KI und DSGVO im Unternehmen: Was ist erlaubt und wann wird es kritisch?
Kurzantwort
Die DSGVO enthält kein generelles Verbot von KI. Maßgeblich sind vier Fragen: Welche Daten fließen hinein, zu welchem Zweck, auf welcher Rechtsgrundlage und wer verarbeitet sie mit? Zusätzliche Anforderungen können entstehen, sobald personenbezogene Daten an einen externen Dienst gehen oder Entscheidungen über Personen vorbereitet werden. Bleiben Verarbeitung und Daten vollständig im eigenen Netz, entfällt für diesen Schritt grundsätzlich die Drittlandsübermittlung, die übrigen Pflichten bestehen fort.
Wie das Thema im Alltag entsteht
Ein Mitarbeiter kopiert einen Kundenvertrag in einen KI-Assistenten, um sich die Kernpunkte zusammenfassen zu lassen. Eine Kollegin aus der Personalabteilung lässt sich zehn Bewerbungsunterlagen vorsortieren. Im Vertrieb landet eine Kundenliste im Chat, weil das Formulieren der Serienmail sonst zwei Stunden dauert.
Niemand davon handelt in böser Absicht. Trotzdem sind das drei Verarbeitungen personenbezogener Daten, für die eine Rechtsgrundlage, gegebenenfalls ein Vertrag mit dem Anbieter und ein Eintrag im Verarbeitungsverzeichnis erforderlich sind. Auffallen tut es meist erst Monate später.
Was die DSGVO verlangt
Die Datenschutz-Grundverordnung[1] enthält keine Sonderregeln für KI. Sobald personenbezogene Daten verarbeitet werden, gelten dieselben Grundsätze wie bei jeder anderen Software. Vier Punkte haben in der Praxis das meiste Gewicht.
Rechtsgrundlage und Zweck
Jede Verarbeitung setzt eine Rechtsgrundlage nach Artikel 6 voraus, in Betracht kommen etwa ein berechtigtes Interesse oder die Vertragserfüllung. Der Zweck muss vorher feststehen. „Wir probieren mal aus, was das Modell damit macht“ ist kein Zweck im Sinne der Verordnung.
Wann der Anbieter Auftragsverarbeiter ist
Verarbeitet ein externer Anbieter personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Unternehmens, ist er für diese Verarbeitung grundsätzlich Auftragsverarbeiter. Dann ist regelmäßig ein Vertrag nach Artikel 28 DSGVO erforderlich. Die konkrete datenschutzrechtliche Rolle hängt von der tatsächlichen Verarbeitung ab, nicht allein von der Bezeichnung im Vertrag. Anbieter stellen entsprechende Verträge üblicherweise nur in ihren Geschäftskunden-Tarifen bereit.
Übermittlung in Drittländer
Bei Cloud-KI-Diensten ist zu prüfen, ob personenbezogene Daten in ein Drittland übermittelt werden oder von dort aus zugänglich sind. Entscheidend sind Anbieter, Tarif, technische Konfiguration und beteiligte Unterauftragnehmer. Als Grundlage kommt unter anderem der Angemessenheitsbeschluss der Kommission zum EU-US Data Privacy Framework von 2023[2] in Betracht, soweit der Anbieter zertifiziert ist. Eine Klage gegen diesen Beschluss wurde im September 2025 in erster Instanz abgewiesen, das Rechtsmittel ist beim Gerichtshof anhängig[3]. Zwei Vorgängerregelungen wurden in der Vergangenheit aufgehoben.
Auskunft und Löschung
Betroffene können nach Artikel 15 Auskunft und nach Artikel 17 Löschung verlangen. Beides setzt Kenntnis darüber voraus, wo die Daten liegen. Speichert ein Dienst Eingaben zur Missbrauchsprüfung, kann der Nachweis einer vollständigen Löschung schwierig werden.
Wann zusätzliche Anforderungen entstehen
Nicht jede Nutzung wiegt gleich schwer. Die folgende Einordnung hilft bei der ersten Sortierung und ersetzt keine Prüfung des Einzelfalls.
| Was verarbeitet wird | Einordnung | Worauf es ankommt |
|---|---|---|
| Maschinen- und Sensordaten ohne Personenbezug | gering | DSGVO greift nicht, Geheimhaltung dennoch prüfen |
| Allgemeine Firmentexte, Angebote ohne Namen | gering | Geschäftsgeheimnisse, nicht Datenschutz |
| Kundenstammdaten, Verträge, Korrespondenz | mittel | Rechtsgrundlage, Auftragsverarbeitung, Drittlandsfrage |
| Beschäftigtendaten, Leistungsbezug | hoch | zusätzlich Beteiligungsrechte, häufig Folgenabschätzung |
| Bewerbungsunterlagen, Vorauswahl | hoch | Diskriminierungsrisiko, Artikel 22 bei automatisierten Entscheidungen |
| Gesundheits-, Sozial- oder Gewerkschaftsdaten | sehr hoch | besondere Kategorien nach Artikel 9, enge Ausnahmen |
Sechs Fragen vor der Einführung
- Welche Kategorien personenbezogener Daten fließen in die Anwendung?
