Die DSGVO verbietet den Einsatz von KI nicht – sie stellt Bedingungen. Sobald du personenbezogene Daten in ein KI-System gibst, brauchst du eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag mit dem Anbieter und eine klare Regelung, wohin die Daten fließen.
Der entscheidende erste Schritt: Sind überhaupt personenbezogene Daten im Spiel?
Bevor du irgendetwas anderes prüfst, kläre diese Frage – sie entscheidet über den gesamten Aufwand. Wenn du dir eine Marketing-Überschrift texten oder eine allgemeine Erklärung schreiben lässt, ist die DSGVO schlicht nicht anwendbar. Kein Vertrag, keine Dokumentation, keine Prüfung.
Personenbezug entsteht erst, wenn sich Angaben auf eine identifizierbare Person beziehen. Und zwar auch dann, wenn der Name fehlt: „Der Vertriebsmitarbeiter für Region Nord” ist in einem Zehn-Personen-Betrieb eindeutig identifizierbar. Achtung auch bei Dokument-Uploads – in Dateien stecken oft Metadaten und Kommentare, an die niemand denkt.
Die praktische Konsequenz: Der mit Abstand günstigste Weg zur Rechtskonformität ist, personenbezogene Daten gar nicht erst hineinzugeben. Anonymisiere, wo es geht.
Die vier Pflichten, wenn doch Personenbezug besteht
1. Rechtsgrundlage
Jede Verarbeitung braucht einen Grund nach Art. 6 DSGVO. In der Praxis kommen drei infrage: die Vertragserfüllung (du bearbeitest eine Kundenanfrage), das berechtigte Interesse (interne Prozessoptimierung, mit dokumentierter Abwägung) oder die Einwilligung. Bei Beschäftigtendaten ist die Einwilligung wegen des Abhängigkeitsverhältnisses heikel – verlass dich dort besser nicht darauf.
2. Auftragsverarbeitungsvertrag
Der KI-Anbieter verarbeitet in deinem Auftrag – dafür brauchst du einen AV-Vertrag nach Art. 28 DSGVO. Die großen Anbieter stellen ihn bereit, aber meist nur in den Geschäftstarifen und oft erst nach aktiver Zustimmung im Kontobereich. Ein privates Konto, das ein Mitarbeiter nebenbei nutzt, hat keinen AV-Vertrag. Das ist in der Praxis der häufigste Verstoß überhaupt.
3. Drittlandtransfer
Die meisten großen Modelle laufen auf Servern außerhalb der EU. Das ist zulässig, wenn ein gültiger Übermittlungsmechanismus greift – Angemessenheitsbeschluss oder Standardvertragsklauseln. Manche Anbieter bieten inzwischen EU-Regionen an; wenn das für dich verfügbar ist, nimm es, es spart dir die gesamte Prüfung.
4. Transparenz und Verzeichnis
Der KI-Einsatz gehört ins Verarbeitungsverzeichnis und in die Datenschutzerklärung. Bei umfangreicher oder sensibler Verarbeitung kommt eine Datenschutz-Folgenabschätzung hinzu – etwa bei Bewerbervorauswahl oder bei der Auswertung von Gesundheitsdaten.
Der blinde Fleck: Schatten-KI
Das größte reale Risiko ist selten die offiziell eingeführte Lösung. Es sind die privaten Konten, mit denen Mitarbeiter still und leise Kundenmails umformulieren, weil es eben schneller geht. Diese Nutzung ist unsichtbar, ungeregelt und findet trotzdem statt.
Ein Verbot löst das Problem nicht, es verschiebt es nur weiter in den Untergrund. Wirksamer ist die Kombination aus einem freigegebenen Werkzeug, das gut genug ist, und einer kurzen, verständlichen Richtlinie: welches Tool erlaubt ist, welche Daten nie hineingehören, und dass jedes Ergebnis vor Verwendung geprüft wird.
Wenn nichts davon praktikabel ist
In besonders sensiblen Branchen – Heilberufe, Rechtsberatung, Steuerberatung – kommt zur DSGVO noch die berufsrechtliche Schweigepflicht hinzu. Sie ist strenger und lässt sich nicht durch einen AV-Vertrag auflösen. Dort bleibt oft nur der Betrieb eines Modells auf eigener Hardware; siehe dazu Open-Source-KI.
Dieser Beitrag ersetzt keine Rechtsberatung. Er zeigt die Struktur der Anforderungen, damit du weißt, welche Fragen du klären musst.