KI-Einsatz und DSGVO: was Sie wissen müssen
Der Einsatz von KI-Tools im Unternehmen ist nicht automatisch DSGVO-widrig. Entscheidend ist, welche Daten in welches Tool eingegeben werden, und ob die vertraglichen Voraussetzungen stimmen.
Wichtig: Diese Seite gibt eine Orientierung, ersetzt aber keine Rechtsberatung. Für verbindliche Datenschutzfragen wenden Sie sich an Ihren Datenschutzbeauftragten oder eine spezialisierte Kanzlei.
Auf einen Blick
- Grundregel: Keine personenbezogenen Daten ohne Auftragsverarbeitungsvertrag (AVV) in KI-Tools
- Tools mit AVV: Microsoft 365 Copilot, Google Workspace, ChatGPT Enterprise/Team
- DSGVO + KI-VO gelten parallel: sie ergänzen sich, ersetzen sich nicht
- Schulungspflicht: Artikel 4 KI-VO fordert, dass Mitarbeitende Datenschutzrisiken beim KI-Einsatz kennen
- Im KWAIX-Training: Datenschutzgrundlagen und Policy-Regeln sind fester Bestandteil
Die wichtigsten Datenschutzregeln beim KI-Einsatz
Kein AVV = keine Personaldaten
Ohne Auftragsverarbeitungsvertrag dürfen keine personenbezogenen Daten (Kunden, Mitarbeitende) in KI-Tools eingegeben werden.
AVV prüfen vor Einsatz
Vor dem Unternehmens-Rollout jedes KI-Tools prüfen, ob ein AVV vorliegt und welche Datenspeicherorte er abdeckt.
Mitarbeitende schulen
Alle Mitarbeitenden, die KI-Tools nutzen, müssen wissen, welche Daten sie eingeben dürfen und welche nicht.
Tool-Inventur
Welche KI-Tools sind im Unternehmen im Einsatz? Oft werden mehr Tools genutzt als der IT bekannt ist.
Dokumentation
Tool-Freigaben, AVVs und Schulungsnachweise (Artikel 4 KI-VO) sollten zentral archiviert werden.
DSFA prüfen
Bei KI-Einsatz mit hohem Risiko (Profiling, HR-Entscheidungen) Datenschutz-Folgenabschätzung prüfen.
DSGVO und KI-Verordnung: das Verhältnis
| DSGVO | EU KI-Verordnung | |
|---|---|---|
| Regelt | Verarbeitung personenbezogener Daten | KI-Systeme und deren Risikostufen |
| Gilt seit | 25. Mai 2018 | Stufenweise ab 2024–2027 |
| für KMU und Mittelstand relevant | Immer, wenn Kundendaten verarbeitet werden | Seit 2. Februar 2025 (Artikel 4 KI-Kompetenz) |
| Sanktionen | Bis 20 Mio. € / 4 % Jahresumsatz | Bis 15 Mio. € / 3 % Jahresumsatz |
FAQ: Datenschutz & DSGVO beim KI-Einsatz
Darf ich ChatGPT oder Microsoft Copilot im Unternehmen nutzen? Das hängt von der Konfiguration und den verarbeiteten Daten ab. Microsoft Copilot Enterprise bietet einen AVV und EU-Datenspeicherung. ChatGPT Enterprise bietet ebenfalls AVV und kein Training mit Kundendaten. Für die öffentliche ChatGPT-Version gilt: keine personenbezogenen Daten eingeben. Für verbindliche Einschätzungen: Datenschutzbeauftragten oder Kanzlei hinzuziehen.
Welche Daten dürfen nicht in KI-Tools eingegeben werden? Ohne AVV: keine personenbezogenen Daten, also keine Kundennamen, E-Mail-Adressen, Vertragsdaten, Gesundheitsdaten, Personaldaten oder Informationen, aus denen Personen identifizierbar sind.
Was ist ein Auftragsverarbeitungsvertrag (AVV)? Ein Vertrag zwischen Ihrem Unternehmen und dem KI-Anbieter, der regelt, wie der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Ohne AVV sind Sie als Verantwortlicher haftbar für Datenschutzverstöße.
Wie verhält sich die DSGVO zur EU KI-Verordnung? Beide gelten parallel und ergänzen sich. Die DSGVO regelt den Schutz personenbezogener Daten. Die EU KI-Verordnung regelt Anforderungen an KI-Systeme selbst: Transparenz, Risikomanagement, Kompetenzpflichten.
Brauche ich für KI-Tools eine Datenschutz-Folgenabschätzung? Nur bei hohem Risiko, z.B. systematisches KI-basiertes Profiling von Kunden oder Mitarbeitenden. Für üblichen Einsatz zur Texterstellung oder Recherche in der Regel nicht. Prüfung durch den Datenschutzbeauftragten empfohlen.
Amtliche Rechtsquellen: DSGVO und KI-Verordnung
Datenschutz-Grundverordnung (DSGVO):
- Verordnung (EU) 2016/679 – DSGVO (EUR-Lex, offizieller Text) — Artikel 28 regelt die Auftragsverarbeitung, Artikel 35 die Datenschutz-Folgenabschätzung
EU KI-Verordnung:
- Verordnung (EU) 2024/1689 – Artikel 4 (EUR-Lex, offizieller Verordnungstext) — Artikel 4 regelt die Kompetenzpflicht, Artikel 3 Nr. 4 definiert den Betreiberbegriff
- Bundesnetzagentur: Hinweispapier KI-Kompetenzen nach Artikel 4 KI-Verordnung (Juni 2025) — Orientierung für Unternehmen zur Umsetzung in Deutschland
Hinweis: Diese Seite ist keine Rechtsberatung. Für verbindliche Einschätzungen zum DSGVO-konformen KI-Einsatz in Ihrem Unternehmen wenden Sie sich an Ihren Datenschutzbeauftragten oder eine spezialisierte Kanzlei.