KI-Systeme können Inhalte, Angebote und Ansprache für jede Person individuell anpassen. Das verspricht höhere Relevanz und bessere Ergebnisse. Gleichzeitig berührt Personalisierung fast immer personenbezogene Daten, und damit die Datenschutz-Grundverordnung. Dieser Beitrag gibt einen Überblick, ersetzt aber keine Rechtsberatung.
Die Rechtsgrundlage zuerst
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Für Personalisierung im Marketing ist das häufig eine Einwilligung. Sie muss freiwillig, informiert und für einen bestimmten Zweck erteilt werden. Wer Daten für einen Zweck erhebt und später für KI-Auswertungen nutzt, bewegt sich schnell auf unsicherem Boden.
Wo es heikel wird
- Profilbildung: Je detaillierter ein Profil, desto höher sind die Anforderungen an Transparenz.
- Sensible Daten: Rückschlüsse auf Gesundheit, Religion oder politische Haltung sind besonders geschützt.
- Automatisierte Entscheidungen: Wenn ein System allein über Preise oder Konditionen entscheidet, gelten zusätzliche Regeln.
- Externe KI-Dienste: Werden Kundendaten an Anbieter außerhalb der EU übermittelt, braucht es passende Verträge und Garantien.
Pragmatische Leitlinien
Arbeiten Sie so oft wie möglich mit Daten auf Gruppenebene statt mit Einzelprofilen. Kontextbezogene Personalisierung, etwa nach Seite, Region oder Tageszeit, kommt oft ohne personenbezogene Daten aus und wirkt trotzdem relevant.
Dokumentation als Schutz
Halten Sie fest, welche Daten Sie für welchen Zweck nutzen, welche Werkzeuge beteiligt sind und wie lange Daten gespeichert werden. Diese Dokumentation hilft bei Anfragen von Kunden und Aufsichtsbehörden. Binden Sie Ihren Datenschutzbeauftragten früh ein, bevor ein Projekt startet, nicht erst danach.
