Wissen · Datenschutz
DSGVO und KI: warum fast jede Anwendung rechtskonform umsetzbar ist — und woran es wirklich hängt
Datenschutz gilt im Mittelstand als das große Hindernis für KI. Tatsächlich ist er selten der Grund, warum ein Projekt scheitert — meistens ist er der Grund, warum es gar nicht erst beginnt. Dieser Beitrag erklärt, was die Aufsichtsbehörden inzwischen klargestellt haben, worauf es bei der Umsetzung tatsächlich ankommt, welche Fehlannahmen sich hartnäckig halten — und wo die Grenzen wirklich verlaufen.
Geschäftsführer IT und Strategie, KSB
September 2026 · Lesezeit etwa 9 Minuten
48 Prozent der Unternehmen nennen Datenschutzanforderungen als Hürde beim KI-Einsatz, 39 Prozent fürchten den Abfluss eigener Daten. Das sind die Bitkom-Zahlen. Sie beschreiben allerdings eine Sorge, keine Rechtslage — und zwischen beidem liegt inzwischen ein erheblicher Abstand.
Denn die Aufsichtsbehörden haben sich in den vergangenen zwei Jahren deutlich positioniert. Der Europäische Datenschutzausschuss hat in seiner Stellungnahme zu KI-Modellen festgehalten, dass die Grundsätze der DSGVO verantwortungsvolle KI stützen statt sie zu verhindern. Die deutsche Datenschutzkonferenz hat eine Orientierungshilfe zu KI-Systemen veröffentlicht, die Anforderungen entlang der Projektphasen von der Konzeption bis zum Betrieb beschreibt. Beide Dokumente sagen im Kern dasselbe: Der Weg ist offen, er ist aber nicht beliebig.
Für Unternehmen bedeutet das eine Verschiebung der Fragestellung. Nicht mehr „Dürfen wir KI überhaupt einsetzen?", sondern „Unter welchen Bedingungen dürfen wir diese konkrete Anwendung einsetzen?" Die zweite Frage ist beantwortbar. Die erste war nie die richtige.
Der Grundsatz: Die DSGVO ist technologieneutral
Die Datenschutz-Grundverordnung kennt keine verbotenen Technologien. Sie kennt Verarbeitungen personenbezogener Daten, die eine Rechtsgrundlage, einen festgelegten Zweck und angemessene Schutzmaßnahmen brauchen. Ob diese Verarbeitung in einer Excel-Tabelle, einem CRM-System oder einem Sprachmodell stattfindet, ändert an der Systematik nichts — es ändert nur den Aufwand, den die Schutzmaßnahmen verursachen.
Daraus folgt die praktisch wichtigste Einsicht dieses Themas: Der Prüfmaßstab ist nicht das Werkzeug, sondern die einzelne Verarbeitung. „Ist ChatGPT DSGVO-konform?" ist keine beantwortbare Frage. „Dürfen wir mit dem Geschäftstarif dieses Anbieters Angebotsentwürfe aus anonymisierten Projektdaten erzeugen?" ist eine, und die Antwort lautet in aller Regel Ja — nach einer Prüfung, die ein bis zwei Arbeitstage kostet, nicht ein Quartal.
Deshalb ist die Formulierung „DSGVO-konforme KI" streng genommen irreführend. Konform ist nie ein Produkt, sondern immer ein Einsatzszenario. Anbieter, die Konformität als Produkteigenschaft verkaufen, verkaufen eine Zusicherung, die sie gar nicht geben können — verantwortlich bleibt in jedem Fall das einsetzende Unternehmen.
Worauf es bei der Umsetzung tatsächlich ankommt
Die folgenden sieben Punkte sind das Gerüst. Wer sie abarbeitet und dokumentiert, hat den weit überwiegenden Teil der Anforderungen erfüllt.
01
Die Rechtsgrundlage benennen
Jede Verarbeitung braucht eine Grundlage nach Artikel 6 DSGVO. In der betrieblichen Praxis ist das meist die Vertragserfüllung oder das berechtigte Interesse — Letzteres verlangt eine dokumentierte Abwägung zwischen dem eigenen Interesse und den Rechten der Betroffenen. Bei Beschäftigtendaten ist die Betriebsvereinbarung häufig der sauberere Weg, weil sie Mitbestimmung und Rechtsgrundlage in einem Schritt löst. Die Einwilligung ist in Beschäftigungsverhältnissen selten das Mittel der Wahl, weil ihre Freiwilligkeit angreifbar ist und sie jederzeit widerrufen werden kann.
