KI und DSGVO: Was Unternehmen beim Einsatz von KI beachten müssen

Wann gilt die DSGVO für KI?

Die DSGVO gilt, sobald ein KI-System personenbezogene Daten verarbeitet. Das ist häufiger der Fall, als es zunächst scheint:

• Mitarbeitende geben Kundennamen, E-Mails oder Gesprächsnotizen in einen Chat-Assistenten ein.
• Ein Wissensassistent durchsucht Dokumente, in denen Namen, Kontaktdaten oder Personalangelegenheiten stehen.
• Ein Sprachassistent nimmt Anrufe an und verarbeitet Stimme, Telefonnummer und Anliegen.
• Eine Kamera an der Linie erfasst auch Menschen, nicht nur Bauteile.
• Ein Planungssystem verarbeitet Verfügbarkeiten, Qualifikationen und Abwesenheiten von Beschäftigten.

Ob das Modell lokal oder in der Cloud läuft, ändert an den Grundpflichten nichts, nur an ihrer Umsetzung. Kein Personenbezug besteht dagegen bei rein technischen Daten, etwa Schwingungsmessungen einer Maschine ohne Bezug zu Bedienpersonen. Auch das Modell selbst gehört in die Betrachtung: Nach der Stellungnahme 28/2024 des Europäischen Datenschutzausschusses gilt ein mit personenbezogenen Daten trainiertes Modell nicht pauschal als anonym. Das ist im Einzelfall zu prüfen.

Rechtsgrundlage und Zweck festlegen

Jede Verarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Für den KI-Einsatz im Unternehmen kommen vor allem in Frage:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b), etwa wenn ein Sprachassistent eine Kundenanfrage zu einem bestehenden Auftrag beantwortet.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f), die häufigste Grundlage für interne Anwendungen, aber nur nach dokumentierter Abwägung mit den Interessen der Betroffenen.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c), selten der Grund für KI selbst, aber relevant, wenn KI gesetzliche Aufbewahrungs- oder Prüfpflichten unterstützt.
• Einwilligung (Art. 6 Abs. 1 lit. a), möglich, aber jederzeit widerruflich und im Arbeitsverhältnis nur eingeschränkt tragfähig.

Besondere Vorsicht gilt für Gesundheitsdaten, biometrische Daten und andere besondere Kategorien nach Art. 9 DSGVO. Hier reicht ein berechtigtes Interesse nicht, es braucht zusätzlich eine der Ausnahmen aus Art. 9 Abs. 2. Ebenso streng ist die Zweckbindung: Daten, die für die Auftragsabwicklung erhoben wurden, dürfen nicht ohne Weiteres zum Training eines Modells verwendet werden. Ob der neue Zweck mit dem ursprünglichen vereinbar ist, regelt Art. 6 Abs. 4 DSGVO.

Der Digital-Omnibus, den die EU-Kommission am 19. November 2025 vorgeschlagen hat, soll unter anderem klarstellen, unter welchen Bedingungen Entwicklung und Betrieb von KI auf ein berechtigtes Interesse gestützt werden können. Der Rat hat sein Verhandlungsmandat am 21. Oktober 2026 festgelegt. Das Europäische Parlament will seine Position voraussichtlich Anfang 2027 beschließen, danach beginnen die Trilogverhandlungen. Bis zu einer Einigung gilt die DSGVO in der bisherigen Fassung.

Datenschutz-Folgenabschätzung: Wann ist sie Pflicht?

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt. Die Datenschutzkonferenz (DSK) hat dafür eine Liste von Verarbeitungen veröffentlicht, bei denen eine DSFA immer durchzuführen ist. Unter Nr. 11 steht der Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten, um die Interaktion mit Betroffenen zu steuern oder persönliche Aspekte zu bewerten. Als Beispiele nennt die Liste ein System, das per Konversation mit Kunden interagiert und sie mithilfe von KI berät, sowie ein Callcenter, das automatisiert die Stimmungslage der Anrufer auswertet.

Damit braucht ein Chat- oder Sprachassistent im Kundenkontakt in der Regel eine DSFA, ebenso ein System, das Bewerbungen, Leistung oder Verhalten von Beschäftigten bewertet. Eine interne Dokumentensuche ohne Bewertung von Personen kann darunter bleiben, die Abwägung sollte aber dokumentiert werden. Eine DSFA enthält mindestens:

1. eine systematische Beschreibung der Verarbeitung und ihrer Zwecke,
2. eine Bewertung von Notwendigkeit und Verhältnismäßigkeit,
3. eine Bewertung der Risiken für die Rechte und Freiheiten der Betroffenen,
4. die geplanten Abhilfemaßnahmen, etwa Pseudonymisierung, Zugriffsrechte, Löschfristen, Protokollierung und menschliche Kontrolle.

Auftragsverarbeitung und Übermittlung in Drittländer

Nutzen Sie einen externen KI-Dienst, verarbeitet der Anbieter die Daten in Ihrem Auftrag. Dafür brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Prüfen Sie dabei insbesondere:

• ob Eingaben und Ausgaben zum Training des Anbieters verwendet werden und wie sich das ausschließen lässt,
• wo die Daten gespeichert und verarbeitet werden und welche Unterauftragsverarbeiter beteiligt sind,
• wie lange Eingaben gespeichert werden, etwa zur Missbrauchserkennung,
• welche technischen und organisatorischen Maßnahmen zugesagt sind.

