KI-Einsatz im Unternehmen ist DSGVO-konform möglich, aber nicht automatisch. Entscheidend ist, welche Daten in die KI fließen, wo sie verarbeitet werden und ob die Zusammenarbeit mit dem Anbieter vertraglich geregelt ist. Wer diese drei Punkte klärt, kann KI produktiv einsetzen, ohne ein Datenschutzrisiko aufzubauen.
Warum die Frage überhaupt aufkommt
In fast jedem Unternehmen wird bereits KI genutzt, oft ohne dass es jemand entschieden hat. Ein Mitarbeiter kopiert eine Kundenmail in ChatGPT, um höflich zu antworten. Jemand lässt ein Angebot zusammenfassen. Eine Bewerbung wird durch ein KI-Tool geschickt, um die Kernpunkte zu erfassen.
Genau da beginnt das Problem: In dem Moment, in dem personenbezogene Daten in ein Werkzeug wandern, das dem Unternehmen nicht gehört, greift die DSGVO. Nicht, weil KI ein Sonderfall wäre, sondern weil jede Verarbeitung personenbezogener Daten durch Dritte geregelt sein muss.
Die gute Nachricht: Die Regeln dafür sind nicht neu. Es sind dieselben, die für Cloud-Software, externe Buchhaltung oder ein CRM-System gelten.
Die drei Fragen, an denen sich alles entscheidet
1. Welche Daten gehen überhaupt in die KI?
Nicht jeder KI-Einsatz berührt den Datenschutz. Ein Agent, der Materialpreise vergleicht oder Produkttexte formuliert, verarbeitet keine personenbezogenen Daten. Ein Agent, der Kundenmails sortiert, Bewerbungen liest oder Rechnungen zuordnet, sehr wohl.
Der erste Schritt ist deshalb immer eine ehrliche Bestandsaufnahme: Welche Daten fließen in den Prozess, und sind davon wirklich alle nötig? Häufig lässt sich der personenbezogene Anteil deutlich reduzieren, etwa indem Namen und Kontaktdaten gar nicht erst mitgeschickt werden. Weniger Daten heißt weniger Aufwand und weniger Risiko.
2. Wo läuft das KI-Modell?
Hier trennt sich die Praxis in drei Varianten:
- Anbieter in der EU oder mit EU-Verarbeitung: organisatorisch am einfachsten, weil kein Drittlandtransfer geprüft werden muss.
- Anbieter außerhalb der EU, vor allem in den USA: grundsätzlich möglich, aber der Transfer braucht eine tragfähige Grundlage (etwa Standardvertragsklauseln oder einen Angemessenheitsbeschluss) und eine dokumentierte Prüfung.
- KI-Modell im eigenen Haus oder auf eigener Infrastruktur: technisch aufwendiger, dafür verlassen die Daten das Unternehmen nicht. Sinnvoll bei sensiblen Inhalten, etwa in Personal-, Gesundheits- oder Vertragsthemen.
Welche Variante passt, ist keine Glaubensfrage, sondern hängt am Prozess. Für die Vorsortierung allgemeiner Anfragen gelten andere Maßstäbe als für Personalakten.
3. Ist die Verarbeitung vertraglich geregelt?
Wenn ein Anbieter in Ihrem Auftrag personenbezogene Daten verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Die meisten professionellen KI-Anbieter stellen einen bereit, oft ein Häkchen im Konto, das aber gesetzt sein muss.
Ebenso wichtig: die Frage, ob Ihre Eingaben zum Training der Modelle verwendet werden. Bei geschäftlichen Tarifen ist das in der Regel ausgeschlossen, bei kostenlosen Privatkonten häufig nicht. Genau darin liegt der Unterschied zwischen „das Team nutzt halt ChatGPT" und einem sauber aufgesetzten Werkzeug.
Die typischen Fehler im Mittelstand
- Schatten-KI: Mitarbeiter nutzen private Konten, weil es keine offizielle Lösung gibt. Ein Verbot löst das selten, eine bereitgestellte Alternative fast immer.
- Alles oder nichts: Entweder wird KI komplett untersagt oder völlig ungeregelt genutzt. Beides kostet, einmal Wettbewerbsfähigkeit, einmal Rechtssicherheit.
- Vertrag da, Praxis unklar: Der AVV ist unterschrieben, aber niemand weiß, welche Daten tatsächlich in welches Tool fließen.
- Kein Verarbeitungsverzeichnis: KI-Prozesse tauchen im Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) nicht auf, obwohl sie längst laufen.
- Automatische Entscheidungen ohne Kontrolle: Wo eine KI Menschen betreffende Entscheidungen faktisch allein trifft, etwa im Bewerbungsprozess, wird es heikel. Die Lösung ist meistens simpel: Die KI bereitet vor, ein Mensch entscheidet.
Und der EU AI Act?
Seit August 2024 gibt es zusätzlich die europäische KI-Verordnung (AI Act). Sie ersetzt die DSGVO nicht, sondern kommt obendrauf, und sie betrifft Unternehmen je nach Rolle unterschiedlich stark. Wer KI nur einsetzt und nicht selbst entwickelt, trifft vor allem drei Punkte:
- Verbotene Praktiken (etwa manipulative Systeme oder Emotionserkennung am Arbeitsplatz) gelten seit 2025 und sind sanktionsbewehrt.
- KI-Kompetenz im Team: Unternehmen sollen dafür sorgen, dass Beschäftigte, die mit KI arbeiten, verstehen, was das Werkzeug tut und wo seine Grenzen liegen. Der im Juli 2026 in Kraft getretene Digital Omnibus hat diese Pflicht flexibler gefasst, abgeschafft ist sie nicht.
