Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, kurz DSGVO) ist technologieneutral formuliert. Sie kennt den Begriff „künstliche Intelligenz“ nicht – und genau das ist der entscheidende Punkt: Sie gilt unabhängig davon, ob personenbezogene Daten in einer Excel-Tabelle, in einem klassischen CRM oder in einem großen Sprachmodell verarbeitet werden. Sobald ein KI-System Daten verarbeitet, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, greift die DSGVO vollständig. Es gibt keine „KI-Ausnahme“ und keinen Schwellenwert, ab dem KI von den Pflichten der Verordnung befreit wäre.
Der häufigste Irrtum in der Praxis lautet sinngemäß: „Das ist doch nur ein Chatbot, da gilt der Datenschutz nicht so streng.“ Das Gegenteil ist der Fall. Gerade weil moderne KI-Systeme Daten in einer Tiefe und Geschwindigkeit verknüpfen, die zuvor undenkbar war, sind die Risiken für die betroffenen Personen oft höher als bei klassischer Datenverarbeitung. Ein Sprachmodell, das aus einem Freitext-Prompt Rückschlüsse auf Gesundheit, Herkunft oder finanzielle Situation einer Person zieht, kann sehr schnell besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO berühren.
Anders als bei einer Datenbank, in der „Speicherung“ der zentrale Verarbeitungsschritt ist, berührt KI personenbezogene Daten an mindestens drei Stellen – und jede einzelne ist datenschutzrechtlich relevant:
Hinzu kommt ein vierter, oft übersehener Moment: das Training des Modells. Wenn ein Anbieter Modelle mit Daten trainiert, die zuvor von Kundinnen und Kunden eingegeben wurden, entsteht eine zusätzliche Verarbeitung mit eigenen Rechtsgrundlagen-Fragen. Dieser Punkt wird in Kapitel 05 vertieft.
Die Motivation für sauberen Datenschutz im KI-Einsatz ist nicht nur regulatorisch, sondern handfest wirtschaftlich. Verstöße gegen die DSGVO können nach Art. 83 mit Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Hinzu kommen Reputationsschäden, Schadensersatzansprüche betroffener Personen nach Art. 82 und im schlimmsten Fall die Anordnung, eine Verarbeitung vollständig einzustellen. Für ein Unternehmen, das einen KI-gestützten Kernprozess aufgebaut hat, kann letzteres existenzbedrohend sein. Datenschutz ist damit kein Bremsklotz, sondern die Voraussetzung dafür, KI überhaupt dauerhaft und rechtssicher nutzen zu können.
Ohne Rechtsgrundlage ist jede Verarbeitung personenbezogener Daten unzulässig. Für den KI-Einsatz im Unternehmen sind in der Praxis vor allem drei der sechs Tatbestände relevant: die Einwilligung, die Vertragserfüllung und das berechtigte Interesse.
Das berechtigte Interesse (Art. 6 Abs. 1 f) ist im betrieblichen KI-Einsatz häufig die naheliegende Wahl – etwa wenn ein Unternehmen interne Dokumente mit einem KI-Assistenten durchsuchbar macht. Es ist aber keine „Universal-Rechtsgrundlage“: Es verlangt eine dokumentierte Interessenabwägung zwischen dem Interesse des Unternehmens und den schutzwürdigen Interessen der betroffenen Personen. Diese Abwägung muss vor Beginn der Verarbeitung erfolgen und nachvollziehbar festgehalten werden. Für besondere Kategorien personenbezogener Daten (Art. 9 – etwa Gesundheit, religiöse oder politische Überzeugung, Gewerkschaftszugehörigkeit) reicht das berechtigte Interesse nicht aus; hier gelten deutlich strengere Anforderungen.
