KI im Unternehmen und Datenschutz: Der Leitfaden

KI im Unternehmen und Datenschutz gehören zusammen: Jede Eingabe personenbezogener Daten in ein KI-Tool ist eine Datenverarbeitung im Sinne der DSGVO. Dieser Leitfaden zeigt, welche Grundregeln gelten, worauf Sie bei der Tool-Auswahl und in Verträgen achten müssen und wie Sie eine KI-Richtlinie für den Alltag aufsetzen, anwendbar statt juristisch abstrakt.

Datenschutz ist Bedingung für den Einsatz, kein Hindernis. Die meisten Fehler bei KI im Betrieb entstehen aus Unklarheit: Wer weiß, welche Daten in welches Werkzeug dürfen, arbeitet sicher. Dieser Artikel gibt Ihnen dafür eine klare Ordnung, von den sechs DSGVO-Grundsätzen über die Risikotabelle bis zur fertigen Checkliste.

Vorab ein Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Lassen Sie Ihre konkrete Situation von einem Datenschutzbeauftragten oder Anwalt prüfen, besonders bei sensiblen Daten oder wenn KI in neue Abläufe einzieht.

Warum Datenschutz bei KI plötzlich ein Thema ist

KI-Tools verändern die Datenlage grundlegend. Ein klassisches Programm speichert Daten nur dort, wo es programmiert wurde. Ein Sprachmodell dagegen empfängt jede Eingabe, verarbeitet sie womöglich auf Servern außerhalb der EU und speichert sie in einer Weise, die Sie als Betreiber nicht mehr vollständig überblicken. Genau diese Unübersichtlichkeit macht Datenschutz zur Pflichtaufgabe.

Zusätzlich verschwimmt die Grenze zwischen Geschäfts- und Privatnutzung. Mitarbeiter testen neue Werkzeuge gern einmal mit einem privaten Gratiskonto. Damit wandern Kundendaten in ein System, das Sie weder kennen noch kontrollieren. Diese Praxis abzustellen ist der erste, wichtigste Schritt. Er ist technisch einfacher und billiger als jede nachträgliche Bereinigung.

Seit 2024 gilt außerdem ein neuer Rahmen: Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) ist in Kraft, ihre Pflichten gelten schrittweise seit Februar 2025. Sie legt Regeln für den Einsatz von KI-Systemen fest, die Pflichten für Anwender mit sich bringen, etwa seit August 2026 Transparenzvorgaben für KI-Chatbots. Die DSGVO gilt daneben unverändert weiter. Beide Regeln ergänzen sich: Die DSGVO fragt nach den Daten, die KI-Verordnung nach dem System. Ein Überblick über die Pflichten der KI-Verordnung steht im Beitrag zur EU-KI-Verordnung für Unternehmen.

Kommen Daten hinzu, die in Länder außerhalb der EU fließen, wird die Lage heikler. Ein Drittlandtransfer ist nur mit geeigneten Garantien zulässig. Seit 2023 gibt es dafür für die USA den EU-US Data Privacy Framework. Für den KI-Alltag gilt darum eine einfache Reihenfolge: zuerst prüfen, ob überhaupt ein Transfer stattfindet, dann, ob eine Grundlage dafür besteht. Viele Anbieter verarbeiten europäische Kundendaten inzwischen in EU-Rechenzentren und ersparen Ihnen diese Prüfung. Erkennen lässt sich das an Datenresidenz-Zusagen wie einer Data Boundary.

KI im Unternehmen und Datenschutz: die sechs DSGVO-Grundsätze

Die DSGVO baut auf sechs Grundsätzen auf. Jeder davon lässt sich auf den KI-Einsatz übersetzen und gibt konkrete Prüffragen vor.

Der wichtigste Grundsatz für den Alltag ist die Datenminimierung. Bei fast jeder KI-Aufgabe lässt sich der Umfang reduzieren: Namen durch Platzhalter ersetzen, Adressen entfernen, nur den relevanten Ausschnitt statt des ganzen Dossiers eingeben. Was nicht eingegeben wird, kann nicht aus dem Tool austreten. Diese einfache Übung verhindert einen großen Teil datenschutzrechtlicher Probleme.

Die Rechtmäßigkeit klären Sie über eine Rechtsgrundlage aus der DSGVO. Für betriebliche Daten trägt meist Vertragserfüllung oder berechtigtes Interesse, bei besonderen Kategorien eine Einwilligung oder gesetzliche Ausnahme. Ob Ihre jeweilige Verarbeitung trägt, hängt vom Einzelfall ab. Lassen Sie die Rechtsgrundlage für die zentralen Einsatzfälle einmal schriftlich festhalten.

