Inzwischen erhalten Unternehmen häufiger Betroffenenanfragen, die automatisiert durch künstliche Intelligenz bzw. KI-Agenten erstellt und verschickt werden – etwa Auskunfts- oder Löschersuchen. Solche Anfragen sind rechtlich zulässig und müssen ernst genommen werden. Grundsätzlich ist die Anfrage wie jede andere Betroffenenanfrage zu behandeln:
- Eine per KI formulierte Anfrage ist wirksam, wenn sie klar erkennen lässt, welche Rechte geltend gemacht werden sollen, z. B. auf Auskunft und Löschung.
- Die gesetzliche Frist von einem Monat gilt auch für KI-gestützte Anfragen.
- Eine Identitätsüberprüfung der Betroffenen muss erfolgen. Bei begründeten Zweifeln an der Identität des Antragstellers dürfen Verantwortliche jedoch zusätzliche Nachweise anfordern. Dabei steigen die Anforderungen an die Identitätsprüfung mit der Sensibilität der betroffenen Daten. Wenn die Identität des Betroffenen nicht nachgewiesen ist, kann der Verantwortliche die Auskunft verweigern.
Gerade wenn KI-Agenten oder Dienstleister eine Betroffenenanfrage übermitteln, kann für das Unternehmen zunächst unklar sein, ob die Anfrage tatsächlich von der betroffenen Person stammt. Wird in einer solchen Situation ohne ausreichende Identitätsprüfung eine Auskunft erteilt, besteht das Risiko, personenbezogene Daten an eine unberechtigte Person offenzulegen. Eine solche unbefugte Offenlegung kann einen Datenschutzvorfall darstellen.
Um Datenschutzverstöße durch falsche Auskunftserteilung zu vermeiden, gibt es folgende Möglichkeiten:
- Die Beantwortung der Anfrage wird an eine dem Verantwortlichen zuvor bekannte E-Mail-Adresse oder Postanschrift gesandt und nicht an den KI-Agenten bzw. bevollmächtigten Dienstleister. Solche Informationen, die eine Verbindung zur Anfrage herstellen und damit zum Betroffenen, können der weiteren Identifizierung dienen. Diese Methode der Identitätsprüfung wird von uns empfohlen.
- Wir verlangen einen zusätzlichen Nachweis bzw. Identifizierung, z. B. indem wir bitten, den Antrag (erneut) von der angegebenen E-Mail-Adresse aus zu senden, für welche die Anfrage bearbeitet werden soll. Beim erstmaligen direkten Anschreiben an den Betroffenen sollte der E-Mail-Verlauf der KI bzw. des KI-Agenten nicht weitergeleitet werden, denn wir können nicht sicher sein, dass der Antrag tatsächlich von der betroffenen Person stammte.
- Alternativ kann der Betroffene aufgefordert werden, seine Identität anderweitig zu bestätigen indem z. B. eine gültige Ausweiskopie (ggf. mit Schwärzung irrelevanter Daten) vorgelegt wird.
KI-generierte Betroffenenanfragen erfordern eine sorgfältige Prüfung der Identität. Unternehmen sollten daher prozessuale Vorkehrungen treffen, um Missbrauch zu verhindern – ohne dabei die Rechte der Betroffenen unnötig zu erschweren. Im Zweifel bleibt: Nachweis anfordern! So lassen sich Datenschutzverstöße vermeiden und die gesetzlichen Pflichten sicher erfüllen.