KI und Datenschutz: DSGVO und AI Act

KI und DSGVO sind vereinbar, wenn Sie vor dem Einsatz klären, wo die Daten verarbeitet werden, auf welcher Rechtsgrundlage das geschieht und welche Verträge und Prüfungen nötig sind. Zusätzlich gelten seit 2025 schrittweise die Pflichten der EU-KI-Verordnung (AI Act), darunter die Pflicht zu Maßnahmen für KI-Kompetenz der Beschäftigten nach Art. 4 seit dem 2. Februar 2025.

Dieser Ratgeber gibt einen Überblick mit Stand November 2026. Er ist keine Rechtsberatung. Für Ihren konkreten Fall wenden Sie sich an Ihren Datenschutzbeauftragten oder eine auf Datenschutz spezialisierte Kanzlei.

Gilt die DSGVO auch für KI-Werkzeuge?

Ja, die DSGVO gilt immer, wenn ein KI-System personenbezogene Daten verarbeitet, also Daten, die sich auf eine bestimmte oder bestimmbare Person beziehen. Das betrifft Namen in E-Mails, Kundenanfragen im Chatbot, Telefonmitschnitte, Bewerbungen, Rechnungen oder Patientendaten.

Daraus ergeben sich die Grundpflichten:

Rechtsgrundlage (Art. 6 DSGVO): zum Beispiel Vertragserfüllung, berechtigtes Interesse oder Einwilligung.
Information (Art. 13 und 14 DSGVO): Betroffene müssen erfahren, dass und wie KI ihre Daten verarbeitet.
Zweckbindung und Datenminimierung: nur die Daten verwenden, die für den Zweck nötig sind.
Betroffenenrechte: Auskunft, Berichtigung und Löschung müssen auch bei KI-Systemen möglich sein.
Keine rein automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ohne Ausnahmegrund (Art. 22 DSGVO), etwa eine automatische Absage an Bewerber.

Für besonders geschützte Daten wie Gesundheitsdaten gelten nach Art. 9 DSGVO strengere Regeln. Die Datenschutzkonferenz (DSK) hat mit der Orientierungshilfe "Künstliche Intelligenz und Datenschutz" konkrete Hinweise für Unternehmen veröffentlicht.

USA-Cloud, EU-Cloud oder eigener Server: Was ist der Unterschied?

Der wichtigste Unterschied ist, ob personenbezogene Daten die EU verlassen und wer technisch darauf zugreifen kann. Davon hängen Vertragsaufwand, Risiko und Kosten ab.

Merkmal	USA-Cloud	EU-Cloud	Eigener Server
Wo laufen die Daten?	bei US-Anbietern, ganz oder teilweise in den USA	in Rechenzentren in der EU	in Ihrem Betrieb oder bei Ihrem Hoster unter Ihrer Kontrolle
Drittlandtransfer	ja, Grundlage nötig (z. B. EU-US Data Privacy Framework oder Standardvertragsklauseln)	nein, sofern kein Zugriff aus Drittländern erfolgt	nein
Vertragsaufwand	AVV, Transferprüfung, Unterauftragsverarbeiter prüfen	AVV, Unterauftragsverarbeiter prüfen	AVV nur mit Hoster oder Wartungsdienstleister
Leistungsfähigkeit der Modelle	sehr hoch, neueste Modelle	hoch, Auswahl teils kleiner	abhängig von Hardware, offene Modelle
Kosten	niedrig bis mittel, nutzungsabhängig	mittel	hohe Anfangskosten, planbarer Betrieb
Geeignet für	unkritische Daten, Texte ohne Personenbezug	Kundendaten im Standardgeschäft	Berufsgeheimnis, Gesundheitsdaten, Geschäftsgeheimnisse

Ist die Nutzung von US-Anbietern 2026 erlaubt?

