KI und Datenschutz: So setzen Sie KI DSGVO-konform ein

Wer KI im Betrieb einsetzt, stellt sich schnell die Frage, was er den Systemen anvertrauen darf. Die Antwort ist selten ein klares Ja oder Nein. Sie hängt davon ab, welche Daten verarbeitet werden, wer sie verarbeitet und wohin sie fließen. Dieser Beitrag nennt die Pflichten mit Quelle und benennt die Punkte, die vor dem Start zu prüfen sind. Außerdem sagt er offen, was wir nicht beantworten können.

Dieser Beitrag erklärt den Rechtsstand und ersetzt keine Rechtsberatung. Stand: 13.10.2026. Ein Teil der Aussagen ist eine Stellungnahme von Aufsichtsbehörden und keine Rechtsnorm. Diese Stellen sind im Text als solche gekennzeichnet.

Gilt die DSGVO für den Einsatz von KI?

Sie gilt, sobald personenbezogene Daten verarbeitet werden. Nach Artikel 2 Absatz 1 gilt die DSGVO für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten. Personenbezogene Daten sind nach Artikel 4 Nummer 1 alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Wer einem KI-Dienst einen Kundennamen, eine E-Mail mit Absender oder eine Rechnung mit Adresse übergibt, verarbeitet personenbezogene Daten.

Der Europäische Datenschutzausschuss (EDSA) hat sich in seiner Stellungnahme 28/2024 vom 18. Dezember 2024 mit KI-Modellen befasst. Er stellt fest, dass mit personenbezogenen Daten trainierte KI-Modelle nicht in allen Fällen anonym sind. Das ist im Einzelfall zu prüfen. Das ist eine Stellungnahme der Aufsichtsbehörden und keine Rechtsnorm.

Zur Einordnung: Die EU-Kommission hat im November 2025 Änderungen an den Datenschutzregeln vorgeschlagen (Verfahren 2025/0360(COD), Digital Omnibus). Diese Änderungen sind am 13. Oktober 2026 nicht beschlossen. Der Teil des Pakets zur KI-Verordnung wurde dagegen vorab verabschiedet. Was hier als geltendes Recht steht, gilt unverändert.

Was ist beim Einsatz von KI-Diensten zu klären?

Für jede Verarbeitung braucht es eine Rechtsgrundlage nach Artikel 6 DSGVO. Eine mögliche Grundlage ist das berechtigte Interesse: Die Verarbeitung ist zulässig, wenn sie zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich ist und die Interessen oder Grundrechte der betroffenen Person nicht überwiegen (Artikel 6 Absatz 1 Buchstabe f).

Der EDSA kommt in derselben Stellungnahme zu zwei Ergebnissen, die für den Betrieb wichtig sind:

• Berechtigtes Interesse kann eine Rechtsgrundlage für Entwicklung und Einsatz von KI-Modellen sein. Geprüft wird in drei Schritten: Gibt es ein berechtigtes Interesse? Ist die Verarbeitung dafür erforderlich? Überwiegen die Interessen der Betroffenen nicht?
• Zwischen den Rechtsgrundlagen der DSGVO gibt es keine Rangfolge.

Außerdem weist der EDSA darauf hin, dass die Aufsichtsbehörde beim Einsatz eines Modells prüfen kann, ob das Modell rechtswidrig mit personenbezogenen Daten entwickelt wurde. Das kann Folgen für den späteren Betrieb haben. Für Sie heißt das: Fragen Sie den Anbieter, woher sein Modell stammt, wenn Sie einen Dienst auswählen.

Neben der Rechtsgrundlage gehören zwei Fragen in jede Vorbereitung. Wofür genau wollen Sie die KI einsetzen? Welche Daten braucht sie dafür tatsächlich? Unsere Empfehlung lautet, nur die Daten einzugeben, die für die Aufgabe nötig sind. Das ist eine praktische Vorsicht, die das Risiko klein hält. Die Auswahl der Dienste ist dabei ebenso wichtig wie die Eingabe: Nach Artikel 28 Absatz 1 DSGVO dürfen Verantwortliche nur mit Auftragsverarbeitern arbeiten, die hinreichend Garantien bieten.

Was ist ein Auftragsverarbeitungsvertrag und wann brauchen Sie ihn?

Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, braucht es nach Artikel 28 Absatz 3 DSGVO einen Vertrag oder ein anderes Rechtsinstrument. Dieser Auftragsverarbeitungsvertrag (AVV) bindet den Dienstleister. Er verarbeitet die personenbezogenen Daten nur auf Ihre dokumentierte Weisung, auch in Bezug auf die Übermittlung in ein Drittland.

Der Vertrag muss nach Artikel 28 Absatz 3 Buchstaben b bis h unter anderem regeln:

Bei Konfektor Systeme schließen wir für jedes Projekt einen Auftragsverarbeitungsvertrag. Ob ein Auftragsverarbeitungsvertrag auch für einen Dienst nötig ist, den Sie selbst nutzen, klären Sie vor dem Einsatz.

Was gilt bei Diensten außerhalb der EU?

Die Übermittlung personenbezogener Daten in ein Drittland ist ohne besondere Genehmigung zulässig, wenn die Kommission beschlossen hat, dass das Land ein angemessenes Schutzniveau bietet (Artikel 45 Absatz 1 DSGVO). Für Empfänger in den USA, die nach dem EU-US Data Privacy Framework zertifiziert sind, gilt der Angemessenheitsbeschluss der Kommission vom 10. Juli 2023. Prüfen Sie die Zertifizierung des Anbieters deshalb vor dem Einsatz. Das Gericht der Europäischen Union hat die Nichtigkeitsklage gegen diesen Beschluss (T-553/23) am 3. September 2025 abgewiesen. Der Beschluss ist damit weiter wirksam.

