KI DSGVO-konform einsetzen: Leitfaden für Unternehmen 2026

KI einzusetzen ist einfach. KI DSGVO-konform einzusetzen ist etwas anspruchsvoller — aber absolut machbar. Dieser Leitfaden führt Sie durch die wichtigsten Anforderungen und zeigt, welche Schritte in welcher Reihenfolge sinnvoll sind.

Warum DSGVO und KI ein besonderes Thema sind

KI-Systeme verarbeiten oft personenbezogene Daten — manchmal offensichtlich (wenn ein Chatbot Namen und E-Mail erfasst), manchmal unsichtbar (wenn ein KI-Tool Surfverhalten analysiert oder Anfragen an Cloud-Server sendet). Die DSGVO greift in all diesen Fällen.

Das Besondere bei KI: Viele Unternehmer wissen nicht, welche Daten ihre KI-Tools eigentlich verarbeiten — und ob diese Verarbeitung eine Rechtsgrundlage hat. Genau das ist das Risiko.

Die wichtigsten DSGVO-Grundlagen für KI-Einsatz

• Rechtsgrundlage: Für jede Datenverarbeitung brauchen Sie eine Rechtsgrundlage — Einwilligung, Vertragserfüllung oder berechtigtes Interesse
• Zweckbindung: Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden
• Datensparsamkeit: Nur die Daten erheben, die wirklich benötigt werden
• Transparenz: Nutzer müssen wissen, dass und wie KI ihre Daten verarbeitet
• Betroffenenrechte: Auskunft, Löschung, Korrektur müssen jederzeit möglich sein
• Auftragsverarbeitungsvertrag (AVV): Bei jedem externen KI-Anbieter Pflicht

Schritt 1: KI-Inventar erstellen

Viele Unternehmen haben mehr KI-Tools im Einsatz, als sie wissen — ChatGPT für Texte, ein KI-Analysetool auf der Website, ein automatisierter E-Mail-Assistent. Der erste Schritt: Alle KI-Systeme identifizieren und dokumentieren.

• Welche KI-Tools nutzen Sie? (intern und für Kundenkommunikation)
• Welche Daten verarbeitet jedes Tool? (Namen, E-Mails, IP-Adressen, Inhalte)
• Wer ist der Anbieter — und wo stehen die Server?
• Gibt es einen Auftragsverarbeitungsvertrag mit dem Anbieter?
• Was passiert mit den Daten nach der Verarbeitung?

Schritt 2: Auftragsverarbeitungsverträge abschließen

Wenn Sie KI-Tools von Drittanbietern nutzen, die personenbezogene Daten verarbeiten, sind Sie der Verantwortliche — der Anbieter ist Ihr Auftragsverarbeiter. Das macht einen AVV gesetzlich zwingend.

• OpenAI (ChatGPT API): AVV über die OpenAI-Datenschutzeinstellungen abrufbar
• Anthropic (Claude API): Data Processing Agreement verfügbar
• Google (Gemini, Analytics): Über Google Cloud und Workspace-Einstellungen
• Kleinere Anbieter: Aktiv anfragen — fehlt der AVV, ist der Einsatz nicht DSGVO-konform
• Drittland-Transfers: US-Anbieter unterliegen dem EU-US Data Privacy Framework — trotzdem prüfen

Schritt 3: Datenschutzerklärung aktualisieren

Sobald KI-Tools personenbezogene Daten verarbeiten, muss die Datenschutzerklärung das abbilden. Konkret:

• Welche KI-Tools werden eingesetzt?
• Was ist der Zweck der Verarbeitung?
• Welche Daten werden verarbeitet?
• Wer sind die Auftragsverarbeiter (Tool-Anbieter)?
• Wie können Betroffene Auskunft, Löschung oder Widerspruch geltend machen?

Besondere Kategorien: Vorsicht bei sensiblen Daten

Gesundheitsdaten, politische Meinungen, Religionszugehörigkeit und andere besonders sensible Daten (Art. 9 DSGVO) erfordern eine explizite Einwilligung — und deutlich strengere Schutzmaßnahmen. Diese Daten sollten niemals ohne ausdrückliche Einwilligung in KI-Systeme eingegeben werden.

Praktische Checkliste: DSGVO-konformer KI-Einsatz

• KI-Inventar vollständig — alle Tools erfasst
• AVV mit jedem Anbieter abgeschlossen
• Datenschutzerklärung aktuell und vollständig
• Rechtsgrundlage für jede Verarbeitung dokumentiert
• Keine sensiblen Daten ohne Einwilligung in KI-Tools eingegeben
• Betroffenenrechte operativ umgesetzt (Löschroutine vorhanden)
• Mitarbeiter sensibilisiert: Was darf in KI-Tools eingegeben werden?