Art. 5 DSGVO formuliert die übergeordneten Prinzipien, an denen sich jede Verarbeitung messen lassen muss. Drei davon werden im KI-Kontext besonders oft auf die Probe gestellt:
Die übrigen Grundsätze – Richtigkeit (Art. 5 Abs. 1 d), Speicherbegrenzung (Abs. 1 e), Integrität und Vertraulichkeit (Abs. 1 f) sowie die übergreifende Rechenschaftspflicht (Abs. 2) – sind nicht weniger wichtig. Gerade die Rechenschaftspflicht hat im KI-Kontext besonderes Gewicht: Das Unternehmen muss die Einhaltung aller Grundsätze nicht nur sicherstellen, sondern auch nachweisen können. Ohne Dokumentation gibt es keine Compliance – ein Grundsatz, der sich durch diesen gesamten Leitfaden zieht.
Die Mechanik ist banal und gerade deshalb gefährlich. Ein:e Personalsachbearbeiter:in kopiert eine vollständige Bewerbung in ein öffentliches KI-Tool, um eine Zusammenfassung zu erhalten. Ein:e Vertriebsmitarbeiter:in lässt eine Kunden-E-Mail mit Namen, Adresse und Vertragsdetails „freundlicher umformulieren“. Ein:e Sachbearbeiter:in fügt eine Excel-Liste mit Kundendaten ein, um sie analysieren zu lassen. In jedem dieser Fälle verlassen personenbezogene Daten – teils besondere Kategorien nach Art. 9 – die kontrollierte Unternehmensumgebung und gelangen zu einem externen Anbieter, dessen Verarbeitungsbedingungen oft niemand geprüft hat.
Die kostenlosen Consumer-Versionen vieler KI-Dienste unterscheiden sich rechtlich fundamental von ihren Business- und Enterprise-Pendants. Bei den kostenfreien Varianten behalten sich Anbieter häufig vor, Eingaben zur Verbesserung ihrer Dienste – also auch zum Modelltraining – zu verwenden. Es liegt in der Regel kein Auftragsverarbeitungsvertrag vor, der Verarbeitungsort ist oft ein Drittland, und das Unternehmen hat keinerlei vertragliche Kontrolle darüber, was mit den eingegebenen Daten geschieht. Wer hier personenbezogene Daten eingibt, verliert die Kontrolle über sie – ein klassischer DSGVO-Verstoß.
Die gute Nachricht: Das Risiko lässt sich strukturell entschärfen. In der Praxis haben sich drei aufeinander aufbauende Hebel bewährt.
Ein wichtiger Sonderfall sind Halluzinationen mit Personenbezug. Generative KI kann über reale Personen falsche Aussagen erzeugen. Da auch unrichtige personenbezogene Daten dem Schutz der DSGVO unterliegen, kann eine betroffene Person die Berichtigung oder Löschung verlangen (Art. 16, 17). Für Unternehmen bedeutet das: KI-Ausgaben über reale Personen dürfen niemals ungeprüft übernommen werden – schon gar nicht, wenn sie Grundlage von Entscheidungen werden.
Der Grundgedanke ist einfach: Wer einen externen Dienst nutzt, um personenbezogene Daten zu verarbeiten, bleibt als Verantwortlicher für die Einhaltung der DSGVO verantwortlich. Der Anbieter wird zum Auftragsverarbeiter, der nur weisungsgebunden tätig werden darf. Der AVV ist das Instrument, das diese Rollenverteilung und die Pflichten des Auftragsverarbeiters verbindlich regelt. Bei nahezu allen cloudbasierten KI-Diensten – vom großen Sprachmodell-Anbieter bis zur spezialisierten KI-Software – ist diese Konstellation gegeben.
Art. 28 Abs. 3 DSGVO schreibt vor, welche Punkte ein AVV mindestens regeln muss. Beim Abschluss mit einem KI-Anbieter lohnt es sich, genau diese Punkte abzuhaken:
Nicht jeder Anbieter stellt einen brauchbaren AVV bereit, und nicht jeder bereitgestellte AVV passt zu Ihrem Anwendungsfall. In der Praxis hat sich eine kurze Prüfreihenfolge bewährt: Erstens, gibt es überhaupt einen AVV nach Art. 28 (nicht nur AGB)? Zweitens, ist die Weisungsbindung sauber geregelt und das Training auf Ihren Daten ausgeschlossen? Drittens, sind Subprozessoren transparent gelistet und der Verarbeitungsort dokumentiert? Viertens, lassen sich die zugesicherten technischen Maßnahmen durch Zertifizierungen (z. B. ISO 27001, SOC 2, BSI C5) belegen? Wenn auch nur der erste Punkt fehlt, ist der Dienst für personenbezogene Daten ohne weitere Maßnahmen nicht nutzbar.
