Wenn der Datenschutzbeauftragte nicht mehr hinterherkommt
Mehr als 6.000 Datenschutzbeschwerden in einem einzigen Bundesland in einem einzigen Jahr – das ist das ernüchternde Fazit des hessischen Datenschutzbeauftragten für 2025. KI-Chatbots wie ChatGPT spielen dabei eine wachsende Rolle: Nutzer beschweren sich über Daten, die KI-Systeme falsch gespeichert oder unerlaubt weitergegeben haben. Andere melden Arbeitgeber, weil sie vermuten, dass ihre persönlichen Informationen in betriebliche KI-Workflows gelangt sind.
Das klingt zunächst nach einem Problem für Tech-Konzerne und Datenschutzkanzleien. Für Geschäftsführer von KMU mit 50 bis 200 Mitarbeitenden ist es das aber genauso – vielleicht sogar mehr.
Denn während Großkonzerne eigene Compliance-Teams und vollständig verhandelte Enterprise-KI-Verträge haben, läuft in vielen mittelständischen Betrieben Folgendes ab: Ein Vertriebsmitarbeiter kopiert Kundendaten in die kostenlose ChatGPT-Version, um schneller ein Angebot zu formulieren. Die Buchhalterin nutzt ein KI-Tool, um einen Kontoauszug zusammenzufassen. Der Marketingleiter bittet die KI um Feedback auf einen Text – inklusive Kundennamen und Projektdetails. Keiner hält das für ein Problem. Bis es eines wird.
Was KMU konkret riskieren
Unter der DSGVO gilt jede Information, die sich auf eine identifizierbare Person bezieht, als personenbezogenes Datum. Das schließt Kundennamen, E-Mail-Adressen, Auftragswerte und Gesundheitsdaten von Mitarbeitenden genauso ein wie IP-Adressen in Systemprotokollen.
Wer solche Daten an externe KI-Dienste übermittelt – also an Server von OpenAI, Google oder ähnlichen Anbietern –, muss zwei Dinge sichergestellt haben:
- Einen Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter, der klar regelt, was mit den Daten passiert.
- Eine gültige Rechtsgrundlage für die Übermittlung – in der Regel entweder eine Einwilligung der betroffenen Personen oder ein berechtigtes Interesse, das deren Datenschutzinteressen nicht überwiegt.
Die kostenlose ChatGPT-Version erfüllt diese Anforderungen nicht standardmäßig. OpenAIs kostenlose Pläne erlauben es dem Unternehmen, Konversationsdaten für das Modelltraining zu verwenden – es sei denn, man deaktiviert das explizit. Und selbst dann: Ein AVV nach DSGVO-Standard existiert für die Free-Tier-Nutzung faktisch nicht.
Das Bußgeldrisiko? Bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes – je nachdem, was höher ist. Für ein mittelständisches Unternehmen mit 10 Millionen Euro Umsatz wären das bis zu 400.000 Euro. Hinzu kommen mögliche Schadensersatzklagen betroffener Kunden oder Mitarbeitender.
"Die meisten KMU-Chefs glauben, das DSGVO-Thema sei erledigt, weil sie 2018 einen Datenschutzbeauftragten benannt und ein paar Formulare angepasst haben. KI beginnt das Thema von vorne – und diesmal gehen die Risiken tiefer in die operative Nutzung." – Marc Böhler, Gründer infinitask.ai
Die vier häufigsten Fehler beim KI-Einsatz im Mittelstand
Eine Übersicht über das, was in der Praxis am häufigsten schiefläuft:
| Fehler | Warum problematisch | Lösung |
|---|---|---|
| Kundendaten in kostenlose KI-Tools einfügen | Kein AVV, mögliches Training auf echten Kundendaten | Enterprise-Plan oder lokale KI nutzen |
| Kein internes KI-Nutzungsreglement | Mitarbeitende entscheiden selbst, was sie eintippen | Klare Richtlinie in 1–2 Seiten erstellen |
| KI-Ergebnisse ohne Prüfung weiterleiten | Halluzinationen und fehlerhafte Daten werden als Fakt behandelt | Vier-Augen-Prinzip für kritische Outputs |
| Keine Dokumentation der genutzten KI-Tools | Datenschutzbehörde fragt im Ernstfall nach einem vollständigen Tool-Inventar | Nutzungsliste führen und aktuell halten |
Was du als Geschäftsführer jetzt konkret tun kannst
Die gute Nachricht: KI-konformer Datenschutz ist kein Mammutprojekt. Es braucht keine neue IT-Abteilung und keinen sechsstelligen Beratungsauftrag. Fünf Maßnahmen, die sofort wirken:
-
Inventar erstellen: Welche KI-Tools nutzt dein Team heute – offiziell und inoffiziell? Bitte die Abteilungsleiter um eine ehrliche Liste. Die meisten Geschäftsführer sind überrascht, wie viele Tools bereits im Einsatz sind.
-
Kostenlose gegen Enterprise-Pläne tauschen: ChatGPT Enterprise, Microsoft Copilot for Business und Google Workspace AI verfügen über AVV-konforme Verträge und deaktivieren standardmäßig das Training auf Nutzerdaten. Der monatliche Aufpreis ist überschaubar – das Haftungsrisiko, das damit wegfällt, ist es nicht.
-
Eine KI-Nutzungsrichtlinie einführen: Zwei Seiten, klare Sprache. Was darf in KI-Tools eingegeben werden? Was nicht? Eine praktische Faustregel: Nichts, was du nicht auch unverschlüsselt per E-Mail an einen externen Dienstleister schicken würdest. Diese Richtlinie schützt nicht nur vor DSGVO-Bußgeldern, sondern auch vor persönlicher Haftung als Geschäftsführer.
-
Europäische Alternativen für sensible Prozesse prüfen: Mistral AI und Aleph Alpha bieten leistungsfähige KI-Modelle unter europäischem Datenschutzrecht. Für HR, Finanzen und rechtliche Prozesse lohnt ein genauer Blick – gerade dort, wo besonders sensible Daten verarbeitet werden.
-
Den Datenschutzbeauftragten einbeziehen: Interne oder externe DSBs sind oft nicht über den tatsächlichen KI-Einsatz im Unternehmen informiert. Ein einstündiges Meeting schafft Klarheit und schützt auch dich persönlich – denn die Verantwortung liegt bei der Leitungsebene, nicht in der IT-Abteilung.
Die 6.000 Beschwerden in Hessen sind keine Warnung vor KI als solcher. KI bleibt ein echter Produktivitätshebel – auch und gerade im Mittelstand. Sie sind ein Signal, dass ungeregelter KI-Einsatz ein reales und wachsendes rechtliches Risiko aufbaut. Mit den richtigen Schritten lässt sich das schnell und ohne großen Aufwand begrenzen.
Wenn du wissen möchtest, welche KI-Einsatzszenarien in deinem Betrieb datenschutzkonform möglich sind und wo die größten Hebel liegen, kannst du das direkt im kostenlosen Potenzial-Check klären: → Jetzt kostenlosen Potenzial-Check starten
