Compliance & Regulierung

DSGVO und KI: Datenschutzkonformer KI-Einsatz im Unternehmen 2026

57 Prozent der Unternehmen sehen Datenschutz als KI-Bremse. Erfahren Sie, wie DSGVO-konformer KI-Einsatz 2026 gelingt – mit Praxis-Checkliste und konkreten Handlungsschritten.

Autor
SIMO GmbH
Veröffentlicht am
Lesedauer
12 Minuten

57 Prozent der deutschen Unternehmen sagen laut aktueller Bitkom-Studie, dass der Datenschutz die Anwendung von KI in der EU einschränkt. Gleichzeitig hat sich die KI-Nutzung innerhalb eines Jahres nahezu verdoppelt: 36 Prozent der Firmen setzen künstliche Intelligenz ein – fast doppelt so viele wie 2024. Die Spannung zwischen Innovationsdruck und Datenschutzpflichten war nie größer als jetzt. Denn 2026 ist das Jahr, in dem drei Regelwerke gleichzeitig mit voller Schärfe durchgesetzt werden: die DSGVO, der EU AI Act und die NIS2-Richtlinie. Wer KI ohne Datenschutzstrategie einsetzt, riskiert nicht nur Bußgelder – sondern das Vertrauen von Kunden, Partnern und Mitarbeitenden.

Warum DSGVO-konforme KI jetzt geschäftskritisch ist

Das Jahr 2026 markiert einen regulatorischen Wendepunkt. Die Datenschutzkonferenz (DSK) hat unter ihrem Vorsitzenden Prof. Dr. Tobias Keber die Durchsetzung gegenüber KI-Projekten deutlich verschärft. Die Botschaft an die Wirtschaft ist unmissverständlich: 2026 wird das Jahr der Dokumentation und Rechenschaftspflicht.

Drei Regulierungen treffen gleichzeitig

Die DSGVO bleibt das Fundament. Doch die Aufsichtsbehörden haben den Prüfmaßstab verändert. Datenschutz-Folgenabschätzungen (DSFA) werden nicht mehr als einmaliges Dokument betrachtet, sondern als fortlaufendes Instrument zur Bewertung und Steuerung von Risiken. Die DSK betont ausdrücklich, dass die meisten Unternehmens-KI-Projekte nun unter die Pflichtkriterien für eine DSFA nach Artikel 35 DSGVO fallen. Wer KI-Systeme betreibt, in denen personenbezogene Daten verarbeitet werden, muss eine vollständig dokumentierte Folgenabschätzung vorweisen können – andernfalls drohen Bußgelder und im Extremfall Betriebsuntersagungen.

Der EU AI Act entfaltet ab dem 2. August 2026 seine volle Wirkung für Hochrisiko-KI-Systeme. Dazu zählen Anwendungen in der Personalauswahl, Kreditwürdigkeitsprüfung, Bildung und kritischen Infrastruktur. Unternehmen müssen bis dahin Konformitätsbewertungen abgeschlossen, technische Dokumentationen finalisiert und ihre Systeme in der EU-Datenbank registriert haben. Die Sanktionen: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes für Verstöße im Hochrisiko-Bereich, bis zu 35 Millionen Euro oder 7 Prozent für verbotene KI-Praktiken. Die KI-Kompetenz-Pflicht nach Artikel 4 gilt bereits seit Februar 2025.

Die NIS2-Richtlinie ist seit Dezember 2025 in deutsches Recht umgesetzt. Die Registrierungsfrist beim BSI lief am 6. März 2026 ab – und das Ergebnis ist alarmierend: Lediglich 4.856 Einrichtungen haben sich registriert, obwohl rund 30.000 Unternehmen betroffen sind. Wer die Frist versäumt hat, riskiert Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Besonders brisant: die persönliche Haftung der Geschäftsführung.

Das Spannungsfeld: Innovation versus Datenschutz

Die Bitkom-Studie 2026 zeichnet ein differenziertes Bild. 81 Prozent der befragten Unternehmen sagen, die DSGVO mache Geschäftsprozesse komplizierter. 54 Prozent sehen den Datenschutz als direktes Hindernis für den KI-Einsatz im eigenen Unternehmen. Gleichzeitig erkennen 58 Prozent an, dass der Datenschutz Rechtssicherheit für KI schafft. Das Problem ist also nicht der Datenschutz an sich – sondern die fehlende Klarheit, wie er in der Praxis mit KI-Systemen vereinbar ist.

