KI und DSGVO
Was Unternehmen prüfen müssen
Eine KI-Anwendung ist nicht pauschal datenschutzkonform. Entscheidend ist der konkrete Einsatz: Zweck, Datenarten, Rechtsgrundlage, beteiligte Anbieter, Speicherfristen und Schutzmaßnahmen. Diese Prüfliste zeigt, welche Fragen ein Unternehmen vor dem Einsatz klären sollte. Sie ist eine Orientierung und ersetzt keine rechtliche Beratung im Einzelfall.
Kurz gesagt: Für einen datenschutzgerechten KI-Einsatz müssen Unternehmen den Zweck begrenzen, unnötige personenbezogene Daten vermeiden, eine Rechtsgrundlage bestimmen, Anbieter und Datenflüsse prüfen, Löschung und menschliche Kontrolle festlegen sowie Betroffene transparent informieren. Ein AV-Vertrag oder ein Serverstandort in der EU genügt für sich allein nicht.
Fünf Prüfschritte vor dem KI-Einsatz
Zweck und Daten festlegen
Dokumentieren Sie zuerst, welche Aufgabe das KI-System erfüllt und welche Daten dafür wirklich nötig sind. Personenbezogene Daten gehören nicht vorsorglich in einen Prompt. Datenminimierung und Zweckbindung gelten auch dann, wenn ein externer KI-Dienst verarbeitet.
Rechtsgrundlage und Information prüfen
Für jede Verarbeitung personenbezogener Daten braucht es eine passende Rechtsgrundlage. Betroffene müssen klar erfahren, welche Daten zu welchem Zweck verarbeitet werden, welche Empfänger beteiligt sind und wie lange die Daten gespeichert bleiben.
Anbieter und Verträge bewerten
Prüfen Sie Auftragsverarbeitung, Unterauftragnehmer, Serverstandorte, Drittlandtransfers sowie die Nutzung von Eingaben für Modelltraining. Ein AV-Vertrag allein macht einen konkreten Einsatz nicht automatisch datenschutzrechtlich zulässig.
Risiken, Löschung und Kontrolle festlegen
Definieren Sie Löschfristen, Zugriffsrechte, Protokollierung und eine menschliche Kontrolle. Bei voraussichtlich hohem Risiko kann eine Datenschutz-Folgenabschätzung erforderlich sein. Besondere Kategorien personenbezogener Daten brauchen eine gesonderte Prüfung.
KI-Interaktion transparent machen
Bei einer direkten Interaktion müssen Menschen grundsätzlich erkennen können, dass sie mit einem KI-System sprechen. Der Hinweis gehört an den Beginn eines Chat- oder Sprachdialogs und nicht versteckt in eine Datenschutzerklärung.
Warum es keine pauschale Datenschutz-Zusage gibt
Der Begriff beschreibt keine allgemeine Produkteigenschaft. Dass ein Anbieter Server in der EU nutzt, einen AV-Vertrag bereitstellt oder Eingaben nicht zum Training verwendet, kann relevant sein. Ob ein Einsatz zulässig ist, hängt trotzdem von der konkreten Verarbeitung beim einsetzenden Unternehmen ab.
Ein FAQ-Chatbot ohne Kontaktdaten verarbeitet andere Informationen als ein Sprachassistent, der Anfragen protokolliert, oder ein System, das Bewerbungen bewertet. Deshalb braucht jeder Anwendungsfall eine eigene Prüfung. Bot-Agent verwendet für die Produktentwicklung bewusst die Formulierung DSGVO-orientiert und verspricht keine pauschale Konformität.
Chatbot und Voicebot: Transparenz beginnt im Dialog
Art. 50 Abs. 1 der EU-KI-Verordnung verlangt bei Systemen zur direkten Interaktion grundsätzlich, dass Menschen über den KI-Einsatz informiert werden, wenn dies nicht bereits offensichtlich ist. Ein kurzer Hinweis am Anfang des Chats oder Gesprächs ist dafür nachvollziehbarer als ein versteckter Absatz in langen Rechtstexten.
Zusätzlich muss die Datenschutzerklärung den tatsächlichen Datenfluss abbilden. Dazu gehören je nach Umsetzung der Chat- oder Gesprächsinhalt, technische Protokolldaten, Empfänger, mögliche Drittlandtransfers und Speicherfristen. Der sichtbare KI-Hinweis ersetzt diese Angaben nicht.
Primärquellen und Stand
- Datenschutzkonferenz: Künstliche Intelligenz und Datenschutz, Version 1.0 vom 6. Mai 2024
- Datenschutz-Grundverordnung: insbesondere Art. 5, 6, 13, 28 und 35
- Verordnung (EU) 2024/1689: insbesondere Art. 50 und Art. 113
Stand der Prüfung: 13. Oktober 2026. Autor: Stanislav Tonkich. Keine Rechtsberatung.
Mehr dazu im Bot-Agent Blog
Häufige Fragen zu KI und DSGVO
Eigene Website auf sichtbare Risiken prüfen
Der kostenlose DSGVO-Check untersucht technische und sichtbare Hinweise auf Ihrer Website. Das Ergebnis ist eine automatisierte Orientierung und keine rechtliche Einzelfallprüfung.
Passende Automatisierungen & weiterführende Themen
Autor: Stanislav Tonkich. Stand: 13. Oktober 2026. Fachliche Orientierung, keine Rechtsberatung.