Ratgeber · Stand Oktober 2026
KI und Datenschutz: So nutzen Sie KI DSGVO-konform
Welche Daten in welche KI gehören, welche Verträge Sie brauchen und wie eine interne KI-Richtlinie aussieht. Mit Checkliste für den Start.
Kurz gesagt
- KI und DSGVO schließen sich nicht aus. Entscheidend ist, welche Daten Sie in welches System geben und welche Verträge und Einstellungen dahinterstehen.
- Bei Cloud-KI brauchen Sie in der Regel einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
- Die Datenschutzkonferenz empfiehlt betriebliche Accounts, das Abschalten des Trainings mit Ihren Eingaben und klare interne Regeln.
- Technisch geschlossene Systeme hält sie aus Datenschutzsicht für vorzugswürdig.
Welche Daten gehören in welche KI?
Die meisten Datenschutzprobleme mit KI entstehen nicht durch die Technik, sondern durch die Frage, was Mitarbeitende eingeben. Die Tabelle ist eine Faustregel. Sie ersetzt keine Prüfung im Einzelfall.
| Daten | Kostenloses KI-Tool, privater Account | Business-Tarif eines Anbieters | Geschlossenes System, z. B. eigenes Unternehmens-GPT |
|---|---|---|---|
| Öffentliche Informationen, eigene Texte ohne Personenbezug | In Ordnung | In Ordnung | In Ordnung |
| Interne Unterlagen ohne Personenbezug | Nicht empfohlen | Je nach Vertrag und Einstellungen | In Ordnung |
| Kundendaten, Personaldaten, Verträge | Nein | Nur mit AV-Vertrag, Rechtsgrundlage und Prüfung | Mit Rechtsgrundlage, Zugriffsrechten und Protokoll |
| Besonders sensible Daten, z. B. Gesundheit | Nein | Nur nach gründlicher Prüfung, meist nicht | Nur nach Folgenabschätzung |
Wichtig: Namen und Adressen zu entfernen reicht oft nicht. Die Datenschutzkonferenz weist darauf hin, dass sich ein Personenbezug auch aus dem Zusammenhang ergeben kann. Ihr Beispiel: die Bitte um ein Arbeitszeugnis für einen Kundenberater in einem bestimmten Autohaus.
Offene und geschlossene KI-Systeme
Die Datenschutzkonferenz unterscheidet zwei Arten von Systemen. Bei geschlossenen Systemen läuft die Verarbeitung in einer abgegrenzten, technisch abgeschlossenen Umgebung. Nur ein bestimmter Personenkreis hat Zugriff, und die Kontrolle über Ein- und Ausgaben liegt bei Ihnen.
Bei offenen Systemen können Eingaben das Unternehmen verlassen und unter Umständen zum Training verwendet werden. Technisch geschlossene Systeme hält die Datenschutzkonferenz deshalb aus Datenschutzsicht für vorzugswürdig.
Quelle: Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz (6. Mai 2024)
Checkliste: KI datenschutzkonform einführen
- 1
Zweck und Rechtsgrundlage klären
Wofür genau soll die KI eingesetzt werden, und auf welcher Grundlage nach Art. 6 DSGVO verarbeiten Sie dabei personenbezogene Daten? Ohne klaren Zweck gibt es keine saubere Rechtsgrundlage.
- 2
Vertrag zur Auftragsverarbeitung abschließen
Nutzen Sie eine KI-Anwendung eines externen Anbieters, etwa als Cloud-Lösung, handelt dieser meist in Ihrem Auftrag. Dann brauchen Sie einen Vertrag nach Art. 28 Abs. 3 DSGVO.
- 3
Serverstandort und Übermittlung prüfen
Wo werden die Daten verarbeitet? Für die Übermittlung in Länder außerhalb der EU gelten die Regeln aus Kapitel V DSGVO.
- 4
Training mit Ihren Daten ausschließen
Prüfen Sie, ob Ein- und Ausgaben zum Training verwendet werden, und schalten Sie das ab. Ist das nicht möglich und sind personenbezogene Daten betroffen, rät die Datenschutzkonferenz von der Nutzung ab.
