Künstliche Intelligenz revolutioniert die Geschäftswelt – von Chatbots im Kundenservice bis hin zu automatisierten Entscheidungsprozessen. Doch mit den enormen Möglichkeiten von KI-Systemen kommen auch erhebliche datenschutzrechtliche Herausforderungen.
Nicht nur in der DACH-Region, wo die DSGVO strenge Maßstäbe setzt, müssen Unternehmen beim KI-Einsatz äußerst vorsichtig vorgehen: Vor allem gilt es, diesen Einsatz datenschutzkonform zu gestalten. Wie das ganzheitlich gelingt und welche strategischen und operativen Schritte Sie dafür einleiten sollten, stellen wir im Folgenden vor.
Datenschutzkonformer KI-Einsatz bedeutet, dass Unternehmen künstliche Intelligenz nutzen, ohne dabei gegen die Bestimmungen der DSGVO oder anderer Datenschutzgesetze zu verstoßen. Dies umfasst den verantwortungsvollen Umgang mit personenbezogenen Daten in allen Phasen des KI-Lebenszyklus, wie unter anderem das Discussion Paper der Hamburger Datenschutzbehörde betont.
Die Bedeutung wird durch mehrere Faktoren unterstrichen:
Für einen vertiefenden Überblick zu den ethischen Grundlagen und gesellschaftlichen Fragen rund um KI und Datenschutz empfehlen wir unseren Grundlagenbeitrag "KI und Datenschutz im Überblick: Vertrauen, Ethik und gesellschaftliche Verantwortung".
Der erste und wichtigste Schritt ist eine klare Zweckdefinition. Beginnen Sie jedes KI-Projekt mit der Frage: "Welches konkrete Problem soll die KI lösen und geht das auch mit weniger Daten?"
Das Prinzip der Datenminimierung besagt, dass Sie nur die Daten verwenden dürfen, die für Ihren Zweck wirklich notwendig sind. In der Praxis bedeutet dies, dass Sie kritisch hinterfragen sollten, welche Daten wirklich erforderlich sind.
Praktische Umsetzung:
Praxisbeispiel: Ein Kundensupport-Chatbot kann oft auf allgemeine FAQs antworten, ohne dass Sie komplette Kundendatensätze verwenden müssen. Statt alle verfügbaren Kundendaten zu nutzen, reichen möglicherweise bereits die Produktkategorie und der Anfragetyp aus.
Jede Verarbeitung personenbezogener Daten durch KI benötigt eine gültige Rechtsgrundlage nach der DSGVO, wie in Artikel 6 der Datenschutzgrundverordnung nachzulesen ist. Diese Entscheidung sollten Sie sorgfältig prüfen und dokumentieren.
Die Wahl der richtigen Rechtsgrundlage hat weitreichende Konsequenzen für die Betroffenenrechte und die erforderlichen Schutzmaßnahmen.
Mögliche Rechtsgrundlagen:
Wichtig: Dokumentieren Sie Ihre Rechtsgrundlage schriftlich und führen Sie bei "berechtigtem Interesse" eine detaillierte Interessenabwägung durch.
Bei KI-Systemen, die voraussichtlich ein hohes Risiko für die Rechte der Betroffenen mit sich bringen, ist laut DSGVO eine Datenschutz-Folgenabschätzung verpflichtend. Die deutschen Aufsichtsbehörden gehen davon aus, dass bei KI-Anwendungen häufig eine DPIA erforderlich ist.
Eine DPIA hilft Ihnen dabei, Risiken frühzeitig zu erkennen und angemessene Schutzmaßnahmen zu entwickeln.
DPIA ist erforderlich bei:
Systematisches Vorgehen:
Praxisbeispiel: Ein Handelsunternehmen wollte KI nutzen, um Bewerber:innen automatisiert zu bewerten. Da es sich hierbei um Profiling mit potenziell erheblichen Auswirkungen auf die Betroffenen handelt, war eine Datenschutz-Folgenabschätzung (DPIA) zwingend erforderlich. Dabei stellte sich heraus, dass sensible Daten wie Herkunft oder Alter ausgeschlossen werden mussten, um Diskriminierung zu vermeiden. Erst nach diesen Anpassungen konnte das Projekt datenschutzkonform starten.
Das Konzept "Privacy by Design und Privacy by Default" bedeutet, dass Datenschutz bereits bei der Entwicklung und Konfiguration von KI-Systemen mitgedacht werden muss.
Technische Maßnahmen:
Organisatorische Maßnahmen:
Die vertragliche Gestaltung mit KI-Dienstleistern ist ein kritischer Erfolgsfaktor. Wenn ein externer KI-Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, handelt es sich um eine Auftragsverarbeitung, die einen speziellen Vertrag erfordert.
Wichtige Vertragsklauseln:
Besondere Vorsicht bei US-Anbietern: Nutzen Sie bevorzugt Anbieter, die dem EU-US Data Privacy Framework beigetreten sind, und stellen Sie sicher, dass Daten in der EU verarbeitet werden können.
Transparenz ist ein Grundpfeiler der DSGVO und bei KI-Systemen besonders herausfordernd. Betroffene haben das Recht zu wissen, dass und wie ihre Daten von KI-Systemen verarbeitet werden.