- Transparenz: KI-erzeugte Inhalte und der Einsatz von KI im Kundenkontakt müssen erkennbar sein.
Die strengeren Pflichten für Hochrisiko-Anwendungen, etwa in Personalauswahl oder Kreditvergabe, wurden durch denselben Digital Omnibus auf Dezember 2027 beziehungsweise August 2028 verschoben. Für die meisten Automatisierungen im Mittelstand, also Mailsortierung, Dokumentenverarbeitung, interne Wissensfragen, gilt ohnehin die niedrigste Risikostufe.
Stand: August 2026. Der Rechtsrahmen bewegt sich, prüfen Sie den aktuellen Stand vor größeren Entscheidungen. Dieser Artikel ersetzt keine Rechtsberatung.
So gehen Sie praktisch vor
Fünf Schritte, die sich im Mittelstand bewährt haben:
- Bestand aufnehmen: Welche KI-Werkzeuge sind heute im Einsatz, offiziell und inoffiziell?
- Prozesse einordnen: Wo fließen personenbezogene Daten, wo nicht? Nur der erste Teil braucht die volle Aufmerksamkeit.
- Werkzeuge bereitstellen: Eine offizielle, geschäftlich lizenzierte Lösung mit AVV und ohne Training auf Ihren Daten.
- Regeln aufschreiben, kurz: Eine Seite genügt: Was darf rein, was nicht, wer entscheidet im Zweifel. Lange Richtlinien liest niemand.
- Dokumentieren: KI-Prozesse ins Verarbeitungsverzeichnis, Zuständigkeit klären, bei sensiblen Fällen die Datenschutz-Folgenabschätzung prüfen.
Der Aufwand ist überschaubar, wenn er am Anfang steht. Teuer wird es erst, wenn ein laufender Prozess nachträglich auseinandergenommen werden muss.
Datenschutz ist kein Grund, KI zu lassen
Die häufigste Reaktion im Mittelstand ist Zurückhaltung: lieber gar keine KI als ein Datenschutzproblem. Verständlich, aber der Preis ist hoch, denn die Arbeit bleibt trotzdem liegen und der Wettbewerb wartet nicht.
In der Praxis lassen sich die meisten Prozesse so zuschneiden, dass sie datenschutzrechtlich unkritisch sind: weniger Daten, klare Grenzen, Freigabe durch Menschen an den richtigen Stellen. Datenschutz ist dabei keine Bremse, sondern eine Konstruktionsvorgabe, ähnlich wie Arbeitssicherheit in der Produktion.
Der erste Schritt: Klarheit über die eigenen Prozesse
Bevor über Werkzeuge und Verträge gesprochen wird, muss klar sein, welche Abläufe überhaupt automatisiert werden sollen und welche Daten dabei im Spiel sind. Genau das leistet der AI Check: eine strukturierte Analyse Ihrer Prozesse mit priorisierten Empfehlungen, inklusive der Frage, welche Daten betroffen sind und welche Lösung datenschutzrechtlich zu Ihnen passt.
Danach wissen Sie, womit Sie starten und worauf Sie dabei achten müssen.
Häufige Fragen zu KI und DSGVO
Dürfen Mitarbeiter ChatGPT im Unternehmen nutzen?
Mit einem privaten Gratiskonto und echten Kundendaten: besser nicht. Mit einem geschäftlichen Konto, abgeschlossenem Auftragsverarbeitungsvertrag und der Zusage, dass Eingaben nicht zum Training verwendet werden: ja, im Rahmen klarer interner Regeln.
Brauche ich für KI einen Auftragsverarbeitungsvertrag?
Immer dann, wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Verarbeitet die KI ausschließlich anonyme oder rein sachliche Daten, entfällt die Pflicht, dann sollte aber dokumentiert sein, warum.
Müssen KI-Modelle in Deutschland laufen?
Nein. Ein Standort in der EU vereinfacht vieles, Verarbeitung außerhalb ist mit einer tragfähigen Grundlage und dokumentierter Prüfung ebenfalls möglich. Bei besonders sensiblen Daten kann ein Modell auf eigener Infrastruktur die ruhigere Lösung sein.
Was passiert mit unseren Daten beim KI-Anbieter?
Das steht in den Vertragsbedingungen und ist die wichtigste Frage überhaupt: Werden Eingaben gespeichert, wie lange, und fließen sie in das Training der Modelle? Bei geschäftlichen Tarifen ist Training auf Kundendaten üblicherweise ausgeschlossen, bei kostenlosen Konten oft nicht.
Müssen wir Kunden sagen, dass wir KI einsetzen?
Wo Menschen mit einer KI interagieren oder KI-erzeugte Inhalte erhalten, muss das erkennbar sein. Unabhängig von der rechtlichen Pflicht ist Offenheit hier meist der bessere Weg, verdeckter KI-Einsatz beschädigt Vertrauen schneller, als er Zeit spart.
Wer haftet, wenn die KI einen Fehler macht?
Das Unternehmen, das sie einsetzt. Deshalb gehören in jeden Prozess, bei dem etwas nach außen geht oder Menschen betrifft, Kontrollpunkte und eine menschliche Freigabe. Der bewährte Grundsatz lautet: Die KI bereitet vor, der Mensch entscheidet.
Bennett Opdenhoff entwickelt KI-Automatisierung und AI Agents für mittelständische Unternehmen, mit Datenschutz als Teil der Konstruktion und nicht als Nachtrag. Der AI Check ist der strukturierte erste Schritt. Jetzt unverbindlich anfragen.