Wenn personenbezogene Daten, die ein Unternehmen in ein KI-Tool eingibt, zum Training des Modells verwendet werden, entstehen gleich mehrere Probleme. Erstens fehlt für diese zusätzliche, andersartige Verarbeitung in der Regel eine Rechtsgrundlage – der ursprüngliche Zweck (z. B. „Text zusammenfassen“) deckt das Training nicht ab; es liegt ein Verstoß gegen die Zweckbindung nahe. Zweitens sind einmal in ein Modell eingeflossene Daten praktisch nicht mehr gezielt löschbar, was die Erfüllung des Rechts auf Löschung (Art. 17) faktisch unmöglich macht. Drittens besteht das – wenn auch in der Praxis seltene – Risiko, dass das Modell trainierte Inhalte in anderen Kontexten wieder ausgibt.
Für den betrieblichen Einsatz gilt deshalb ein klarer Grundsatz: Geschäfts- und Kundendaten dürfen nicht zum Training fremder Modelle verwendet werden. Seriöse Anbieter tragen dem auf zwei Wegen Rechnung. In ihren Business- und Enterprise-Editionen ist das Training auf Kundendaten standardmäßig ausgeschlossen und vertraglich zugesichert. In den kostenlosen Consumer-Versionen ist das Gegenteil oft der Fall – hier wird die Nutzung der Eingaben zur Dienstverbesserung häufig vorausgesetzt, sofern man nicht aktiv widerspricht.
Viele Anbieter bieten an, der Nutzung der eigenen Daten zum Training zu widersprechen (Opt-out) oder es ist in der Business-Edition von vornherein deaktiviert. Entscheidend ist, dass diese Einstellung aktiv geprüft, korrekt gesetzt und dokumentiert wird. Ein Opt-out, das niemand kontrolliert hat, ist im Streitfall wertlos. Bei der Einführung eines KI-Dienstes gehört die Prüfung und Dokumentation der Trainings- und Datennutzungseinstellungen daher zu den ersten Schritten – idealerweise als Teil der Verarbeitungsdokumentation.
Ein Drittlandtransfer liegt nicht erst dann vor, wenn Daten „ins Ausland verschickt“ werden. Schon der Zugriff eines US-Anbieters auf in der EU gespeicherte Daten, oder die Verarbeitung durch einen Subprozessor außerhalb der EU, kann einen Transfer darstellen. Für den KI-Einsatz ist das hochrelevant, weil die zugrunde liegende Infrastruktur und die Support-Strukturen vieler Dienste global verteilt sind.
Mit dem Urteil des Europäischen Gerichtshofs im Verfahren „Schrems II“ (2020) wurde der damalige EU-US-Datenschutzschild für ungültig erklärt. Der Kern der Begründung: US-Überwachungsgesetze – allen voran der CLOUD Act und FISA 702 – ermöglichen US-Behörden einen Zugriff auf Daten, der mit dem europäischen Grundrechtsniveau nicht vollständig vereinbar ist. Seitdem reicht es nicht, sich pauschal auf einen Angemessenheitsbeschluss zu verlassen; Unternehmen müssen das tatsächliche Schutzniveau im Drittland prüfen und gegebenenfalls zusätzliche Maßnahmen ergreifen.
Das EU-US Data Privacy Framework (DPF) aus dem Jahr 2023 hat die Lage für zertifizierte US-Unternehmen entspannt – ein gültiger Angemessenheitsbeschluss erleichtert Transfers an DPF-zertifizierte Empfänger erheblich. Allerdings ist das DPF rechtlich umstritten und Gegenstand erneuter Klagen; ein „Schrems III“ ist nicht ausgeschlossen. Wer seine KI-Compliance allein auf das DPF stützt, baut auf möglicherweise wackeligem Grund. Die Standardvertragsklauseln bleiben das robuste Rückgrat – müssen aber seit Schrems II durch eine Transfer-Folgenabschätzung (Transfer Impact Assessment) und gegebenenfalls zusätzliche technische Maßnahmen ergänzt werden.