Besonders der Mittelstand leidet unter redundanten Berichtspflichten aus DSGVO, AI Act und Data Act. Bitkom-Präsident Dr. Ralf Wintergerst bringt es auf den Punkt: Der Datenschutz habe sich zur Digitalisierungs-Bremse Nummer eins entwickelt. Die Lösung liegt in einem strukturierten Ansatz, der Compliance und Innovation verbindet.

Die rechtlichen Grundlagen: Was Sie konkret beachten müssen

Rechtsgrundlagen für die Datenverarbeitung durch KI

Jede Verarbeitung personenbezogener Daten durch ein KI-System braucht eine Rechtsgrundlage nach Artikel 6 DSGVO. Die drei relevantesten Optionen für Unternehmen sind:

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Grundsätzlich möglich, aber in der Praxis oft schwierig. Die Einwilligung muss freiwillig, informiert und spezifisch sein. Das EDPB hat in seiner Opinion 28/2024 klargestellt: Wenn personenbezogene Daten bei der Entwicklung eines KI-Modells unrechtmäßig verarbeitet wurden, können Aufsichtsbehörden Bußgelder verhängen oder die Löschung der Daten anordnen.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Das EDPB hat im Dezember 2024 bestätigt, dass berechtigtes Interesse grundsätzlich als Rechtsgrundlage für die Entwicklung und den Einsatz von KI-Modellen dienen kann. Allerdings ist ein dreistufiger Test erforderlich: Identifikation eines berechtigten Interesses, Nachweis der Erforderlichkeit der Verarbeitung und eine Abwägung, dass die Interessen des Verantwortlichen nicht durch die Rechte der Betroffenen überwiegen.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Anwendbar, wenn die KI-Verarbeitung für die Erfüllung eines Vertrags mit der betroffenen Person erforderlich ist – etwa bei einem KI-gestützten Kundenservice für bestehende Kunden.

Die Datenschutz-Folgenabschätzung: Pflicht für fast alle KI-Projekte

Die DSK hat ihre sogenannte Muss-Liste aktualisiert. Sie benennt Verarbeitungsvorgänge, für die zwingend eine DSFA erforderlich ist. Nach aktuellen regulatorischen Hinweisen fallen die meisten KI-Projekte unter diese Pflichtkriterien, insbesondere wenn sie:

  • personenbezogene Daten in großem Umfang verarbeiten
  • automatisierte Entscheidungen oder Profiling durchführen
  • neue Technologien einsetzen
  • sensible Daten nach Artikel 9 DSGVO betreffen

Ab August 2026 kommt für Betreiber von Hochrisiko-KI-Systemen eine weitere Pflicht hinzu: die Grundrechte-Folgenabschätzung nach Artikel 27 der KI-Verordnung. DSFA und Grundrechte-Folgenabschätzung ersetzen sich nicht gegenseitig – sie ergänzen sich.

Der Auftragsverarbeitungsvertrag: Kein KI-Einsatz ohne AVV

Sobald personenbezogene Daten an einen KI-Anbieter übermittelt werden, ist ein Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO Pflicht. Die kostenlose Version von ChatGPT, DeepSeek oder vergleichbaren Tools ist für Unternehmen, die personenbezogene Daten verarbeiten, praktisch nicht DSGVO-konform nutzbar. Nur die Business- oder Enterprise-Pläne von OpenAI, Anthropic und Google bieten AVVs an.

Entscheidend ist auch der Datenstandort. Die meisten führenden KI-Anbieter sitzen in den USA. Datentransfers sind zwar über das EU-US Data Privacy Framework möglich, doch der CLOUD Act verpflichtet US-Unternehmen zur Datenweitergabe an amerikanische Behörden – unabhängig vom Serverstandort. Für sensible Unternehmensdaten ist eine europäische oder deutsche Hosting-Lösung daher die sicherste Option.

