Regulierung
DSGVO und KI: Was wirklich verlangt wird
Die DSGVO verbietet KI nicht. Sie verlangt, dass du weißt, was mit den Daten passiert.
Seit 2018 gilt die DSGVO, und sie deckt KI-Nutzung vollständig ab: jede Anfrage mit personenbezogenen Daten ist eine Verarbeitung mit allen Pflichten. Dieser Beitrag übersetzt die Grundprinzipien in den KI-Alltag, von der Rechtsgrundlage bis zur Datenschutz-Folgenabschätzung, ohne Panik und ohne Beschönigung.
DSGVO-Kurzcheck für KI
Rechtsgrundlage. Art. 6 je Anwendungsfall geklärt und dokumentiert.
Datenminimierung. Klarnamen werden maskiert, bevor ein Modell sie sieht.
Nachweis. AVV, Verarbeitungsverzeichnis und Prüfprotokoll statt guter Vorsätze.
Der Fahrplan unten führt einmal komplett durch die Prüfung.
Kurz erklärt
Was bedeutet die DSGVO für KI-Nutzung im Unternehmen?
Sobald personenbezogene Daten in ein KI-System fließen, greifen alle DSGVO-Pflichten: Rechtsgrundlage (Art. 6), Datenminimierung (Art. 5), AVV mit dem Anbieter (Art. 28), gegebenenfalls Datenschutz-Folgenabschätzung (Art. 35) und funktionierende Betroffenenrechte. Der stärkste Hebel ist technisch: was anonymisiert ist, bevor es das Modell erreicht, entschärft fast jede dieser Pflichten.
Die Grundprinzipien
Vier Prinzipien, auf KI gemünzt
Art. 5 DSGVO in der Sprache des KI-Alltags.
Rechtmäßigkeit
Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO: meist Vertrag, berechtigtes Interesse oder Einwilligung. „Wir probieren das KI-Tool mal aus“ ist keine davon.
Zweckbindung
Daten, die für einen Zweck erhoben wurden, dürfen nicht beliebig weiterverwendet werden. Kundendaten aus der Kundendatenbank (dem CRM) in ein KI-Tool zu kippen, ist eine Zweckänderung, die begründet werden muss.
Datenminimierung
Verarbeitet werden darf nur, was für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. c). Für KI heißt das: wenn die Aufgabe ohne Klarnamen lösbar ist, gehören sie vorher maskiert.
Speicherbegrenzung und Rechenschaft
Daten müssen gelöscht werden, wenn der Zweck erfüllt ist, und du musst all das nachweisen können (Art. 5 Abs. 2). Auch Eingaben an die KI (Prompts) und ihre Antworten sind solche Daten, samt der Protokolle beim Anbieter.
Der Fahrplan
In fünf Schritten zur sauberen Grundlage
Kein Hexenwerk, aber Reihenfolge und Dokumentation zählen.
Wer diese fünf Schritte einmal sauber durchläuft und dokumentiert, hat für neue KI-Anwendungsfälle ein wiederverwendbares Raster.
- 01
Bestandsaufnahme: Welche KI-Tools sind im Einsatz, offiziell und inoffiziell? Welche personenbezogenen Daten fließen hinein? Ohne diese Landkarte ist alles Weitere Stochern.
- 02
Rechtsgrundlage je Anwendungsfall klären (Art. 6): Vertragserfüllung, berechtigtes Interesse mit Abwägung, oder Einwilligung. Dokumentieren, nicht nur entscheiden.
- 03
Verträge schließen: AVV mit jedem Anbieter, der personenbezogene Daten verarbeitet, plus Prüfung auf Drittlandtransfers in der Subunternehmer-Kette.
- 04
Risiko bewerten: Bei voraussichtlich hohem Risiko für Betroffene ist eine Datenschutz-Folgenabschätzung nach Art. 35 Pflicht; bei neuartiger KI-Verarbeitung ist das schnell der Fall.
- 05
Betroffenenrechte absichern: Auskunft, Berichtigung, Löschung müssen auch für KI-Verarbeitungen funktionieren, samt Verzeichnis der Verarbeitungstätigkeiten (Art. 30).
Der rote Faden: Je weniger personenbezogene Daten ein Modell erreicht, desto kleiner wird jede einzelne dieser Pflichten. Datenminimierung ist der Multiplikator.
Technik trifft Pflicht
Wie AI Link die DSGVO-Arbeit verkleinert
Sechs Stellen, an denen die Technik die Pflichten gleich miterfüllt.
Datenminimierung eingebaut
Die automatische PII-Anonymisierung setzt Art. 5 Abs. 1 lit. c technisch um: Modelle sehen Platzhalter statt Klarnamen, ohne dass jemand daran denken muss.
AVV und TOMs ab Werk
Auftragsverarbeitungsvertrag, technische und organisatorische Maßnahmen und Subunternehmer-Liste gehören von Anfang an dazu, nicht zur Verhandlungsmasse.
