DSGVO und KI in Österreich

Kein Upload. Kein Server. Die Daten verlassen Ihr Gerät nicht.

Die meisten Ratgeber zum Thema stammen aus Deutschland und sind in der Sache übertragbar — die DSGVO gilt europaweit unmittelbar. An zwei Stellen greift das aber zu kurz: bei den nationalen Ergänzungen und bei den Kennzahlen, die in österreichischen Unterlagen stehen und in international ausgerichteten Werkzeugen schlicht nicht vorkommen.

Drei Regelwerke, die übereinanderliegen

Wer in Österreich KI-Werkzeuge mit personenbezogenen Daten einsetzt, hat es nicht mit einer Vorschrift zu tun, sondern mit mehreren, die nebeneinander gelten:

Regelwerk	Regelt
DSGVO	Gilt unmittelbar in allen Mitgliedstaaten. Beantwortet, ob und unter welchen Bedingungen personenbezogene Daten verarbeitet werden dürfen — auch die Übermittlung an einen KI-Dienst.
Datenschutzgesetz (DSG)	Nationale Ergänzung dort, wo die DSGVO den Mitgliedstaaten Spielraum lässt, etwa bei Bildverarbeitung und im Beschäftigtenkontext. Regelt außerdem Einrichtung und Zuständigkeit der Aufsichtsbehörde.
AI Act	EU-Verordnung über künstliche Intelligenz, seit 2024 in Etappen anwendbar. Ordnet KI-Systeme nach Risikoklassen und knüpft daran Pflichten für Anbieter und Betreiber.

    Wichtig für die praktische Einordnung: Der AI Act ersetzt die datenschutzrechtliche
    Prüfung nicht. Ob Sie einen Text mit Personendaten an ein Sprachmodell schicken dürfen,
    beantwortet weiterhin die DSGVO. Der AI Act kommt hinzu, er löst nichts ab.
  

Die Aufsichtsbehörde

Zuständig ist die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien. An sie richtet sich die Beschwerde nach Art. 77 DSGVO; sie ist zugleich Adressatin der Meldung einer Verletzung des Schutzes personenbezogener Daten nach Art. 33 DSGVO, die grundsätzlich binnen 72 Stunden zu erfolgen hat.

Für den KI-Einsatz ist die zweite Pflicht die praktisch relevantere: Wer versehentlich einen Mandantenschriftsatz vollständig in einen öffentlichen Chatdienst kopiert, hat unter Umständen genau einen solchen Vorfall verwirklicht. Wer den Text vorher bereinigt hat, hat ihn nicht.

Österreichische Kennzahlen, die mitgedacht werden müssen

Hier liegt der Unterschied zu internationalen Werkzeugen. Ein Erkennungsverfahren, das auf deutsche oder US-amerikanische Formate ausgelegt ist, übersieht die folgenden Angaben zuverlässig — sie sehen für es aus wie beliebige Zahlenfolgen:

Sozialversicherungsnummer — zehnstellig, mit Prüfziffer nach dem Modulo-11-Verfahren
ZVR-Zahl — Kennzahl aus dem Vereinsregister, in jedem Vereinsschriftstück
Firmenbuchnummer — mit dem charakteristischen Buchstabensuffix
Steuernummer und UID-Nummer — im Schriftverkehr mit Finanzamt und Steuerberatung
Akten- und Geschäftszahlen — bestimmen ein Verfahren und damit die Beteiligten eindeutig
Kfz-Kennzeichen — mit den österreichischen Bezirkskürzeln
ÖÄK-Arztnummer — im medizinischen Schriftverkehr

Bei Sozialversicherungsnummer und IBAN wird zusätzlich die Prüfsumme ausgewertet (Modulo 11 beziehungsweise Modulo 97). Das verhindert, dass beliebige Zahlenkolonnen fälschlich als Kennzahl behandelt werden — eine Rechnungsnummer bleibt eine Rechnungsnummer.

