Ratgeber · RechtKI im Maklerbüro:Datenschutz und Haftung.

Sie bleiben verantwortlich

Ein KI-Anbieter, den Sie als Cloud-Lösung einsetzen, ist Ihr Auftragsverarbeiter. Ohne Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO geht gar nichts, auch nicht in einer kostenlosen Testphase. Denn auch dort fließen echte Kundendaten.

Die Folgenabschätzung, mit der niemand rechnet

Bringt eine Verarbeitung voraussichtlich ein hohes Risiko mit sich, ist eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO nötig. Die deutschen Datenschutzaufsichtsbehörden schreiben dazu in ihrer gemeinsamen Orientierungshilfe wörtlich: „Beim Einsatz von KI-Anwendungen wird dies vielfach der Fall sein.“

Fragen Sie den Anbieter deshalb früh, welche Unterlagen Sie von ihm dafür bekommen. Wer darauf keine Antwort hat, lässt Sie mit der Arbeit allein.

Wo verarbeitet wird und wofür

Fragen Sie nach der Region, in der Ihre Daten verarbeitet werden, nicht nach dem Firmensitz des Anbieters. Und lassen Sie sich schriftlich geben, ob Ihre Daten zum Training von Modellen verwendet werden. Die Antwort muss nein lauten.

Haftung: das Nein, das teuer wird

Der Bundesgerichtshof hat entschieden, dass ein Verkäufer für Verstöße gegen vorvertragliche Aufklärungspflichten auch dann haftet, wenn er die Verhandlungen einem Dritten überlässt. Verkürzt: Wer die Korrespondenz abgibt, gibt die Aufklärungspflicht nicht mit ab.

Für den Einsatz von KI heißt das: Fragt ein Interessent nach Feuchtigkeit im Keller und intern ist genau dazu etwas hinterlegt, darf ein System weder ausweichen noch verneinen. Ein leichtfertiges „nein“ auf eine Frage nach einem bekannten Mangel ist keine Kleinigkeit, sondern im Zweifel arglistige Täuschung. Diese Antwort gehört keinem System. Sie gehört Ihnen.

Interna bleiben intern, technisch erzwungen

Verhandlungsspielraum, Verkaufsgrund, Eile des Eigentümers, bekannte Mängel: Solche Angaben gehören in die Objektakte, damit das System klug reagieren kann. Nach außen dürfen sie nie, auch nicht als Andeutung. Diese Trennung muss technisch erzwungen sein, nicht nur versprochen.

Dasselbe gilt für Rückmeldungen aus Besichtigungen. Sie sind personenbezogene Daten. In einen Bericht an den Eigentümer gehören sie zusammengefasst, nicht zitiert, ohne Namen und ohne Details, an denen jemand wiederzuerkennen ist.

Ergebnisse prüfen, bevor sie rausgehen

Die Aufsichtsbehörden sind hier eindeutig: „Die Ergebnisse von KI-Anwendungen mit Personenbezug müssen kritisch hinterfragt werden.“ Das ist der Grund, warum am Anfang jede Antwort freigegeben wird. Und die Freigabe hat einen Nebeneffekt: Wer Interessenten nicht von einem System selbsttätig aussortieren lässt, berührt Artikel 22 DSGVO zu automatisierten Einzelentscheidungen gar nicht erst.