02
Rollen klären und den Vertrag schließen
Sie sind Verantwortlicher, der Anbieter ist in der Regel Auftragsverarbeiter — dafür braucht es einen Auftragsverarbeitungsvertrag nach Artikel 28. Entscheidend ist eine Klausel, die oft überlesen wird: Nutzt der Anbieter Ihre Eingaben für eigene Zwecke, etwa zum Training seiner Modelle, ist er insoweit nicht mehr Auftragsverarbeiter, sondern eigenständig verantwortlich — und die Konstruktion trägt nicht mehr. Genau hier liegt der Unterschied zwischen Geschäfts- und Privattarifen, und genau deshalb ist dieser Punkt kein Formalismus.
03
Eingabedisziplin statt pauschaler Verbote
Datenminimierung und Zweckbindung lassen sich im KI-Kontext sehr konkret übersetzen: Legen Sie schriftlich fest, welche Datenarten eingegeben werden dürfen und welche nicht. Gesundheitsdaten, Bewerbungsunterlagen, Personalakten und Mandantendaten gehören auf die Negativliste, solange keine gesonderte Prüfung vorliegt. Für viele Anwendungsfälle genügt es, Namen und Kennnummern vor der Eingabe zu ersetzen — der Nutzen bleibt, der Personenbezug entfällt weitgehend. Eine einseitige, verständliche Regel wirkt hier mehr als eine dreißigseitige Richtlinie, die niemand liest.
04
Drittlandtransfer sauber begründen
Ein Serverstandort außerhalb der EU ist kein Ausschlusskriterium, sondern ein zu begründender Umstand. Für die USA existiert ein Angemessenheitsbeschluss, für andere Konstellationen gibt es Standardvertragsklauseln nebst einer Einschätzung der Rechtslage im Zielland. Viele Anbieter bieten inzwischen ohnehin eine Verarbeitung in europäischen Regionen an — das vereinfacht die Dokumentation und beruhigt Betriebsrat und Kunden. Dass die Daten „in Deutschland liegen müssen", steht allerdings nirgends.
05
Transparent informieren
Betroffene müssen wissen, was geschieht. Konkret heißt das: Die Datenschutzhinweise für Kunden und Beschäftigte werden um den KI-Einsatz ergänzt, und wo Kunden mit einem automatisierten System kommunizieren, ist das erkennbar zu machen. Diese Pflicht ergibt sich inzwischen doppelt — aus der DSGVO und aus dem europäischen KI-Recht. Der Aufwand ist gering, das Unterlassen fällt bei einer Prüfung sofort auf.
06
Den Menschen in der Entscheidung halten
Artikel 22 DSGVO beschränkt ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung — Bonitätsentscheidungen, Bewerberauswahl, Kündigungen. Das ist zugleich die eleganteste Lösung des gesamten Themas: Solange die KI einen Entwurf liefert und ein Mensch entscheidet, fällt der überwiegende Teil der problematischen Konstellationen weg. Diese Rollenverteilung sollte schriftlich fixiert sein, damit sie im Alltag nicht stillschweigend erodiert.
07
Dokumentieren, was entschieden wurde
Die Rechenschaftspflicht verlangt nicht Perfektion, sondern Nachvollziehbarkeit. Praktisch sind das vier Artefakte: ein Eintrag im Verzeichnis von Verarbeitungstätigkeiten, die Abwägung zur Rechtsgrundlage, die interne Nutzungsregel und — bei voraussichtlich hohem Risiko — eine Datenschutz-Folgenabschätzung. Letztere ist nicht bei jedem KI-Einsatz nötig, wohl aber regelmäßig dann, wenn Personen bewertet oder umfangreich überwacht werden. Wer diese vier Unterlagen vorlegen kann, ist in einer Prüfung in einer sehr guten Position.
Sechs Fehlannahmen, die sich hartnäckig halten
„Die Daten müssen in Deutschland oder wenigstens in der EU liegen."
Nein. Die DSGVO verbietet Drittlandtransfers nicht, sie reguliert sie. Mit Angemessenheitsbeschluss oder Standardvertragsklauseln nebst Risikoeinschätzung ist eine Verarbeitung außerhalb der EU zulässig. EU-Hosting ist ein sinnvoller Vereinfacher und ein gutes Argument gegenüber Kunden — eine Rechtspflicht ist es nicht.
„Wir brauchen die Einwilligung aller Betroffenen."
Meistens nicht — und oft wäre sie sogar die schlechtere Wahl. Vertragserfüllung, berechtigtes Interesse oder eine Betriebsvereinbarung tragen in der Regel stabiler. Eine Einwilligung ist jederzeit widerrufbar; fällt sie weg, fällt die Grundlage weg. Im Beschäftigungsverhältnis kommt hinzu, dass ihre Freiwilligkeit angreifbar bleibt.
„Wenn keine Namen drinstehen, ist es kein Personenbezug."