Datenminimierung als praktischer Maßstab

Art. 5 Abs. 1 lit. c DSGVO verlangt, dass nur die für den Zweck erforderlichen Daten verarbeitet werden. Bei KI-Werkzeugen führt dieser Grundsatz zu einer angenehm konkreten Frage: Braucht das Modell den echten Namen, um die Aufgabe zu erfüllen?

Für Zusammenfassen, Umformulieren, Strukturieren und Übersetzen lautet die Antwort praktisch immer nein. Das Modell braucht die Struktur des Textes, nicht die Identität der genannten Personen. Damit ist die Bereinigung vor dem Absenden keine überobligatorische Vorsichtsmaßnahme, sondern die naheliegende Umsetzung eines ohnehin geltenden Grundsatzes.

Wo die Daten hier verarbeitet werden

Das Erkennen und Ersetzen läuft vollständig im Browser auf Ihrem Gerät — es gibt keinen Verarbeitungsserver, an den Dokumente gingen. Die Frage nach Serverstandort und Drittlandtransfer stellt sich für die Dokumentinhalte deshalb nicht. Für die Nebenfunktionen, die tatsächlich einen Server brauchen (Kontoverwaltung, Anfragezähler), steht die Verarbeitung in der Datenschutzerklärung.

Häufige Fragen

Welche Regelwerke gelten in Österreich für den KI-Einsatz mit personenbezogenen Daten?

Die DSGVO gilt unmittelbar und bildet die Grundlage. Ergänzend gilt das österreichische Datenschutzgesetz, das dort Regelungen trifft, wo die DSGVO den Mitgliedstaaten Spielraum lässt. Hinzu kommt die EU-KI-Verordnung, der AI Act, der seit 2024 gestaffelt anwendbar wird und den KI-Einsatz nach Risikoklassen regelt. Die drei Regelwerke gelten nebeneinander, nicht alternativ.

Wer ist in Österreich die zuständige Aufsichtsbehörde?

Die Österreichische Datenschutzbehörde mit Sitz in der Barichgasse 40–42, 1030 Wien. An sie richtet sich die Beschwerde nach Art. 77 DSGVO, und sie ist auch Ansprechpartnerin für Meldungen von Datenschutzverletzungen nach Art. 33 DSGVO.

Welche österreichischen Kennzahlen müssen aus einem Text entfernt werden?

Neben den allgemeinen Angaben vor allem die Sozialversicherungsnummer, die ZVR-Zahl von Vereinen, die Firmenbuchnummer, die Steuernummer und die UID-Nummer sowie Aktenzahlen und Geschäftszahlen aus Verfahren. Dazu kommen Kfz-Kennzeichen und die ÖÄK-Arztnummer. Diese Formate kommen in international ausgerichteten Werkzeugen häufig nicht vor.

Ändert der AI Act etwas daran, ob ich Personendaten in einen Prompt schreiben darf?

Der AI Act regelt in erster Linie das Inverkehrbringen und den Einsatz von KI-Systemen nach Risikoklassen, nicht die Zulässigkeit einer einzelnen Datenverarbeitung. Ob Sie personenbezogene Daten übermitteln dürfen, beantwortet weiterhin die DSGVO. Die beiden Regelwerke ersetzen einander nicht — der AI Act tritt zu den datenschutzrechtlichen Pflichten hinzu.

    Zu den Grenzen: Die Erkennung arbeitet mustergestützt und wird laufend
    gegen einen gelabelten Testkorpus gemessen. Sie kann ungewöhnlich geschriebene oder erst
    aus dem Zusammenhang erschließbare Angaben übersehen. Prüfen Sie das Ergebnis vor dem
    Versand an einen KI-Dienst immer selbst. Die Anwendung unterstützt datenschutzkonforme
    Abläufe, ersetzt aber keine Rechtsberatung.
  

Ohne Registrierung ausprobieren — Text einfügen, Ergebnis sofort sehen.

Zur Anwendung