Viele Unternehmen im Mittelstand wollen KI nutzen und fragen sich zuerst: Ist das mit dem Datenschutz vereinbar? Die kurze Antwort: Grundsätzlich ja, aber nicht automatisch. Wer KI DSGVO-konform einsetzen möchte, muss weniger die Technik als den konkreten Betrieb betrachten: Welche Daten fließen hinein, wer verarbeitet sie, wo, wie lange und mit welcher Dokumentation?
Dieser Leitfaden führt dich durch sieben Prüfpunkte. Er ist eine Orientierung für Entscheider und keine Rechtsberatung. Für den Einzelfall solltest du Datenschutzbeauftragte oder Fachanwälte einbeziehen.
Ist KI DSGVO-konform einsetzbar? Die kurze Antwort
Ob ein KI-Einsatz datenschutzkonform ist, hängt davon ab, wie er betrieben wird: welche Daten verarbeitet werden, welcher Anbieter beteiligt ist, wo die Verarbeitung stattfindet, wer Zugriff hat und wie alles dokumentiert wird. Das Modell allein entscheidet das nicht. Das ist unsere einordnende Einschätzung.
Entscheidend ist eine Vorfrage: Werden überhaupt personenbezogene Daten berührt? Die DSGVO gilt nur für personenbezogene Daten (Art. 2 Abs. 1, Art. 4 Nr. 1 DSGVO). Das Digitalzentrum Chemnitz erläutert diese Anwendbarkeit in seinem Beitrag KI und DSGVO: Rechtsgrundlagen beim Einsatz künstlicher Intelligenz. Wo keine personenbezogenen Daten im Spiel sind, etwa bei der Auswertung reiner Maschinendaten, stellen sich viele der folgenden Fragen nicht. Sobald aber Kundendaten, E-Mails oder Bewerbungen ins Spiel kommen, lohnt sich eine strukturierte Prüfung.
Schritt 1: Datenarten und Rechtsgrundlage klären
Beginne mit einer Bestandsaufnahme: Welche Daten sollen in das KI-System gelangen, und welche Ergebnisse kommen heraus? Ein Personenbezug liegt vor, wenn sich Informationen auf eine identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO).
Typische Beispiele aus dem Unternehmensalltag:
- Kundendaten, die in einen Chatbot eingegeben werden
- Lebensläufe und Unterlagen im Bewerbungsprozess
- E-Mails, die eine KI zusammenfassen oder beantworten soll
- Gesprächsnotizen oder Tickets mit Namen und Kontaktdaten
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage, etwa Einwilligung, Vertrag oder berechtigte Interessen. Das gilt laut einem Beitrag von Handelsblatt Live zu KI und Datenschutz sowohl für Trainingsdaten als auch für den Produktivbetrieb, also für Ein- und Ausgabe.
Besondere Kategorien und Beschäftigtendaten
Für besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, zum Beispiel Gesundheitsdaten, gelten zusätzliche Voraussetzungen. Prüfe hier unbedingt den Gesetzestext und lass dich beraten. Beschäftigtendaten sind eigenständig geregelt (unter anderem Art. 88 DSGVO und Bundesdatenschutzgesetz). Auch hier gilt: Prüfbedarf erkennen und im Einzelfall juristisch klären lassen.
Schritt 2: Auftragsverarbeitung und AVV prüfen
Verarbeitet ein Anbieter personenbezogene Daten in deinem Auftrag, brauchst du einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Das betrifft typischerweise KI-Plattformen und Cloud-Dienste. Du bleibst dabei in der Regel Verantwortlicher für die Daten, auch wenn ein Dienstleister sie technisch verarbeitet.
Prüfpunkte:
- Liegt ein AVV vor? Ohne ihn ist die Nutzung mit personenbezogenen Daten problematisch.
- Gilt der AVV für deine Variante? Anbieter bieten oft mehrere Zugänge und Verträge an. Prüfe, ob der AVV genau für den Zugang gilt, den ihr tatsächlich verwendet.
