Zum Hauptinhalt springen

Sensitive Daten (Art. 9 DSGVO)

Meetings, Interviews und hochgeladene Aufnahmen bleiben nicht immer bei neutralen Themen. Ein Personalgespräch kann Gesundheit berühren, ein Bewerbungsgespräch kann Gewerkschaftszugehörigkeit verraten, eine Beratung erfasst Überzeugungen oder sexuelle Orientierung. All das fällt unter besondere Kategorien personenbezogener Daten in Art. 9 DSGVO und braucht eine stärkere Rechtsgrundlage als eine übliche Verarbeitung.

Sally ist so entwickelt, dass es in diesen Kontexten einsetzbar bleibt. Der AVV weist das ausdrücklich aus: Der Verantwortliche entscheidet, welche Gespräche mit Sally stattfinden und welche Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO greift. Auf unserer Seite sind die TOMs auf das erhöhte Schutzniveau ausgelegt.

Was Art. 9 DSGVO abdeckt​

Besondere Kategorien umfassen personenbezogene Daten, aus denen hervorgehen:

  • Rassische oder ethnische Herkunft
  • Politische Meinungen, religiöse oder weltanschauliche Überzeugungen
  • Gewerkschaftszugehörigkeit
  • Genetische und biometrische Daten (zur eindeutigen Identifizierung)
  • Gesundheitsdaten
  • Daten zum Sexualleben oder zur sexuellen Orientierung

Wo sie bei Sally auftreten​

  • HR- und Personalgespräche (Krankheit, Wiedereingliederung, Disziplinargespräche)
  • Recruiting und Bewerbungen (wenn Behinderung oder Religion offenbart werden)
  • Beratung und Coaching (mentale Gesundheit, persönliche Themen)
  • Medizinische und therapeutische Kontexte (Fallbesprechungen, Patientengespräche, Versicherungscalls)
  • Rechts-, Betriebsrats- und Beschwerdegespräche (Gewerkschaftsthemen, Diskriminierungsfälle)

Deine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO​

Der Verantwortliche wählt die passende Rechtsgrundlage. Die häufigsten Fälle im Sally-Einsatz:

✓
Art. 9 Abs. 2 lit. a: Ausdrückliche Einwilligung
Standard bei HR, Coaching, Beratung. Die Einwilligung muss informiert, spezifisch, freiwillig und dokumentiert sein. Kombinier sie mit einer klaren Vorab-Info und einer einfachen Opt-out-Möglichkeit.
✓
Art. 9 Abs. 2 lit. b: Arbeitsrecht, soziale Sicherheit
Für Verarbeitungen, die arbeitsrechtliche Pflichten erfüllen (z. B. arbeitsmedizinische Vorsorge), soweit das anwendbare nationale Recht dies erlaubt.
✓
Art. 9 Abs. 2 lit. h: Präventiv- oder Arbeitsmedizin
Wenn medizinische Anbieter Patientengespräche zur Versorgung oder Behandlung verarbeiten, unter Berufsgeheimnis.
✓
Art. 9 Abs. 2 lit. f: Rechtsansprüche
Für Gespräche, die einen Rechtsstreit dokumentieren oder Ansprüche verteidigen.
Sally wählt die Rechtsgrundlage nicht für dich

Die Bewertung nach Art. 9 Abs. 2 liegt immer beim Verantwortlichen. Die Aliru GmbH agiert als Auftragsverarbeiter nach Art. 28 und bewertet den Inhalt deiner Aufnahmen nicht.

Die TOMs, die zum Art.-9-Schutzniveau passen​

Die technischen und organisatorischen Maßnahmen in Anlage 1 des AVV sind bewusst so ausgelegt, dass sie besondere Kategorien tragen. Die wichtigsten Schutzmaßnahmen:

✓
Ende-zu-Ende-Verschlüsselung
AES-256 für Daten im Ruhezustand und TLS 1.3 für die Übertragung. Die Schlüssel liegen ausschließlich bei Aliru, nie beim Infrastrukturanbieter.
✓
Sallys eigenes LLM in Deutschland
Transkription und Analyse laufen auf einem Sprachmodell, das Aliru selbst auf eigener Infrastruktur in Deutschland betreibt. Sensitive Inhalte gehen nie an einen externen KI-Anbieter.
✓
Rollenbasierte Zugriffe und strikte Mandantentrennung
Nur berechtigte Nutzer sehen Gesprächsinhalte, Mandanten sind logisch getrennt. Im Regelbetrieb hat Aliru keinen Zugriff.
✓
Revisionsfeste Protokollierung
Jeder Zugriff, jede Änderung, jede Löschung wird protokolliert. Support-Zugriffe brauchen eine Freigabe des Kunden, sind temporär und vollständig nachvollziehbar.
✓
Vertragliche Vertraulichkeit
Alle Aliru-Mitarbeitenden, die potenziell auf Kundendaten zugreifen könnten, sind schriftlich zur Vertraulichkeit verpflichtet.

Sally für Art.-9-Workloads konfigurieren​

Speicherdauer verkürzen

Setz für den Meeting-Typ eine kurze Standardaufbewahrung. Sensitive Aufnahmen sollten nach Zweckerfüllung sofort gelöscht werden.

Video deaktivieren, wenn möglich

Audio und Transkript reichen meist aus. Kein Video reduziert das Risiko nach Art. 5 Abs. 1 lit. c (Datenminimierung).

Zugriff einschränken

Nutz Rollenrestriktionen, damit nur Teilnehmende und berechtigte HR-/Rechts-Personen das Transkript sehen.

Einwilligung dokumentieren

Halte die Rechtsgrundlage nach Art. 9 Abs. 2 schriftlich fest, gerade bei einwilligungsbasierter Verarbeitung. Ablage außerhalb der Aufnahme selbst.

Was Sally nicht macht​

  • Kein Profiling zu Gesundheit, Emotionen oder Persönlichkeitsmerkmalen. Inhalte werden nicht zu Verhaltens- oder Emotionsprofilen verdichtet.
  • Kein KI-Training mit Kundendaten. Aufnahmen, Transkripte und Zusammenfassungen fließen nie ins Modelltraining ein.
  • Keine biometrische Identifizierung. Sally erkennt keine Gesichter oder Stimmen, um Personen zu identifizieren.
  • Keine Drittlandsübermittlung. Die Verarbeitung der Gesprächsdaten findet ausschließlich in Deutschland statt.

Passende Seiten​