Die Nutzung von US-Anbietern ist grundsätzlich möglich, wenn eine gültige Transfergrundlage und ein AVV vorliegen. Die EU-Kommission hat am 10. Juli 2023 den Angemessenheitsbeschluss zum EU-US Data Privacy Framework erlassen. Das Gericht der EU hat am 3. September 2025 die Klage auf Nichtigerklärung dieses Beschlusses (Rechtssache T-553/23, Latombe) abgewiesen. Der Rahmen gilt damit weiter, ist aber politisch und rechtlich nicht dauerhaft gesichert, weil die Vorgängerabkommen vom Europäischen Gerichtshof gekippt wurden. Prüfen Sie, ob der US-Anbieter unter dem Data Privacy Framework zertifiziert ist.

Was ist mit EU-Rechenzentren von US-Konzernen?

Ein EU-Rechenzentrum eines US-Konzerns senkt das Risiko, beseitigt es aber nicht vollständig, weil US-Behörden unter Umständen Zugriff vom Mutterkonzern verlangen können. Lesen Sie im AVV nach, ob Support- oder Wartungszugriffe aus den USA erfolgen.

Wann brauchen Sie einen Auftragsverarbeitungsvertrag?

Einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO brauchen Sie, sobald ein KI-Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Das ist bei fast allen Unternehmenslösungen der Fall, vom Chatbot bis zur Belegerkennung.

Bieten Sie Mitarbeitenden keine privaten Gratis-Konten an, sondern Business-Tarife mit AVV.
Prüfen Sie, ob der Anbieter Ihre Eingaben zum Training eigener Modelle verwendet, und schalten Sie das ab, wenn möglich.
Lassen Sie sich die Liste der Unterauftragsverarbeiter geben.
Dokumentieren Sie den AVV im Verzeichnis der Verarbeitungstätigkeiten.

Wann ist eine Datenschutz-Folgenabschätzung nötig?

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen hat. Bei KI-Einsatz ist das häufiger der Fall als bei klassischer Software.

Typische Auslöser sind:

Verarbeitung von Gesundheitsdaten oder anderen besonderen Kategorien in größerem Umfang
Bewertung von Personen, etwa Bewerberauswahl oder Leistungsbeurteilung
systematische Überwachung, zum Beispiel Auswertung von Telefonaten oder Videos
Einsatz neuer Technologien mit vielen Betroffenen

Eine einfache Website-FAQ ohne Personenbezug braucht in der Regel keine DSFA. Bei einem Telefonassistenten in der Arztpraxis sollten Sie sie dagegen ernsthaft prüfen.

Welche Pflichten bringt der EU AI Act für Unternehmen?

Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) gilt zusätzlich zur DSGVO und wird schrittweise wirksam. Für die meisten KMU, die KI nur nutzen und nicht selbst entwickeln, sind vor allem KI-Kompetenz, Verbote und Transparenzpflichten relevant.

Seit oder ab	Pflicht	Was das für KMU bedeutet
2. Februar 2025	KI-Kompetenz (Art. 4)	Maßnahmen ergreifen, damit Beschäftigte, die KI-Systeme bedienen, ausreichend geschult sind
2. Februar 2025	verbotene Praktiken (Art. 5)	zum Beispiel keine Emotionserkennung am Arbeitsplatz und keine manipulative KI
2. August 2026	Transparenzpflichten (Art. 50)	Chatbots und Voice-Bots als KI erkennbar machen, KI-generierte Inhalte in bestimmten Fällen kennzeichnen
2. Dezember 2027	Hochrisiko-Systeme nach Anhang III	betrifft etwa KI in Personalauswahl, Kreditprüfung oder Bildung, mit umfangreichen Pflichten
2. August 2028	Hochrisiko-Systeme nach Anhang I	KI als Sicherheitsbauteil regulierter Produkte, etwa Maschinen oder Medizinprodukte

Die Termine für Hochrisiko-Systeme wurden durch eine Änderung der Verordnung gegenüber dem ursprünglichen Zeitplan nach hinten verschoben. Prüfen Sie den aktuellen Stand, bevor Sie KI in sensiblen Bereichen wie Personalauswahl einsetzen.

Was verlangt die KI-Kompetenz nach Art. 4 konkret?