- Wie werden Eingaben genutzt? Kläre vertraglich, ob Eingaben für das Training von Modellen verwendet werden dürfen.
- Wer sind die Unterauftragnehmer? Dazu mehr im nächsten Schritt.
Eine Empfehlung für bestimmte Anbieter oder Tarife geben wir bewusst nicht. Die Prüfung hängt von deinem Vertrag und deinem Einsatzzweck ab.
KI-Tools im Alltag: Firmenzugang statt privater Account
Bei der Frage „KI-Tools DSGVO-konform nutzen“ kommt es oft auf die Zugangsart an. Ein vertraglich geregelter Unternehmenszugang mit AVV ist etwas anderes als ein privater Account, den Mitarbeitende selbst anlegen. Nutzen Beschäftigte private Zugänge für dienstliche Aufgaben (sogenannte Schatten-KI), fehlt meist genau das, was du prüfen musst: Vertrag, Klarheit über die Nutzung von Eingaben und Kontrolle über Speicherorte. Das ist eine Einordnung aus unserer Praxissicht, keine Aussage über ein bestimmtes Produkt. Prüfe die Vertragsbedingungen der konkret genutzten Variante, denn sie unterscheiden sich je nach Anbieter und Zugang.
Schritt 3: Hosting-Standort und Drittlandtransfer
Die Frage „Wo werden meine Daten verarbeitet?“ ist bei KI besonders wichtig, weil Eingaben oft an externe Dienste gesendet werden. Kläre deshalb, wo Eingaben verarbeitet und gespeichert werden.
Eine Verarbeitung innerhalb der EU oder auf Grundlage zulässiger Garantien vermeidet unkontrollierte Drittlandtransfers. Die Regeln dazu stehen in Kapitel V der DSGVO. Details solltest du am Gesetzestext und mit rechtlicher Unterstützung prüfen, da hier Rechtsprechung und Rahmenbedingungen im Wandel sind.
Prüfe außerdem die gesamte Kette:
- Wo läuft die Infrastruktur des Anbieters?
- Wer liefert das zugrunde liegende Sprachmodell?
- Welche Unterauftragnehmer haben Zugriff auf Daten, Logs oder Support-Zugänge?
Das Modell und der Plattformbetreiber sind oft nicht identisch. Beide gehören in deine Prüfung.
Schritt 4: Datenminimierung und Zweckbindung
Der wirksamste Hebel liegt oft bei dir selbst: Gib nur ein, was für die Aufgabe nötig ist. Datenminimierung und Zweckbindung gehören zu den Grundsätzen der DSGVO (Art. 5).
Praktische Ansätze:
- Interne Regeln festlegen: Welche Daten dürfen in welche Tools, und welche nie?
- Daten reduzieren: Namen, Nummern und Details weglassen, wenn die Aufgabe sie nicht braucht.
- Technische Verfahren nutzen: Pseudonymisierung, Anonymisierung oder aggregierte Auswertungen können helfen, Datenschutz schon in die technische Konzeption einzubauen.
- Zweck dokumentieren: Halte fest, wofür ein Tool eingesetzt wird und wofür nicht.
Gerade beim KI-Chatbot im Arbeitsalltag ist das praxisrelevant. Mitarbeitende kopieren schnell ganze Kundenmails in ein Eingabefeld. Eine klare Regel („Das gehört in den Prompt, das nicht“) schützt davor.
Schritt 5: Löschkonzept und Betroffenenrechte
Betroffene haben Rechte auf Auskunft, Berichtigung und Löschung (Art. 15–17 DSGVO). Diese müssen im laufenden Betrieb umsetzbar sein. Bei KI-Systemen ist das nicht trivial, weil Daten an mehreren Stellen liegen können.
Stell dir diese Prüffragen:
- Wo liegen Eingaben, Chatverläufe, Logs und Wissensbasen?
- Wie lange werden sie gespeichert?
- Kannst du Daten einer einzelnen Person finden und löschen?
- Wer ist intern für Anfragen von Betroffenen zuständig?
