Die Übermittlung personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums (EWR), die keinen Angemessenheitsbeschluss der Europäischen Kommission aufweisen. Dies liegt bereits bei Wartung, Fernzugriff oder Support durch Anbieter aus einem Drittland vor.
Entscheidungsprozesse, die rechtliche oder ähnlich schwerwiegende Auswirkungen auf betroffene Personen haben und ohne menschliches Ermessen getroffen werden (grundsätzlich verboten, es sei denn, es liegt eine Einwilligung vor, ist vertraglich erforderlich oder gesetzlich zulässig).
(Knecht, Jana, Handreichung Rechtsbereichsspezifische Betrachtung von KI: Datenschutz, Rechtsinformationsstelle für die digitale Lehre (bwDigiRecht) im Hochschulnetzwerk Digitalisierung der Lehre Baden-Württemberg, Karlsruhe, 2025, vgl. Ehmann/Selmayr, Datenschutz-Grundverordnung DSGVO, Art. 22, Rn. 6,
Die Erzeugung von scheinbar plausiblen, inhaltlich aber objektiv falschen Aussagen durch KI-Systeme, ohne dass ein Bezug zu realen Daten oder Fakten besteht.
(Knecht, Jana, Handreichung Rechtsbereichsspezifische Betrachtung von KI: Datenschutz, Rechtsinformationsstelle für die digitale Lehre (bwDigiRecht) im Hochschulnetzwerk Digitalisierung der Lehre Baden-Württemberg, Karlsruhe, 2025, vgl. Özer, Is Artifical Intelligence Hallucinating?, S. 333, Is Artifical Intelligence Hallucinating? – PMC)
Die Verarbeitung von Daten in einer Weise, dass der Personenbezug entfernt wird und eine Re-Identifizierung für niemanden möglich ist (oder nur mit unverhältnismäßigem Aufwand an Zeit, Kosten und Arbeitskraft).
(Knecht, Jana, Handreichung Rechtsbereichsspezifische Betrachtung von KI: Datenschutz, Rechtsinformationsstelle für die digitale Lehre (bwDigiRecht) im Hochschulnetzwerk Digitalisierung der Lehre Baden-Württemberg, Karlsruhe, 2025, vgl. Der Bundesbeauftragte für den Datenschutz und die Informationssicherheit, Positionspapier zur Anonymisierung unter der DSGVO unter besonderer Berücksichtigung der TK-Branche,
Die Ersetzung direkter Identifikatoren (wie Namen oder Matrikelnummern) durch künstliche Codes, wodurch der Personenbezug temporär unterbrochen wird, während eine spätere Re-Identifizierung mittels separater Schlüssel möglich bleibt.
(Knecht, Jana, Handreichung Rechtsbereichsspezifische Betrachtung von KI: Datenschutz, Rechtsinformationsstelle für die digitale Lehre (bwDigiRecht) im Hochschulnetzwerk Digitalisierung der Lehre Baden-Württemberg, Karlsruhe, 2025, vgl. Der Europäische Datenschutzausschuss, Leitlinien zur Pseudonymisierung, S. 9 f., Guidelines 01/2025 on Pseudonymisation | European Data Protection Board)
Der Grundsatz, dass Daten nicht länger als notwendig gespeichert werden dürfen, was beispielsweise durch automatisierte Löschprozesse für Schlüsseldateien nach Abschluss des Verarbeitungszwecks bei pseudonymisierten Daten umgesetzt wird.
(Knecht, Jana, Handreichung Rechtsbereichsspezifische Betrachtung von KI: Datenschutz, Rechtsinformationsstelle für die digitale Lehre (bwDigiRecht) im Hochschulnetzwerk Digitalisierung der Lehre Baden-Württemberg, Karlsruhe, 2025, vgl. bitkom, Umsetzungsleitfaden zur KI-Verordnung, S. 93 ff., bitkom-umsetzungsleitfaden-ki.pdf)
Der Grundsatz, dass KI-Systeme datensparsam gestaltet werden müssen, d.h., nur die minimal erforderlichen Daten dürfen verarbeitet werden.
(Knecht, Jana, Handreichung Rechtsbereichsspezifische Betrachtung von KI: Datenschutz, Rechtsinformationsstelle für
die digitale Lehre (bwDigiRecht) im Hochschulnetzwerk Digitalisierung der Lehre Baden-Württemberg, Karlsruhe, 2025, vgl. Ehmann/Selmayr, Datenschutz-Grundverordnung, DSGVO Art. 5, Rn. 29)
Der Grundsatz, dass personenbezogene Daten nur für klar definierte und rechtmäßige Zwecke erhoben und verarbeitet werden dürfen. Eine nachträgliche Zweckänderung ist nur zulässig, wenn der neue Zweck mit dem ursprünglichen kompatibel ist.
(Knecht, Jana, Handreichung Rechtsbereichsspezifische Betrachtung von KI: Datenschutz, Rechtsinformationsstelle für
die digitale Lehre (bwDigiRecht) im Hochschulnetzwerk Digitalisierung der Lehre Baden-Württemberg, Karlsruhe, 2025, vgl. Ehmann/Selmayr, Datenschutz-Grundverordnung DSGVO Art. 5, Rn. 20 ff.)
Der Grundsatz, dass betroffene Personen (Studierende, Lehrende, Mitarbeitende) darüber zu informieren sind, wenn ihre personenbezogenen Daten erhoben oder verarbeitet werden, insbesondere bei KI-Einsatz, inkl. Rechtsgrundlage, Zweck und Logik automatisierter Entscheidungen.
(Knecht, Jana, Handreichung Rechtsbereichsspezifische Betrachtung von KI: Datenschutz, Rechtsinformationsstelle für
die digitale Lehre (bwDigiRecht) im Hochschulnetzwerk Digitalisierung der Lehre Baden-Württemberg, Karlsruhe, 2025, vgl. Bayrisches Landesamt für Datenschutzaufsicht, KI & Datenschutz, Informationspflichten, Künstliche Intelligenz;
Eine Rechtsgrundlage, die die Verarbeitung personenbezogener Daten erlaubt, wenn sie zur Wahrung berechtigter Interessen der Verantwortlichen oder von Dritten erforderlich ist und nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen. Findet grundsätzlich nur bei nicht-hoheitlichem Handeln Anwendung und scheidet für Hochschulen im Kernbereich hoheitlicher Tätigkeiten aus.