Praxis-Leitfaden: DSGVO-konforme KI in sieben Schritten

Schritt 1: KI-Inventar erstellen

Erfassen Sie alle KI-Systeme, die in Ihrem Unternehmen eingesetzt werden – ob offiziell oder als Schatten-KI. Dokumentieren Sie für jedes System: Anbieter, Datenstandort, Art der verarbeiteten Daten, Zweck, Nutzerkreis und Risikoklassifizierung. Dieses Inventar erfüllt gleichzeitig die Anforderungen des EU AI Act und bildet die Basis für Ihre DSFA.

Schritt 2: Rechtsgrundlagen prüfen und dokumentieren

Für jedes KI-System im Inventar: Welche Rechtsgrundlage nach Artikel 6 DSGVO liegt vor? Ist ein AVV mit dem Anbieter abgeschlossen? Existiert eine Einwilligung oder ein berechtigtes Interesse? Dokumentieren Sie die Prüfung – auch wenn das Ergebnis ist, dass keine valide Rechtsgrundlage vorliegt. Dann wissen Sie, wo Handlungsbedarf besteht.

Schritt 3: Datenschutz-Folgenabschätzung durchführen

Führen Sie für jedes KI-System, das personenbezogene Daten verarbeitet, eine DSFA durch. Beschreiben Sie die Verarbeitungsvorgänge, bewerten Sie die Risiken realistisch, definieren Sie Schutzmaßnahmen und legen Sie Verantwortlichkeiten fest. Behandeln Sie die DSFA als lebendes Dokument: Aktualisieren Sie sie bei jeder technischen oder organisatorischen Änderung.

Schritt 4: Technische und organisatorische Maßnahmen implementieren

Data Protection by Design ist keine Option, sondern Pflicht nach Artikel 25 DSGVO. Konkret bedeutet das für KI-Systeme:

  • Zugriffskontrollen: Wer darf welche Daten in welches KI-System eingeben?
  • Datenminimierung: Nur die Daten verarbeiten, die für den Zweck erforderlich sind
  • Pseudonymisierung: Personenbezogene Daten vor der Eingabe in KI-Systeme anonymisieren oder pseudonymisieren
  • Protokollierung: Alle KI-Interaktionen nachvollziehbar dokumentieren
  • Löschkonzept: Klare Regeln, wann und wie Daten aus KI-Systemen entfernt werden

Schritt 5: KI-Nutzungsrichtlinie erstellen und schulen

Erstellen Sie eine klare, verständliche KI-Nutzungsrichtlinie. Maximal fünf Seiten, mit konkreten Beispielen, die definiert: Welche Daten dürfen in welche Tools? Welche Anwendungsfälle sind erlaubt? Was ist verboten? Schulen Sie alle Mitarbeitenden und dokumentieren Sie die Schulungen – das ist gleichzeitig Ihre Erfüllung der KI-Kompetenz-Pflicht nach Artikel 4 des EU AI Act.

Schritt 6: Genehmigte KI-Plattform bereitstellen

Wenn Sie Ihren Mitarbeitenden keine offizielle, leistungsfähige KI-Lösung anbieten, werden sie sich eigene suchen. Das Ergebnis ist Schatten-KI – unkontrolliert und nicht DSGVO-konform. Stellen Sie eine genehmigte Plattform bereit, die auf deutschen oder europäischen Servern gehostet wird, über einen AVV verfügt und mindestens so benutzerfreundlich ist wie die frei verfügbaren Alternativen.

Schritt 7: Monitoring und kontinuierliche Verbesserung

Etablieren Sie ein KI-Nutzungsmonitoring mit klaren KPIs: Adoptionsrate der genehmigten Plattform, Shadow-AI-Quote, Anzahl der KI-bezogenen Sicherheitsvorfälle. Führen Sie quartalsweise interne Audits durch. Aktualisieren Sie Ihr KI-Inventar und Ihre DSFAs bei jeder Änderung.

