WissenBegriffvon Michael Selck

DSGVO-konforme KI

DSGVO-konforme KI ist kein Gütesiegel, sondern ein KI-Einsatz, bei dem die Pflichten der Datenschutz-Grundverordnung nachweisbar erfüllt sind – mit Rechtsgrundlage, Vertrag zur Auftragsverarbeitung, klarem Speicherort und technischen wie organisatorischen Schutzmaßnahmen. Ob KI datenschutzkonform eingesetzt wird, entscheidet sich deshalb nicht am Produkt, sondern an der konkreten Verarbeitung im Betrieb.

Was bedeutet DSGVO-konforme KI?

Der Begriff klingt nach einer Produkteigenschaft und wird in der Werbung auch so verwendet: „DSGVO-konform“ als Aufkleber auf einem Chatwerkzeug oder Assistenten. Rechtlich trägt diese Lesart nicht. Die Datenschutz-Grundverordnung prüft nicht ein Programm, sondern eine Verarbeitung: Welche personenbezogenen Daten verarbeitet Ihr Betrieb, zu welchem Zweck, auf welcher Rechtsgrundlage und mit welchen Dienstleistern? Diese Fragen kann kein Anbieter für Sie beantworten. Er kann nur die Voraussetzungen und Unterlagen liefern, mit denen Sie sie beantworten.

Für KI gibt es in der DSGVO keine eigenen Paragrafen. Es gelten dieselben Grundsätze wie für die Buchhaltungssoftware oder das Kundenverwaltungsprogramm: eine Rechtsgrundlage nach Artikel 6, ein Auftragsverarbeitungsvertrag nach Artikel 28 mit jedem Dienstleister, ein Eintrag im Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30, angemessene Schutzmaßnahmen nach Artikel 32 und Datenschutz durch Technikgestaltung nach Artikel 25. Hinzu kommen zwei Punkte, die bei KI besonders oft berührt werden: die Übermittlung in Drittländer, weil viele Sprachmodelle außerhalb der EU rechnen, und das Verbot von Entscheidungen, die allein eine Maschine trifft und die Menschen erheblich betreffen (Artikel 22).

Von Nachbarbegriffen ist DSGVO-konforme KI klar abzugrenzen. Sie ist nicht dasselbe wie die Einhaltung der europäischen KI-Verordnung: Die DSGVO schützt personenbezogene Daten, die KI-Verordnung regelt Risiken von KI-Systemen, etwa Kennzeichnung und Schulungspflichten. Beide gelten nebeneinander. Sie ist auch nicht dasselbe wie „lokal gehostet“ – ein Server in Deutschland ist ein wichtiger Baustein, ersetzt aber weder Vertrag noch Rechtsgrundlage. Und sie ist keine Frage der Informationssicherheit allein: Ein gut geschütztes System kann trotzdem Daten verarbeiten, für die es keinen Zweck gibt.

Im Betrieb wird DSGVO-konforme KI dort konkret, wo Regeln auf Alltag treffen. Eine KI-Richtlinie im Unternehmen legt fest, welche Daten in welches Werkzeug dürfen. KI-Kompetenz sorgt dafür, dass Mitarbeitende diese Regeln verstehen. Eine KI-Stelle sieht nur, was ihre Aufgabe verlangt, ein Firmengehirn ordnet Wissen nach Vertraulichkeit, und die Freigabe durch Menschen stellt sicher, dass keine Entscheidung allein bei der Maschine liegt.

DSGVO-konforme KI kurz erklärt: die wichtigsten Punkte

Bewertet wird die Verarbeitung, nicht das Produkt: Dasselbe Werkzeug kann im Marketing unproblematisch und in der Personalabteilung unzulässig eingesetzt sein.
Jeder Dienstleister braucht einen Vertrag: Wer für Sie Daten verarbeitet – Betreiber des Systems wie Modellanbieter –, braucht einen Auftragsverarbeitungsvertrag.
Der Speicherort ist eine Frage, die Verarbeitung eine zweite: Daten können in Deutschland liegen, während Modellanfragen anderswo gerechnet werden. Beides muss geklärt und abgesichert sein.
Kein Training ohne Vertrag: Ob Eingaben zum Training genutzt werden, regelt der Vertrag. Kostenlose Verbraucherkonten haben im Betrieb deshalb nichts verloren.
Ein Mensch entscheidet: KI darf vorbereiten. Entscheidungen, die Menschen erheblich betreffen, gehören zu einem Menschen, der sie prüft und verantwortet.

