KI-Workshop-Tool auswählen: die zwölf Fragen, die Ihr Datenschutzbeauftragter stellt
Das Team hat den Pilot im Juni freigegeben, der Datenschutzbeauftragte hat ihn im September gestoppt, wegen einer Frage, die man im Mai hätte stellen können. So läuft es bei den meisten KI-Tools, die in Workshops mithören: Das Team bewertet zuerst die Funktionen und zuletzt die Daten. Diese Checkliste dreht die Reihenfolge um: zwölf Fragen an den Anbieter, bevor irgendjemand etwas aufzeichnet, in der Reihenfolge, in der Ihr Datenschutzbeauftragter sie stellen wird.
Warum die Reihenfolge zählt
Ein Datenschutzbeauftragter denkt von den Daten nach außen: Wo liegen sie, was sind sie, wer sieht sie, wie lange bleiben sie. Eine Anbieterdemo denkt von den Funktionen nach innen. Fragen Sie in der Reihenfolge des Datenschutzbeauftragten, dann sagen Ihnen die ersten vier Antworten, ob sich der Rest noch lohnt.
Die zwölf Fragen
- Wo werden die Daten gehostet und verarbeitet, Land und Anbieter. Hosting und Verarbeitung sind zwei Antworten, und in der zweiten stecken die Überraschungen. Gut: Land und Anbieter für beides genannt.
- Wird Rohaudio gespeichert, wo und wie lange. Audio ist das Sensibelste, was ein Workshop produziert. Am besten: verarbeitet und verworfen. Zweitbeste Antwort: ein benannter Speicherort mit einer Frist, die Sie selbst setzen.
- Welche KI-Modelle verarbeiten die Inhalte, wo laufen sie, wird damit trainiert. Verlangen Sie ein schriftliches Nein zum Training. „Wir trainieren nicht mit Ihren Daten“ gehört in den Vertrag, nicht in eine Vertriebsmail.
- Kann die Verarbeitung in der EU bleiben, und was passiert dann mit den Funktionen. Viele Tools haben einen EU-Modus, der stillschweigend das halbe Produkt abschaltet. Gut: eine Liste dessen, was dann noch funktioniert.
- Wer sieht was. Rollen, private Bereiche, keine teamübergreifenden oder Führungsansichten auf einzelne Personen. Fragen Sie direkt, ob eine Führungskraft sehen kann, was eine Person im Workshop eines anderen Teams gesagt hat. Gut: ein klares Nein.
- Was ist biometrisch, wie wird die Einwilligung eingeholt, wie wird sie widerrufen. Stimmprofile, die Sprecher erkennen, sind biometrische Daten. Gut: Einwilligung pro Person vor der ersten Aufnahme, Widerruf mit einem Klick, Profil wird beim Widerruf gelöscht.
- Aufbewahrung: konfigurierbar, automatisch durchgesetzt, Exporte eingeschlossen. „Sie können alles löschen“ ist kein Löschkonzept. Gut: eine Frist pro Organisation, Löschung ohne dass jemand daran denken muss, exportierte Dateien eingeschlossen.
- Export und Löschung von allem auf Anfrage, auch für eine einzelne Person. Die Organisation geht und nimmt alles mit; eine Person geht und ihre Beiträge gehen mit. Fragen Sie, wie lange beides dauert.
- Der Auftragsverarbeitungsvertrag, Unterauftragsverarbeiter aufgelistet, wer unterschreibt. Verlangen Sie den AVV vor dem Pilot. In der Liste der Unterauftragsverarbeiter finden Sie den Transkriptionsdienst, den niemand erwähnt hat.
- Kennzeichnung von KI-Inhalten und menschliche Kontrolle. Jede KI-Ausgabe ist als KI markiert und von einem Menschen editierbar; nichts über eine Idee oder eine Person wird automatisch entschieden. Die Transparenzpflichten der EU-KI-Verordnung gehen in dieselbe Richtung; klären Sie mit Ihrer Rechtsabteilung, welche Pflichten für Sie gelten.
- Nichts, was einzelne Personen bewertet. Redezeit pro Person, Beteiligungswerte, Emotionserkennung: Jedes davon macht aus einem Workshop-Tool ein Überwachungstool. Gut: Die Funktion gibt es gar nicht, nicht bloß einen Schalter dafür.
- Sicherheitsgrundlagen. Verschlüsselung im Ruhezustand und bei der Übertragung, Passkeys oder zweiter Faktor, ein Audit-Log, ein Sicherheitsbericht, den Sie lesen können. Ohne ihn fragt Ihr Datenschutzbeauftragter die IT, und die IT sagt Nein.
