Datenschutz- & KI-Schulung 2026

Ein personenbezogenes Datum ist jede Angabe, die sich auf eine bestimmte oder bestimmbare Person bezieht. Das ist viel mehr als der Name: eine Rufnummer, eine Adresse, ein Standort, ein Kfz-Kennzeichen, eine Stimme auf einer Aufnahme, sogar eine Kundennummer. In unserem Geschäft ist fast jede Zeile in der Zentrale ein solches Datum.

Die DSGVO stellt sechs Grundsätze auf (Art. 5). In Alltagssprache:

• Rechtmäßigkeit und Treu und Glauben: Für jede Verarbeitung braucht es einen erlaubten Grund, und niemand darf hinters Licht geführt werden.
• Zweckbindung: Daten, die für eine Fahrt erhoben wurden, sind für diese Fahrt da – nicht für Werbung.
• Datenminimierung: Nur erheben, was gebraucht wird. Das Geburtsdatum eines Fahrgasts braucht ein Taxi nicht.
• Richtigkeit: Falsche Daten werden berichtigt, nicht verteidigt.
• Speicherbegrenzung: Was nicht mehr gebraucht wird, wird gelöscht. Deshalb verschwinden bei uns Anrufe und Abschriften automatisch nach 30 Tagen.
• Integrität und Vertraulichkeit: Schutz vor fremdem Zugriff, Verlust und Veränderung.

Der erlaubte Grund heißt Rechtsgrundlage (Art. 6). Für uns sind vier wichtig: die Vertragserfüllung (jemand bestellt eine Fahrt), die rechtliche Pflicht (Rechnungen zehn Jahre aufbewahren), das berechtigte Interesse (Schutz vor Angriffen auf die Server) und die Einwilligung (Aufzeichnung eines Telefongesprächs). Die Einwilligung ist die schwächste: sie muss freiwillig sein und lässt sich jederzeit widerrufen.

Jede Person darf wissen, was über sie gespeichert ist, und darf eingreifen. Die wichtigsten Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).

Die Frist ist kurz: ein Monat. Sie lässt sich um zwei Monate verlängern, wenn der Fall aufwendig ist – aber die Verlängerung muss innerhalb des ersten Monats mitgeteilt werden. Eine Auskunft ist kostenlos. Und sie darf nicht davon abhängig gemacht werden, dass jemand einen Grund nennt.

Wichtig für unsere Arbeit: Meldet sich ein Fahrgast oder ein Fahrer bei uns, obwohl die Daten zu einem Taxibetrieb gehören, für den wir nur die Software betreiben, dann beantworten wir das nicht selbst. Wir leiten die Anfrage unverzüglich an den Betrieb weiter und helfen ihm beim Zusammenstellen. Der Betrieb ist der Verantwortliche, wir sind nur sein Werkzeug.

Vor der Auskunft steht die Identitätsprüfung. Wer am Telefon behauptet, Herr Meier zu sein, bekommt keine Liste seiner Fahrten. Im Zweifel schriftlich anfordern.

Eine Datenpanne ist jede Verletzung der Sicherheit, die zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt. Sie ist nicht immer ein Angriff von außen. Häufiger sind die alltäglichen Fälle:

• Eine Mail mit Kundenliste geht an den falschen Empfänger.
• Ein Diensthandy mit angemeldeter Fahrer-App wird verloren oder gestohlen.
• Ein Zettel mit Adressen bleibt im Fahrzeug liegen.
• Jemand gibt sein Passwort weiter, damit der Kollege „schnell mal reinschauen" kann.

Die Fristen sind eng. Der Verantwortliche muss eine meldepflichtige Panne innerhalb von 72 Stunden der Aufsichtsbehörde melden (Art. 33). Damit das gelingt, haben wir uns im AV-Vertrag verpflichtet, unsere Kunden binnen 24 Stunden zu unterrichten. Ist ein hohes Risiko für die Betroffenen zu erwarten, müssen zusätzlich diese selbst benachrichtigt werden (Art. 34).

Der erste Schritt ist immer derselbe: melden, eindämmen, dokumentieren. Zugang sperren, Gerät sperren lassen, Vorfall aufschreiben – wann bemerkt, was betroffen, wer informiert. Dokumentiert werden muss jede Panne, auch die, die am Ende nicht meldepflichtig ist.

Zwei Rollen muss man auseinanderhalten. Der Verantwortliche entscheidet über Zweck und Mittel der Verarbeitung. Der Auftragsverarbeiter führt aus, was der Verantwortliche anweist – und nichts darüber hinaus.

Wir sind beides, je nach Sachverhalt. Für unsere eigene Website, unsere Kundenverwaltung und unsere Buchhaltung sind wir Verantwortliche. Für alles, was in der Zentrale eines Taxibetriebs passiert – Fahrten, Fahrer, Anrufe, Abrechnung – sind wir Auftragsverarbeiter. Die Daten gehören dem Betrieb. Wir dürfen sie nicht für eigene Zwecke nutzen, nicht auswerten, nicht weitergeben.

Grundlage ist der Vertrag nach Art. 28 DSGVO. Er regelt Gegenstand, Dauer, Datenarten, Weisungsrecht, Vertraulichkeit, Sicherheitsmaßnahmen, Kontrollrechte, Umgang mit Unterauftragnehmern und was am Ende mit den Daten geschieht. Ohne diesen Vertrag ist die Verarbeitung rechtswidrig – auch dann, wenn technisch alles sauber läuft.

