Das Unbehagen ist berechtigt – aber lösbar
Du willst KI in deinem Betrieb einsetzen. Vielleicht für die Textverarbeitung, die Kundenanfragen oder die Analyse von Geschäftsdaten. Und dann kommt sofort die Frage: Darf ich das überhaupt? Was ist mit dem Datenschutz? Was passiert mit den Daten meiner Kunden, wenn ich sie in ein KI-System eingebe?
Dieses Unbehagen ist verbreitet – und es ist nicht unbegründet. Viele KI-Lösungen, die gerade stark vermarktet werden, kommen aus den USA. Die Datenschutz-Grundverordnung (DSGVO) gilt aber für alle Unternehmen, die Daten von Personen mit Wohnsitz in der EU verarbeiten. Und bei Verstößen sind die Bußgelder empfindlich: bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro – je nachdem, was höher ist.
Das bedeutet aber nicht, dass KI und Datenschutz sich gegenseitig ausschließen. Es bedeutet, dass man es richtig machen muss.
Was die DSGVO von KI-Systemen verlangt
Die DSGVO enthält keine eigene Regelung für KI. Sie gilt aber uneingeschränkt, sobald ein KI-System personenbezogene Daten verarbeitet – also Informationen, die sich auf eine identifizierbare natürliche Person beziehen.
Dazu gehören nicht nur offensichtliche Daten wie Name, Adresse oder E-Mail. Auch Kundennummern in Kombination mit Verhaltensdaten, Produktionsunfälle mit Mitarbeiterkennung oder auch IP-Adressen können personenbezogen sein.
Die zentralen Anforderungen im Überblick
Rechtsgrundlage: Für jede Verarbeitung personenbezogener Daten brauchst du eine Rechtsgrundlage – Einwilligung, Vertragserfüllung, berechtigtes Interesse oder gesetzliche Verpflichtung. Das gilt auch für KI-Verarbeitung.
Zweckbindung: Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden. Kundendaten aus dem Kaufprozess darf man nicht einfach ins KI-Training einspeisen.
Datensparsamkeit: Es dürfen nur die Daten verarbeitet werden, die tatsächlich notwendig sind. KI-Modelle sollten auf den Mindestdatensatz reduziert werden.
Transparenz: Betroffene Personen müssen wissen, dass ihre Daten durch KI verarbeitet werden. Das gilt insbesondere bei automatisierten Entscheidungen.
Automatisierte Entscheidungen (Art. 22 DSGVO): Wenn ein KI-System allein – also ohne menschliche Überprüfung – Entscheidungen mit erheblicher Auswirkung auf Personen trifft (z. B. Kreditwürdigkeit, Stellenbewerbung), haben Betroffene das Recht auf menschliche Überprüfung.
Datenschutz-Folgenabschätzung: Wann sie Pflicht ist
Bei bestimmten KI-Einsätzen ist eine Datenschutz-Folgenabschätzung (DSFA) gesetzlich vorgeschrieben. Sie ist immer dann notwendig, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen birgt.
Konkret: Wer KI einsetzt, um Mitarbeiterverhalten zu überwachen, Kundenpersönlichkeiten zu profilieren oder automatisierte Entscheidungen zu treffen, muss eine DSFA durchführen – vor der Inbetriebnahme.
Die DSFA ist keine reine Formalität. Sie zwingt dazu, Risiken systematisch zu identifizieren und Maßnahmen zu dokumentieren. Das schützt nicht nur vor Bußgeldern, sondern auch vor tatsächlichen Datenpannen.
Anonymisierung und Pseudonymisierung: Das technische Fundament
Der sicherste Weg, DSGVO-Risiken bei KI zu reduzieren: Personenbezug eliminieren oder reduzieren, bevor Daten ins System fließen.
Anonymisierung entfernt den Personenbezug so vollständig, dass eine Rückidentifizierung unmöglich ist. Anonym verarbeitete Daten fallen nicht mehr unter die DSGVO. Das ist der Goldstandard – aber technisch nicht immer erreichbar, vor allem bei kleinen Datensätzen.
Pseudonymisierung ersetzt direkte Identifikatoren (Name, Adresse) durch künstliche Kennzeichen. Eine Rückidentifizierung ist noch möglich, aber nur mit zusätzlichem Schlüssel. Pseudonymisierte Daten fallen weiter unter die DSGVO, aber das Risiko und damit auch die regulatorischen Anforderungen sinken.
Praktisch bedeutet das für deinen KI-Einsatz:
- Kundendaten vor der KI-Verarbeitung pseudonymisieren
- Direktidentifikatoren aus Trainingsdaten entfernen
- Aggregation statt Einzeldaten verwenden, wo möglich
On-Premise vs. Cloud: Die Grundsatzentscheidung
Eine der wichtigsten Entscheidungen beim KI-Einsatz betrifft die Frage: Wo laufen die Daten?
Cloud-basierte KI-Dienste
Dienste wie ChatGPT (OpenAI/USA), Google Gemini oder andere US-amerikanische Anbieter verarbeiten Daten auf Servern außerhalb der EU. Das ist datenschutzrechtlich problematisch, aber nicht grundsätzlich verboten – wenn folgende Bedingungen erfüllt sind:
- Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter abgeschlossen
- Standardvertragsklauseln (SCC) für den Datentransfer in Drittländer vereinbart
- Keine besonderen Kategorien personenbezogener Daten (Gesundheit, Religion, politische Überzeugungen) im System
Wichtig: OpenAI bietet für seine API (nicht für die Chat-Oberfläche) AVVs an. Wer Kundendaten über die öffentliche ChatGPT-Oberfläche eingibt, ohne AVV, verstößt gegen die DSGVO.