DSGVO-konforme KI in der Praxis

Vorsortiertes Postfach im Büro: Eine KI-Stelle ordnet eingehende Mails Kunden und Vorgängen zu und entwirft Antworten. Der Betrieb trägt die Verarbeitung ins Verzeichnis ein, schließt den Auftragsverarbeitungsvertrag mit dem Betreiber, regelt die Absicherung der Modellanfragen und legt fest, dass keine Antwort ohne Freigabe das Haus verlässt.
Angebotsentwürfe im Handwerksbetrieb: Aus Aufmaß-Notizen entstehen Angebotsentwürfe. Die Kundendaten liegen auf einem Server in Deutschland, die KI-Stelle sieht nur die Daten des jeweiligen Vorgangs, und der Meister gibt jedes Angebot frei. Kundennamen landen nicht in privaten Chatkonten der Mitarbeitenden.
Bewerbungseingang in der Personalabteilung: Eine KI-Stelle nimmt Bewerbungen auf, bestätigt den Eingang und fasst Unterlagen zusammen – sie bewertet niemanden und trifft keine Vorauswahl. Weil Beschäftigtendaten besonders schutzwürdig sind, prüft der Betrieb vor dem Start mit seinem Datenschutzbeauftragten, ob eine Folgenabschätzung nötig ist.

Woran Sie DSGVO-konformen KI-Einsatz erkennen

Für jeden Einsatz ist dokumentiert, welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet werden – im Verzeichnis der Verarbeitungstätigkeiten.
Mit jedem beteiligten Dienstleister liegt ein Auftragsverarbeitungsvertrag vor, und der Ausschluss von Training auf Ihren Daten steht schriftlich darin.
Sie können benennen, wo die Daten liegen, wo die Sicherungen liegen und wo Modellanfragen gerechnet werden – samt der Absicherung bei Übermittlungen außerhalb der EU.
Zugriffe sind nach Aufgabe geregelt: Mensch wie KI sieht nur, was die jeweilige Arbeit verlangt, und Zugriffe sind nachvollziehbar.
Keine Außenwirkung und keine Entscheidung über Menschen entsteht ohne Freigabe – und Kunden wie Mitarbeitende werden über den KI-Einsatz informiert.

Typische Fehler

Dem Etikett vertrauen: „DSGVO-konform“ auf der Anbieterseite ersetzt weder den eigenen Verzeichniseintrag noch die Prüfung, ob der konkrete Einsatz zulässig ist.
Schatten-KI dulden: Mitarbeitende kopieren Kundendaten in private Chatkonten, für die es keinen Vertrag gibt. Ein Verbot ohne erlaubte Alternative verlagert das Problem nur.
Nur auf den Serverstandort schauen: Ein Rechenzentrum in Deutschland nützt wenig, wenn unklar bleibt, wohin die Modellanfragen gehen und unter welchen Bedingungen.
Den Datenschutzbeauftragten zu spät fragen: Wer ihn erst einbindet, wenn das System läuft, baut nach, statt richtig zu bauen.

Unser Bezug

Wir arbeiten seit 2025 im eigenen Betrieb mit KI-Stellen und beantworten die Datenschutzfrage deshalb nicht mit einem Etikett, sondern mit einer Bauweise, die sich prüfen lässt. Unsere Systeme sind nach dem Grundsatz Privacy by Design gebaut: Daten und Firmengehirn liegen auf einem eigenen Server in Deutschland in einem Rechenzentrum nach ISO 27001, die Sicherungen an einem zweiten Ort in der EU. Die Modellanfragen der KI-Stellen sind vertraglich abgesichert – ohne Training auf Kundendaten und mit einer EU-Option. Rechte hängen an der Stelle, KI-Absender sind gekennzeichnet, und nichts wird ohne Freigabe eines Menschen aktiv. Ebenso offen sagen wir: Unsere Betreiberdokumentation wird gerade geschlossen.