- Wo werden diese Daten verarbeitet und gespeichert?
- Liegt ein Vertrag nach Artikel 28 DSGVO vor, und deckt er alle Schritte ab?
- Findet eine Übermittlung in ein Drittland statt, und worauf stützt sie sich?
- Werden Eingaben für Training, Missbrauchsprüfung oder Support gespeichert?
- Lässt sich belegen, dass ein bestimmter Datensatz gelöscht wurde?
Wer diese sechs Fragen beantworten kann, hat den Großteil der Dokumentation bereits beisammen.
Welche Datenschutzfragen lokal einfacher werden
Ein lokal betriebenes KI-System löst den Datenschutz nicht. Es verarbeitet weiterhin personenbezogene Daten, und die Pflichten aus der Verordnung gelten unverändert. Verändern kann sich ein bestimmter Teil: die Übermittlung an einen Dritten.
| Pflicht | Wirkung des lokalen Betriebs |
|---|---|
| Vertrag nach Artikel 28 mit dem Modellanbieter | kann entfallen, sofern kein externer Anbieter an der Verarbeitung beteiligt ist |
| Drittlandsübermittlung und deren Bewertung | kann entfallen, sofern keine externen Dienste oder Zugriffe beteiligt sind |
| Nachweis der Löschung | leichter, wenn Daten und Protokolle im eigenen Netz liegen |
| Nutzung der Eingaben für Training ausschließen | leichter, wenn die Daten das Netz nicht verlassen |
| Rechtsgrundlage und Zweckbindung | keine Änderung |
| Verarbeitungsverzeichnis | keine Änderung, der Eintrag kann kürzer ausfallen |
| Datenschutz-Folgenabschätzung | keine Änderung, richtet sich nach Zweck und Risiko |
| Information der Beschäftigten, Beteiligungsrechte | keine Änderung, organisatorische Pflicht |
Zusammengefasst: Der lokale Betrieb kann zwei der aufwändigsten Punkte entfallen lassen, sofern tatsächlich keine externen Dienste beteiligt sind. Die übrigen Pflichten bleiben bestehen.
Ein Blick auf die KI-Verordnung
Neben der DSGVO greift die KI-Verordnung der EU[4]. Sie regelt nicht den Schutz personenbezogener Daten, sondern das Inverkehrbringen und den Einsatz von KI-Systemen nach Risikoklassen. Beide Regelwerke gelten nebeneinander. Die Anwendungsfristen sind gestaffelt und wurden zwischenzeitlich angepasst, weshalb pauschale Aussagen dazu wenig taugen. Die Einzelheiten stehen im eigenen Beitrag dazu.
Was conn.AI liefert, und was bei Ihnen bleibt
conn.AI liefert Edge-Server, Systemsoftware, Anbindung und den laufenden Betrieb. Nutzdaten der Anwendungen bleiben auf der Hardware im Haus, Zugriffe und Wartungstätigkeiten werden protokolliert. Soweit bei Fernwartung oder Support personenbezogene Daten verarbeitet oder zugänglich werden können, wird dieser Verarbeitungsschritt gesondert betrachtet und vertraglich geregelt.
Das kann die technische Umsetzung und die Nachweisführung erleichtern. Zweckbestimmung, Rechtsgrundlage, Verarbeitungsverzeichnis, Löschkonzept und die Frage, welche Daten Beschäftigte überhaupt eingeben dürfen, bleiben davon unberührt. Eine Nutzungsregel auf einer Seite Papier verhindert in der Praxis mehr Vorfälle als jede Architekturentscheidung.
Häufige Fragen
Darf ich Kundendaten in ChatGPT eingeben?
Das lässt sich nicht allgemein beantworten. Sobald personenbezogene Daten in den Prompt wandern, liegt eine Verarbeitung im Sinne der DSGVO vor. Ein Geschäftskundentarif und ein Vertrag nach Artikel 28 DSGVO können wichtige Voraussetzungen abdecken. Ob personenbezogene Kundendaten verarbeitet werden dürfen, hängt zusätzlich unter anderem von Zweck, Rechtsgrundlage, Datenkategorie, Konfiguration des Dienstes und möglichen Zugriffen aus Drittländern ab. Ein privat angelegtes Konto, das im Arbeitsalltag mitbenutzt wird, deckt diese Voraussetzungen regelmäßig nicht ab.
Ist ChatGPT im Unternehmen DSGVO-konform?
