In vielen kleinen Betrieben landen personenbezogene Daten längst in KI-Werkzeugen: Eine Kundenanfrage wird in einen Chatbot kopiert, ein Lebenslauf zur Vorauswahl hochgeladen, eine Telefonnotiz zusammengefasst. Meist hat niemand bewusst entschieden, wie das datenschutzrechtlich zu bewerten ist. KI und DSGVO gehören deshalb zusammen geprüft, bevor ein Tool im Alltag genutzt wird. Dieser Beitrag zeigt, welche Fragen Sie als Geschäftsführung klären sollten, welche Verträge nötig sind und wo die Grenzen liegen. Er ersetzt keine Rechtsberatung.
Die Datenschutz-Grundverordnung unterscheidet nicht danach, ob ein Programm mit Künstlicher Intelligenz arbeitet. Sobald personenbezogene Daten verarbeitet werden, gelten ihre Grundsätze wie Rechtmäßigkeit, Transparenz, Zweckbindung, Datensparsamkeit und Sicherheit. Was sich bei KI-Systemen ändert, ist das Risiko: Eingaben können je nach Anbieter und Einstellung gespeichert oder weiterverwendet werden, Ergebnisse sind oft schwer nachvollziehbar, und die Anbieter sitzen nicht selten außerhalb der EU.
KI und DSGVO: Zuerst klären, welche Daten in das Tool fließen
Personenbezogen sind alle Informationen, die sich einer bestimmten oder bestimmbaren natürlichen Person zuordnen lassen. Dazu gehören Namen in E-Mails, Kundennummern, Lieferanschriften, Telefonnotizen oder Lebensläufe. Ein einfacher Einstieg ist eine Bestandsaufnahme: Welche KI-Werkzeuge nutzen Mitarbeitende heute, für welche Aufgaben und mit welchen Daten? Erfahrungsgemäß zeigt sich dabei, dass ein Chatbot längst für Antwortentwürfe an Kunden genutzt wird, ohne Freigabe und ohne schriftliche Regeln.
Auftragsverarbeiter oder eigener Verantwortlicher? Die Rollenfrage entscheidet
Ob ein Anbieter als Auftragsverarbeiter arbeitet oder selbst für seine Verarbeitung verantwortlich ist, hängt vom Vertrag und von der konkreten Nutzung ab. Auftragsverarbeiter ist nach Art. 4 Nr. 8 DSGVO eine Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Die Faustregel lautet: Verarbeitet der Anbieter Ihre Daten nur nach Ihrer Weisung, brauchen Sie einen Auftragsverarbeitungsvertrag. Nutzt er die Eingaben dagegen für eigene Zwecke, etwa um Modelle weiterzutrainieren, ist ein solcher Vertrag allein nicht ausreichend.
| Konstellation | Typische Einordnung | Was Sie prüfen sollten |
|---|---|---|
| Anbieter verarbeitet Daten nur für Ihre Anfragen | Auftragsverarbeitung | Vertrag nach Art. 28, Unterauftragnehmer, Löschfristen |
| Anbieter nutzt Eingaben für eigene Zwecke, etwa Training | Anbieter als eigener Verantwortlicher | Rechtsgrundlage, Transparenz gegenüber Ihnen und den Betroffenen, ob Personendaten überhaupt eingegeben werden dürfen |
| Betrieb eines Modells auf eigenen Servern | Sie sind selbst verantwortlich | Rechtsgrundlage, Dokumentation, Sicherheit, Zugriffsrechte |
Die Tabelle ist eine Orientierung und keine Einzelfallprüfung. Die Einordnung hängt immer am konkreten Vertrag und an der tatsächlichen Nutzung.
Was der Auftragsverarbeitungsvertrag nach Art. 28 enthalten muss
Nach Art. 28 Abs. 1 DSGVO dürfen Sie nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Vertrag muss nach Art. 28 Abs. 3 mindestens folgende Punkte regeln:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Datenkategorien und betroffene Personen
- Verarbeitung nur auf dokumentierte Weisung
- Vertraulichkeit der Personen, die Daten verarbeiten
- Sicherheitsmaßnahmen nach Art. 32
- Unterstützung bei Betroffenenrechten
- Löschung oder Rückgabe der Daten nach Vertragsende
- Nachweis der Einhaltung und Überprüfungsmöglichkeiten
Für weitere Unterauftragnehmer des Anbieters gilt zusätzlich Art. 28 Abs. 2. Ein Vertrag, der nur allgemein auf Datenschutz verweist, genügt diesen Anforderungen nicht.