Checkliste: DSGVO-konforme KI-Nutzung im Unternehmen

  • Prüfpunkt: KI-Inventar aller eingesetzten Systeme erstellt | Status: Offen / Erledigt | Verantwortlich: IT / Datenschutzbeauftragter
  • Prüfpunkt: Rechtsgrundlage für jedes KI-System dokumentiert | Status: Offen / Erledigt | Verantwortlich: Datenschutzbeauftragter
  • Prüfpunkt: AVV mit allen KI-Anbietern abgeschlossen | Status: Offen / Erledigt | Verantwortlich: Datenschutzbeauftragter / Einkauf
  • Prüfpunkt: DSFA für alle relevanten KI-Systeme durchgeführt | Status: Offen / Erledigt | Verantwortlich: Datenschutzbeauftragter
  • Prüfpunkt: Technische Schutzmaßnahmen implementiert (Zugriff, Pseudonymisierung, Protokollierung) | Status: Offen / Erledigt | Verantwortlich: IT
  • Prüfpunkt: KI-Nutzungsrichtlinie erstellt und kommuniziert | Status: Offen / Erledigt | Verantwortlich: Geschäftsführung / IT
  • Prüfpunkt: Mitarbeiterschulung durchgeführt und dokumentiert (Art. 4 EU AI Act) | Status: Offen / Erledigt | Verantwortlich: HR / IT
  • Prüfpunkt: Genehmigte KI-Plattform bereitgestellt | Status: Offen / Erledigt | Verantwortlich: IT / Geschäftsführung
  • Prüfpunkt: Monitoring und Reporting etabliert | Status: Offen / Erledigt | Verantwortlich: IT
  • Prüfpunkt: Quartalsweise Audits eingeplant | Status: Offen / Erledigt | Verantwortlich: Datenschutzbeauftragter
  • Prüfpunkt: NIS2-Registrierung beim BSI erfolgt | Status: Offen / Erledigt | Verantwortlich: IT / Geschäftsführung
  • Prüfpunkt: Risikoklassifizierung nach EU AI Act dokumentiert | Status: Offen / Erledigt | Verantwortlich: Datenschutzbeauftragter / IT

Praxisbeispiel: Personaldienstleister mit 85 Mitarbeitenden

Ein mittelständischer Personaldienstleister in Nordrhein-Westfalen mit einem Jahresumsatz von 14 Millionen Euro. Das Recruiting-Team nutzt seit Herbst 2025 drei verschiedene KI-Tools: ein Screening-Tool für Lebensläufe, einen KI-Assistenten für die Erstellung von Stellenanzeigen und ein Analyse-Tool für Bewerberprofile. Keines dieser Tools wurde datenschutzrechtlich geprüft. Es gibt weder eine DSFA noch einen AVV mit den Anbietern. Die Bewerberdaten – Name, Adresse, Qualifikationen, Gehaltswünsche – fließen unrechtmäßig an externe Server.

Die Risikoexposition in Zahlen:

  • DSGVO-Bußgeld (personenbezogene Bewerberdaten ohne Rechtsgrundlage verarbeitet): bis zu 560.000 Euro (4 Prozent von 14 Millionen Euro Umsatz)
  • EU AI Act Sanktion (Hochrisiko-KI im HR-Bereich ohne Konformitätsbewertung ab August 2026): bis zu 420.000 Euro (3 Prozent des Umsatzes)
  • Schadensersatzansprüche abgelehnter Bewerber nach Artikel 82 DSGVO: pro Betroffenen erfahrungsgemäß 1.000 bis 5.000 Euro – bei 2.000 Bewerbern pro Jahr ein Risiko im Millionenbereich
  • Reputationsschaden: Verlust von Kundenverträgen, wenn bekannt wird, dass Bewerberdaten unkontrolliert an externe KI-Anbieter flossen
  • Forensik und Rechtsberatung: erfahrungsgemäß 100.000 bis 250.000 Euro

Die Gesamtexposition liegt konservativ bei über 1,5 Millionen Euro – mehr als 10 Prozent des Jahresumsatzes. Besonders gravierend: KI im Personalwesen gilt ab August 2026 als Hochrisiko-KI nach dem EU AI Act. Das Unternehmen müsste dann nicht nur DSGVO-konform sein, sondern zusätzlich ein Risikomanagementsystem, lückenlose technische Dokumentation, Transparenz gegenüber Bewerbern und menschliche Aufsicht gewährleisten.

Die Lösung: Innerhalb von sechs Wochen führte das Unternehmen eine DSGVO-konforme KI-Plattform ein, schloss AVVs ab, erstellte eine DSFA und schulte alle Mitarbeitenden. Kosten: rund 18.000 Euro. Risikoreduktion: über 1,5 Millionen Euro.

