Anwendungsfall begrenzen
Geschäftszweck, Nutzer, erwartetes Ergebnis und ausgeschlossene Nutzungen präzise dokumentieren.
KI & Datenschutz für Unternehmen
DSGVO-konforme KI: Was Unternehmen wirklich klären müssen.
Nicht der Produktname entscheidet über Datenschutzkonformität, sondern der konkrete Einsatz. Zweck, Daten, Rechtsgrundlage, Verträge, Hosting, Konfiguration, Zugriffe, Löschung, Sicherheit und menschliche Kontrolle müssen zusammenpassen.
Kurzantwort
Welche KI ist DSGVO-konform?
Keine KI ist unabhängig vom Einsatz automatisch „DSGVO-konform“.
Ein Tool kann geeignete Vertrags-, Sicherheits- und Konfigurationsmöglichkeiten bieten. Ob die Nutzung rechtmäßig ist, hängt trotzdem vom Unternehmen, dem Zweck, den Daten und der konkreten Verarbeitung ab.
Konformität entsteht im Gesamtsystem
- klarer Zweck und tragfähige Rechtsgrundlage
- passende Anbieterrolle, AVV und Datenübermittlungen
- Datenminimierung, Löschkonzept und Zugriffsschutz
- technische und organisatorische Schutzmaßnahmen
- Transparenz, Betroffenenrechte und menschliche Aufsicht
- Dokumentation und laufendes Monitoring
Praxischeck
10 Punkte für den DSGVO-konformen KI-Einsatz
Die Checkliste übersetzt die zentralen Datenschutzfragen in einen umsetzbaren Projektablauf. Sie ersetzt keine Rechtsberatung und muss an den Anwendungsfall angepasst werden.
Datenarten inventarisieren
Personenbezug, besondere Kategorien, Beschäftigtendaten, vertrauliche Inhalte und Quellen erfassen.
Rechtsgrundlage festlegen
Für jede Verarbeitung die Rechtsgrundlage sowie Informations- und Beteiligungspflichten klären.
Anbieter und Verträge prüfen
Verantwortlichkeit, Auftragsverarbeitung, Unterauftragnehmer, Nutzungsbedingungen und Weisungsbindung bewerten.
Datenflüsse nachvollziehen
Speicher-, Support- und Verarbeitungsorte sowie etwaige Drittlandübermittlungen vollständig abbilden.
Daten minimieren
Nur erforderliche Daten verarbeiten; Pseudonymisierung, Filter, Mandantentrennung und begrenzte Aufbewahrung vorsehen.
TOMs umsetzen
Berechtigungen, Verschlüsselung, Protokollierung, Eingabeschutz, Tests, Backups und Incident-Prozesse definieren.
DSFA-Schwelle prüfen
Bewerten, ob voraussichtlich ein hohes Risiko für Personen besteht und deshalb eine Datenschutz-Folgenabschätzung nötig ist.
Transparenz und Aufsicht sichern
Informationen, Betroffenenrechte, Korrekturwege und menschliche Kontrolle besonders bei folgenreichen Entscheidungen gestalten.
Dokumentieren und überwachen
Verzeichnis, Freigaben, Modell- und Prompt-Änderungen, Qualität, Vorfälle, Schulungen und regelmäßige Reviews nachweisbar führen.
ChatGPT, Gemini & Copilot
Produkte nicht pauschal bewerten
Consumer-, Team- und Enterprise-Angebote desselben Anbieters können sich bei Verträgen, Training, Speicherfristen, Kontrollen und Datenflüssen deutlich unterscheiden. Deshalb ist „Ist Tool X DSGVO-konform?“ die falsche Startfrage.
Besser: Welche Produktvariante wird für welchen Zweck mit welchen Daten genutzt, welche Einstellungen gelten und welche Nachweise liegen vor?
Souveräne Architektur
Wenn Kontrolle geschäftskritisch ist
Für sensible Daten oder strategisches Unternehmenswissen können private, dedizierte oder selbst betriebene Architekturen mehr Kontrolle über Zugriffe, Speicherorte und Modellnutzung ermöglichen. Auch sie benötigen jedoch ein vollständiges Datenschutz- und Sicherheitskonzept.
Zwei Regelwerke
DSGVO und EU AI Act gemeinsam denken
Die Datenschutz-Grundverordnung und der EU AI Act verfolgen unterschiedliche Regelungsziele. In einem KI-Projekt müssen beide Prüfpfade zusammengeführt werden.
DSGVO
Regelt die Verarbeitung personenbezogener Daten — unter anderem Grundsätze, Rechtsgrundlagen, Betroffenenrechte, Auftragsverarbeitung, Sicherheit und Datenschutz-Folgenabschätzung.
