KI und Datenschutz: DSGVO-konforme KI im Unternehmen 2026

KI und Datenschutz gelten als Konflikt. Das stimmt nicht pauschal — aber es gibt echte rechtliche Anforderungen die viele Unternehmen beim KI-Einsatz übersehen. Wer sie kennt, kann KI nutzen ohne Risiko.

Was die DSGVO beim KI-Einsatz verlangt

Grundsatz: Zweckbindung

Daten die für Zweck A erhoben wurden, dürfen nicht einfach für KI-Training oder -Analyse genutzt werden (Zweck B). Beispiel: Kundendaten aus dem CRM für ein KI-Modell zu trainieren das Kaufverhalten vorhersagt — braucht eigene Rechtsgrundlage.

Lösung: Entweder separate Einwilligung, berechtigtes Interesse (Art. 6 Abs. 1 f) mit Interessenabwägung, oder Anonymisierung vor der Nutzung.

Automatisierte Entscheidungen (Art. 22 DSGVO)

Wenn KI vollautomatisch Entscheidungen trifft die erhebliche Auswirkungen auf Personen haben — Kreditvergabe, Bewerbungsfilterung, Preisstaffelung — gelten besondere Regeln:

• Betroffene müssen informiert werden
• Recht auf menschliche Überprüfung der Entscheidung
• Recht auf Widerspruch

Praxis: Wenn ein Mensch im Prozess die finale Entscheidung trifft und KI nur vorqualifiziert, greift Art. 22 nicht. Viele Unternehmen stellen ihren Prozess genau so auf.

Auftragsverarbeitung (Art. 28 DSGVO)

Wer externe KI-Dienste nutzt (ChatGPT, Claude, Azure AI, Google Cloud AI) und dabei personenbezogene Daten verarbeitet: das ist Auftragsverarbeitung.

Pflicht: Auftragsverarbeitungsvertrag (AVV/DPA) mit dem Anbieter.

Alle großen Anbieter bieten AVVs an:
- OpenAI: in den Enterprise-Plänen enthalten
- Microsoft Azure: Standard-AVV verfügbar
- Google Cloud: Standard-AVV verfügbar
- Anthropic: für API-Kunden verfügbar

Ohne AVV: DSGVO-Verstoß bei personenbezogener Datenverarbeitung.

Was man NICHT in externe KI-Dienste eingeben sollte

Ohne AVV oder in öffentliche Dienste:
- Kundennamen, Adressen, E-Mail-Adressen
- Bewerbungsunterlagen mit Personendaten
- Patientendaten, Gesundheitsinformationen
- Vertragsdaten mit Personenbezug
- Mitarbeiterdaten

Mit AVV möglich: Dieselben Daten in Enterprise-Plänen oder Unternehmensversionen — dort werden Daten nicht für Training genutzt.

Immer möglich: Anonymisierte oder aggregierte Daten, eigene interne Texte ohne Personenbezug, allgemeine Recherchen.

EU AI Act: Was gilt für KMU?

Der EU AI Act trat 2024 in Kraft, Kernpflichten gelten ab 2025/2026.

Für die meisten KMU: Kein direkter Handlungsbedarf wenn sie KI-Systeme von Drittanbietern nutzen (nicht selbst entwickeln). Die Pflichten liegen beim Anbieter.

Relevant wird es wenn:
- Man KI-Systeme selbst entwickelt oder wesentlich anpasst
- Hochrisiko-Anwendungen nach Art. 6 (HR-Entscheidungen, Kreditbewertung, biometrische Identifikation)
- KI in kritischen Infrastrukturen

Für HR-KI (Hochrisiko): Dokumentationspflichten, menschliche Aufsicht, Transparenz gegenüber Betroffenen.

Praktische Checkliste: KI DSGVO-konform nutzen

[ ] AVV mit jedem externen KI-Anbieter der Personendaten verarbeitet
[ ] Mitarbeiter informiert welche KI-Tools genutzt werden (Datenschutzerklärung)
[ ] Keine sensiblen Kundendaten in öffentliche KI-Dienste (ohne AVV)
[ ] Automatisierte Entscheidungen: menschliche Überprüfung im Prozess
[ ] Datenschutzerklärung auf Website aktualisiert (KI-Nutzung erwähnt)
[ ] Verarbeitungsverzeichnis (Art. 30) um KI-Verarbeitungen ergänzt
[ ] Bei HR-KI: Betriebsrat einbinden (§87 BetrVG)

Besonderheiten für sensible Branchen

Medizin/Gesundheit: Gesundheitsdaten sind besondere Kategorien (Art. 9). Strengste Anforderungen — ausdrückliche Einwilligung oder explizite Rechtsgrundlage.

Rechtsanwälte/Steuerberater: Berufsgeheimnis und Mandantenvertraulichkeit — externe KI-Dienste nur für nicht-mandantenbezogene Aufgaben oder mit expliziter Mandantenfreigabe.

Finanzdienstleistungen: Bankgeheimnis und BaFin-Anforderungen — eigene Compliance-Prüfung vor KI-Einsatz mit Kundendaten.

Was Datenschutzverstoß kostet

DSGVO-Bußgelder sind real:
- Bis 20 Mio. € oder 4% des weltweiten Jahresumsatzes (höherer Wert)
- Für KMU: Behörden verhängen auch kleinere Bußgelder (20.000–100.000 €)

Das größere Risiko ist oft der Reputationsschaden — Kunden wollen wissen dass ihre Daten sicher sind.

Nächste Schritte

Wenn Sie KI im Unternehmen einführen und rechtssicher aufstellen wollen:

Managed-Agent-Service — wir implementieren KI-Systeme datenschutzkonform für Ihr Unternehmen. 650 €/Monat.

Oder lernen Sie DSGVO-konformen KI-Aufbau selbst: KI-Kurs Warteliste.