- 5
Datenschutz-Folgenabschätzung prüfen
Birgt die Verarbeitung voraussichtlich ein hohes Risiko für Personen, ist eine Folgenabschätzung nach Art. 35 DSGVO nötig. Beim Einsatz von KI wird das laut Datenschutzkonferenz vielfach der Fall sein.
- 6
Betriebliche Accounts bereitstellen
Beschäftigte sollten nicht mit privaten Accounts arbeiten. Stellen Sie Geräte und Accounts bereit und wählen Sie die Einstellungen zu Training und Verlauf von Anfang an datenschutzfreundlich.
- 7
Regeln festlegen und schulen
Schreiben Sie auf, welche KI-Tools wofür erlaubt sind, mit Beispielen für erlaubte und verbotene Nutzung. Binden Sie Datenschutzbeauftragte und, wo vorhanden, den Betriebsrat ein.
- 8
Keine Entscheidung allein durch die KI
Entscheidungen mit Rechtswirkung für Personen dürfen nach Art. 22 DSGVO grundsätzlich nicht allein automatisiert getroffen werden. Ein Mensch prüft und entscheidet.
Quellen: Datenschutz-Grundverordnung (EU) 2016/679, Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz (6. Mai 2024)
Was ist mit US-Anbietern?
Viele bekannte KI-Tools kommen aus den USA. Seit dem Durchführungsbeschluss der EU-Kommission vom 10. Juli 2023 können personenbezogene Daten an US-Unternehmen übermittelt werden, die nach dem EU-US Data Privacy Framework zertifiziert sind. Ob ein Anbieter dazugehört, steht in der öffentlichen Liste.
Die übrigen Pflichten bleiben: Rechtsgrundlage, AV-Vertrag, Einstellungen zum Training und klare interne Regeln. Viele Unternehmen entscheiden sich trotzdem für Server in Deutschland oder der EU, weil das Prüfung und Dokumentation einfacher macht.
Quellen: Durchführungsbeschluss (EU) 2023/1795 zum EU-US Data Privacy Framework, Data Privacy Framework: Liste der zertifizierten Unternehmen
Was in eine interne KI-Richtlinie gehört
Die Datenschutzkonferenz geht davon aus, dass Beschäftigte in vielen Unternehmen KI-Tools bereits auf eigene Faust nutzen. Eine kurze, verständliche Richtlinie schafft Klarheit. Sie sollte mindestens regeln:
- Welche KI-Tools zugelassen sind und mit welchem Account
- Welche Daten hinein dürfen und welche nicht, mit Beispielen
- Dass Ergebnisse vor der Weitergabe geprüft werden
- Wer Fragen beantwortet und neue Tools freigibt
- Wie Schulungen stattfinden und dokumentiert werden
Die Schulung dazu ist seit der KI-Verordnung ohnehin Pflicht. Was genau verlangt wird, steht im Ratgeber KI-Schulungspflicht nach Art. 4.
So setzen wir das in Projekten um
Unsere Systeme laufen auf Servern in Deutschland oder der EU, auf Wunsch On-Premise. Ihre Daten werden nicht zum Training von KI-Modellen verwendet. Zugriffsrechte gelten auch für die KI, und Zugriffe werden protokolliert. Daten gehen ohne Ihre ausdrückliche Freigabe nicht in die USA.
Für jedes Projekt erhalten Sie die Informationen zur Funktionsweise, die Sie für Ihre Risikobewertung und gegebenenfalls die Folgenabschätzung brauchen. Wie ein geschlossenes System für Ihr Firmenwissen aussieht, zeigt die Seite Unternehmens-GPT & RAG.
Sie möchten KI nutzen, ohne Datenschutzrisiko?
Im Erstgespräch klären wir, welche Daten Ihr Use Case braucht und welches System dafür passt. 30 Minuten, kostenfrei. Workshops zu KI und Datenschutz für Ihr Team ab 750 € zzgl. MwSt.
Weiterlesen
- KI-Schulungspflicht nach Art. 4 KI-Verordnung
Wer KI im Unternehmen nutzt, muss KI-Kompetenz fördern. Was seit Juli 2026 gilt, was nicht verlangt wird, wie Sie Schulungen dokumentieren und was sie kosten.
