KI und Datenschutz: Was Unternehmen nach DSGVO beachten müssen

Künstliche IntelligenzUpdated: 22. October 2026

Sobald ein Unternehmen personenbezogene Daten in ein KI-System eingibt, gilt die DSGVO. Es braucht dann eine Rechtsgrundlage, muss die Datenmenge begrenzen, mit externen Anbietern einen Vertrag zur Auftragsverarbeitung schließen und prüfen, ob Daten in Länder außerhalb der EU fließen.

Dazu kommt der EU AI Act, der KI-Systeme nach ihrem Risiko einordnet. Dieser Artikel gibt einen Überblick. Er ersetzt keine Rechtsberatung, prüfen Sie konkrete Vorhaben im Einzelfall mit Ihrem Datenschutzbeauftragten oder einer Anwältin.

Welche DSGVO-Grundsätze bei KI gelten

Die DSGVO macht keine Ausnahme für KI. Wer personenbezogene Daten mit einem KI-Werkzeug verarbeitet, muss dieselben Grundsätze einhalten wie bei jeder anderen Software. Personenbezogen sind alle Angaben, die sich einer Person zuordnen lassen, etwa Namen, E-Mail-Adressen, Kundennummern oder Inhalte aus Bewerbungen.

• Rechtsgrundlage: Für jede Verarbeitung braucht es eine Grundlage, zum Beispiel einen Vertrag, eine gesetzliche Pflicht, ein berechtigtes Interesse oder eine Einwilligung.
• Zweckbindung: Daten, die für einen bestimmten Zweck erhoben wurden, dürfen nicht ohne Weiteres für andere Zwecke genutzt werden.
• Datenminimierung: Geben Sie nur die Daten ein, die für die Aufgabe nötig sind. Oft lassen sich Namen vorher entfernen oder ersetzen.
• Transparenz: Betroffene müssen erfahren können, dass und wie ihre Daten verarbeitet werden, etwa über die Datenschutzerklärung.
• Risikoabschätzung: Bei Verarbeitungen mit hohem Risiko für Betroffene kann eine Datenschutz-Folgenabschätzung nötig sein.

Auftragsverarbeitung und Drittlandtransfer bei KI-Diensten

Nutzt ein Unternehmen einen externen KI-Dienst, verarbeitet der Anbieter die Daten in dessen Auftrag. Dafür ist ein Vertrag zur Auftragsverarbeitung (AVV) nötig. Er regelt, was der Anbieter mit den Daten tun darf und welche Schutzmaßnahmen er trifft. Kostenlose Verbraucherversionen vieler KI-Dienste bieten keinen solchen Vertrag.

Wichtig ist auch die Frage, ob eingegebene Daten zum Training der Modelle verwendet werden. Das regeln die Vertragsbedingungen des Anbieters, und sie unterscheiden sich zwischen Verbraucher- und Unternehmensversionen.

Werden Daten in Länder außerhalb der EU und des EWR übermittelt, spricht man von Drittlandtransfer. Er ist nur unter bestimmten Bedingungen erlaubt, etwa auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission oder mit Standardvertragsklauseln. Für die USA gibt es das EU-US Data Privacy Framework, das für zertifizierte Unternehmen gilt. Wer Daten in Deutschland oder Österreich verarbeiten lässt, vermeidet diese Fragen.

Schatten-KI und KI-Richtlinie: Wenn Mitarbeiter private KI-Tools nutzen

Schatten-KI bedeutet, dass Beschäftigte KI-Werkzeuge ohne Wissen oder Freigabe des Unternehmens verwenden, oft mit privaten Konten. Das passiert meist aus gutem Willen: Jemand will schneller eine E-Mail formulieren oder ein Protokoll zusammenfassen.

Das Problem: Kundendaten, Vertragsinhalte oder Interna landen dann bei einem Anbieter, mit dem das Unternehmen keinen Vertrag hat. Das Unternehmen weiß nicht, wo die Daten gespeichert werden und ob sie zum Training genutzt werden. Ein reines Verbot hilft selten. Wirksamer ist es, ein geprüftes KI-Werkzeug bereitzustellen und klare Regeln aufzustellen.

Eine KI-Richtlinie legt fest, welche KI-Werkzeuge erlaubt sind und wie Beschäftigte sie nutzen dürfen. Sie sollte kurz und verständlich sein, damit sie im Alltag tatsächlich gelesen wird. Gibt es einen Betriebsrat, ist er frühzeitig einzubeziehen. In eine solche Richtlinie gehören vor allem diese Punkte:

• Welche KI-Dienste freigegeben sind und mit welchem Konto sie genutzt werden.
• Welche Daten nicht eingegeben werden dürfen, etwa personenbezogene Daten von Kunden, Gesundheitsdaten oder Geschäftsgeheimnisse.
• Dass Ergebnisse vor der Verwendung von einem Menschen geprüft werden.
• Wer bei Fragen zuständig ist und wie neue Werkzeuge zur Freigabe angefragt werden.

Der EU AI Act in Grundzügen

Der EU AI Act ist eine europäische Verordnung, die KI-Systeme nach ihrem Risiko einstuft. Einige Anwendungen sind verboten, etwa bestimmte Formen des Social Scoring. Für Hochrisiko-Systeme, zum Beispiel in Teilen der Personalauswahl, gelten strenge Pflichten. Für viele alltägliche Anwendungen gelten vor allem Transparenzpflichten: Menschen sollen erkennen können, dass sie mit einer KI sprechen oder dass Inhalte künstlich erzeugt wurden.

Außerdem enthält der AI Act Vorgaben zur KI-Kompetenz. Unternehmen, die KI einsetzen, sollen dafür sorgen, dass ihre Beschäftigten ausreichend über Funktionsweise, Chancen und Risiken Bescheid wissen. Unabhängig von den Details sind Schulungen sinnvoll. Welche Pflichten für Ihr Unternehmen ab wann gelten, sollten Sie im Einzelfall rechtlich prüfen lassen.

So unterstützt S.WERK beim datenschutzkonformen KI-Einsatz

S.WERK betreibt Sprachmodelle auf eigener Hardware in den eigenen Rechenzentren in München, Nürnberg und Linz. Die Daten bleiben in Deutschland oder Österreich, Kundendaten werden nicht zum Training verwendet. Wir helfen bei der Auswahl geeigneter KI-Werkzeuge und bei der technischen Umsetzung. Die rechtliche Bewertung bleibt bei Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung.

Mehr dazu: Souveräne KI im eigenen Rechenzentrum · KI-Beratung · Termin vereinbaren

Häufige Fragen