Konform oder nicht konform ist keine Eigenschaft des Werkzeugs, sondern des jeweiligen Einsatzes. Zu prüfen sind unter anderem: welcher Tarif genutzt wird und ob dafür ein Vertrag nach Artikel 28 DSGVO besteht, welche Daten tatsächlich eingegeben werden, ob und auf welcher Grundlage eine Übermittlung in ein Drittland stattfindet, und ob die Beschäftigten wissen, was zulässig ist. In der Praxis liegt der Schwachpunkt selten beim Vertrag und häufig beim letzten Punkt.
Ist On-Premise-KI automatisch DSGVO-konform?
Nein. Ein lokaler Server verarbeitet weiterhin personenbezogene Daten. Rechtsgrundlage, Zweckbindung, Verarbeitungsverzeichnis, Löschkonzept und Zugriffskontrollen sind davon unberührt. Bleiben Verarbeitung, Nutzdaten und Protokolle vollständig im eigenen Netz und bestehen keine entsprechenden externen Zugriffe, entfällt für diesen Verarbeitungsschritt grundsätzlich die Drittlandsübermittlung. Das kann die technische Umsetzung und die Nachweisführung erleichtern. Die rechtliche und organisatorische Bewertung bleibt davon unberührt.
Welche Daten darf ich für lokale KI-Modelle verwenden?
Der Betriebsort erweitert die Rechtsgrundlage nicht. Was für einen bestimmten Zweck ohnehin nicht verwendet werden darf, darf auch auf eigener Hardware nicht dafür verwendet werden. Was sich ändern kann: Findet keine Übermittlung an einen externen Auftragsverarbeiter statt, entfällt für diesen Schritt die Prüfung der Drittlandsübermittlung, und eine Löschung lässt sich auf eigenen Systemen technisch nachvollziehen.
Brauchen wir eine Datenschutz-Folgenabschätzung, wenn wir KI einsetzen?
Das kann erforderlich sein. Artikel 35 DSGVO sieht eine Folgenabschätzung vor, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge hat. Der Einsatz von KI ist für sich genommen kein automatischer Auslöser. Als Risikofaktoren gelten unter anderem umfangreiche Auswertungen von Beschäftigtendaten, systematische Profilbildung, besondere Kategorien personenbezogener Daten und Entscheidungen mit erheblicher Wirkung auf Personen. Die Aufsichtsbehörden führen Listen von Verarbeitungen, für die eine Folgenabschätzung verpflichtend ist.
Müssen wir Mitarbeiter informieren, wenn wir ein KI-System einsetzen?
Werden personenbezogene Daten von Beschäftigten verarbeitet, können Informationspflichten nach den Artikeln 13 und 14 DSGVO und, abhängig vom Einsatz, Beteiligungsrechte des Betriebsrats relevant sein. Ist ein System dazu geeignet, Verhalten oder Leistung zu überwachen, kommt in Betrieben mit Betriebsrat regelmäßig eine Mitbestimmung nach § 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz in Betracht. Unabhängig davon hat sich eine schriftliche Nutzungsregel bewährt, die festhält, welche Daten in welches Werkzeug gegeben werden dürfen.
Was passiert, wenn das EU-US Data Privacy Framework fällt?
Für Übermittlungen, die sich auf den EU-US Data Privacy Framework stützen, würde diese Grundlage entfallen. Je nach Dienst und Verarbeitung müssten dann andere Übermittlungsinstrumente geprüft oder die Verarbeitung angepasst werden. Vergleichbare Situationen gab es 2015 beim Safe-Harbor-Abkommen und 2020 beim Privacy Shield. Der Angemessenheitsbeschluss von 2023 gilt; eine Klage dagegen wurde im September 2025 in erster Instanz abgewiesen, das Rechtsmittel ist beim Gerichtshof anhängig.
Quellen und Verweise
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), konsolidierte Fassung auf EUR-Lex: eur-lex.europa.eu/eli/reg/2016/679/oj
- Europäische Kommission, Angemessenheitsbeschluss zum EU-US Data Privacy Framework: commission.europa.eu · EU-US data transfers
- Gericht der Europäischen Union, Rechtssache T-553/23 (Latombe), Urteil vom 3. September 2025, Rechtsmittel anhängig: curia.europa.eu · T-553/23
- Verordnung (EU) 2024/1689 (KI-Verordnung) auf EUR-Lex: eur-lex.europa.eu/eli/reg/2024/1689/oj
- Europäischer Datenschutzausschuss (EDSA), Leitlinien und Stellungnahmen: edpb.europa.eu · Leitlinien
- Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI), Konsultationsverfahren zu KI-Modellen und personenbezogenen Daten: bfdi.bund.de · KI-Modelle und personenbezogene Daten
Zuletzt aktualisiert: 18. August 2026. Rechtsstand geprüft an DSGVO, KI-Verordnung und den Veröffentlichungen der Europäischen Kommission. Dieser Text ist eine allgemeine Einordnung und dient der Information. Er ersetzt keine Rechtsberatung. Ob und welche Pflichten im Einzelfall gelten, hängt von der konkreten Situation ab.