DR Kongo, Digitalgesetzbuch 2023 und KI: die Regeln für Personendaten

In Kinshasa bearbeitet das Kundenservice-Team eines Telekommunikationsanbieters jeden Tag Hunderte Beschwerden rund um Mobile Money. Um Zeit zu sparen, kopiert ein Mitarbeiter den Verlauf eines Kunden in einen KI-Assistenten und lässt sich einen Antwortentwurf schreiben. Telefonnummer, Name und Transaktionsbeträge wandern gleich mit.

In der Demokratischen Republik Kongo geschieht das nicht mehr im rechtsfreien Raum. Seit 2023 enthält das Digitalgesetzbuch ein vollständiges Regime zum Schutz personenbezogener Daten. Manches muss noch umgesetzt werden, doch die Grundsätze gelten bereits für Unternehmen, die generative KI einführen.

Das Digitalgesetzbuch von 2023

Die Rechtsverordnung (ordonnance-loi) Nr. 23/010 vom 13. März 2023 über das Digitalgesetzbuch fasst die Regeln zu elektronischer Kommunikation, digitalem Vertrauen, Cybersicherheit und Datenschutz in einem einzigen Text zusammen. Zum ersten Mal verfügt die DR Kongo über einen so umfassenden Rahmen, der sich in vielen Punkten an internationalen Standards orientiert.

Das Gesetzbuch fasst den Begriff der personenbezogenen Daten weit: Identität, Kontaktdaten, berufliche Angaben, Bank-, Rechnungs- und Familiendaten sowie Angaben aus Gerichtsentscheidungen. Mehrere Durchführungsdekrete stehen noch aus, die Kernpflichten gelten aber bereits.

Einwilligung und sensible Daten

Der Grundsatz ist streng. Erhebung und Verarbeitung personenbezogener Daten erfordern die vorherige und ausdrückliche Einwilligung der betroffenen Person. Sie muss nachweisbar sein und jederzeit widerrufen werden können, sofern das Gesetz keine Ausnahme vorsieht.

Bestimmte Daten dürfen grundsätzlich nicht verarbeitet werden: ethnische Herkunft, politische Meinungen, religiöse Überzeugungen und Gesundheit. Ausnahmen gibt es, etwa bei ausdrücklicher Einwilligung für einen bestimmten Zweck.

Zudem sieht das Gesetzbuch eine Meldepflicht für Verarbeitungen und eine Genehmigungspflicht für besonders sensible Fälle vor, etwa für nationale Identifikationsnummern, genetische Daten oder Vorstrafen, sowie für Übermittlungen in Drittländer.

Eine Behörde im Aufbau

Der Text sieht eine Datenschutzbehörde (APD) vor, die per Dekret des Premierministers geschaffen werden soll. Bislang existiert sie nicht. Im August 2024 übertrug ein Ministerialerlass ihre Aufgaben vorläufig der ARPTIC, der Regulierungsbehörde für Post, Telekommunikation und Informationstechnologie. Diese Lösung wird von einem Teil der Juristen kritisch gesehen.

Im März 2026 startete das Ministerium für digitale Wirtschaft in Kinshasa ein nationales Netzwerk der Datenschutzbeauftragten, das als Vorstufe zur Gründung der Behörde gilt. Das Signal ist eindeutig: Der Staat bereitet die Durchsetzung des Gesetzbuchs vor, und Unternehmen sollten sich vor den ersten Kontrollen aufstellen. Wer heute Prozesse und Nachweise schafft, muss später nicht unter Zeitdruck nachbessern.

Drei Branchen an vorderster Front

Telekommunikation

Die Anbieter verwalten zig Millionen Kunden mit ihren Identitäten, Standorten und Kommunikationsdaten. Callcenter und Marketingteams gehören meist zu den Ersten, die generative KI testen, um Tickets zu sortieren oder Kampagnen zu schreiben. Oft geschieht das ohne Abstimmung mit der IT oder der Rechtsabteilung.

Mobile Money

Mobiles Bezahlen ist für einen großen Teil der Bevölkerung unverzichtbar geworden. Ein Transaktionsverlauf verrät Einkommen, Gewohnheiten und familiäre Beziehungen. Wer ihn in einen Chatbot kopiert, gibt Finanzdaten ohne jede Absicherung preis. Dabei sind es gerade diese Verläufe, die Mitarbeiter bei Streitfällen am häufigsten auswerten müssen.

Bergbau

In Haut-Katanga und Lualaba, rund um Lubumbashi und Kolwezi, verarbeiten Bergbauunternehmen Personalakten, medizinische Daten und Sicherheitsberichte. Viele arbeiten mit Muttergesellschaften im Ausland zusammen, und ihre Teams nutzen KI, um Dokumente zu übersetzen oder zusammenzufassen. So landen Namen, Diagnosen und Unfallberichte schnell in Werkzeugen, die niemand freigegeben hat.

Was generative KI konkret verändert

Ein Prompt mit personenbezogenen Daten ist eine Verarbeitung im Sinne des Gesetzbuchs. Da die meisten KI-Assistenten im Ausland gehostet werden, ist er zugleich eine Übermittlung aus der DR Kongo, die nur in ein Land mit gleichwertigem oder höherem Schutzniveau zulässig ist.

In der Praxis geschehen diese Übermittlungen ohne Einwilligung, ohne Meldung und ohne Spur. Den Mechanismus beschreiben wir in unserem Beitrag zur Anatomie eines KI-Datenlecks. Das Risiko steigt zusätzlich, weil die Teams auf Französisch, Lingala oder Swahili arbeiten und KI nutzen, um zwischen den Sprachen zu wechseln.

Vorbereitung, bevor die Behörde kommt

1. Einen Datenschutzbeauftragten benennen, auch wenn das Gesetzbuch die Rolle nur allgemein regelt, und ihn im neuen nationalen Netzwerk anmelden.

2. KI-Nutzung erfassen in Kundenservice, Finanzen, Personalwesen und Sicherheit.

3. Einfache Regeln festlegen: keine Kundennummern, Kontonummern oder Krankenakten in öffentlichen KI-Tools.

4. An der Quelle schützen, indem sensible Daten vor dem Absenden des Prompts automatisch anonymisiert werden.

5. Nachweise sichern über verhinderte Vorfälle, die gegenüber der künftigen Aufsicht nützlich sind.

Formatbewahrende Anonymisierung hält den Text für die KI verwertbar und ersetzt dabei die echten Werte, wie unser Leitfaden zur formatbewahrenden Anonymisierung zeigt. Für die Planung bietet unser 90-Tage-Rollout-Playbook einen realistischen Rahmen. Unternehmen, die in mehreren französischsprachigen Ländern tätig sind, finden einen Vergleich in unserem Leitfaden zum senegalesischen Gesetz 2008-12.

Das Wichtigste

• Die Rechtsverordnung 23/010 von 2023 schafft in der DR Kongo ein echtes Datenschutzregime.

• Ausdrückliche Einwilligung ist die Regel, Übermittlungen ins Ausland sind eingeschränkt.

• Die Datenschutzbehörde muss noch gegründet werden, doch der Staat bereitet sie vor.

• Telekommunikation, Mobile Money und Bergbau sind den Risiken generativer KI am stärksten ausgesetzt.

ZeusLock erkennt und anonymisiert personenbezogene Daten direkt auf dem Gerät, bevor sie ChatGPT, Copilot oder Gemini erreichen, und protokolliert Vorfälle. Demo anfragen und Ihre Teams auf das Digitalgesetzbuch vorbereiten.