Rote und grüne Flaggen
| Frage | Rote Flagge | Grüne Flagge |
|---|---|---|
| Hosting und Verarbeitung | „In der Cloud, vollständig DSGVO-konform“ | Land und Anbieter für beides schriftlich genannt |
| Rohaudio | „Sicher gespeichert“ | Nicht gespeichert; verarbeitet und verworfen |
| Training | „Datenschutz ist uns wichtig“ | Ein schriftliches Nein im AVV |
| Stimmprofile | „Sprechererkennung läuft automatisch“ | Opt-in pro Person, widerrufbar, bei Widerruf gelöscht |
| AVV | „Schicken wir nach dem Pilot“ | Liegt vor, Unterauftragsverarbeiter aufgelistet, vor Tag eins unterschrieben |
| Bewertung von Personen | „Engagement-Analysen inklusive“ | Die Funktion existiert nicht |
Die Aufgabe des Datenschutzbeauftragten ist es, das Wie zu klären, nicht Nein zu sagen. Bringen Sie Antworten mit, keine Anbieterbroschüre, dann wird aus dem Termin eine Prüfung statt eines Verhörs.
So läuft die Bewertung in zwei Wochen
Tag 1 bis 2: Schicken Sie die zwölf Fragen schriftlich an jeden Kandidaten, mit Frist. Tag 3 bis 7: Bewerten Sie jede Antwort als klar, vage oder fehlend. Eine fehlende Antwort bei den Fragen 1 bis 4 beendet die Bewertung für diesen Anbieter.
Woche zwei: Führen Sie mit den zwei besten Kandidaten je einen echten Workshop durch, keine Demo. Dann geben Sie dem Datenschutzbeauftragten die bewerteten Antworten, den AVV und eine einseitige Beschreibung in Ihren eigenen Worten, was das Tool mit den Daten macht. Entscheiden Sie in derselben Woche. Manche Anbieter beantworten einige dieser Fragen von vornherein; IdeaHone etwa hostet in Deutschland, speichert kein Audio, bietet ein lokales Transkriptionsmodell und einen EU-only-Modus, und Stimmprofile liegen dort verschlüsselt und nur mit Einwilligung vor. Lassen Sie sich den Rest trotzdem schriftlich geben.
Lassen Sie sich die Datenschutzerklärung des Anbieters geben und lesen Sie sie Abschnitt für Abschnitt gegen das, was im Verkaufsgespräch gesagt wurde. Wo beides auseinanderliegt, zählt die Erklärung, und Ihr Datenschutzbeauftragter findet die Stelle ohnehin.
„Wir sind DSGVO-konform“ ist eine Behauptung, keine Antwort. Jede der zwölf Fragen hat eine konkrete Antwort, oder sie hat keine.
Fünf Abkürzungen, die sich bei der Bewertung rächen
- Funktionen vor Daten. Drei Sitzungen zum Vergleich der Zusammenfassungen, zehn Minuten zum Hosting. Drehen Sie die Zeitverteilung um.
- Der Pilot, der vor dem AVV startet. Workshop-Daten sind ab der ersten Minute personenbezogene Daten. Kein unterschriebener AVV, keine Aufnahme.
- Dem Siegel auf der Website vertrauen. Ein Compliance-Logo beweist, dass der Anbieter ein Logo gekauft hat. Stellen Sie die Frage dahinter.
- Den Betriebsrat vergessen. Ein Tool, das aufzeichnet, was Beschäftigte sagen, berührt die Mitbestimmung des Betriebsrats. Beziehen Sie den Betriebsrat in Woche eins ein.
- Ein Tool, das für die Moderation ein US-Konto braucht. Wenn sich die moderierende Person über ein Konto außerhalb der EU anmeldet, ist der EU-Modus Dekoration.
Jede Idee festhalten, während gesprochen wird
IdeaHone hört in Ihrer Session zu und macht aus dem Gesagten Ideenkarten, Fragen und Entscheidungen, live auf einem gemeinsamen Board.
Was sollte ein Datenschutzbeauftragter bei einem KI-Workshop-Tool prüfen?
Wo Daten gehostet und verarbeitet werden, ob Audio gespeichert wird, ob mit Inhalten trainiert wird, wer was sieht, die Einwilligung für Stimmprofile, Aufbewahrung und Löschung, den AVV mit Unterauftragsverarbeitern und ob das Tool einzelne Personen bewertet. Die zwölf Fragen oben folgen genau dieser Reihenfolge.
Ist ein KI-Transkriptionstool DSGVO-konform?
Konformität ist eine Eigenschaft Ihrer Nutzung, kein Etikett auf dem Tool. Ein Tool kann sie unterstützen (Verarbeitung in der EU, kein Training, Einwilligung, Löschung), aber Ihre Organisation bleibt verantwortlich für den Hinweis an die Teilnehmenden, den AVV und die Aufbewahrung. Siehe Transkription und DSGVO und klären Sie es mit Ihrem Datenschutzbeauftragten.
Was ist ein Auftragsverarbeitungsvertrag und brauchen wir einen?
Ein Auftragsverarbeitungsvertrag (AVV) verpflichtet den Anbieter, personenbezogene Daten nur nach Ihrer Weisung zu verarbeiten, listet seine Unterauftragsverarbeiter auf und regelt Sicherheits- und Löschpflichten. Wenn ein Tool irgendetwas verarbeitet, was Ihre Teilnehmenden sagen, brauchen Sie einen, unterschrieben vor der ersten Aufnahme.