On-Premise KI
Wer maximale Datensouveränität will, betreibt KI-Modelle auf eigenen Servern oder in einer privaten Cloud innerhalb der EU. Das ist technisch aufwendiger, gibt aber vollständige Kontrolle über die Daten.
Mit offenen Modellen wie Llama 3 (Meta) oder Mistral (Frankreich) lassen sich leistungsfähige KI-Systeme lokal betreiben. Spezialisierte Dienstleister bieten Komplettlösungen für den Mittelstand an.
Europäische KI-Alternativen
Wer den Mittelweg sucht, findet in Europa starke Alternativen:
DeepL (Köln) ist führend in der professionellen Übersetzungstechnologie und verarbeitet Daten ausschließlich auf europäischen Servern. AVVs sind verfügbar.
Aleph Alpha (Heidelberg) ist ein deutsches KI-Unternehmen, das souveräne KI-Sprachmodelle für Unternehmen und öffentliche Hand anbietet – speziell mit Fokus auf DSGVO-Konformität und europäische Datensouveränität.
Microsoft Azure (EU-Region) ermöglicht den Betrieb von KI-Diensten in europäischen Rechenzentren mit EU-Datenboundary.
Der EU AI Act: Was kommt auf KMU zu?
Neben der DSGVO tritt der EU AI Act schrittweise in Kraft (vollständig ab August 2026). Er klassifiziert KI-Systeme nach Risikostufen:
- Verbotene KI: Soziale Bewertungssysteme, manipulative KI (seit Februar 2025 verboten)
- Hochrisiko-KI: KI in Personalbeschaffung, Bildung, kritischer Infrastruktur – strenge Dokumentations- und Prüfpflichten
- Standard-KI: Grundlegende Transparenzpflichten
- Minimales Risiko: Kaum Einschränkungen (z. B. KI-Spamfilter)
Für die meisten KMU, die KI für interne Prozesse wie Textverarbeitung, Übersetzung oder Datenanalyse nutzen, fallen die Anforderungen moderat aus. Wer aber KI zur Personalentscheidung einsetzt, muss sich vorbereiten.
Praktische Checkliste: Datenschutzkonforme KI-Einführung
Bevor du KI-Tools im Betrieb einsetzt, diese Punkte prüfen:
Schritt 1: Datenkategorien identifizieren
- Welche Daten fließen in die KI?
- Sind personenbezogene Daten enthalten?
- Handelt es sich um besondere Kategorien (Gesundheit, etc.)?
Schritt 2: Rechtsgrundlage klären
- Welche Rechtsgrundlage gilt für die Verarbeitung?
- Ist eine Einwilligung nötig oder reicht ein berechtigtes Interesse?
Schritt 3: Anbieter prüfen
- Wo werden die Daten verarbeitet (EU oder Drittland)?
- Gibt es einen AVV mit dem Anbieter?
- Sind Standardvertragsklauseln vorhanden?
Schritt 4: DSFA prüfen
- Ist eine Datenschutz-Folgenabschätzung erforderlich?
- Falls ja: Vor dem Einsatz durchführen und dokumentieren.
Schritt 5: Technische Maßnahmen
- Pseudonymisierung oder Anonymisierung der Eingabedaten
- Zugriffskontrollen für das KI-System
- Löschkonzept für verarbeitete Daten
Schritt 6: Verfahrensverzeichnis aktualisieren
- KI-Verarbeitung ins Verarbeitungsverzeichnis aufnehmen
- Datenschutzbeauftragten informieren (falls vorhanden)
Praktische Beispiele
Textverarbeitung und Zusammenfassungen: Ein Betrieb nutzt ein lokales LLM, um interne Protokolle zusammenzufassen. Keine personenbezogenen Daten aus Kundenbeziehungen involviert – datenschutzrechtlich unkritisch.
Kundenanfragen-Vorfilterung: Ein Händler lässt KI eingehende Kundenanfragen klassifizieren. Die E-Mail-Inhalte werden pseudonymisiert (Name und E-Mail-Adresse entfernt) bevor sie ins Modell fließen. AVV mit EU-Cloudanbieter abgeschlossen.
Rechnungserkennung: KI erkennt und extrahiert Daten aus Lieferantenrechnungen. Rechnungsdaten sind keine personenbezogenen Daten (betreffen Unternehmen, nicht Personen). Datenschutzrechtlich unproblematisch.
Fazit
KI und DSGVO schließen sich nicht aus – aber die Einführung braucht Planung. Wer von Anfang an die richtigen Fragen stellt, die Datenflüsse versteht und auf europäische Anbieter oder technische Datenschutzmaßnahmen setzt, kann KI produktiv und rechtssicher nutzen.
Der häufigste Fehler: schnell ein Tool einführen, ohne darüber nachzudenken, welche Daten wohin fließen. Das lässt sich mit einer halben Stunde Analyse vermeiden.
"Datenschutz ist kein Hindernis für KI-Nutzung, sondern ein Qualitätsmerkmal. Wer seine Prozesse sauber aufstellt, kann KI vertrauenswürdig einsetzen – und das ist langfristig der wertvollere Ansatz." – Marc Böhler, Gründer infinitask.ai