Serverstandort, Drittländer und Training mit Ihren Daten
Viele KI-Dienste werden von Anbietern außerhalb der EU betrieben. Die Datenschutzkonferenz (DSK) weist in ihrer Pressemitteilung zur Orientierungshilfe vom 6. Mai 2024 auf besondere Anforderungen bei Datenübermittlungen in Drittländer hin. Fragen Sie deshalb konkret nach: Wo werden die Daten gespeichert und verarbeitet? Welche Unterauftragnehmer sind beteiligt? Gibt es eine Zusage, dass Eingaben nicht zum Training verwendet werden, und steht sie im Vertrag oder nur in den Einstellungen? Eine Aussage im Werbetext ersetzt die vertragliche Regelung nicht.
Was die Datenschutzkonferenz zur Auswahl von KI-Anwendungen sagt
Die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ richtet sich laut DSK-Pressemitteilung an Unternehmen, Behörden und andere Organisationen. Sie dient als Checkliste für datenschutzrechtlich Verantwortliche, um KI-Anwendungen auszuwählen, einzuführen und zu nutzen. Ein Schwerpunkt liegt auf großen Sprachmodellen (LLM), also den Systemen hinter vielen Chatbots. Behandelt werden unter anderem die Zweckbestimmung, die Transparenzpflichten, die Betroffenenrechte und die Richtigkeit von Ergebnissen. Wer das Papier vor der Einführung durcharbeitet, hat eine strukturierte Grundlage für die Entscheidung. Es ist jedoch eine Orientierung und kein Freibrief: Die Prüfung im Einzelfall bleibt Ihre Aufgabe, gegebenenfalls zusammen mit Ihrem Datenschutzbeauftragten.
Checkliste vor dem ersten Einsatz eines KI-Werkzeugs
- Verwendungszweck festlegen: Welche Aufgabe soll das Tool erledigen, und welche Daten braucht es dafür wirklich?
- Datenkategorien erfassen: Enthält die Eingabe Namen, Kontaktdaten, Bewerbungsunterlagen oder Gesundheitsdaten?
- Rolle des Anbieters prüfen: Auftragsverarbeitung oder eigene Verantwortung des Anbieters?
- Vertrag abschließen und Unterauftragnehmer sowie Serverstandort dokumentieren.
- Nutzungsregeln schriftlich festlegen, etwa dass keine Kundendaten in private Accounts eingegeben werden.
- Mitarbeitende einweisen und Ausgaben prüfen, bevor sie an Kunden oder Behörden gehen.
- Bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen.
- Den Einsatz regelmäßig überprüfen, wenn sich Tool, Anbieter oder Zweck ändern.
Parallel dazu verpflichtet der EU AI Act seit Februar 2025 zu ausreichender KI-Kompetenz der Beschäftigten. Was das für Ihren Betrieb bedeutet, erklärt unser Beitrag EU AI Act für Unternehmen: Was seit 2026 gilt.
Häufige Fragen
Darf ich Kundendaten in einen KI-Chatbot eingeben?
Das hängt vom Angebot, vom Vertrag und vom Zweck ab. Für die geschäftliche Nutzung mit personenbezogenen Daten brauchen Sie geklärt die Rolle des Anbieters, einen passenden Vertrag und eine Rechtsgrundlage. Solange das nicht geklärt ist, sollten keine Kunden- oder Personaldaten eingegeben werden.
Reicht die Datenschutzerklärung des Anbieters?
Nein. Die Datenschutzerklärung informiert über die Verarbeitung durch den Anbieter. Sie ersetzt weder den Vertrag nach Art. 28 DSGVO noch Ihre eigene Prüfung als verantwortliches Unternehmen.
Muss ich ein KI-Modell im eigenen Haus betreiben, um DSGVO-konform zu arbeiten?
Nein. Auch Cloud-Dienste können zulässig sein, wenn Vertrag, Rechtsgrundlage, Sicherheit und mögliche Drittlandübermittlungen geklärt sind. Ein eigener Betrieb verringert bestimmte Risiken, verlagert aber die Verantwortung für Betrieb und Sicherheit vollständig auf Sie.
Wer ist im Unternehmen für die Prüfung zuständig?
Verantwortlich ist das Unternehmen, also in der Regel die Geschäftsführung. In der Praxis arbeiten Datenschutzbeauftragte, IT und Fachabteilung bei der Prüfung zusammen. Bei rechtlichen Detailfragen sollten Sie eine Rechtsanwältin oder einen Rechtsanwalt mit Datenschutzbezug hinzuziehen.
Fazit: Erst prüfen, dann einsetzen
Wer KI-Werkzeuge nutzt, sollte vorher wissen, welche Daten hineinfließen, wer für sie verantwortlich ist und was vertraglich geregelt sein muss. Bei der Bewertung unterstützen wir Unternehmen im Rahmen unserer Beratung und Support; einen Überblick über alle Leistungen finden Sie auf unserer Seite Leistungen. Sie möchten wissen, welche KI-Anwendungen in Ihrem Betrieb datenschutzrechtlich machbar sind? Schreiben Sie uns oder buchen Sie direkt ein unverbindliches Erstgespräch.
