KI und Datenschutz
Künstliche Intelligenz DSGVO-konform einsetzen — die Fragen, die vor dem ersten Projekt geklärt sein müssen.
Die DSGVO kennt den Begriff „künstliche Intelligenz" nicht — sie gilt schlicht immer dann, wenn personenbezogene Daten verarbeitet werden. Und das ist bei KI im Unternehmen fast immer der Fall: Kundennamen in Angeboten, Absender in E-Mails, Mitarbeiterdaten in Dokumenten.
Die gute Nachricht: Es sind dieselben Grundsätze wie bei jeder anderen Software. Die schlechte: Bei KI fallen sie stärker ins Gewicht, weil Daten oft an externe Anbieter außerhalb der EU fließen.
Die fünf Fragen, die vor jedem KI-Projekt zu klären sind
- Werden überhaupt personenbezogene Daten verarbeitet? Oft lässt sich das vermeiden — etwa indem Namen vor der Verarbeitung entfernt werden. Dann entfällt ein Großteil der Pflichten.
- Auf welcher Rechtsgrundlage? Meist berechtigtes Interesse (Art. 6 Abs. 1 lit. f) oder Vertragserfüllung (lit. b). Bei Beschäftigtendaten gelten zusätzlich § 26 BDSG und häufig Mitbestimmungsrechte des Betriebsrats.
- Wo werden die Daten verarbeitet? Verlassen sie die EU, braucht es eine Grundlage nach Art. 44 ff. DSGVO. Bleibt die Verarbeitung im Haus, entfällt diese Frage vollständig.
- Braucht es eine Datenschutz-Folgenabschätzung? Nach Art. 35 DSGVO bei voraussichtlich hohem Risiko — bei umfangreicher Auswertung von Beschäftigtendaten etwa regelmäßig.
- Entscheidet die KI allein über Menschen? Dann greift Art. 22 DSGVO, der automatisierte Einzelfallentscheidungen mit erheblicher Auswirkung grundsätzlich untersagt. Deshalb ist die menschliche Freigabe nicht nur guter Stil, sondern oft Voraussetzung.
ChatGPT & Co. im Unternehmen — was zu beachten ist
Die häufigste Praxis im Mittelstand ist zugleich die riskanteste: Mitarbeiter nutzen private Accounts öffentlicher KI-Dienste für dienstliche Aufgaben. Damit verlassen Kundendaten, Kalkulationen und Verträge unkontrolliert das Unternehmen — ohne Auftragsverarbeitungsvertrag, ohne Übersicht, ohne Löschkonzept.
Drei Wege führen aus dieser Lage:
- Geschäftskunden-Tarife mit AV-Vertrag — die Anbieter bieten Varianten, bei denen Eingaben nicht zum Training verwendet werden und ein Auftragsverarbeitungsvertrag zustande kommt. Das Drittlandthema bleibt.
- Europäische Anbieter oder EU-Hosting — reduziert die Drittlandfrage, erfordert aber weiterhin AV-Vertrag und Prüfung.
- Eigener KI-Server im Haus — die Daten verlassen das Unternehmen nicht. Die datenschutzrechtlich sauberste Variante, weil die schwierigste Frage — die Drittlandübermittlung — gar nicht erst entsteht.
Unabhängig vom Weg gehört eine schriftliche Nutzungsregel dazu: Was darf eingegeben werden, was nicht. Ohne sie ist jede technische Lösung nur die halbe Miete.
Warum lokale Modelle die Sache erheblich vereinfachen
Der aufwendigste Teil der DSGVO-Prüfung bei KI betrifft fast immer den Transfer in Drittländer: Standardvertragsklauseln, Transfer Impact Assessment, Nachweise über das Schutzniveau. Bei einer Verarbeitung, die das eigene Rechenzentrum nicht verlässt, entfällt dieser gesamte Block.
Was bleibt, sind die Grundpflichten, die für jede Software gelten: Verzeichnis der Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Löschkonzept, Betroffenenrechte. Das ist beherrschbar — und Ihr Datenschutzbeauftragter kennt es bereits.
Deshalb ist mein technischer Standardvorschlag bei sensiblen Daten der eigene Server. Nicht aus Prinzip, sondern weil es den Prüfaufwand real senkt.
Häufige Fragen
Ist ChatGPT DSGVO-konform?
Pauschal lässt sich das nicht beantworten — es hängt vom Tarif, den eingegebenen Daten und Ihrer Ausgestaltung ab. Für dienstliche Nutzung brauchen Sie mindestens einen Auftragsverarbeitungsvertrag, eine Grundlage für die Drittlandübermittlung und eine Regelung, welche Daten eingegeben werden dürfen. Private Accounts für dienstliche Zwecke sind praktisch nie zulässig.
Dürfen wir Kundendaten in eine KI eingeben?
Grundsätzlich ja, wenn eine Rechtsgrundlage vorliegt, die Verarbeitung dokumentiert ist und der Anbieter vertraglich gebunden ist. Bei besonderen Kategorien nach Art. 9 DSGVO — etwa Gesundheitsdaten — sind die Hürden deutlich höher. Im Zweifel: Daten vorher pseudonymisieren.
Brauchen wir eine Datenschutz-Folgenabschätzung für KI?
Nicht automatisch. Nach Art. 35 DSGVO ist sie bei voraussichtlich hohem Risiko erforderlich — etwa bei systematischer Auswertung von Beschäftigtendaten oder umfangreicher Profilbildung. Bei einem Agenten, der Angebote aus Ihrem ERP entwirft, ist das in der Regel nicht der Fall.
Muss der Betriebsrat beteiligt werden?
Sobald ein System geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen, greift regelmäßig das Mitbestimmungsrecht nach § 87 BetrVG — auch wenn die Überwachung gar nicht beabsichtigt ist. Frühzeitig einbinden erspart erfahrungsgemäß viel Ärger.
Was ist der einfachste Weg zu datenschutzkonformer KI?
Die Verarbeitung im Haus zu behalten. Damit entfällt die komplizierteste Frage — die Drittlandübermittlung — vollständig, und es bleiben die Pflichten, die für jede Software ohnehin gelten.
Verwandte Leistungen
Eigener KI-Server
DSGVO-konform auf Ihrer Infrastruktur
EU AI Act
Fristen, Risikoklassen, Pflichten
Verbote & Bußgelder
Was untersagt ist und was es kostet
Verantwortungsvolle KI
Ihr eigenes, DSGVO-konformes LLM
30 Minuten, kostenfrei, ohne Verkaufsdruck
Wir schauen uns Ihren Prozess an und klären, ob sich KI dafür überhaupt lohnt. Wenn nicht, sage ich das.