KI und Datenschutz: Was vor dem Start zu klären ist.

Warum Datenschutz am Anfang steht

Für Unternehmen, die KI bereits einsetzen, ist Datenschutz die größte Hürde: In einer Bitkom-Befragung von 603 Unternehmen aus dem September 2026 nennen 66 Prozent der KI-Anwender die Anforderungen an den Datenschutz als Hemmnis, 56 Prozent rechtliche Unsicherheit und 45 Prozent die Sorge, dass Unternehmensdaten in falsche Hände gelangen.

Die meisten Anforderungen lassen sich bei der Planung berücksichtigen, ohne das Vorhaben auszubremsen. Teuer wird es, wenn ein fertiges System nachträglich umgebaut werden muss. Zwei Regelwerke sind zu unterscheiden: Die Datenschutz-Grundverordnung (DSGVO) gilt immer, wenn personenbezogene Daten verarbeitet werden. Die KI-Verordnung regelt KI-Systeme selbst – unabhängig davon, ob Personendaten im Spiel sind.

1. Welche Daten verarbeitet werden

Am Anfang steht eine Bestandsaufnahme: Welche Daten fließen in das KI-System, welche entstehen dort, und wohin gehen die Ergebnisse? Entscheidend ist, ob personenbezogene Daten betroffen sind – also alle Angaben, die sich einer Person zuordnen lassen, vom Namen über die E-Mail-Adresse bis zur Gesprächsnotiz.

• Datenminimierung: nur die Angaben verarbeiten, die für die Aufgabe tatsächlich nötig sind.
• Pseudonymisieren oder anonymisieren: Namen und Kennungen vor der Verarbeitung entfernen oder ersetzen, wo das Ergebnis sie nicht braucht.
• Besondere Kategorien beachten: Gesundheitsdaten, Angaben zu Religion oder Gewerkschaftszugehörigkeit und biometrische Daten unterliegen nach Artikel 9 DSGVO strengeren Regeln.

2. Zweck und Rechtsgrundlage

Jede Verarbeitung personenbezogener Daten braucht einen festgelegten Zweck und eine Rechtsgrundlage nach Artikel 6 DSGVO – etwa die Erfüllung eines Vertrags, ein berechtigtes Interesse oder eine Einwilligung. Wichtig ist die Zweckbindung: Daten, die für die Bearbeitung einer Anfrage erhoben wurden, dürfen nicht ohne Weiteres für andere Zwecke genutzt werden, etwa zum Training eines Modells.

3. Anbieter und Auftragsverarbeitung

Die meisten KI-Anwendungen laufen über externe Anbieter. Verarbeitet ein Anbieter personenbezogene Daten im Auftrag, ist nach Artikel 28 DSGVO ein Vertrag zur Auftragsverarbeitung nötig. Vor der Auswahl sind außerdem zu prüfen:

• Verwendung der Eingaben: Nutzt der Anbieter die übermittelten Daten zum Training eigener Modelle? Angebote für Geschäftskunden schließen das häufig aus – das sollte vertraglich festgehalten sein.
• Speicherort und Übermittlung: Werden Daten außerhalb der EU verarbeitet, braucht es eine Grundlage für die Übermittlung, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln.
• Speicherdauer: Wie lange bleiben Eingaben und Ergebnisse beim Anbieter gespeichert, und lassen sie sich löschen?
• Unterauftragnehmer: Welche weiteren Dienstleister sind an der Verarbeitung beteiligt?

4. Risiko einschätzen: die Datenschutz-Folgenabschätzung

Hat eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der betroffenen Personen, verlangt Artikel 35 DSGVO vorab eine Datenschutz-Folgenabschätzung. Das gilt insbesondere bei systematischer Bewertung persönlicher Aspekte, bei umfangreicher Verarbeitung besonderer Datenkategorien oder bei der systematischen Überwachung öffentlich zugänglicher Bereiche. Die Verwendung neuer Technologien nennt die Vorschrift ausdrücklich als Anhaltspunkt. Auch wenn keine Pflicht besteht, lohnt eine kurze, dokumentierte Risikoabwägung.

5. Automatisierte Entscheidungen begrenzen

Artikel 22 DSGVO gibt Menschen das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Das betrifft etwa die Auswahl von Bewerbern, die Vergabe von Krediten oder die Ablehnung von Verträgen. Ausnahmen sind eng begrenzt.

