KI und Datenschutz – KI-Tools DSGVO-konform einsetzen

KI-Assistenten, Übersetzungs- und Transkriptionsdienste, Chatbots auf der Website, KI-gestützte Auswertungen im Vertrieb oder in der Personalabteilung: Sobald personenbezogene Daten im Spiel sind, gilt die DSGVO und daneben zunehmend die europäische KI-Verordnung. Wir helfen Ihnen, KI-Tools so einzuführen, dass sie produktiv genutzt werden können, ohne Datenschutzrisiken zu schaffen.

Wo KI und DSGVO zusammentreffen

• Eingaben (Prompts) und hochgeladene Dokumente enthalten oft Kunden-, Beschäftigten- oder Patientendaten.
• Ausgaben können personenbezogene Aussagen enthalten, auch falsche („Halluzinationen“), was Berichtigungs- und Löschungsansprüche auslösen kann.
• Eigene Modelle werden mit Unternehmensdaten trainiert oder feinabgestimmt.
• KI trifft automatisierte Entscheidungen über Personen, etwa bei der Bonitätsbewertung oder Bewerbervorauswahl.

Datenschutzrechtliche Prüfpunkte beim Einsatz von KI-Tools

1. Welche Rolle hat der Anbieter? Ist er Auftragsverarbeiter mit AV-Vertrag, oder nutzt er Eingaben für eigene Zwecke, etwa zum Training? Unternehmensversionen schließen das Training mit Kundendaten meist vertraglich aus; Verbraucherversionen oft nicht.
2. Für jeden Einsatzzweck braucht es eine Rechtsgrundlage nach Art. 6 DSGVO, bei besonderen Kategorien zusätzlich nach Art. 9 DSGVO.
3. Werden Daten in die USA oder andere Drittländer übermittelt? Siehe Drittlandtransfer und US-Tools.
4. Besteht ein hohes Risiko, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig. Beim Einsatz neuer Technologien mit Personenbezug ist das häufig der Fall.
5. Die Datenschutzerklärung und die Information der Beschäftigten müssen den KI-Einsatz abbilden (Datenschutzerklärung).
6. Wie werden Auskunft, Berichtigung und Löschung umgesetzt?
7. Eine interne Richtlinie legt fest, welche Tools freigegeben sind, welche Daten eingegeben werden dürfen und wer Ergebnisse prüft.

Training von KI-Modellen

Der Europäische Datenschutzausschuss hat in seiner Stellungnahme 28/2024 vom 17. Dezember 2024 erläutert, unter welchen Voraussetzungen KI-Modelle als anonym gelten können und wann berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) die Entwicklung und Nutzung eines Modells tragen. Maßgeblich sind eine dreistufige Interessenabwägung, die Erwartungen der Betroffenen und Schutzmaßnahmen wie Datenminimierung, Filter und Widerspruchsmöglichkeiten. Wurde ein Modell mit unrechtmäßig verarbeiteten Daten entwickelt, kann das auch auf seinen späteren Einsatz durchschlagen.

Automatisierte Entscheidungen (Art. 22 DSGVO)

Ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung sind nur ausnahmsweise zulässig. Der EuGH hat im SCHUFA-Urteil vom 7. Dezember 2023 (C-634/21) entschieden, dass bereits die automatisierte Erstellung eines Wahrscheinlichkeitswerts eine solche Entscheidung sein kann, wenn ein Dritter sein Handeln maßgeblich danach ausrichtet. Für KI-gestützte Bewerberauswahl, Kreditentscheidungen oder Tarifierung muss deshalb eine echte menschliche Prüfung eingeplant oder eine Ausnahme nach Art. 22 Abs. 2 DSGVO tragfähig begründet werden.

Die KI-Verordnung (AI Act): Zeitplan

Die Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und gilt gestaffelt. Durch den „Digital Omnibus“ zur KI (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) wurden einige Fristen verschoben. Stand November 2026:

Seit / ab	Pflichten
2. Februar 2025	Verbotene KI-Praktiken (Art. 5); Maßnahmen zur KI-Kompetenz (Art. 4, durch den Omnibus abgeschwächt)
2. August 2025	Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck
2. August 2026	Transparenzpflichten nach Art. 50, z. B. Hinweis auf Interaktion mit KI und Kennzeichnung von Deepfakes; für Kennzeichnung synthetischer Inhalte bei Altsystemen Übergangsfrist bis 2. Dezember 2026
2. Dezember 2027	Hochrisiko-KI-Systeme nach Anhang III (z. B. Beschäftigung, Kreditwürdigkeit, Bildung)
2. August 2028	Hochrisiko-KI in Produkten nach Anhang I

Die KI-Verordnung ersetzt die DSGVO nicht; beide gelten nebeneinander. Für die meisten Unternehmen als „Betreiber“ von KI-Systemen stehen derzeit Transparenz, interne Kompetenz und der Datenschutz im Vordergrund.

Unser Angebot: KI-Einführung mit Datenschutz

• Tool-Prüfung: Vertragswerk, AVV, Trainingsklauseln, Datenflüsse, Drittlandbezug,
• KI-Nutzungsrichtlinie für Beschäftigte,
• Datenschutz-Folgenabschätzung und Einordnung nach der KI-Verordnung,
• Betriebsvereinbarung zu KI-Systemen (siehe Beschäftigtendatenschutz),
• Transparenztexte für Chatbots und KI-Funktionen auf der Website.

Häufige Fragen

Dürfen Beschäftigte frei verfügbare KI-Chatbots dienstlich nutzen?

Ohne Regelung ist das riskant: Bei Verbraucherversionen fehlt meist ein AV-Vertrag, und Eingaben können für das Training genutzt werden. Empfehlenswert sind freigegebene Unternehmenslizenzen und eine klare Richtlinie, welche Daten eingegeben werden dürfen.

Brauche ich für jedes KI-Tool eine Datenschutz-Folgenabschätzung?

Nein, nur wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt. Bei KI-Einsatz mit Personenbezug, insbesondere zur Bewertung von Personen, ist das häufig der Fall. Die Prüfung sollte dokumentiert werden.