KI und DSGVO: Was Unternehmen 2026 wissen müssen

KI-Systeme verarbeiten Daten — oft personenbezogene. Die DSGVO gilt. Was müssen Unternehmen bei der KI-Einführung beachten?

KI und DSGVO: Die wichtigsten Schnittpunkte

1. Wann gilt die DSGVO bei KI?

Personenbezogene Daten im Spiel: Die DSGVO gilt immer dann, wenn KI personenbezogene Daten verarbeitet:
- Kundendaten (Name, Adresse, E-Mail, Kaufverhalten)
- Mitarbeiterdaten (Anwesenheit, Leistungsbewertung, Gesundheit)
- Interessentenprofile (Lead-Scoring, Segmentierung)
- Biometrische Daten (Gesichtserkennung, Stimme)

Rein technische Daten ohne Personenbezug (Maschinensensoren, anonymisierte Statistiken) liegen außerhalb der DSGVO.

2. Rechtsgrundlage für KI-Verarbeitung

Ohne Rechtsgrundlage geht nichts:
- Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung (z.B. Chatbot für Kundenservice)
- Art. 6 Abs. 1 lit. f DSGVO: Berechtigte Interessen (z.B. Betrugserkennnung)
- Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (z.B. personalisierte Werbung)

Wichtig: Berechtigte Interessen erfordern Interessenabwägung und Dokumentation.

3. Automatisierte Entscheidungen (Art. 22 DSGVO)

Besondere Anforderungen bei rein automatisierten Entscheidungen:
- Mit erheblichen Auswirkungen auf Personen: verboten ohne Einwilligung oder gesetzliche Grundlage
- Beispiele: automatisierter Kreditabschluss, Bewerberauswahl ohne menschliche Prüfung
- Lösung: Human-in-the-Loop — KI empfiehlt, Mensch entscheidet

4. Auftragsverarbeitung bei Cloud-KI

SaaS-KI-Tools = Auftragsverarbeiter:
- ChatGPT, Claude, Gemini API als Auftragsverarbeiter?
- AVV (Auftragsverarbeitungsvertrag) erforderlich
- OpenAI, Anthropic, Google bieten AVVs an
- Drittlandtransfer (USA) prüfen: ausreichende Garantien?

Datensparsamkeit: Keine Kundendaten im KI-Prompt wenn nicht notwendig.

5. Datenschutz-by-Design bei KI

Technische Maßnahmen:
- Pseudonymisierung: Klarnamen vor KI-Verarbeitung ersetzen
- Datensparsamkeit: nur notwendige Felder übergeben
- Löschkonzept: KI-Logs regelmäßig löschen
- Zugriffskontrolle: wer darf KI mit welchen Daten nutzen?

EU AI Act: Zusätzliche Anforderungen ab 2026

Der EU AI Act (seit August 2024 in Kraft) bringt neue Pflichten:
- Hochrisiko-KI (HR/Recruiting, Kreditvergabe, biometrische Identifizierung): Konformitätsbewertung, Transparenz, menschliche Aufsicht Pflicht
- Allgemeine KI-Systeme (ChatGPT, Claude): Transparenzpflichten
- Verbotene KI: Social Scoring, unterschwellige Manipulation

Zeitplan: Anbieter-Pflichten seit Februar 2025, Hochrisiko-Anforderungen ab August 2026 vollständig.

Praktische DSGVO-Checkliste für KI-Einführung

Nächster Schritt

Wenn Sie KI DSGVO-konform einführen wollen:

Managed-Agent-Service — wir implementieren rechtssichere KI-Systeme für Ihr Unternehmen. 650 €/Monat.

Oder lernen Sie den Aufbau selbst: KI-Kurs Warteliste.