- Microsoft Copilot oder ChatGPT: Was passt besser zu Ihrem Unternehmen?
Microsoft 365 Copilot und ChatGPT Business im Vergleich: Preise laut Anbieter, Datenschutz, Anbindung an Firmendaten und eine Entscheidungshilfe für den Mittelstand.
- KI-Richtlinie für Unternehmen: Vorlage zum Anpassen
Eine kurze KI-Richtlinie zum Kopieren: erlaubte Tools, welche Daten hinein dürfen, Prüfung der Ergebnisse, Schulung und Verantwortung. Mit Beispielen für Ihr Team.
- KI-Tools für Unternehmen: welche Arten es gibt und wie Sie das richtige auswählen
Chat-Assistenten, Automatisierung, Dokumente, Meetings, Wissenssuche und KI-Agenten. Wofür sie taugen, sechs Fragen an jeden Anbieter und typische Fehler.
- KI im Kundenservice: schneller antworten, ohne Kunden an einen Bot abzuschieben
Anfragen sortieren, Antwortentwürfe, Chatbot mit Übergabe an Menschen. Was die KI-Verordnung seit August 2026 für Chatbots verlangt und wie Sie starten.
- KI in der Buchhaltung: was heute geht und was die E-Rechnung damit zu tun hat
Eingangsrechnungen, Kontierungsvorschläge, Zahlungsabgleich und Mahnwesen. Mit den Fristen zur E-Rechnung bis 2028 und klaren Grenzen für die KI.
- KI-Agenten im Unternehmen: was sie erledigen und wo ein Mensch freigibt
Was ein KI-Agent ist, wie er sich von Chatbot und klassischer Automatisierung unterscheidet, wofür Firmen ihn einsetzen und wie Sie Freigaben sinnvoll regeln.
- KI-Use-Cases im Mittelstand: zwölf Anwendungsfälle nach Abteilung
Vertrieb, Kundenservice, Einkauf, Buchhaltung, Personal und Geschäftsführung. Wo KI heute im Alltag hilft, was beim Menschen bleibt und womit Sie anfangen.
- KI im Einkauf: sechs Anwendungsfälle für den Mittelstand
Rechnungen prüfen, Auftragsbestätigungen abgleichen, Angebote vergleichen. Wo KI im Einkauf heute hilft, was vorher stimmen muss und ob Sie dafür neue Software brauchen.
- Unternehmens-GPT: ein eigenes ChatGPT für Ihr Firmenwissen
Was ein Unternehmens-GPT ist, wofür Firmen es nutzen, wie es sich von einem ChatGPT-Abo unterscheidet und worauf Sie beim Datenschutz achten sollten.
- RAG einfach erklärt: Wie KI Fragen aus Ihren Dokumenten beantwortet
Retrieval-Augmented Generation in verständlichen Worten: wie es funktioniert, wann es passt, wann nicht und was die Qualität der Antworten bestimmt.
- KI im Unternehmen einführen: ein Fahrplan in fünf Schritten
Vom ersten Use Case bis zum laufenden Betrieb. Wie Sie Anwendungsfälle bewerten, Regeln festlegen, einen Pilot aufsetzen und typische Fehler vermeiden.
- Geschäftsprozesse automatisieren: sechs Beispiele aus dem Mittelstand
Angebote, Reporting, E-Mail-Eingang, Belege, Vertragsfristen und Wissensfragen. Was sich automatisieren lässt, wie wir vorgehen und was beim Menschen bleibt.
Quellen
- Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz (6. Mai 2024)
- Datenschutz-Grundverordnung (EU) 2016/679
- Durchführungsbeschluss (EU) 2023/1795 zum EU-US Data Privacy Framework
- Data Privacy Framework: Liste der zertifizierten Unternehmen
Stand: 31. Oktober 2026. Dieser Ratgeber ist keine Rechtsberatung. Lassen Sie Ihren konkreten Einsatz von Ihrem Datenschutzbeauftragten oder einer Anwältin prüfen. Die Tabelle zu Datenarten ist eine allgemeine Faustregel von Palvium.
Welcher Prozess kostet Sie die meiste Zeit?
Im Erstgespräch klären wir das in 30 Minuten. Konkret und unverbindlich.