Keine Drittland-Baustelle
Hosting in deutschen Rechenzentren eines europäischen Betreibers; die Transfer-Frage nach Kapitel V stellt sich für die Plattform-Daten gar nicht erst.
Prüfprotokoll für die Rechenschaft
Jede Anfrage, jede Anonymisierung und jede Freigabe ist protokolliert, die Grundlage, um Art. 5 Abs. 2 gegenüber Aufsicht und Betroffenen zu erfüllen.
Betroffenenrechte praktikabel
Klare Datenhaltung pro Organisation statt verstreuter Schatten-Kopien: Auskunfts- und Löschersuchen lassen sich beantworten, ohne Archäologie zu betreiben.
Löschkonzept statt Datenfriedhof
Aufbewahrungs- und Löschfristen sind definiert und technisch durchgesetzt, auch für Chat-Verläufe und Verarbeitungs-Logs.
Verwandte Themen
Tiefer einsteigen
Die DSGVO ist eine von zwei Säulen des KI-Rechts. Hier sind die Nachbarthemen.
EU AI Act
Die zweite Säule des KI-Rechts: Risikoklassen, Fristen und Pflichten ab August 2026.
PII-Anonymisierung
Der technische Hebel für Datenminimierung: maskieren, bevor das Modell etwas sieht. Mit Live-Demo.
Auftragsverarbeitung (AVV)
Der Vertrag, den Art. 28 für jeden Dienstleister verlangt, und worauf du bei KI-Anbietern achten solltest.
Häufige Fragen
Häufige Fragen zu DSGVO und KI
Von Schatten-KI bis Bußgeld: die Fragen aus echten Einführungsprojekten.
Dürfen Mitarbeitende Kundendaten in öffentliche KI-Chatbots eingeben?
Ohne AVV mit dem Anbieter und ohne geklärte Rechtsgrundlage: nein. Genau das passiert in der Praxis aber ständig, Stichwort Schatten-KI. Die wirksame Antwort ist selten ein Verbot, sondern ein freigegebenes Werkzeug, das mindestens gleich bequem ist und die Daten technisch schützt, sonst wandert die Nutzung nur ins Private ab.
Brauche ich für KI-Einsatz immer eine Datenschutz-Folgenabschätzung?
Nicht immer, aber oft: Art. 35 DSGVO verlangt eine DSFA bei voraussichtlich hohem Risiko, etwa bei systematischer Bewertung persönlicher Aspekte oder umfangreicher Verarbeitung sensibler Daten. Die Aufsichtsbehörden führen Positivlisten, auf denen neuartige KI-Verarbeitungen regelmäßig auftauchen. Der pragmatische Weg: die Schwellenprüfung dokumentieren; dann ist auch ein „nein, nicht nötig“ belastbar.
Welche Rechtsgrundlage passt für KI im Arbeitsalltag?
Meist das berechtigte Interesse (Art. 6 Abs. 1 lit. f) mit dokumentierter Abwägung, oder die Vertragserfüllung, wenn die KI unmittelbar der Leistungserbringung dient. Einwilligungen sind im Beschäftigungskontext heikel, weil die Freiwilligkeit bezweifelt wird. Je weniger personenbezogene Daten das Modell erreicht, desto leichter fällt jede dieser Begründungen, weshalb Anonymisierung auch rechtlich der stärkste Hebel ist.
Trainieren KI-Anbieter mit unseren Firmendaten?
Das regelt der Vertrag, nicht die Technik: bei Consumer-Angeboten ist Training mit Eingaben oft Standard, bei Business-Verträgen meist ausgeschlossen. Verlass dich nicht auf Voreinstellungen, sondern auf den AVV und die Zusatzvereinbarungen, und darauf, dass sensible Angaben durch Anonymisierung gar nicht erst in fremde Logs geraten.
Was droht bei Verstößen?
Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO), je nachdem, welcher Betrag höher ist, plus Schadensersatzansprüche Betroffener und Untersagungsverfügungen. Teurer als jede Strafe ist in der Praxis oft der Vertrauensschaden, wenn Kundendaten in einem fremden Systemprotokoll auftauchen.
Wie verhält sich die DSGVO zum EU AI Act?
Sie gelten parallel und überschneiden sich kaum: die DSGVO schützt personenbezogene Daten, der AI Act reguliert KI-Systeme nach Risikoklassen. Ein KI-Einsatz kann DSGVO-konform und trotzdem AI-Act-pflichtig sein, und umgekehrt. Für die Praxis heißt das: beide Prüfungen führen, einmal pro Datenfluss, einmal pro System.
Vom Prinzip zur Praxis
Geh deinen KI-Anwendungsfall einmal sauber durch.
30 Minuten mit uns, gern zusammen mit deinem Datenschutzbeauftragten.