sensible-ki

Datenschutz

KI DSGVO-konform einsetzen: 5 Schritte für den Mittelstand

Von der Redaktion sensible-ki.de (neXenio GmbH) · Veröffentlicht 16.10.2026 · Aktualisiert 29.10.2026 · 5 Min. Lesezeit

Wie Unternehmen KI-Werkzeuge datenschutzkonform einführen: Anwendungsfall klären, Rechtsgrundlage prüfen, Anbieter bewerten, Risiken dokumentieren, Mitarbeitende anleiten.

Sobald ein KI-Werkzeug mit personenbezogenen Daten in Berührung kommt, gilt die DSGVO – unabhängig davon, ob es sich um ein Chatfenster, ein Office-Add-in oder eine selbst gebaute Schnittstelle handelt. Das ist kein Hindernis, sondern eine Checkliste. Die folgenden fünf Schritte haben sich in der Praxis bewährt, um KI strukturiert und nachweisbar einzuführen.

Schritt 1: Anwendungsfall und Datenarten klären

Beginnen Sie nicht beim Werkzeug, sondern bei der Aufgabe. Was soll die KI tun – Texte zusammenfassen, Rechnungen auslesen, Kundenanfragen vorsortieren? Und welche Daten fließen dabei hinein? Unterscheiden Sie mindestens drei Klassen: nicht personenbezogene Daten (z. B. allgemeine Produkttexte), normale personenbezogene Daten (Namen, E-Mail-Adressen, Vertragsdaten) und besondere Kategorien nach Art. 9 DSGVO (Gesundheitsdaten, Gewerkschaftszugehörigkeit u. a.).

Ein einfaches Ergebnis dieses Schritts: eine Tabelle mit Anwendungsfall, Datenklasse, betroffenen Personen (Beschäftigte, Kunden, Bewerber) und Verantwortlichem im Haus. Diese Tabelle ist später die Grundlage für das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO).

Schritt 2: Rechtsgrundlage und Zweck festlegen

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Im Unternehmensalltag sind das meist die Vertragserfüllung (Art. 6 Abs. 1 lit. b), das berechtigte Interesse (lit. f) oder – bei Beschäftigtendaten – die Regelungen des Beschäftigtendatenschutzes (§ 26 BDSG, soweit anwendbar). Eine Einwilligung ist im Beschäftigtenkontext wegen der Abhängigkeit selten tragfähig.

  • Zweckbindung: Die KI darf nur für den dokumentierten Zweck genutzt werden, nicht „nebenbei“ für andere Auswertungen.
  • Datenminimierung: Müssen Namen und Adressen wirklich in den Prompt, oder genügt eine Pseudonymisierung vorab?
  • Automatisierte Einzelentscheidungen (Art. 22 DSGVO): Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung dürfen grundsätzlich nicht allein einer KI überlassen werden (Ausnahmen etwa bei Vertragserfüllung oder Einwilligung, dann mit Schutzmaßnahmen). Nach dem EuGH-Urteil zum SCHUFA-Score (Rs. C-634/21, 7. Dezember 2023) kann bereits ein Score als „Entscheidung“ gelten, wenn ein Dritter sich maßgeblich darauf stützt. Planen Sie eine echte menschliche Prüfung ein.

Schritt 3: Anbieter prüfen – AVV, Datenstandort, Training

Nutzen Sie einen externen KI-Dienst, ist der Anbieter in aller Regel Auftragsverarbeiter. Dann benötigen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Prüfen Sie außerdem:

