Leitfaden
Ist KI mit der DSGVO vereinbar?
Für eine Firma, die Kunden- oder Beschäftigtendaten in KI-Werkzeuge einspeist, ist die DSGVO, in Kraft seit dem 25. Mai 2018, meist das nähere Risiko. Vier Prüfungen leisten die Hauptarbeit.
Erste Prüfung: die Rechtsgrundlage
Personenbezogene Daten in ChatGPT, Copilot oder ein internes Werkzeug einzuspeisen ist eine Verarbeitung, und eine Verarbeitung braucht eine Rechtsgrundlage nach Art. 6(1): Einwilligung, Vertragserforderlichkeit, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen. Wählen Sie je Anwendungsfall eine und schreiben Sie sie auf.
Berechtigtes Interesse ist kein Freibrief. Nach der Stellungnahme 28/2024 des Europäischen Datenschutzgremiums vom 17. Dezember 2024 kann es nicht als Standardgrundlage für das Training oder die Nutzung von KI-Modellen mit personenbezogenen Daten dienen. Wer sich darauf stützt, muss einen dreistufigen Test durchführen und dokumentieren: das Interesse benennen, die Erforderlichkeit bewerten, es gegen die Rechte der Betroffenen abwägen.
Zweite Prüfung: der DSFA-Auslöser
Eine Datenschutz-Folgenabschätzung ist vor Beginn der Verarbeitung verpflichtend, wann immer die Verarbeitung, insbesondere unter Nutzung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.
Art. 35(3) nennt drei Auslöser: systematische und umfassende Bewertung oder Profilbildung mit automatisierten Entscheidungen einschließlich rechtlicher oder ähnlich weitreichender Folgen, umfangreiche Verarbeitung besonderer Datenkategorien oder von Strafdaten, systematische umfangreiche Überwachung öffentlicher Bereiche. Die automatisierte Bewerberauswahl und das automatisierte Kredit- oder Risiko-Scoring sind die klassischen KMU-Fälle.
Dritte Prüfung: der Mensch im Entscheidungspunkt
Art. 22 gibt Einzelpersonen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu sein, die Rechtswirkung entfaltet oder sie in ähnlich erheblicher Weise nachteilig betrifft. Das Bild: ein KI-Werkzeug lehnt einen Kredit oder eine Bewerbung vollständig automatisch ab, ohne Mensch.
Es gibt drei enge Ausnahmen, vertragserforderlich, gesetzlich vorgesehen, ausdrückliche Einwilligung. Jede verlangt Schutzmaßnahmen: das Recht auf menschliches Eingreifen, das Recht, einen Standpunkt zu äußern, das Recht, die Entscheidung anzufechten. Benennen Sie für jede Nutzung, die Menschen bewertet oder über sie entscheidet, die Person, die vor Wirksamwerden prüft, und geben Sie ihr die tatsächliche Macht, die Entscheidung zu ändern.
Vierte Prüfung: die Übermittlung in die USA
Verarbeitet Ihr KI-Anbieter personenbezogene Daten außerhalb von EU und EWR, etwa auf US-Infrastruktur von ChatGPT, Claude oder Copilot, verlangt Kapitel V der DSGVO einen Angemessenheitsbeschluss oder angemessene Garantien wie Standardvertragsklauseln. Die meisten US-gehosteten KI-Anbieter stützen sich auf das EU-US Data Privacy Framework, den Angemessenheitsbeschluss der Kommission von Juli 2023.
Dieses Framework ist zum Zeitpunkt dieses Textes rechtlich gültig. Behandeln Sie es als offene Frage, nicht als abgeschlossene. Das Gericht der EU hat es im September 2025 bestätigt, eine Revision beim Gerichtshof ist anhängig, ohne angesetzten Verhandlungstermin, und am 31. Juli 2026 hat das Europäische Datenschutzgremium die Kommission aufgefordert zu prüfen, ob ein Urteil des US Supreme Court vom 29. Juni 2026 die Prämisse unabhängiger Aufsicht untergräbt.
