Ist KI im Betrieb DSGVO-konform?

Die kurze Antwort: Ja, Sie können KI im Unternehmen datenschutzkonform nutzen. Entscheidend ist dabei weniger das Werkzeug selbst als die Frage, welche Daten hineingehen und unter welchen Bedingungen der Anbieter sie verarbeitet. Hier erfahren Sie, worauf es ankommt, ohne Paragrafen-Dschungel.

Wann greift die DSGVO bei KI überhaupt?

Die DSGVO schützt personenbezogene Daten, also alles, was sich einer bestimmten Person zuordnen lässt: Namen, E-Mail-Adressen, Telefonnummern, Anschriften, aber auch eine Kundenanfrage mit Unterschrift oder eine Bewerbung.

Lassen Sie sich von einer KI einen Text für Ihre Webseite schreiben, eine Formel in Excel erklären oder Ideen für eine Stellenanzeige sammeln, sind in der Regel keine personenbezogenen Daten im Spiel. Kopiert jemand dagegen eine Kunden-E-Mail mit Namen und Adresse in ChatGPT, um eine Antwort formulieren zu lassen, verarbeitet Ihr Unternehmen personenbezogene Daten. Dann gelten die Regeln der DSGVO.

Die fünf Punkte, auf die es ankommt

1. Die richtige Version des Werkzeugs

Viele KI-Dienste gibt es als kostenlose Privatversion und als Business- oder Team-Tarif. Bei Privatversionen können Eingaben je nach Anbieter zum Training der KI verwendet werden, und einen Vertrag mit Ihrem Unternehmen gibt es nicht. Business-Tarife der großen Anbieter schließen das Training mit Ihren Daten meist aus und bieten einen Vertrag zur Auftragsverarbeitung an. Für den Einsatz mit Kundendaten ist das die Grundlage.

2. Ein Vertrag zur Auftragsverarbeitung

Verarbeitet ein externer Dienst personenbezogene Daten in Ihrem Auftrag, brauchen Sie einen Vertrag zur Auftragsverarbeitung (kurz AV-Vertrag, Art. 28 DSGVO). Darin verpflichtet sich der Anbieter unter anderem, die Daten nur für Sie zu verarbeiten und angemessen zu schützen. Seriöse Anbieter stellen diesen Vertrag bereit, oft als Teil der Geschäftsbedingungen für Business-Kunden.

3. Wo die Daten verarbeitet werden

Am einfachsten ist es, wenn die Daten in der EU bleiben. Viele Anbieter haben ihren Sitz aber in den USA. Eine Übermittlung dorthin ist erlaubt, wenn eine rechtliche Grundlage besteht, zum Beispiel eine Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework oder vereinbarte EU-Standardvertragsklauseln. Ob das der Fall ist, steht in den Datenschutzunterlagen des Anbieters.

4. So wenig Daten wie möglich

Der einfachste Schutz: Geben Sie nur ein, was die KI für die Aufgabe wirklich braucht. Für einen Antwortentwurf genügt meist „Kunde fragt nach einem Termin für die Wartung“, Name und Adresse sind dafür überflüssig. Wer Namen weglässt oder durch Platzhalter ersetzt, senkt das Risiko deutlich.

5. Transparenz und Dokumentation

Nutzen Sie KI für die Verarbeitung von Kundendaten, gehört das in Ihr Verzeichnis der Verarbeitungstätigkeiten und gegebenenfalls in Ihre Datenschutzerklärung. Bei sensiblen Daten, etwa Gesundheitsdaten in einer Praxis, oder bei der Auswahl von Bewerbern ist zusätzlich zu prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist. Und: Entscheidungen mit rechtlicher Wirkung für einen Menschen, etwa eine Absage, sollte nie die KI allein treffen. Das letzte Wort hat ein Mensch.

Was verlangt der EU AI Act?

Neben der DSGVO gibt es seit 2024 die europäische KI-Verordnung, den EU AI Act. Für die meisten kleinen und mittleren Unternehmen ist daraus vor allem eine Pflicht schon heute wichtig: Seit dem 2. Februar 2025 müssen Unternehmen, die KI einsetzen, dafür sorgen, dass ihre Mitarbeitenden über ausreichende KI-Kompetenz verfügen (Art. 4). Gemeint ist: Wer mit KI arbeitet, sollte wissen, was sie kann, wo ihre Grenzen liegen und welche Daten tabu sind.

Ein bestimmtes Zertifikat schreibt das Gesetz nicht vor. Eine praxisnahe Schulung und klare interne Regeln sind ein guter und nachweisbarer Weg. Deutlich strengere Vorgaben gelten nur für sogenannte Hochrisiko-Anwendungen, etwa wenn KI über Bewerbungen oder Kredite mitentscheidet.

Typische Fragen aus der Praxis

Dürfen meine Mitarbeitenden ChatGPT nutzen, und was gilt beim Datenschutz?

Ja, mit klaren Regeln. Für allgemeine Aufgaben ohne personenbezogene Daten ist das unkritisch. Sollen auch Kundendaten verarbeitet werden, sollten Sie eine Business-Version mit AV-Vertrag einsetzen und festlegen, welche Daten eingegeben werden dürfen. Verbieten bringt wenig, denn erfahrungsgemäß nutzt das Team KI dann trotzdem, nur eben ohne Regeln.

Darf eine KI Kunden-E-Mails beantworten?

Antwortentwürfe von einer KI vorbereiten zu lassen, ist mit einem passenden Werkzeug gut möglich. Wir empfehlen, dass ein Mensch jede Antwort vor dem Versand kurz prüft. So bleiben Sie auch inhaltlich auf der sicheren Seite.

Brauche ich wegen KI einen Datenschutzbeauftragten?

Nicht wegen der KI an sich. Ein Datenschutzbeauftragter ist in Deutschland in der Regel nötig, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder bei besonders sensiblen Verarbeitungen. Haben Sie bereits einen, sollte er bei der Einführung von KI einbezogen werden.

Checkliste: KI sicher im Betrieb einführen

• Festgelegt, für welche Aufgaben KI genutzt wird
• Business-Version gewählt, Training mit eigenen Daten ausgeschlossen
• Vertrag zur Auftragsverarbeitung abgeschlossen
• Serverstandort bzw. Rechtsgrundlage für Übermittlungen geprüft
• Schriftliche Regeln fürs Team: Welche Daten dürfen hinein, welche nicht?
• Verzeichnis der Verarbeitungstätigkeiten und Datenschutzerklärung ergänzt
• Team geschult (KI-Kompetenz nach Art. 4 EU AI Act)
• Ergebnisse der KI werden von einem Menschen geprüft, bevor sie rausgehen

So unterstützen wir Sie

Im KI-Check schauen wir uns Ihre Abläufe an und zeigen, wo KI sich lohnt. Dazu wählen wir mit Ihnen Werkzeuge aus, die zum Datenschutz passen, formulieren verständliche Regeln für Ihr Team und schulen Ihre Mitarbeitenden, damit auch die Anforderung an die KI-Kompetenz erfüllt ist. Sie arbeiten im Handwerk? Dann lesen Sie auch, wo KI Handwerksbetrieben im Alltag hilft.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Bei konkreten rechtlichen Fragen wenden Sie sich bitte an Ihren Datenschutzbeauftragten oder eine Rechtsanwältin bzw. einen Rechtsanwalt.