Zwecke und Umfang der Verarbeitung
Wir verwenden im Rahmen unserer geschäftlichen Tätigkeit generative
KI-Dienste von Microsoft (Copilot) und Anthropic (Claude), um unter
anderem Texte zu entwerfen und zu bearbeiten, Informationen
zusammenzufassen, Ideen und Konzepte zu entwickeln, Recherchen zu
unterstützen, Inhalte zu übersetzen sowie technische Inhalte und
Software- bzw. Codebestandteile zu erstellen. Die Dienste dienen
als unterstützende Werkzeuge; von ihnen erzeugte Ergebnisse werden
vor einer Weiterverwendung von uns geprüft.
Je nach Aufgabe und verwendeter Funktion können Eingaben
(Prompts), von uns übermittelte Textpassagen und Dateien, erzeugte
Antworten sowie technische Nutzungs- und Protokolldaten verarbeitet
werden. Personenbezogene Daten sind hiervon betroffen, soweit sie
in Eingaben oder Dateien enthalten sind oder – bei entsprechender
Aktivierung und Berechtigung – aus verbundenen Unternehmenssystemen
in die Verarbeitung einfließen. Wir beschränken die Eingaben auf
das erforderliche Maß und verwenden, soweit praktikabel, anonymisierte
oder pseudonymisierte Angaben. Besondere Kategorien personenbezogener
Daten im Sinne von Art. 9 DSGVO und vertrauliche Informationen
werden nur verarbeitet, soweit dies im Einzelfall erforderlich,
rechtlich zulässig und durch geeignete Schutzmaßnahmen abgesichert ist.
Microsoft Copilot
Bei Microsoft Copilot richten sich die konkret verarbeiteten Daten
und Schutzmaßnahmen nach dem eingesetzten Produkt, dem Konto- und
Lizenztyp, den aktivierten Funktionen sowie den geltenden
Vertragsbedingungen. Für Copilot mit Unternehmensdatenschutz
erklärt Microsoft, dass Prompts, Antworten und über Microsoft Graph
abgerufene Organisationsdaten nicht zum Training der zugrunde
liegenden Basismodelle verwendet werden. Werden Websuchfunktionen
eingesetzt, können aus Eingaben abgeleitete Suchanfragen an den
Suchdienst Bing übermittelt werden. Weitere Informationen finden
Sie in den
Datenschutzinformationen zu Microsoft Copilot
und in der
Datenschutzerklärung von Microsoft.
Claude von Anthropic
Bei Claude hängen Datenverarbeitung und datenschutzrechtliche Rolle
des Anbieters vom verwendeten Angebot und den dazugehörigen
Vertragsbedingungen ab. Für kommerzielle Angebote wie Claude for
Work oder die Anthropic API erklärt Anthropic, dass Eingaben und
Ausgaben standardmäßig nicht zum Training seiner Modelle verwendet
werden. Ausnahmen können insbesondere gelten, wenn Inhalte aktiv
als Feedback übermittelt oder einer entsprechenden Nutzung ausdrücklich
zugestimmt wird. Für Verbraucherangebote wie Claude Free oder Pro
können andere Bedingungen und Einstellungen gelten. Soweit wir
personenbezogene Daten im Rahmen unserer geschäftlichen Tätigkeit
mit Claude verarbeiten, beachten wir die für das konkrete Angebot
geltenden Vertrags- und Datenschutzbedingungen.
Weitere Informationen finden Sie im
Privacy Center von Claude
und in den
Datenschutzinformationen von Anthropic.
Rechtsgrundlage und Empfänger
Die Rechtsgrundlage richtet sich nach dem jeweiligen Zweck der
Verarbeitung. Sie ist insbesondere Art. 6 Abs. 1 lit. b DSGVO,
soweit die Verarbeitung zur Durchführung vorvertraglicher Maßnahmen
oder zur Vertragserfüllung erforderlich ist, oder Art. 6 Abs. 1
lit. f DSGVO aufgrund unseres berechtigten Interesses an einer
effizienten Bearbeitung von Aufgaben, an Qualitätssicherung und
an einem wirtschaftlichen Einsatz unserer Ressourcen. Soweit im
Einzelfall eine Einwilligung erforderlich ist, verarbeiten wir die
betreffenden Daten auf dieser Grundlage.
Empfänger der jeweils eingegebenen Daten können Microsoft und
Anthropic sowie deren für den jeweiligen Dienst eingesetzte
Unterauftragnehmer sein. Ob und in welchem Umfang der Anbieter als
Auftragsverarbeiter oder in eigener datenschutzrechtlicher
Verantwortlichkeit handelt, richtet sich nach dem konkret genutzten
Angebot und den dafür geltenden Vertragsbedingungen. Soweit eine
Auftragsverarbeitung vorliegt, werden die hierfür erforderlichen
vertraglichen Regelungen zugrunde gelegt.
Drittlandübermittlungen und Speicherdauer
Je nach Dienst, Funktion, Kontotyp und Vertragskonfiguration kann
eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums,
insbesondere in den USA, stattfinden. Eine Übermittlung in ein
Drittland erfolgt nur, soweit die Voraussetzungen der Art. 44 ff.
DSGVO erfüllt sind, etwa auf Grundlage eines anwendbaren
Angemessenheitsbeschlusses oder geeigneter Garantien wie
EU-Standardvertragsklauseln. Welche Regelung im Einzelfall gilt,
ergibt sich aus dem jeweiligen Dienst und den anwendbaren
Vertragsbedingungen.
Die Speicherdauer von Eingaben, Antworten, Dateien und Nutzungsdaten
richtet sich nach dem eingesetzten Dienst, den jeweiligen Konto- und
Aufbewahrungseinstellungen sowie den vertraglichen Vorgaben des
Anbieters. Wir speichern daraus übernommene Inhalte nur so lange,
wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche
Aufbewahrungspflichten bzw. die Geltendmachung, Ausübung oder
Verteidigung von Rechtsansprüchen eine längere Speicherung erfordern.
Datenschutz und EU-KI-Verordnung (EU AI Act)
Wir nutzen die genannten Dienste als unterstützende Werkzeuge und
überprüfen KI-generierte Ergebnisse vor ihrer Verwendung angemessen
auf Plausibilität, Richtigkeit und mögliche Auswirkungen auf Rechte
Dritter. Entscheidungen, die gegenüber einer Person rechtliche
Wirkung entfalten oder sie ähnlich erheblich beeinträchtigen,
werden nicht ausschließlich automatisiert auf diese KI-Ausgaben
gestützt, soweit dies in unserer Verantwortung liegt.
Die Verordnung (EU) 2024/1689 (EU AI Act) ersetzt nicht die
datenschutzrechtlichen Anforderungen der DSGVO. Soweit bei einer
konkreten Nutzung Informations- oder Kennzeichnungspflichten nach
dem EU AI Act bestehen, insbesondere nach Art. 50, werden diese
berücksichtigt. Dazu können – abhängig vom Anwendungsfall – die
Information über eine direkte Interaktion mit KI oder die
Kennzeichnung bestimmter KI-generierter bzw. manipulierter Inhalte
gehören. Wir berücksichtigen außerdem die für den Einsatz
einschlägigen Anforderungen an einen sachkundigen und verantwortungsvollen
Umgang mit KI-Systemen.
