Zweckänderung
Daten dürfen nur für den Zweck verarbeitet werden, für den sie erhoben wurden (Art. 5 Abs. 1 lit. b DSGVO). Eine Weiterverarbeitung zu einem anderen Zweck ist zulässig, wenn der neue Zweck mit dem ursprünglichen vereinbar ist. Art. 6 Abs. 4 DSGVO nennt die Prüfkriterien: Zusammenhang der Zwecke, Kontext der Erhebung, Art der Daten, Folgen für die Betroffenen, Garantien wie Verschlüsselung oder Pseudonymisierung.
Für Deinen KI-Server
- Alte Kunden-E-Mails oder CRM-Exporte als Wissensbasis sind der typische Fall.
- Die DSK sieht in RAG-Systemen eine Gefährdung der Zweckbindung und empfiehlt Mandantentrennung und Auswahl der Dokumente.
- Das Dokument Rechtsgrundlage enthält die Prüfung als eigenen Abschnitt.
Rechtsgrundlagen
- Art. 5 Abs. 1 lit. b DSGVO
- Art. 6 Abs. 4 DSGVO
Quellen
- Art. 5 DSGVO Grundsätze, Richtigkeit, Speicherbegrenzung, Rechenschaftspflicht: dsgvo-gesetz.de, eur-lex.europa.eu
- Art. 6 DSGVO Rechtmäßigkeit der Verarbeitung: dsgvo-gesetz.de, eur-lex.europa.eu
- DSK Orientierungshilfe Datenschutzrechtliche Aspekte generativer KI-Systeme mit RAG, Version 1.0, Oktober 2025: www.datenschutzkonferenz-online.de, www.baden-wuerttemberg.datenschutz.de