Ein Löschkonzept legt Speicherorte, Fristen und Zuständigkeiten fest. Dokumentiere es und protokolliere Löschvorgänge nachvollziehbar. Besonders bei Wissensbasen, die ein KI-Assistent durchsucht, solltest du früh klären, wie Inhalte aktualisiert und entfernt werden.
Schritt 6: Transparenz, Dokumentation und Governance
Datenschutz bei KI ist keine einmalige Prüfung, sondern ein laufender Prozess. Dafür brauchst du klare Verantwortlichkeiten, Dokumentation und Kontrolle.
- Verantwortlichkeiten: Wer entscheidet über neue KI-Anwendungen, wer prüft sie, wer überwacht den Betrieb?
- Dokumentation: Zweck, Rechtsgrundlage, Anbieter, AVV, Standort und Löschfristen festhalten.
- Interne KI-Richtlinie: Sie schafft Orientierung und wirkt der unkontrollierten Nutzung privater Accounts entgegen.
- Information: Mitarbeitende, Kunden und Bewerber transparent informieren, wo KI eingesetzt wird.
Bei KI-Agenten für Unternehmen, die auf CRM-, Cloud- oder andere Systeme zugreifen, kommen zwei Fragen hinzu: Welche Zugriffe sind erlaubt, und wie lässt sich nachvollziehen, was der Agent getan hat? Protokollierung und Freigabeschritte solltest du von Anfang an mitdenken. Mehr dazu findest du im Beitrag KI-Agenten-Überwachung: Was Unternehmen prüfen sollten. Auch bei KI-Chatbots für Unternehmen gehören Datenfluss und Speicherung früh auf die Agenda.
Schritt 7: Datenschutzbeauftragte und Folgenabschätzung einbinden
Bei KI-Vorhaben mit personenbezogenen Daten solltest du früh die oder den Datenschutzbeauftragten einbeziehen, soweit vorhanden. Sie oder er kann einschätzen, ob für das Vorhaben eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO nötig ist. Diese Prüfung kommt in Betracht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen mit sich bringt. Ob das bei deinem Vorhaben der Fall ist, ist eine Einzelfallfrage und sollte rechtlich geklärt werden.
Praktisch hilft es, dem Datenschutzteam Unterlagen bereitzustellen: Zweck, Datenarten, Anbieter, AVV, Standort, Löschkonzept. Genau diese Punkte erarbeitest du in den Schritten 1 bis 6.
DSGVO und EU AI Act zusammen denken
Neben der DSGVO gibt es den EU AI Act. Er ist am 1. August 2024 in Kraft getreten und enthält in Art. 3 Nr. 1 die erste rechtliche Definition von KI, wie ein Beitrag von Handelsblatt Live darstellt. Der AI Act sieht schrittweise geltende Vorgaben vor, darunter Transparenzpflichten für bestimmte KI-Systeme. Welche Pflichten zu welchem Zeitpunkt für dich gelten, solltest du anhand des offiziellen Gesetzestexts auf EUR-Lex oder bei der EU-Kommission prüfen, da sich Stände und Auslegungen ändern können.
Wichtig ist: Beide Regelwerke gelten parallel. Der AI Act ersetzt die DSGVO nicht, sondern ergänzt sie um KI-spezifische Vorgaben. Ob und in welchem Umfang dich der AI Act betrifft, hängt von der Art deines KI-Systems ab. Das solltest du im Einzelfall juristisch klären lassen.
Checkliste: Prüfpunkte vor dem Start
Die folgende Liste fasst die Schritte als Checkliste für den KI-Einsatz zusammen. Sie dient der Orientierung und ersetzt keine rechtliche Prüfung.
- Datenarten: Ist klar, welche personenbezogenen Daten verarbeitet werden, auch besondere Kategorien?
- Rechtsgrundlage: Gibt es für jeden Zweck eine passende Rechtsgrundlage?
- AVV: Liegt ein Auftragsverarbeitungsvertrag vor, und gilt er für die genutzte Variante?
- Modelltraining: Ist geregelt, ob Eingaben zum Training verwendet werden?