EU AI Act
Ordnet KI-Systeme risikobasiert ein und stellt abhängig von Rolle und Risikoklasse Anforderungen an Entwicklung, Bereitstellung, Nutzung, Dokumentation und Aufsicht.
Gemeinsame Umsetzung
Inventar, Datenfluss, Risikoklassifizierung, Verantwortlichkeiten, Kontrollen, Schulung und Monitoring sollten in einer konsistenten Governance zusammenlaufen.
Besondere Anwendungsfälle
Wo Datenschutzfragen früh geklärt werden müssen
KI-Telefonassistenten
Transparenz, Gesprächsdaten, Aufzeichnung, Speicherfristen und sichere Übergaben festlegen.
Anwendungsfall ansehen →Chatbots & Kundenservice
Datenquellen, Personenbezug, Authentifizierung und Halluzinationsrisiken kontrollieren.
Anwendungsfall ansehen →RAG & Wissenssysteme
Berechtigungen aus Quellsystemen erhalten, Quellen anzeigen und unzulässige Datenabflüsse verhindern.
Anwendungsfall ansehen →Dokumente & Belege
Aufbewahrung, Zweckbindung, Rollen und Schutz von Personal-, Kunden- oder Lieferantendaten berücksichtigen.
Anwendungsfall ansehen →KI-Agenten
Befugnisse, Tool-Zugriffe, Protokolle und menschliche Freigaben vor externen Aktionen begrenzen.
KI-Beratung ansehen →Prozessautomatisierung
Datenschutz und Sicherheit in den gesamten End-to-End-Prozess integrieren.
KI-Automatisierung ansehen →Regional begleiten wir Unternehmen über unsere KI-Agentur Bayreuth mit Compliance by Design sowie bei der DSGVO-orientierten KI-Umsetzung in München und Oberbayern — vor Ort, remote oder hybrid.
Häufige Fragen
KI und Datenschutz — kurz erklärt
Welche KI ist DSGVO-konform?
Eine pauschal DSGVO-konforme KI gibt es nicht. Entscheidend sind der konkrete Zweck, die verarbeiteten Daten, Rechtsgrundlage, Anbieterrollen und Verträge, Datenstandorte und Übermittlungen, Löschregeln, Zugriffe, technische Schutzmaßnahmen und die tatsächliche Konfiguration im Betrieb.
Kann ChatGPT DSGVO-konform genutzt werden?
Das lässt sich nur für einen konkreten Einsatz beurteilen. Unternehmen müssen insbesondere Vertrags- und Produktvariante, Rollenverteilung, Trainingsnutzung, Speicher- und Löschoptionen, Datenübermittlungen, Rechtsgrundlage, Eingaberichtlinien und Schutzmaßnahmen prüfen. Vertrauliche oder personenbezogene Daten gehören nicht ungeprüft in frei zugängliche Konten.
Sind Gemini oder Microsoft Copilot datenschutzkonform?
Nicht allein aufgrund des Produktnamens. Lizenzmodell, Mandanteneinstellungen, Auftragsverarbeitung, Telemetrie, Datenflüsse, Modelltraining, Speicherfristen, Berechtigungen und der konkrete Anwendungsfall bestimmen die Bewertung.
Wann ist bei KI eine Datenschutz-Folgenabschätzung nötig?
Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen zur Folge hat. Das muss vor dem produktiven Einsatz anwendungsbezogen geprüft und dokumentiert werden.
Was ist bei KI-Agenten und Chatbots nach DSGVO wichtig?
Zusätzlich zu Zweck, Rechtsgrundlage und Transparenz müssen Befugnisse, Datenquellen, Protokollierung, Zugriffsschutz, Aufbewahrung, sichere Übergaben an Menschen und Grenzen automatisierter Entscheidungen festgelegt werden. Externe Aktionen eines Agenten brauchen besonders klare Freigaben.
Sind DSGVO und EU AI Act dasselbe?
Nein. Die DSGVO regelt den Schutz personenbezogener Daten; der EU AI Act stellt risikobasierte Anforderungen an bestimmte KI-Systeme und deren Betreiber. Je nach Anwendungsfall gelten beide Regelwerke nebeneinander.
Offizielle Grundlagen
Quellen für die Projektprüfung
Fachlicher Stand
5. August 2026
Diese Seite bietet eine praxisorientierte Übersicht und keine Rechtsberatung. Die rechtliche und technische Bewertung muss für den konkreten Anwendungsfall und die jeweils aktuelle Produktkonfiguration erfolgen.
Compliance by Design
Datenschutz nicht nachträglich reparieren
Wir verbinden Prozess, Business Case, Architektur und Governance von Beginn an — gemeinsam mit Ihren Verantwortlichen für Datenschutz, IT-Sicherheit und Fachbereich.