Art. 4 verlangt, dass Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten und anderer Personen, die in ihrem Auftrag KI bedienen, zu fördern. Nach der geänderten Fassung muss dabei kein bestimmtes Kompetenzniveau garantiert werden, und Kommission und Mitgliedstaaten sollen gerade KMU mit Praxisbeispielen unterstützen. Ein Zertifikat ist nicht vorgeschrieben. Sinnvoll sind:

eine kurze Schulung zu Funktionsweise, Grenzen und Risiken der eingesetzten Werkzeuge
eine schriftliche KI-Nutzungsrichtlinie: welche Werkzeuge, welche Daten, wer prüft Ergebnisse
eine Dokumentation, wer wann geschult wurde
Auffrischung bei neuen Werkzeugen oder Aufgaben

Passende Angebote finden Sie unter Schulungen und Workshops.

Wie setzen Sie KI datenschutzkonform um?

Am sichersten gehen Sie vor, wenn Sie Datenschutz von Anfang an in die Auswahl der Lösung einbeziehen, statt ihn nachträglich zu prüfen. Diese Reihenfolge hat sich bewährt:

Anwendungsfall und betroffene Daten beschreiben.
Datenschutz-Stufe festlegen: USA-Cloud, EU-Cloud oder eigener Server.
Rechtsgrundlage bestimmen und Datenschutzhinweise ergänzen.
AVV abschließen, Transfergrundlage prüfen.
DSFA-Pflicht prüfen und bei Bedarf durchführen.
Beschäftigte schulen und Nutzungsrichtlinie einführen.
KI-Kennzeichnung umsetzen, wo Art. 50 AI Act sie verlangt.

Auf connect4ai trägt jedes Angebot eine Datenschutz-Ampel mit den Stufen USA-Cloud, EU-Cloud und eigener Server, damit Sie schon bei der Auswahl sehen, wo Ihre Daten laufen. Lösungen ohne Datenabfluss finden Sie in der Kategorie Eigene KI auf eigenem Server. Im kostenlosen KI-Bedarfs-Check können Sie Ihren Datenschutz-Anspruch direkt angeben. Wie Sie einen passenden Anbieter prüfen, steht im Ratgeber KI-Dienstleister finden.

Häufige Fragen

Darf ich ChatGPT im Unternehmen nutzen?

Grundsätzlich ja, wenn Sie einen Business-Tarif mit Auftragsverarbeitungsvertrag nutzen, eine Grundlage für den Datentransfer in die USA besteht, Training mit Ihren Daten abgeschaltet ist und Sie Ihre Beschäftigten schulen. Personenbezogene oder vertrauliche Daten sollten nur nach klarer Regelung eingegeben werden.

Ist eine KI auf eigenem Server automatisch DSGVO-konform?

Nein. Ein eigener Server vermeidet den Drittlandtransfer, aber Rechtsgrundlage, Information der Betroffenen, Zugriffsschutz, Löschkonzept und gegebenenfalls eine Datenschutz-Folgenabschätzung bleiben Ihre Pflicht.

Was bedeutet die KI-Kompetenzpflicht nach Art. 4 AI Act?

Seit dem 2. Februar 2025 müssen Unternehmen, die KI-Systeme einsetzen, Maßnahmen ergreifen, damit ihre Beschäftigten ausreichend KI-Kompetenz für den Einsatz haben. Ein Zertifikat ist nicht vorgeschrieben, eine dokumentierte Schulung und eine Nutzungsrichtlinie sind aber empfehlenswert.

Muss ich meinen Chatbot als KI kennzeichnen?

Ja, seit dem 2. August 2026 verlangt Art. 50 AI Act, dass Menschen erkennen können, dass sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist. Ein deutlicher Hinweis im Chatfenster oder zu Beginn eines Telefonats ist die übliche Lösung.

Ist das EU-US Data Privacy Framework noch gültig?

Ja, Stand November 2026 gilt der Angemessenheitsbeschluss vom 10. Juli 2023 weiter. Das Gericht der EU hat eine Klage dagegen am 3. September 2025 abgewiesen. Eine spätere Überprüfung durch den Europäischen Gerichtshof ist möglich, deshalb sollten Sie den Stand regelmäßig prüfen.

KI und Datenschutz: Was Unternehmen bei DSGVO und AI Act beachten müssen