Der Grundsatz der Richtigkeit kommt im KI-Alltag oft zu kurz. Sprachmodelle erzeugen Antworten, die nicht immer stimmen. Übernehmen Sie KI-Ergebnisse ungeprüft in Ihre Stammdaten oder Kundendateien, verarbeiten Sie womöglich falsche Daten weiter: ein Verstoß gegen den Grundsatz der Richtigkeit und zugleich ein praktischer Schaden. Deshalb gehört eine stichprobenartige Prüfung von KI-Ergebnissen in jeden Prozess, bei dem Daten zurück ins System fließen.

Die Speicherbegrenzung wird bei KI-Tools häufig unterschätzt. Prüfen Sie in der Datenschutzerklärung, wie lange Eingaben und Verlauf gespeichert werden und ob Sie sie selbst löschen können. Ein Anbieter ohne bindende Löschregel ist für personenbezogene Daten ungeeignet.

Personenbezogene Daten und KI-Tools: die Risikotabelle

Nicht jede Verarbeitung ist gleich riskant. Entscheidend ist die Kombination aus Werkzeug und Datenart. Die folgende Tabelle ordnet typische Fälle ein und nennt die passende Maßnahme.

Die Tabelle hilft bei der täglichen Einordnung: Je weiter rechts oben ein Fall steht, desto mehr Aufwand ist vor dem Einsatz nötig. Wer diese einfache Einordnung im Team trainiert, vermeidet Missverständnisse. Einmal im Jahr sollten Sie die Liste durchgehen, sobald neue Werkzeuge dazukommen.

Ein Praxisbeispiel zur Datenminimierung: Eine Kundenanfrage an den Support soll per KI beantwortet werden. Statt der kompletten Mail mit Namen, Adresse und Vertragsnummer genügt eine anonymisierte Fassung. Die Person wird zum Platzhalter, die Adresse gestrichen. So bleibt die Antwortqualität erhalten, während die Datenmenge im Tool minimal bleibt. Diese Fähigkeit lässt sich in einer halben Stunde Schulung vermitteln und zahlt sich bei jedem Einsatz aus.

Eine Zusatzregel gilt für besondere Datenkategorien. Diese verarbeiten Sie mit einem externen KI-Tool praktisch nie. Die Rechtsgrundlagen sind eng, und die Risiken für Ihre Kunden sind hoch. Für solche Fälle bleiben interne Lösungen oder Papier, nicht die schnelle Eingabe ins Sprachwerkzeug.

Die EU-KI-Verordnung: Ihre Pflichten im Überblick

Die EU-KI-Verordnung richtet sich nicht nur an Hersteller. Auch Anwender, also Ihr Unternehmen, haben Pflichten, gerade bei KI-Systemen mit höherem Risiko. Für typische KMU sind drei Punkte relevant.

Erstens die KI-Kompetenz: Seit Februar 2025 gilt die Anforderung an alle Unternehmen, die KI einsetzen, den Aufbau von KI-Kompetenz ihres Personals zu unterstützen. Seit dem Digital Omnibus von Juli 2026 heißt es „unterstützen und fördern" statt „sicherstellen". Es gibt kein vorgeschriebenes Format und kein Zertifikat, eine Dokumentation ist aber empfohlen. Wie Sie das im Betrieb umsetzen, beschreibt der Beitrag zur KI-Schulung für Mitarbeiter.

Zweitens die Transparenzpflichten: Seit August 2026 müssen KI-Chatbots gegenüber Nutzern als solche erkennbar sein, und KI-generierte Inhalte beziehungsweise Deepfakes sind entsprechend zu kennzeichnen. Für Ihren eigenen Kundenservice-Chatbot heißt das konkret: Die Kunden müssen wissen, dass eine Maschine antwortet. Details zur Umsetzung finden Sie im Beitrag über den KI-Chatbot für Unternehmen.

Drittens die Dokumentation: Für höherklassige Systeme verlangt die Verordnung Nachweise zu Zweck, Daten und Aufsicht. Auch wenn viele KMU formal nur von wenigen Pflichten getroffen werden: Eine knappe Dokumentation Ihrer KI-Anwendungen bleibt ein gutes Werkzeug. Sie bündelt zugleich Ihre DSGVO-Dokumentation. Wer mit dem Zusammenspiel starten will, liest zuerst den vollständigen Überblick zur EU-KI-Verordnung.

Die Aufsicht über die KI-Verordnung in Deutschland liegt bei der Bundesnetzagentur. Sie ist die zentrale Marktüberwachungsbehörde für KI und betreibt einen KI-Servicedesk, bei dem Unternehmen Fragen klären können. Für Sie heißt das: Es gibt eine Anlaufstelle, wenn Sie unsicher sind, ob Ihre Anwendung neue Pflichten auslöst. Die gesetzliche Grundlage liefert das deutsche Durchführungsgesetz von 2026.