In der Praxis bewährt sich eine klare Aufgabenteilung: Die KI bereitet vor, sortiert und begründet – die Entscheidung trifft ein Mensch, der die Vorlage tatsächlich prüft und von ihr abweichen kann. Eine bloße Bestätigung per Klick genügt dafür nicht.

6. Transparenz gegenüber Betroffenen

Wer personenbezogene Daten verarbeitet, muss die Betroffenen nach Artikel 13 und 14 DSGVO informieren – die Datenschutzerklärung ist also anzupassen, sobald KI-Dienste hinzukommen. Zusätzlich verlangt Artikel 50 der KI-Verordnung seit dem 2. August 2026, dass Menschen erkennen können, wenn sie mit einem KI-System interagieren, etwa mit einem Assistenten im Kundenservice. Künstlich erzeugte oder veränderte Bilder, Videos und Tonaufnahmen, die echt wirken, sind als solche offenzulegen.

7. KI-Kompetenz im Unternehmen

Artikel 4 der KI-Verordnung verpflichtet Unternehmen, die KI-Systeme einsetzen, Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten zu ergreifen. Mit der Änderungsverordnung (EU) 2026/1744 wurde diese Pflicht im Juli 2026 abgeschwächt, sie besteht aber fort. Laut Bitkom schulen inzwischen 70 Prozent der Unternehmen ihre Beschäftigten im Umgang mit KI.

Unabhängig von der Rechtslage hat sich eine kurze interne Richtlinie bewährt: Welche KI-Dienste sind freigegeben, welche Daten dürfen eingegeben werden, und wer ist bei Fragen ansprechbar?

8. Technische und organisatorische Maßnahmen

Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Für KI-Anwendungen heißt das vor allem:

• Zugriffsrechte: Das System und seine Nutzer sehen nur die Daten, die sie für ihre Aufgabe brauchen.
• Protokollierung: Eingaben, Entscheidungen und Ergebnisse werden nachvollziehbar festgehalten.
• Löschfristen: Eingaben und Zwischenergebnisse werden nicht länger gespeichert als nötig.
• Verschlüsselung: Daten sind bei der Übertragung und bei der Speicherung geschützt.

Checkliste vor dem Start

1. Welche personenbezogenen Daten werden verarbeitet – und lassen sie sich reduzieren oder pseudonymisieren?
2. Für welchen Zweck und auf welcher Rechtsgrundlage?
3. Ist ein Vertrag zur Auftragsverarbeitung mit dem Anbieter geschlossen?
4. Werden Daten außerhalb der EU verarbeitet, und ist die Übermittlung abgesichert?
5. Nutzt der Anbieter die Eingaben zum Training – und ist das vertraglich ausgeschlossen?
6. Ist eine Datenschutz-Folgenabschätzung erforderlich?
7. Trifft das System Entscheidungen mit erheblicher Wirkung auf Personen – und prüft ein Mensch?
8. Sind Datenschutzerklärung und KI-Hinweise angepasst?
9. Gibt es eine interne Richtlinie und Schulungen zum Umgang mit KI?
10. Sind Zugriffsrechte, Protokolle und Löschfristen festgelegt?

Fazit

Datenschutz und KI schließen sich nicht aus. Wer Daten sparsam einsetzt, Anbieter sorgfältig auswählt, Entscheidungen beim Menschen lässt und offen informiert, erfüllt die wesentlichen Anforderungen – und schafft Vertrauen bei Kunden und Beschäftigten. Diese Punkte gehören deshalb von Anfang an in die Planung jeder KI-Automatisierung und jedes KI-Agenten. Welche Bauform für welche Aufgabe passt, zeigt der Beitrag KI-Agent oder Automatisierung.

Quellen

• Datenschutz-Grundverordnung, Artikel 22
• Datenschutz-Grundverordnung, Artikel 28
• Datenschutz-Grundverordnung, Artikel 35
• Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz (Mai 2024)
• Verordnung (EU) 2024/1689 über künstliche Intelligenz, Artikel 4
• Verordnung (EU) 2024/1689 über künstliche Intelligenz, Artikel 50
• activemind.legal: Änderungen der KI-Verordnung durch den Digitalen Omnibus
• Bitkom: Erstmals nutzt die Mehrheit der Unternehmen KI (14. September 2026)