Die Pressemitteilung des Gerichts weist ausdrücklich darauf hin, dass die Kommission den Beschluss laufend beobachtet. Sie kann ihn bei Änderungen der Rechtslage in den USA aussetzen, ändern oder aufheben. Ein Beschluss, der heute gilt, ist also kein Freibrief für alle Zeit.

Bei Konfektor Systeme stimmen wir uns mit Ihnen ab, bevor ein Dienst außerhalb der EU zum Einsatz kommt. Wir klären das also vorher gemeinsam mit Ihnen.

Wo liegen die Daten?

Fragen Sie jeden Dienstleister, wo Daten verarbeitet und gespeichert werden und ob Zugriffe aus Drittländern möglich sind. Die Antworten gehören in Ihre Dokumentation und in die Verträge. Ob und in welchem Umfang ein bestimmter Standort rechtlich verlangt ist, beantwortet dieser Beitrag nicht. Das klären Sie im Einzelfall mit Ihrem Datenschutzbeauftragten. Mehr zum Begriff im Glossar unter Hosting.

Der Standort ist nur eine von mehreren Fragen. Rechtsgrundlage, Vertrag und Zweck gehören ebenso in jede Prüfung.

Welche Prüfschritte stehen vor dem Start?

Die folgende Tabelle ist eine Checkliste für den Start. Sie ist eine Hilfe zur Selbstprüfung und kein Rechtsgutachten.

Zu Artikel 22: Betroffene haben nach Absatz 1 das Recht, keiner ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Ein Mensch, der das Ergebnis der KI prüft und freigibt, ist dabei die einfachste Sicherung.

Zu Artikel 35: Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, führt der Verantwortliche vorab eine Abschätzung der Folgen durch. Ob ein einzelner KI-Einsatz darunter fällt, ist Einzelfallfrage. Eine pauschale Aussage, dass KI immer eine Folgenabschätzung braucht, lässt sich nicht belegen.

Zu den Folgen eines Verstoßes: Artikel 83 sieht Geldbußen bis zu 20.000.000 Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Das gilt unter anderem bei Verstößen gegen die Grundsätze der Verarbeitung, gegen Betroffenenrechte und gegen die Regeln zur Drittlandübermittlung. Bei Verstößen unter anderem gegen Pflichten von Verantwortlichen und Auftragsverarbeitern gelten bis zu 10.000.000 Euro oder 2 Prozent.

Welche Regeln helfen im Alltag der Beschäftigten?

Die rechtliche Prüfung nützt wenig, wenn im Alltag jeder macht, was er für richtig hält. Eine kurze interne Regel schafft Klarheit. Die folgenden Punkte sind eine Empfehlung, keine gesetzliche Vorgabe:

• Beschäftigte nutzen nur freigegebene Werkzeuge und keine privaten Konten für dienstliche Aufgaben.
• Personenbezogene Daten, Verträge und vertrauliche Unterlagen gehören nur in Dienste, für die Rechtsgrundlage und Vertrag geklärt sind.
• Das Ergebnis einer KI prüft ein Mensch, bevor es den Betrieb verlässt.
• Wer unsicher ist, fragt vorher, statt nachträglich zu melden.
• Neue Werkzeuge werden erst nach der Prüfung nach der Checkliste eingeführt.

Eine solche Regel passt auf eine Seite. Sie ersetzt keine Datenschutzprüfung, sie verhindert aber eine typische Lücke: den Dienst, den niemand geprüft hat, weil ihn jemand einfach ausprobiert hat. Wie ein Betrieb daneben KI-Kompetenz aufbaut, erklärt der Beitrag zur KI-Verordnung und Schulungspflicht.

Wie hängen DSGVO und KI-Verordnung zusammen?

Die beiden Regelwerke haben unterschiedliche Gegenstände. Die DSGVO schützt personenbezogene Daten, die KI-Verordnung stellt Anforderungen an KI-Systeme. Sie können für denselben Einsatz gleichzeitig gelten. Die Pflichten der KI-Verordnung zur KI-Kompetenz (Artikel 4) erklärt der Beitrag zur KI-Verordnung und Schulungspflicht. Die Kennzeichnung gegenüber Personen (Artikel 50) behandelt der Beitrag zum KI Telefonassistenten. Für Agenten, die selbstständig mehrere Schritte ausführen, lesen Sie KI Agenten für Unternehmen.

Eine KI auf Ihren eigenen Dokumenten wirft zusätzliche Fragen auf, weil dort oft Kunden- und Mitarbeiterdaten liegen. Das System dahinter erklärt der Beitrag zum RAG System. Den Überblick über Einsatzfelder bietet der Beitrag zu KI Use Cases.

Zur Sprache: Konfektor Systeme sagt „DSGVO-konform“ nicht als Etikett zu. Ob ein Einsatz rechtmäßig ist, lässt sich erst beurteilen, wenn die Punkte der Checkliste für Ihren Fall geprüft sind. Was wir zusagen, ist ein Vorgehen. KI-Vorhaben werden zu Beginn schriftlich nach der KI-Verordnung eingeordnet. Je Projekt schließen wir einen Auftragsverarbeitungsvertrag. Vor Diensten außerhalb der EU stimmen wir uns mit Ihnen ab. Als Werkzeug für die Abläufe setzen wir n8n ein. Wenn Sie ein KI-Vorhaben planen, besprechen wir das im Kennenlerngespräch. Mehr zu unserem Angebot finden Sie unter KI Automatisierung. Den ersten Schritt machen Sie hier: Kennenlerngespräch vereinbaren.