Sitzt der Anbieter oder ein Unterauftragsverarbeiter außerhalb von EU und EWR, gelten die Regeln für Übermittlungen in Drittländer (Art. 44 ff. DSGVO). Für die USA besteht seit Juli 2023 ein Angemessenheitsbeschluss für Unternehmen, die nach dem EU-U.S. Data Privacy Framework zertifiziert sind. Das Gericht der EU hat eine Klage dagegen am 3. September 2025 abgewiesen (T-553/23). Das Rechtsmittel ist beim Europäischen Gerichtshof anhängig (C-703/25 P), ein Urteil lag im November 2026 nach unserem Kenntnisstand nicht vor. Ob ein Anbieter zertifiziert ist, zeigt die offizielle DPF-Liste. Ist er es nicht, kommen Standardvertragsklauseln mit einer Bewertung der Übermittlungsrisiken in Frage. Wir empfehlen, diese auch bei zertifizierten Anbietern als Rückfallebene im Vertrag zu haben.

Wer diese Fragen vermeiden will, wählt eine Verarbeitung in der EU oder ein Modell auf eigener Hardware. Dann entfällt die Auftragsverarbeitung durch einen KI-Anbieter, die übrigen Pflichten bleiben. Eine Abwägung beider Wege finden Sie im Ratgeber Open-Source-LLM oder ChatGPT.

Beschäftigtendaten: Was gilt bei KI im Personalbereich?

Verarbeitet eine KI Daten von Beschäftigten, etwa in der Schichtplanung, bei Bewerbungen oder bei der Auswertung von Arbeitsabläufen, gelten zusätzliche Anforderungen:

• Rechtsgrundlage: § 26 BDSG regelt die Verarbeitung im Beschäftigungsverhältnis. Seit dem Urteil des Europäischen Gerichtshofs vom März 2023 zu einer vergleichbaren hessischen Vorschrift (C-34/21) ist umstritten, wie weit die allgemeine Regel in § 26 Abs. 1 BDSG noch trägt. In der Praxis stützen Unternehmen die Verarbeitung deshalb zusätzlich direkt auf Art. 6 DSGVO. Ein eigenes Beschäftigtendatengesetz ist seit Jahren in Arbeit, war im November 2026 aber nicht verabschiedet.
• Einwilligung: Wegen des Abhängigkeitsverhältnisses ist sie im Arbeitsverhältnis nur ausnahmsweise eine tragfähige Grundlage.
• Betriebsrat: KI-Systeme, die objektiv geeignet sind, Verhalten oder Leistung zu überwachen, sind nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Eine Betriebsvereinbarung muss ihrerseits die Anforderungen der DSGVO erfüllen. Das hat der Europäische Gerichtshof im Dezember 2024 klargestellt (C-65/23).
• Automatisierte Entscheidungen: Nach Art. 22 DSGVO dürfen Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung grundsätzlich nicht ausschließlich automatisiert fallen. Die KI schlägt vor, ein Mensch entscheidet und kann die Entscheidung begründen.

Wie das in der Praxis aussieht, zeigt der Ratgeber KI-Schichtplanung.

Transparenz und Betroffenenrechte

Betroffene müssen erfahren, dass und wie ihre Daten verarbeitet werden (Art. 13 und 14 DSGVO). Für KI heißt das konkret:

• Datenschutzhinweise um den KI-Einsatz ergänzen, mit Zweck, Rechtsgrundlage, Empfängern und Speicherdauer.
• Bei automatisierten Entscheidungen im Sinne von Art. 22 aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen geben.
• Auskunft, Berichtigung und Löschung auch für Daten in KI-Systemen ermöglichen. Bei Wissensassistenten mit RAG ist das wesentlich einfacher als bei trainierten Modellen, weil die Daten in einer durchsuchbaren Ablage liegen und gezielt entfernt werden können. Mehr dazu im Ratgeber KI-Wissensmanagement mit RAG.
• Kunden im Chat oder am Telefon erkennbar machen, dass sie mit einer KI sprechen. Seit dem 2. August 2026 verlangt zusätzlich Art. 50 der KI-Verordnung, dass Menschen erkennen können, wenn sie mit einem KI-System kommunizieren, sofern das nicht offensichtlich ist.

Welche weiteren Pflichten die KI-Verordnung mit sich bringt, beschreibt der Ratgeber zu den Pflichten aus dem EU AI Act.

Was die Datenschutzkonferenz empfiehlt

Die deutschen Aufsichtsbehörden haben ihre Erwartungen in drei Orientierungshilfen beschrieben. Für Unternehmen sind sie der beste Ausgangspunkt:

Aus diesen Papieren lässt sich eine kurze Checkliste für den Start ableiten:

1. Zweck und Einsatzfeld festlegen, bevor ein Werkzeug ausgewählt wird.
2. Datenflüsse beschreiben: Welche Daten gehen wohin, wer ist verantwortlich?
3. Rechtsgrundlage dokumentieren und prüfen, ob eine DSFA nötig ist.
4. Mit externen Anbietern Auftragsverarbeitung und Drittlandübermittlung regeln.
5. Zugriffe nach dem bestehenden Rechtekonzept begrenzen, betriebliche Konten statt privater nutzen.
6. Mitarbeitenden verbindliche Regeln geben und Ergebnisse auf Richtigkeit prüfen lassen.
7. Datenschutzbeauftragte und Betriebsrat früh einbinden und alles dokumentieren.

Dieser Artikel ersetzt keine Rechtsberatung.

So unterstützen wir Sie

Wir planen KI-Anwendungen so, dass Datenschutz von Anfang an Teil der Technik ist: mit klaren Datenflüssen, Rechtekonzept, Protokollierung und auf Wunsch vollständig auf Ihrer eigenen Infrastruktur. Für die Datenschutz-Folgenabschätzung liefern wir die technische Beschreibung und die Maßnahmen, die rechtliche Bewertung bleibt bei Ihrem Datenschutzbeauftragten oder Ihrer Kanzlei. Mehr zum Betrieb im eigenen Netz lesen Sie unter Lokale KI.