- Standort: Sind Verarbeitungsort, Unterauftragnehmer und Modellanbieter geprüft?
- Datenminimierung: Gibt es interne Regeln, was in Prompts gehört?
- Löschkonzept: Sind Speicherorte, Fristen und Abläufe für Betroffenenrechte definiert?
- Governance: Sind Verantwortlichkeiten, Dokumentation und eine KI-Richtlinie vorhanden?
- DSFA und Datenschutzbeauftragte: Ist geklärt, ob eine Folgenabschätzung nötig ist?
- AI Act: Ist die Betroffenheit juristisch eingeordnet?
Binde von Beginn an die richtigen Personen ein: Datenschutzbeauftragte, IT-Sicherheit und Geschäftsführung. Wer früh gemeinsam prüft, vermeidet teure Korrekturen nach dem Start.
Wie Paxenta bei der Einordnung unterstützt
In der KI-Beratung von Paxenta bewerten wir Anwendungsfälle nach ROI, Machbarkeit und Risiko. Der Potenzial-Check betrachtet unter anderem die Datenverfügbarkeit. So siehst du früh, welche Daten ein Vorhaben braucht und wo Datenschutzfragen entstehen.
Auf unseren Leistungsseiten beschreiben wir, dass Datenschutz von der ersten Architekturentscheidung an mitgedacht wird. Das ist eine Eigenaussage von uns, kein Zertifikat und keine Konformitätsgarantie. Die rechtliche Bewertung deines konkreten Falls bleibt bei deinen Datenschutzbeauftragten oder Anwälten. Wir helfen dir, die technischen und organisatorischen Fragen so aufzubereiten, dass diese Bewertung gut möglich ist. Paxenta sitzt in Hamburg und ist deutschlandweit tätig.
Häufige Fragen
Ist der Einsatz von KI DSGVO-konform möglich?
Grundsätzlich ja, wenn Rechtsgrundlage, Auftragsverarbeitung, Datenminimierung, Standort der Verarbeitung, Löschung und Transparenz geklärt sind. Entscheidend ist der gesamte Betrieb, nicht das Modell allein. Im Einzelfall solltest du Datenschutzbeauftragte oder Fachanwälte einbeziehen.
Brauche ich für KI-Tools einen Auftragsverarbeitungsvertrag?
Wenn ein Anbieter personenbezogene Daten in deinem Auftrag verarbeitet, ist nach Art. 28 DSGVO ein AVV erforderlich. Prüfe, ob er auch für die Variante gilt, die du tatsächlich nutzt.
Dürfen personenbezogene Daten in KI-Chatbots eingegeben werden?
Nur mit Rechtsgrundlage, passendem AVV und unter Beachtung von Datenminimierung und Zweckbindung. Lege intern fest, welche Daten in Prompts gehören und welche nicht.
Wo sollten die Daten bei KI-Anwendungen verarbeitet werden?
Eine Verarbeitung innerhalb der EU oder mit zulässigen Garantien vermeidet unkontrollierte Drittlandtransfers. Auch Unterauftragnehmer und Modellanbieter gehören in deine Prüfung.
Was ändert sich durch den EU AI Act für Unternehmen?
Er ergänzt die DSGVO um KI-spezifische Vorgaben, etwa Transparenzpflichten für bestimmte Systeme. Er ist seit dem 1. August 2024 in Kraft; welche Pflichten für dich wann gelten, prüfst du am offiziellen Text auf EUR-Lex und klärst es im Einzelfall rechtlich.
Wie lassen sich Löschung und Betroffenenrechte bei KI umsetzen?
Auskunft, Berichtigung und Löschung müssen im laufenden Betrieb möglich sein. Dafür brauchst du Transparenz darüber, wo Eingaben, Logs und Wissensbasen gespeichert sind, sowie ein Löschkonzept.
Nächster Schritt: Erstgespräch
Du planst einen KI-Einsatz und willst früh wissen, welche Daten- und Datenschutzfragen auf dich zukommen? Sprich mit uns über deinen Anwendungsfall. Kostenloses Erstgespräch vereinbaren