DSGVO und KI: Warum Datenschutz beim KI-Einsatz nicht optional ist

Sobald KI-Tools personenbezogene Daten verarbeiten, gelten die DSGVO-Pflichten. Vollständig und sofort. Was das für Ihren Betrieb bedeutet.

ChatGPT, Copilot, KI-gestützte Buchhaltungstools: In immer mehr mittelständischen Betrieben gehören sie längst zum Arbeitsalltag. Was dabei oft übersehen wird: Sobald dabei personenbezogene Daten verarbeitet werden, und das passiert schneller als viele denken, gelten die DSGVO-Pflichten. Vollständig und ab sofort. Und sie gelten zusätzlich zur KI-Verordnung (EU AI Act), nicht anstelle davon.

Was bedeutet DSGVO-Konformität beim KI-Einsatz?

Jedes Mal, wenn Mitarbeitende Kundendaten, Bewerberunterlagen oder Mitarbeiterinformationen in ein KI-Tool eingeben, findet eine Datenverarbeitung statt. Die DSGVO verlangt dafür eine Rechtsgrundlage, Transparenz gegenüber Betroffenen und in der Regel einen Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter.

DSGVO-Pflichten beim KI-Einsatz: Ist mein Betrieb betroffen?

Kurz gesagt: ja, wenn in Ihrem Betrieb irgendeine KI-Anwendung mit Kunden-, Personal- oder Bewerberdaten in Berührung kommt. Das betrifft nicht nur Chatbots, sondern auch KI-Funktionen in CRM-Systemen, E-Mail-Programmen oder HR-Software.

Die Schnittstelle DSGVO und KI-Verordnung

Die KI-Verordnung ist seit August 2024 in Kraft. Verbotene KI-Praktiken sind bereits seit Februar 2025 untersagt (zwei neue Verbote, etwa für nicht einvernehmliche intime Deepfakes, kommen ab Dezember 2026 hinzu). Transparenzpflichten für bestimmte KI-Systeme greifen ab August 2026, für die maschinenlesbare Kennzeichnung bei bereits am Markt befindlichen Systemen gilt eine Übergangsfrist bis Dezember 2026. Die Pflichten für Hochrisiko-KI-Systeme wurden durch den Digital Omnibus (VO (EU) 2026/1744) auf Dezember 2027 verschoben, für KI in regulierten Produkten (Anhang I) auf August 2028. Wichtig: Diese Fristverschiebung betrifft nur die KI-Verordnung. Die DSGVO-Pflichten gelten unverändert und sofort.

Die Konsequenzen bei Verstößen

Die theoretischen Höchststrafen der DSGVO sind für Konzerne gedacht. Für den Mittelstand relevanter: Bereits fünfstellige Bußgelder kommen vor, und sie werden öffentlich. Gerade in Regionen wie Ostfriesland, wo Geschäftsbeziehungen auf Vertrauen basieren, wiegt ein Datenschutzvorfall schwerer als jedes Bußgeld.

Was Sie jetzt konkret tun sollten

• Prüfen Sie, welche KI-Tools in Ihrem Betrieb bereits im Einsatz sind, auch inoffiziell
• Prüfen Sie bei jedem KI-Anbieter die datenschutzrechtliche Rolle: Ist der Anbieter Auftragsverarbeiter, eigenständig Verantwortlicher oder gemeinsam Verantwortlicher? Schließen Sie je nach Konstellation einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) oder eine Vereinbarung zur gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) ab. Bietet ein Anbieter keinen AVV an, dürfen Sie keine personenbezogenen Daten in das Tool eingeben.
• Erstellen Sie eine kurze, verständliche Mitarbeiter-Richtlinie: Welche Daten dürfen in KI-Tools eingegeben werden, welche nicht
• Dokumentieren Sie Ihre KI-Nutzung im Verarbeitungsverzeichnis
• Klären Sie Löschfristen für KI-generierte Inhalte mit Personenbezug
• Prüfen Sie, ob eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich ist. Beim Einsatz von KI mit personenbezogenen Daten ist das in der Regel der Fall.

Praxisbeispiel

Ein Handwerksbetrieb aus Ostfriesland nutzte ein KI-Tool zur automatisierten Angebotserstellung. Was niemand geprüft hatte: Die Kundenadressen und Projektbeschreibungen wurden dabei verarbeitet, ohne AVV, ohne Eintrag im Verarbeitungsverzeichnis. Gemeinsam haben wir innerhalb von zwei Wochen den AVV nachgereicht, das Tool im Verarbeitungsverzeichnis dokumentiert und eine einfache Mitarbeiter-Richtlinie eingeführt. Bevor es zum Problem wurde.

„Die meisten Betriebe haben einen Datenschutzbeauftragten für personenbezogene Daten. Aber wer kümmert sich darum, dass KI-Tools diese Daten nicht unkontrolliert verarbeiten? Genau das ist meine Aufgabe als externer AI-Officer: Ich sorge dafür, dass der KI-Einsatz nicht nur produktiv, sondern auch rechtssicher ist. Ohne dass Sie dafür eine eigene Stelle schaffen müssen."

Hinweis: Stand: Oktober 2026. Dieser Beitrag gibt die Rechtslage zum genannten Zeitpunkt wieder und ersetzt keine Rechtsberatung im Einzelfall.