Auftragsverarbeitung bei KI in der Praxis

Sobald ein externes Tool personenbezogene Daten verarbeitet, brauchen Sie eine Auftragsverarbeitung nach Artikel 28 DSGVO. Ein AVV ist kein Formalismus, sondern die Vertragsgrundlage, in der geklärt wird, wer wofür verantwortlich ist. Eine einmalige, schriftliche Vereinbarung schützt Sie im Streitfall.

Dazu müssen Sie wissen: Viele Anbieter hängen die AVV ihren AGB an oder verlangen deren Aktivierung im Verwaltungsportal. Prüfen Sie, ob die Version, die Sie nutzen, tatsächlich die AVV enthält. Nicht jede Tarifstufe bietet sie.

Die wichtigsten Punkte einer AVV für ein KI-Tool:

1. Gegenstand und Dauer der Verarbeitung.
2. Zweck, Art der Daten und betroffene Personengruppen.
3. Weisungsgebundenheit: Sie bestimmen, was mit den Daten geschieht.
4. Einhaltung der technischen und organisatorischen Maßnahmen (TOM) durch den Anbieter.
5. Keine Verwendung der Daten für Trainingszwecke oder nur nach Ihrer Einwilligung.
6. Regelung zu Unterverarbeitern (z. B. Subunternehmen des Anbieters).
7. Unterstützung bei Betroffenenrechten (Auskunft, Löschung, Berichtigung).
8. Datenlöschung und -rückgabe bei Vertragsende.
9. Kontroll- und Prüfrechte, in der Praxis oft als Auditklausel.

Ein einzelner fehlender Punkt macht den Vertrag selten nichtig, erschwert aber die Durchsetzung. Lassen Sie den AVV-Entwurf einmal von einem Datenschutz-Experten gegenprüfen. Danach nutzen Sie dieselbe Checkliste für weitere Anbieter. Der Aufwand dafür ist einmalig.

Damit der Vertrag nicht nur auf dem Papier gilt, gehört zur AVV auch die Umsetzung im Betrieb: Stellen Sie sicher, dass Ihre Mitarbeiter nur den freigegebenen Account nutzen und keine Eingaben in private Versionen desselben Anbieters wandern. Falls der Anbieter Unterverarbeiter einsetzt, dokumentieren Sie, welche das sind. Im Streitfall müssen Sie das nachweisen können. Diese kleinen Disziplinen machen aus einem Vertrag gelebten Datenschutz.

Ob ein Anbieter für Ihre Datenart überhaupt die passende Verordnungslage anbietet, sollten Sie vor dem Abschluss klären. Ein Tool, das keinen Vertragsschluss für EU-Verarbeitung ermöglicht, scheidet für personenbezogene Daten aus, unabhängig davon, wie gut es funktioniert.

Zum Thema Wechsel passt ein Hinweis: Wenn Sie von einem Anbieter zu einem anderen wechseln, prüfen Sie die Löschung beim alten Tool als Teil des Umstiegs. Wer alternative Werkzeuge vergleichen will, findet im Vergleich der ChatGPT-Alternativen Kriterien, die auch die Vertragsfrage abdecken.

Urheberrecht, Haftung und Verträge bei KI

Neben dem Datenschutz gibt es drei Rechtsfelder, die ihre eigenen Regeln haben. Dieser Abschnitt nennt die Eckpunkte, ersetzt keinen juristischen Rat.

Urheberrecht an KI-Ergebnissen

Ob ein KI-Ergebnis urheberrechtlich geschützt ist, hängt vom menschlichen Gestaltungsanteil ab. Nach überwiegender Auffassung in Rechtsprechung und Literatur genießen rein maschinell erzeugte Inhalte keinen urheberrechtlichen Schutz; geschützt bleibt, was eine Person erkennbar gestaltet hat. Für den Alltag bedeutet das: Behandeln Sie KI-Texte als Material, das zur Veröffentlichung nachbearbeitet und personell verantwortet wird. Identische Wiederholungen geschützter fremder Texte sind auch über KI nicht erlaubt.

Eine praktische Kennzeichnungspflicht kommt dazu: Seit August 2026 verlangt die KI-Verordnung, KI-generierte Inhalte gegenüber Dritten zu kennzeichnen, etwa in der Kommunikation. Ein kurzer Hinweis unter dem Text ist meist ausreichend und schützt vor Missverständnissen.

Haftung bei KI-Fehlern

Für Fehler, die mit Ihrer KI entstehen, haften Sie grundsätzlich wie für Ihre eigenen Handlungen. Ein fehlerhafter Kundenantwortsatz oder eine falsche Auskunft auf Ihrer Website ist Ihnen zuzurechnen, auch wenn ein Tool sie erzeugt hat. Daraus folgt die wichtigste Haftungsregel im Alltag: Wo Entscheidungen Außenwirkung haben, bleibt ein Mensch im Prüf- und Freigabeprozess. Automatische Antworten ohne Freigabe sind die gefährlichste Stelle in vielen kleinen Betrieben.