  • Datenstandort: Wo werden Eingaben verarbeitet und gespeichert? Gibt es eine EU-Region, und ist sie technisch verbindlich zugesichert?
  • Drittlandtransfer: Fließen Daten in Länder außerhalb des EWR (Kapitel V DSGVO)? Auf welcher Grundlage – Angemessenheitsbeschluss, Standardvertragsklauseln? Fernzugriffe von Support-Mitarbeitern zählen ebenfalls. Stand Oktober 2026: Für Übermittlungen an unter dem EU-US Data Privacy Framework zertifizierte US-Unternehmen besteht ein Angemessenheitsbeschluss der Kommission (2023). Das Gericht der EU hat die Klage dagegen am 3. September 2025 abgewiesen (Rs. T-553/23, Latombe); die Berufung zum EuGH (Rs. C-703/25 P) ist anhängig, eine Entscheidung liegt nicht vor. Prüfen Sie daher, ob der Anbieter zertifiziert ist, und halten Sie für den Fall einer Aufhebung Standardvertragsklauseln und eine Ausweichlösung bereit.
  • Training mit Ihren Daten: Werden Eingaben zur Verbesserung der Modelle genutzt? Bei Business- und API-Angeboten ist das häufig ausgeschlossen, bei Verbraucherangeboten oft nicht. Verlassen Sie sich nicht auf Marketingtexte, sondern auf die Vertragsunterlagen.
  • Unterauftragsverarbeiter: Wer ist noch beteiligt (Cloud, Support, Moderation)? Wie werden Sie über Änderungen informiert?
  • Aufbewahrung und Löschung: Wie lange bleiben Eingaben gespeichert, und lässt sich das steuern?

Eine herstellerneutrale Checkliste mit Fragenkatalog für Ihren KI-Anbieter hilft, diese Punkte strukturiert abzufragen und Nachweise anzufordern. Sie ersetzt nicht die Prüfung der aktuellen Vertragsunterlagen.

Schritt 4: Risiken bewerten und dokumentieren

Dokumentation ist Ihr Nachweis gegenüber Aufsichtsbehörden und Kunden (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO). Mindestens gehören dazu: der Eintrag im Verzeichnis von Verarbeitungstätigkeiten, die Beschreibung der technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und die Information der Betroffenen in Ihren Datenschutzhinweisen (Art. 13/14).

Bei voraussichtlich hohem Risiko für die Betroffenen – etwa bei umfangreicher Verarbeitung sensibler Daten oder systematischer Bewertung von Personen – ist eine Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) erforderlich. Binden Sie hierfür Ihren Datenschutzbeauftragten früh ein; die Aufsichtsbehörden veröffentlichen Listen von Verarbeitungen, bei denen eine DSFA stets nötig ist. Hilfreich sind die Orientierungshilfen der Datenschutzkonferenz (DSK) zu KI und Datenschutz (Mai 2024), zu technischen und organisatorischen Maßnahmen bei KI-Systemen (Juni 2025) und zu generativer KI mit RAG (Oktober 2025).

Schritt 5: Menschen befähigen und Regeln setzen

Die beste Vertragslage nützt wenig, wenn Mitarbeitende private Konten bei Verbraucherdiensten nutzen („Schatten-KI“). Geben Sie deshalb einen freigegebenen Weg vor und machen Sie ihn bequemer als die Alternative. Legen Sie in einer internen KI-Richtlinie fest, welche Daten wohin dürfen, und schulen Sie kurz und praxisnah. Dass Ihr Unternehmen für ausreichende KI-Kompetenz sorgen muss, ergibt sich zudem aus Art. 4 der EU-KI-Verordnung.

Typische Stolpersteine

  • Der AVV ist unterschrieben, aber niemand hat geprüft, ob der Datenstandort im Produkt tatsächlich auf „EU“ gestellt ist.
  • Die Testphase läuft ohne Freigabe mit echten Kundendaten.
  • Der Betriebsrat wird erst nach der Einführung beteiligt. Beschäftigtenvertretungen haben bei technischen Einrichtungen zur Leistungs- und Verhaltenskontrolle Mitbestimmungsrechte.
  • Ergebnisse der KI werden ungeprüft übernommen – Fehler („Halluzinationen“) landen dann in Verträgen oder Schreiben an Kunden.

Weitere Ratgeber: EU AI Act im Überblick: Zeitplan und Pflichten für den Mittelstand · Vorlage: Interne KI-Richtlinie für Ihr Unternehmen · Dokumente DSGVO-konform digitalisieren: OCR mit KI im Mittelstand