Häufig gestellte Fragen

Brauche ich für jedes KI-Tool eine Datenschutz-Folgenabschätzung?

Nicht für jedes, aber für die meisten. Die DSK hat klargestellt, dass KI-Systeme, die personenbezogene Daten verarbeiten, in der Regel unter die Pflichtkriterien für eine DSFA fallen. Das gilt besonders bei automatisierten Entscheidungen, Profiling, der Verarbeitung sensibler Daten und dem Einsatz neuer Technologien in großem Umfang. Wenn Sie unsicher sind: Führen Sie eine Schwellwertanalyse durch. Im Zweifel ist es sicherer und kostengünstiger, eine DSFA zu erstellen, als im Nachhinein ein Bußgeld zu riskieren.

Dürfen meine Mitarbeitenden ChatGPT oder andere KI-Tools nutzen?

Grundsätzlich ja – aber nur unter bestimmten Bedingungen. Erstens: Keine personenbezogenen Daten in kostenlose KI-Tools eingeben. Zweitens: Nur Business- oder Enterprise-Versionen nutzen, für die ein AVV vorliegt. Drittens: Eine klare KI-Nutzungsrichtlinie muss existieren, die den Mitarbeitenden zeigt, was erlaubt und was verboten ist. Viertens: Die Nutzung muss im KI-Inventar erfasst und in der DSFA berücksichtigt sein. Ohne diese Rahmenbedingungen ist die Nutzung nicht DSGVO-konform.

Was passiert, wenn ein KI-Anbieter Daten meines Unternehmens für sein Training verwendet?

Das ist ein reales Risiko bei kostenlosen KI-Diensten. Viele Anbieter behalten sich das Recht vor, eingegebene Daten für das Training ihrer Modelle zu verwenden. Ihre Unternehmensdaten – inklusive personenbezogener Daten und Geschäftsgeheimnisse – könnten in ein öffentlich zugängliches Modell einfließen. Prüfen Sie die Nutzungsbedingungen sorgfältig und bevorzugen Sie Anbieter, die Opt-out vom Training garantieren oder Hosting auf dedizierten Instanzen anbieten.

Wie unterscheidet sich die Grundrechte-Folgenabschätzung vom bekannten DSFA-Verfahren?

Die Grundrechte-Folgenabschätzung (GRFA) nach Artikel 27 der KI-Verordnung ergänzt die DSFA, ersetzt sie aber nicht. Während die DSFA den Schutz personenbezogener Daten im Fokus hat, bewertet die GRFA die Auswirkungen eines KI-Systems auf ein breiteres Spektrum von Grundrechten – etwa Nicht-Diskriminierung, Meinungsfreiheit oder Zugang zu öffentlichen Diensten. Ab August 2026 müssen Betreiber von Hochrisiko-KI-Systemen beide Bewertungen durchführen. Die gute Nachricht: Viele Aspekte überschneiden sich, sodass beide Prozesse effizient parallel geführt werden können.

Mein Unternehmen hat unter 50 Mitarbeitende. Gelten die gleichen Pflichten?

Ja, die DSGVO gilt ab dem ersten Mitarbeitenden und dem ersten personenbezogenen Datum. Der EU AI Act sieht zwar reduzierte Bußgeldrahmen für KMU vor, aber die Grundpflichten – KI-Inventar, KI-Kompetenz, Transparenz, DSFA – gelten für alle. Die Konformitätsbewertung für Hochrisiko-KI-Systeme kennt keine Untergrenze nach Unternehmensgröße. Gerade kleinere Unternehmen haben weniger Reserven, um einen Datenschutzvorfall finanziell zu überstehen. Ein pragmatischer, schlanker Ansatz ist daher umso wichtiger.

Quellenverweise

Schlagworte

  • KMU
  • DSGVO
  • KI-Governance
  • Best Practices
  • Mittelstand

Zurück zur Übersicht

Business Data Strategy für Ihr Unternehmen

Vom Zielbild bis zur Umsetzungsbetreuung. Wir beraten Sie und befähigen Ihre Organisation.

Erstgespräch vereinbarenBeratung ansehen