In der Beratung klären wir mit Ihnen, welche Daten in Ihrem Betrieb mit KI in Berührung kommen, welche Werkzeuge schon genutzt werden – auch die inoffiziellen – und welche Vorkehrungen Ihr Einsatz braucht. Ihr Datenschutzbeauftragter bekommt die Unterlagen für seine eigene Bewertung. Für die Beratung ist bis zu 80 % Förderung möglich, je nach Betrieb und Standort. Die Umsetzung beauftragen Sie getrennt, wenn Sie wollen: im AI Workspace mit Freigaben an jeder Außenwirkung oder als individuelle Lösung.

Erstgespräch

Wissen Sie, wohin die Daten gehen, die Ihr Team heute schon in KI-Werkzeuge eingibt?

Im Erstgespräch gehen wir durch, wo in Ihrem Betrieb KI mit personenbezogenen Daten arbeitet, welche Verträge und Regeln fehlen und was ein datenschutzkonformer Einsatz bei Ihnen braucht – nüchtern, in 30 Minuten und ohne Verkaufsgespräch.

Termin buchen Erstgespräch anfragen

Weiterführende Beiträge

Häufige Fragen zu DSGVO-konforme KI

Gibt es ein Siegel, das KI-Werkzeuge DSGVO-konform macht?

Nein. Ein Siegel, das ein KI-Werkzeug für jeden Einsatz pauschal datenschutzkonform macht, gibt es nicht. Die DSGVO bewertet die Verarbeitung im Betrieb, nicht das Produkt. Zertifikate des Anbieters, etwa für die Informationssicherheit des Rechenzentrums, sind hilfreiche Bausteine – die Prüfung Ihrer eigenen Verarbeitung ersetzen sie nicht.

Dürfen wir KI nutzen, wenn die Modellanfragen in die USA gehen?

Ja, wenn die Übermittlung abgesichert ist. Für Anbieter, die unter dem EU-US-Datenschutzrahmen zertifiziert sind, gilt ein Angemessenheitsbeschluss; sonst braucht es Standardvertragsklauseln und eine Prüfung der Übermittlung. Wer die Verarbeitung in der EU halten will, wählt einen Anbieter oder eine Option mit Rechenzentrum in der EU.

Brauchen wir für KI eine Datenschutz-Folgenabschätzung?

Nicht immer, aber häufiger als gedacht. Eine Folgenabschätzung nach Artikel 35 DSGVO ist nötig, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen birgt – etwa bei umfangreicher Verarbeitung von Gesundheits- oder Beschäftigtendaten oder bei neuen Technologien mit großer Tragweite. Ob das bei Ihrem Einsatz zutrifft, klären Sie am besten früh mit Ihrem Datenschutzbeauftragten.

Werden Firmendaten beim KI-Einsatz zum Training verwendet?

Das hängt vom Vertrag ab, nicht von der Technik. Bei kostenlosen Verbraucherkonten behalten sich manche Anbieter vor, Eingaben zum Training zu nutzen; kommerzielle Bedingungen schließen das in der Regel aus. Lassen Sie sich den Ausschluss schriftlich geben und nutzen Sie im Betrieb nur Konten, für die dieser Vertrag gilt.

Wer ist verantwortlich, wenn der KI-Anbieter einen Fehler macht?

Verantwortlich im Sinne der DSGVO bleibt Ihr Betrieb. Der Anbieter ist in der Regel Auftragsverarbeiter und haftet für seine vertraglichen Pflichten, aber gegenüber Kunden, Mitarbeitenden und Aufsichtsbehörde stehen Sie in der Pflicht. Deshalb gehören Auftragsverarbeitungsvertrag, Verzeichniseintrag und Freigaberegeln vor den Start – nicht danach.