Dasselbe gilt eine Stufe tiefer: Jeder Dienstleister, den wir einsetzen – Rechenzentrum, Telefonanbieter, KI-Dienst, Zahlungsdienstleister – ist ein Unterauftragnehmer und braucht ebenfalls einen Vertrag. Neue Unterauftragnehmer werden den Kunden vorher angekündigt; sie dürfen widersprechen. Sitzt ein Anbieter außerhalb der EU, braucht es zusätzlich Standardvertragsklauseln.

Die EU-KI-Verordnung (Verordnung 2024/1689) gilt seit 2024 und wird gestaffelt wirksam. Sie unterscheidet zwei Rollen, die wir beide innehaben:

• Betreiber ist, wer ein KI-System benutzt – etwa ein Chatwerkzeug im Büro.
• Anbieter ist, wer ein KI-System unter eigenem Namen bereitstellt – etwa wir mit der KI-Telefonannahme in unserem Produkt. Die Pflichten des Anbieters sind deutlich strenger.

Die Verordnung sortiert Anwendungen nach Risiko:

• Verboten (Art. 5): unter anderem das Ableiten von Gefühlen von Beschäftigten am Arbeitsplatz, die Bewertung von Menschen nach sozialem Verhalten, Rückschlüsse aus biometrischen Daten auf Herkunft oder Weltanschauung, das ungezielte Sammeln von Gesichtsbildern.
• Hohes Risiko (Anhang III): unter anderem KI, die Beschäftigten Aufgaben nach Verhalten oder persönlichen Eigenschaften zuteilt oder ihre Leistung überwacht. Genau deshalb verteilen wir Fahrten regelbasiert nach Reihenfolge und Nähe – und nicht nach einer Bewertung des Fahrers.
• Transparenzpflicht (Art. 50): Wer mit einer KI spricht oder KI-erzeugte Inhalte sieht, muss das erfahren.
• Geringes Risiko: alles Übrige – trotzdem gelten Datenschutz und Sorgfaltspflicht.

Zeitlich: Die Verbote nach Art. 5 und die Pflicht zur KI-Kompetenz nach Art. 4 gelten seit dem 2. Februar 2025. Pflichten für allgemeine KI-Modelle folgten am 2. August 2025, die übrigen Vorschriften laufen gestaffelt bis 2027 an.

Art. 50 KI-VO verlangt Offenheit. Wer mit einem KI-System spricht, muss das erfahren – spätestens zu Beginn des Gesprächs, in klarer Sprache. Bei unserem Telefonassistenten steht diese Ansage deshalb vor dem eigentlichen Dialog, zusammen mit dem Hinweis auf die Aufzeichnung. Beides ist keine Höflichkeit, sondern Pflicht: Die Aufzeichnung eines Gesprächs ohne Kenntnis des Gegenübers ist nicht nur ein Datenschutzverstoß, sondern nach § 201 StGB strafbar.

Auch KI-erzeugte Bilder und Videos, die echt wirken sollen, sind zu kennzeichnen. Für Texte gilt: Wer sie veröffentlicht, steht für den Inhalt gerade – gleich, ob er ihn selbst geschrieben oder eine Maschine entworfen hat.

Art. 4 KI-VO verlangt KI-Kompetenz: Anbieter und Betreiber müssen dafür sorgen, dass ihr Personal ausreichend versteht, wie die eingesetzten Systeme funktionieren, wo ihre Grenzen liegen und welche Risiken entstehen. Ein Gesetz schreibt kein bestimmtes Format vor – verlangt wird aber, dass man es belegen kann. Deshalb endet diese Schulung mit einem Nachweis, der Datum, Inhalt und Ergebnis festhält. Er wird mindestens drei Jahre aufbewahrt und jährlich erneuert.

Was darf in ein KI-Werkzeug eingegeben werden? Die Faustregel: Alles, was man auch einer fremden Firma am Telefon vorlesen würde.

• Nie: Passwörter und Schlüssel, vollständige Kundenlisten, Gesundheitsangaben, Personalunterlagen, Daten aus der Auftragsverarbeitung ohne Wissen des Kunden.
• Nur gekürzt: personenbezogene Angaben – Namen durch Platzhalter ersetzen, Adressen weglassen.
• Unbedenklich: allgemeine Fragen, Textentwürfe, Programmierung ohne echte Daten.

KI erfindet. Sprachmodelle erzeugen den wahrscheinlichsten nächsten Satz – nicht den wahren. Eine erfundene Adresse, eine falsche Uhrzeit, eine nicht existierende Vorschrift klingen genauso überzeugend wie die richtige Angabe. Deshalb gilt ohne Ausnahme: Jedes Ergebnis wird geprüft, bevor es verwendet wird. Die Verantwortung bleibt beim Menschen.

In unserer Software heißt das konkret: Die aus einem Anruf erkannte Fahrt ist ein Vorschlag. Sie erscheint in der Zentrale und wird von einem Disponenten bestätigt, bevor sie an einen Fahrer geht. Ist die KI unsicher, fragt sie lieber nach, statt zu raten. Und wer den Assistenten nicht will, schaltet ihn ab – für einen einzelnen Anruf oder dauerhaft.

Standortdaten der Fahrer sind besonders heikel, weil sie Beschäftigte betreffen. Sie werden nur während einer aktiven Schicht erhoben, dienen der Zuteilung von Fahrten und nicht der Leistungskontrolle, und der Fahrer sieht jederzeit, dass er sichtbar ist. Eine Auswertung von Fahrverhalten oder Pausen zur Bewertung einzelner Personen findet nicht statt.