Pseudonymisierte Daten bleiben personenbezogene Daten, solange eine Zuordnung mit vertretbarem Aufwand möglich ist. Und auch ohne Klarnamen kann die Kombination aus Projekt, Datum und Funktion eine Person eindeutig bestimmen. Pseudonymisierung ist eine wirksame Schutzmaßnahme — sie ist nur kein Ausstieg aus der DSGVO.
„Ein lokal betriebenes oder quelloffenes Modell ist automatisch unbedenklich."
Der Betrieb im eigenen Haus löst die Fragen des Drittlandtransfers und der Auftragsverarbeitung — mehr nicht. Rechtsgrundlage, Zweckbindung, Transparenz, Betroffenenrechte und Löschkonzept gelten unverändert. Hinzu kommt, dass technische Schutzmaßnahmen und Protokollierung nun selbst zu verantworten sind statt eingekauft zu werden.
„Der Anbieter ist zertifiziert, also sind wir auf der sicheren Seite."
Zertifikate und Testate des Anbieters sind ein Baustein der eigenen Sorgfalt, kein Ersatz für sie. Verantwortlicher im Sinne der DSGVO bleibt das einsetzende Unternehmen — mit seiner Rechtsgrundlage, seinem Zweck und seiner Dokumentation. Kein Anbieter kann diese Rolle übernehmen, und keiner wird dafür haften.
„Solange wir nichts offiziell einführen, kann nichts passieren."
Das ist die riskanteste Annahme von allen. Wo keine Regelung existiert, nutzen Mitarbeitende KI trotzdem — mit privaten Zugängen ohne Auftragsverarbeitungsvertrag und ohne Trainingsausschluss. Dieser Zustand ist der häufigste reale Datenschutzverstoß in diesem Feld. Nichtstun ist keine Vermeidung von Risiko, sondern seine unkontrollierte Form.
Wo die Grenzen tatsächlich verlaufen
Zur Redlichkeit gehört der Hinweis, dass nicht jede denkbare Anwendung zulässig ist. Die Einschränkungen betreffen aber nicht die Alltagsfälle, sondern klar umrissene Konstellationen:
Anbieter ohne belastbaren Vertrag
Wer keinen Auftragsverarbeitungsvertrag anbietet oder sich die Nutzung Ihrer Eingaben für eigene Zwecke vorbehält, ist für personenbezogene Daten schlicht nicht einsetzbar.
Besondere Datenkategorien
Gesundheits-, Religions- oder Gewerkschaftsdaten unterliegen Artikel 9 und brauchen einen eigenen Erlaubnistatbestand. Das ist möglich, aber nie nebenbei.
Vollautomatische Entscheidungen über Personen
Ohne Ausnahmetatbestand und ohne menschliche Kontrolle nicht zulässig — das betrifft vor allem Personalauswahl und Bonitätsprüfung.
Nach dem KI-Recht verbotene Praktiken
Emotionserkennung am Arbeitsplatz und Bewertungssysteme über das Sozialverhalten von Personen sind unabhängig vom Datenschutz untersagt.
Auffällig ist, was auf dieser Liste nicht steht: Entwürfe schreiben, Dokumente durchsuchen, Besprechungen protokollieren, Unterlagen vorprüfen. Also genau die Handlungsfelder, mit denen mittelständische Unternehmen typischerweise einsteigen.
Fazit
Der Datenschutz ist im Mittelstand selten das, was KI-Projekte verhindert. Er ist das, was als Begründung dafür dient, sie nicht zu beginnen. Das ist verständlich — Rechtsunsicherheit ist die meistgenannte Hürde überhaupt — aber es verkehrt das Risiko in sein Gegenteil: Nicht der geregelte Einsatz ist gefährlich, sondern der ungeregelte, der ohnehin längst stattfindet.
Der Aufwand für eine saubere Grundlage ist überschaubar. Ein Geschäftstarif mit Auftragsverarbeitungsvertrag, eine einseitige Nutzungsregel, ein Eintrag im Verarbeitungsverzeichnis, eine dokumentierte Abwägung und eine kurze Schulung — damit sind die meisten mittelständischen Anwendungsfälle abgedeckt. Das ist Arbeit für einige Tage, nicht für ein Quartal. Und es ist ungleich weniger Arbeit als die nachträgliche Aufarbeitung eines Wildwuchses, der sich in der Zwischenzeit etabliert hat.
Dieser Beitrag beschreibt allgemeine Anforderungen und stellt keine Rechtsberatung im Einzelfall dar.
Nächster Schritt
Unsicher, ob der geplante KI-Einsatz trägt?
Der konkrete Anwendungsfall wird entlang der sieben Punkte aus diesem Beitrag geprüft. Ergebnis sind die Unterlagen, die im Ernstfall vorzulegen sind: Nutzungsregel, Abwägung und Eintrag im Verarbeitungsverzeichnis. In der Regel innerhalb weniger Tage.