Bei selbst entwickelten KI-Systemen oder enger Dienstleister-Einbindung kommen Produkt- und Beratungshaftung hinzu. Wie groß Ihr Risiko wirklich ist, hängt von Branche und Einsatz ab. Sobald KI Aufgaben mit Geld oder Gesundheit berührt, gehört ein Jurist dazu.

Verträge mit KI-Dienstleistern

Bei jedem Vertrag mit einem KI-Anbieter oder einer Agentur sollten vier Klauseln enthalten sein: eine Auftragsverarbeitungslösung für personenbezogene Daten, die Übertragung der Rechte an den Ergebnissen auf Sie, eine klare Haftungs- und Gewährleistungsregelung sowie eine Datenschutz- und Löschklausel für das Vertragsende. Wer diese vier Punkte schriftlich hat, vermeidet die häufigsten Streitpunkte. Für eine Einordnung der Kosten solcher Verträge hilft der Beitrag zu KI-Beratungskosten.

Die KI-Richtlinie für Ihr Unternehmen

Eine gute KI-Richtlinie ist kurz und praktisch. Sie regelt, wie Ihre Mitarbeiter Werkzeuge nutzen dürfen: ein Arbeitsblatt, keine Anwaltsakte. Sechs Bausteine gehören hinein:

1. Erlaubte Werkzeuge: Liste der freigegebenen Tools mit Unternehmens-Account.
2. Datengrenze: eine klare Aussage, welche Daten nie eingegeben werden (z. B. Kundendaten in Gratisversionen, Passwörter, Finanzdaten).
3. Freigabepflicht: wann KI-Ergebnisse ohne menschliche Prüfung nicht verwendet werden dürfen.
4. Kennzeichnung: wie Sie KI-generierte Inhalte nach außen kennzeichnen.
5. Ansprechpartner: wer bei Fragen zum Datenschutz zuständig ist.
6. Folgen bei Verstößen: was passiert, wenn jemand gegen die Regeln handelt.

Eine halbe Seite reicht für den Einstieg. Wichtig ist, dass die Richtlinie mit dem Team besprochen und jährlich überprüft wird. Ein Dokument im Intranet, das niemand kennt, schützt nicht.

Wer die Richtlinie verankern will, braucht außerdem eine verantwortliche Person. In kleineren Betrieben ist das oft der Inhaber oder eine beauftragte Führungskraft; wer personenbezogene Daten in größerem Umfang verarbeitet, prüft mit einem Datenschutzbeauftragten die Lage. Diese Stelle beantwortet Fragen, gibt Freigaben und hält die Risikoliste aktuell. Damit hat der Datenschutz einen Ansprechpartner und versinkt nicht in der Allgemeinheit.

Wer KI einführt, sollte die Richtlinie von Anfang an mitplanen. Die Einführung von KI im Unternehmen beschreibt diesen Zusammenhang im Gesamtprozess. Und in Betrieben mit Betriebsrat gehört die Richtlinie in die Mitbestimmung; die Abläufe dafür stehen im Beitrag zu KI und Betriebsrat.

Die DSGVO-Checkliste für den KI-Einsatz

Diese Checkliste führt Sie einmal durch alle Punkte, die vor dem produktiven Einsatz eines KI-Tools geklärt sein sollten.

• Rechtsgrundlage für die Verarbeitung festgelegt und dokumentiert?
• Auftragsverarbeitung (AVV) mit dem Anbieter geschlossen und aktiviert?
• Verarbeitung in der EU oder durch Data-Boundary-Zusagen abgesichert?
• Eingaben werden nicht fürs Trainieren des Anbieters verwendet?
• Datenminimierung möglich: welche Felder können weggelassen werden?
• Löschregelung für Verlauf und hochgeladene Dokumente vorhanden?
• Mitbestimmung des Betriebsrats geprüft (bei Überwachung, § 87 Abs. 1 Nr. 6 BetrVG)?
• KI-Richtlinie bekannt gemacht und Schulung der Mitarbeiter erfolgt?
• Freigabeprozess für außenwirksame Ergebnisse eingerichtet?
• Dokumentation für DSGVO und KI-Verordnung angelegt?

Wer alle Punkte abhaken kann, ist für den sicheren Einstieg gut aufgestellt. Wer Unterstützung braucht, findet in KI-Beratung Orientierung zu Aufwand und Kosten. Und wer die finanzielle Seite der Maßnahmen plant, liest den Überblick zu den Kosten von KI im Unternehmen. Zur Finanzierung von Schulung und Einführung hilft der Beitrag zur KI-Förderung.