Die praktische Haltung: Wissen Sie, welche Ihrer Anbieter auf dem Framework stehen, und prüfen Sie, ob Standardvertragsklauseln in ihren Bedingungen als Rückfalloption angeboten werden. Die Prüfung kostet eine Stunde.
Copilot, ChatGPT und Co.
Wer ein universelles Werkzeug wie geliefert nutzt, ohne ein neues KI-System unter eigenem Namen in Betrieb zu nehmen, bleibt Betreiber. Der Hersteller ist Anbieter und trägt die Pflichten auf Modellebene. Zum Anbieter wird, wer ein eigenes System baut und unter eigenem Namen in Betrieb nimmt, zum Beispiel ein API-basiertes internes Werkzeug.
Die Konferenz der deutschen Datenschutzbehörden, die DSK, hat eine praktische Checkliste für die datenschutzkonforme Auswahl, Implementierung und Nutzung von KI herausgegeben, erstmals am 6. Mai 2024, aktualisiert im Juni 2025. Es ist Leitlinie der Behörden, die die DSGVO durchsetzen, keine Pflicht des AI Act. Gehen Sie sie je Werkzeug durch, wenn personenbezogene Daten im Spiel sind.
- Rechtsgrundlage: je Anwendungsfall eine Basis nach Art. 6(1) wählen und aufschreiben.
- DSFA-Auslöser: je Verarbeitung mit Personenbezug die drei Auslöserfragen beantworten.
- Mensch: je bewertender Nutzung die prüfende Person benennen und befugen.
- Übermittlung: je Anbieter die Übertragungsgrundlage lesen und die Framework-Frage als offen kalendern.
Dazu passend: Zur KI-Kompetenz besteht seit dem 2. Februar 2025 eine Pflicht für jeden Betreiber. Was als Maßnahme zählt, steht im Leitfaden KI-Schulung für Mitarbeiter. Was KI-Beratung kostet, steht in Was kostet KI-Beratung?.
Häufige Fragen
Ist KI mit der DSGVO vereinbar?
Ja, wenn die Verarbeitung eine Rechtsgrundlage hat. Vier Prüfungen leisten die Hauptarbeit: Rechtsgrundlage je Datenfluss, DSFA-Auslöser, ein echter menschlicher Entscheidungspunkt und eine Übertragungsgrundlage für Anbieter außerhalb der EU.
Reicht berechtigtes Interesse als Rechtsgrundlage?
Nein, nicht als Standard. Nach der Stellungnahme 28/2024 des Europäischen Datenschutzgremiums kann berechtigtes Interesse nicht als Default-Basis für das Training oder die Nutzung von KI-Modellen mit personenbezogenen Daten dienen. Es braucht einen dokumentierten dreistufigen Test: Interesse benennen, Erforderlichkeit bewerten, abwägen.
Wann brauche ich eine Datenschutz-Folgenabschätzung?
Wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt, und zwar vor Beginn der Verarbeitung. Klassische KMU-Fälle sind die automatisierte Bewerberauswahl und das automatisierte Kredit- oder Risiko-Scoring.
Ist das EU-US Data Privacy Framework sicher?
Es ist zum Zeitpunkt dieses Textes rechtlich gültig, aber eine offene Frage. Das Gericht der EU hat es im September 2025 bestätigt, eine Revision ist anhängig. Im Juli 2026 hat das Europäische Datenschutzgremium Bedenken wegen eines Urteils des US Supreme Court geäußert. Prüfen Sie, ob Ihre Anbieter Standardvertragsklauseln als Rückfalloption anbieten.
Kostenlos, 20 Minuten, kein Verkaufsgespräch.
Zuletzt aktualisiert:
Dieser Leitfaden ist keine Rechtsberatung.