfolgen. Allein die Tatsache, dass der Auftragsverarbeiter bestimmten Weisungen hinsichtlich der Datenverarbeitung unterworfen ist, führt dies KI-rechtlich nicht zwangsläufig dazu, dass dieser das eingesetzte KI-System nicht mehr in eigener Verantwortung betreibt.
Gleichzeitig führt das Recht des Verantwortlichen Weisungen in Bezug auf die Art und Weise der Datenverarbeitung zu erteilen nicht dazu, dass dieser nun das vom Dienstleister eingesetzte KI-System in eigener Verantwortung betreibt. Hier dürfte es richtigerweise bereits an einer Verwendung des KI-Systems fehlen, weil hierfür die wesentlichen Schritte von den Eingabedaten hin zu den Ausgabedaten im Herrschaftsbereich dieser konkreten Person erfolgen müssten (so mMn zutreffend Martini/Wendehorst/Wendehorst KI-VO Art. 3 Rn. 83). Das bloße Verwenden von Eingabeergebnissen, die von einem Dienstleister mithilfe eines KI-Systems produziert werden, sollte hierfür nicht ausreichen (so auch Martini/Wendehorst/Wendehorst KI-VO Art. 3 Rn. 83).
Einordnung
In den beiden eingangs skizzierten Beispielen sprechen daher die besseren Gründe dafür, den Kunden nicht zum Betreiber des vom Dienstleister verwendeten KI-System zu machen, nur weil er diesem in datenschutzrechtlicher Hinsicht Weisungen hinsichtlich der Art und Weise der Verarbeitung der personenbezogenen Daten geben darf. Der Kunde verwendet das KI-System nicht und hat auch keinen Zugriff hierauf. Ihm in dieser Konstellation Betreiberpflichten ohne Not Betreiberpflichten aus der KI-VO aufzuerlegen, erscheint widersinnig, denn er könnte diese nicht ohne Mithilfe des Dienstleisters erfüllen. Dieser wiederum wird nicht dadurch seine Rolle als Betreiber wieder los, nur weil er seine originäre Dienstleistung (Kreditwürdigkeitsprüfung, Schadenbearbeitung) für seinen Kunden erbringt und hierzu das KI-System als Hilfsmittel einsetzt.
Auswirkungen für die Praxis
Die in der Literatur aufgemachte Diskussion hinsichtlich der Rollenverteilung verdeutlicht einmal mehr das Erfordernis, sich stets bereits im Vorfeld hierüber Gedanken zu machen, wenn Dienstleistungen eingekauft werden, bei denen KI-Anwendungen zum Einsatz kommen. Es ist zu dokumentieren, welche Rolle man in diesem Zusammenhang einnimmt, und zwar sowohl aus datenschutzrechtlicher als auch aus KI-rechtlicher Sicht.
Rechtsberatung vom Anwalt für IT- und Datenschutzrecht
Unsere Rechtsanwälte für IT-Recht Datenschutzrecht aus Düsseldorf unterstützen Unternehmen jeder Größenordnung in allen rechtlichen Fragen zum IT- und Datenschutzrecht. Wir beraten unsere Mandanten unter anderem bei der Durchsetzung von und der Verteidigung gegen datenschutzrechtliche Ansprüche. Wir beraten auch Agenturen bei datenschutzrechtlichen Fragestellungen ihrer Kunden. Zu unseren Leistungen gehört auch die Unterstützung bei der Erstellung einer rechtssicheren Website.
Unsere Leistungen im Überblick:
- Beratung bei der Erstellung von Mitarbeiterrichtlinien für die Nutzung von KI-Systemen
- Prüfung von Verträgen zur Nutzung von KI-Systemen
- Datenschutzrechtliche Prüfung des dargestellten Sachverhalts
- Unterstützung bei der datenschutzkonformen Umsetzung eines Projektes
- Unterstützung bei der Durchsetzung oder Abwehr von datenschutzrechtlichen Ansprüchen
- Beratung bei der Gestaltung von IT-Verträgen
- Unterstützung beim Aufbau eines Online-Shops
Mehr zu unseren Leistungen im IT- und Datenschutzrecht finden Sie hier:
Gerne bringen wir Ihnen im Rahmen eines unverbindlichen Erstgesprächs die Rechtslage näher und unterstützen Sie dabei, Rechtsklarheit zu gewinnen. Kontaktieren Sie uns jederzeit für ein Kennenlerngespräch.