Jede Person, deren Daten verarbeitet werden, kann ihre Rechte aus den Art. 15 bis 22 geltend machen. Im KI-Einsatz sind besonders relevant:
Art. 22 DSGVO ist die zentrale Norm für KI-gestützte Entscheidungen über Menschen. Der Grundsatz: Eine betroffene Person hat das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlich erheblicher Weise beeinträchtigt. In der Praxis wird Art. 22 als grundsätzliches Verbot mit eng begrenzten Ausnahmen verstanden.
Typische Anwendungsfälle, die in den Bereich von Art. 22 fallen können, sind: die automatisierte Ablehnung eines Kredits (Scoring), die KI-gestützte Vorauswahl oder Aussortierung von Bewerbungen, automatisierte Entscheidungen über Versicherungstarife oder die automatische Sperrung von Nutzerkonten. Entscheidend ist das Merkmal „ausschließlich automatisiert“ und die „erhebliche Beeinträchtigung“.
Der wirksamste Weg, Konflikte mit Art. 22 zu vermeiden, ist das Prinzip „Human in the Loop“. Wird die KI-Ausgabe nicht automatisch umgesetzt, sondern dient sie nur als Empfehlung, über die ein Mensch substanziell und eigenständig entscheidet, liegt keine „ausschließlich automatisierte“ Entscheidung im Sinne von Art. 22 vor. Wichtig ist dabei, dass die menschliche Prüfung echt ist und nicht zum bloßen Abnicken degeneriert – ein:e Sachbearbeiter:in, die KI-Vorschläge nur durchwinkt, erfüllt die Anforderung nicht. Wo immer KI Menschen bewertet, sollte daher eine substanzielle menschliche Kontrolle organisatorisch verankert und dokumentiert sein.
TOMs sind das Rückgrat der praktischen Datensicherheit. Sie sind nicht abstrakt vorgegeben, sondern müssen risikoangemessen sein: Je sensibler die Daten und je höher das Risiko für die betroffenen Personen, desto stärker müssen die Maßnahmen ausfallen. Für KI-Anwendungen lassen sich technische und organisatorische Maßnahmen sinnvoll trennen.
Technik allein genügt nicht. Die organisatorischen Maßnahmen entscheiden in der Praxis oft über Erfolg oder Scheitern der KI-Compliance:
Der EU AI Act (Verordnung (EU) 2024/1689) ist seit 2024 in Kraft und wird in Stufen wirksam. Er ordnet KI-Systeme nach Risikoklassen (verboten, hochriskant, begrenztes Risiko, minimales Risiko) und knüpft daran abgestufte Pflichten. Die DSGVO bleibt davon unberührt: Sobald personenbezogene Daten im Spiel sind, gilt sie zusätzlich. Beide Regelwerke überschneiden sich – etwa bei Transparenz, Risikomanagement und menschlicher Aufsicht –, aber sie sind nicht deckungsgleich. Ein Hochrisiko-KI-System nach AI Act ist häufig zugleich eine riskante Verarbeitung im Sinne der DSGVO. Das spricht dafür, beide Anforderungen in einer integrierten Governance zu bündeln statt in zwei getrennten Projekten.
Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist bei voraussichtlich hohem Risiko für die Rechte und Freiheiten betroffener Personen verpflichtend. Bei KI ist das häufig der Fall – etwa bei umfangreichem Profiling, automatisierten Entscheidungen oder der Verarbeitung besonderer Datenkategorien. Die DSFA ist kein bürokratischer Selbstzweck, sondern ein strukturiertes Verfahren, das Risiken systematisch erfasst und Gegenmaßnahmen dokumentiert. Geschickt aufgesetzt, deckt sie zugleich einen Großteil der Risikodokumentation ab, die der AI Act für Hochrisiko-Systeme verlangt – ein doppelter Nutzen.
