KI-generierter Code und DSGVO: wer verantwortlich ist

Dieser Artikel beschreibt technische Folgen, keine Rechtsberatung. Für die rechtliche Bewertung Ihres Falls wenden Sie sich an Ihren Datenschutzbeauftragten oder eine Kanzlei.

Die Verantwortung bleibt beim Betreiber

Die DSGVO kennt den Verantwortlichen: wer über Zweck und Mittel der Verarbeitung entscheidet. Wer eine Anwendung betreibt, in der Kundendaten liegen, ist das, unabhängig davon, wer oder was den Code geschrieben hat. Das KI-Werkzeug ist kein Mitverantwortlicher für Ihre Datenbank. Nach Art. 5 Abs. 2 DSGVO müssen Sie zudem nachweisen können, dass Sie die Grundsätze einhalten.

Sicherheit der Verarbeitung

Art. 32 DSGVO verlangt geeignete technische und organisatorische Massnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Für eine selbst gebaute Anwendung heisst das ganz praktisch: Zugriff nur für Berechtigte, Schutz der Zugangsdaten, Sicherungen, die sich wiederherstellen lassen, und ein Verfahren, um die Wirksamkeit dieser Massnahmen regelmässig zu prüfen. Eine Datenbank, die jeder mit dem öffentlichen Schlüssel lesen kann, erfüllt das nicht. Wie Sie das prüfen, steht im Artikel Datenbankrechte bei Supabase und Firebase.

Datenschutz durch Technikgestaltung

Art. 25 DSGVO verlangt, Datenschutz schon beim Bau einzuplanen und standardmässig nur die Daten zu verarbeiten, die für den Zweck nötig sind. KI-Werkzeuge legen gern mehr Felder an als gebraucht und speichern alles unbegrenzt. Prüfen Sie: Brauchen Sie jedes Feld? Gibt es eine Löschung, wenn der Zweck entfällt?

Auftragsverarbeiter und Datenflüsse

Jeder Dienst, der in Ihrem Auftrag personenbezogene Daten verarbeitet, ist ein Auftragsverarbeiter nach Art. 28 DSGVO: Datenbankanbieter, Hosting, Mail-Dienst, jeder KI-Dienst, an den Daten gehen. Für jeden braucht es einen Vertrag zur Auftragsverarbeitung. Liegt ein Anbieter ausserhalb der EU, kommen die Regeln für Drittlandübermittlungen hinzu. Das technische Problem: In KI-gebauten Anwendungen ist oft nicht dokumentiert, welche Dienste überhaupt Daten bekommen. Erstellen Sie diese Liste aus dem Code, nicht aus dem Gedächtnis.

Wenn etwas passiert

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, etwa weil eine offene Datenbank abgerufen wurde, ist sie nach Art. 33 DSGVO in der Regel binnen 72 Stunden der Aufsichtsbehörde zu melden. Dazu müssen Sie es bemerken. Prüfen Sie, ob Ihre Anwendung und Ihr Datenbankanbieter Zugriffe protokollieren und ob Sie diese Protokolle einsehen können.

Und in der Schweiz

Für Unternehmen in der Schweiz gilt das revidierte Datenschutzgesetz, das ähnliche Pflichten zur Datensicherheit und zum Datenschutz durch Technik kennt. Die technischen Prüfpunkte sind dieselben.

Was ein Review dazu beitragen kann

Ein Code-Review bewertet nicht die Rechtslage. Es zeigt aber, welche Daten technisch wohin fliessen, ob die Zugriffsregeln greifen und ob Sicherungen eingerichtet sind. Das sind die Fakten, die Ihr Datenschutzbeauftragter für seine Bewertung braucht.

Bevor Sie damit live gehen

Ihre Lösung läuft. Diese Punkte sollten Sie prüfen, bevor echte Daten daran hängen:

Haben Sie eine Liste aller Dienste, an die Ihre Anwendung personenbezogene Daten schickt?
Besteht mit jedem dieser Dienste ein Vertrag zur Auftragsverarbeitung?
Würden Sie bemerken, wenn jemand unberechtigt Daten abruft?

Sie wollen sicher sein? Das Vibe-Code-Review prüft genau diese Grundlagen. Mehr zum Review →

Lieber selbst anfangen? Die kostenlose Schnellprüfung aus dem Vibecode-Testing-Kit zeigt Ihnen, wo Sie stehen. Zur Schnellprüfung →