Informationspflichten erfüllen:
Betroffenenrechte ermöglichen:
KI-Systeme erfordern kontinuierliche Überwachung und Anpassung, um dauerhaft datenschutzkonform zu bleiben.
Monitoring-Prozesse:
Rechtliche Entwicklungen beobachten:
Dokumentation:
Besondere Herausforderungen bei internationalen Anbietern: Die Nutzung internationaler KI-Dienste bringt zusätzliche datenschutzrechtliche Komplexität mit sich.
Die meisten führenden KI-Dienste stammen von US-Unternehmen. Nach dem Wegfall des Privacy Shield ist die Rechtslage komplex geworden, auch wenn seit Juli 2023 das online verfügbare EU-US Data Privacy Framework (DPF) wieder mehr Rechtssicherheit bietet.
Achten Sie darauf, dass der Anbieter dem Framework beigetreten ist und zusätzliche Schutzmaßnahmen implementiert hat. Microsoft bietet beispielsweise die Möglichkeit, Daten ausschließlich in EU-Rechenzentren zu verarbeiten. Auch Google Cloud kann entsprechend konfiguriert werden.
Besonders wichtig ist die vertragliche Zusicherung, dass Ihre Eingabedaten nicht für das Training der KI-Modelle verwendet werden.
KI-Dienste aus China sind aus datenschutzrechtlicher Sicht besonders problematisch. Ein aktuelles Beispiel ist die Sperrung des chinesischen KI-Chatbots DeepSeek durch die italienische Datenschutzbehörde im Jahr 2025, wie auf der offiziellen Seite der Behörde nachzulesen ist.
Die Behörde bemängelte mehrere Verstöße: personenbezogene Daten wurden auf Servern in China gespeichert, es fehlte ein EU-Vertreter, und die Datenschutzhinweise waren nur auf Englisch verfügbar.
Für Unternehmen bedeutet dies: Verzichten Sie entweder ganz auf chinesische KI-Dienste oder stellen Sie sicher, dass keine personenbezogenen Daten dorthin übertragen werden.
KI bietet enormes Potenzial für Unternehmen, aber nur wenn sie datenschutzkonform eingesetzt wird. Die Herausforderungen sind real, aber mit der richtigen Vorbereitung und systematischen Umsetzung der beschriebenen Schritte können Sie die Vorteile von KI nutzen, ohne rechtliche Risiken einzugehen. Zudem können Unternehmen, die Datenschutz als strategisches Compliance-Thema begreifen, KI nicht nur rechtssicher, sondern auch vertrauensbildend einsetzen.
Der Schlüssel liegt darin, Datenschutz nicht als Hindernis, sondern als Qualitätsmerkmal zu betrachten. Unternehmen, die von Anfang an auf datenschutzkonformen KI-Einsatz setzen, schaffen Vertrauen bei Kund:innen und verschaffen sich einen nachhaltigen Wettbewerbsvorteil.
Beginnen Sie mit einer klaren Zweckdefinition, implementieren Sie angemessene Schutzmaßnahmen und bleiben Sie über rechtliche Entwicklungen informiert. Mit diesem systematischen Ansatz können Sie KI erfolgreich und rechtskonform in Ihrem Unternehmen einsetzen.
Unternehmen sollten vor allem fünf Punkte erfüllen: (1) klare Zweck- und Datenminimierung definieren, (2) passende Rechtsgrundlage nach Art. 6 DSGVO festlegen, (3) bei hohem Risiko eine DPIA durchführen, (4) „Privacy by Design/Default“ technisch umsetzen und (5) Verträge + Datentransfers nach AI Act & EU-US DPF dokumentieren.
Laut Art. 35 DSGVO ist eine DPIA Pflicht, wenn eine KI voraussichtlich „hohe Risiken“ für Betroffene schafft, z. B. Profiling, automatisierte Entscheidungen oder Verarbeitung sensibler Daten. Prüfen Sie das Risiko früh und dokumentieren Sie das Ergebnis; so vermeiden Sie Bußgelder und Beschränkungen durch Aufsichtsbehörden.
Art. 6 nennt die sechs Rechtsgrundlagen, auf die sich jede Verarbeitung personenbezogener Daten stützen muss. Für KI-Anwendungen bedeutet das: Klären Sie, ob Vertrag, Einwilligung oder berechtigtes Interesse greift und dokumentieren Sie die Entscheidung – sonst fehlt die Legitimation für Training, Inferenz oder Monitoring.
Ja – sofern der Anbieter am EU-US DPF teilnimmt oder Sie Standardvertragsklauseln + ergänzende Schutzmaßnahmen einsetzen. Zusätzlich sollten Sie prüfen, ob der Anbieter Ihre Nutzungsdaten für Modelltraining verwendet und ob ein EU-Rechenzentrums-Modus (z. B. Microsoft EU Data Boundary) verfügbar ist.
Chinesische Anbieter unterliegen nicht nur der DSGVO, sondern auch chinesischem Sicherheitsrecht, das Behörden weitreichende Zugriffsrechte einräumt. Fehlende EU-Vertreter, unklare Datentransfers und Sprachbarrieren bei Datenschutzhinweisen erhöhen das Risiko – wie das DeepSeek-Verbot zeigt.