KI-Nutzung und DSGVO schließen sich nicht aus. Hier sind die Punkte, die vor dem Gespräch mit eurem Datenschutzbeauftragten sinnvoll sind, allgemein eingeordnet, nicht als fertiges Urteil.
Kein Ersatz für Rechtsberatung: Diese Seite ordnet allgemeine Ansatzpunkte ein. Eine verbindliche rechtliche DSGVO- oder BDSG-Prüfung für den eigenen Fall bleibt Aufgabe eines Datenschutzbeauftragten oder spezialisierten Juristen.
Wer hier zögert, ist damit nicht allein: Datenschutz-Anforderungen sind die meistgenannte Hürde beim KI-Einsatz überhaupt. In der Bitkom-Studie vom März 2026 nennen sie 77 Prozent der befragten Unternehmen ab 20 Beschäftigten, häufiger als den Fachkräftemangel mit 70 Prozent. Das heißt nicht, dass KI und Datenschutz sich ausschließen. Es heißt, dass viele Betriebe genau an dieser Stelle stehenbleiben, weil ihnen niemand die Frage sauber beantwortet.
Personenbezogene Daten (Namen, Kontaktdaten, Gesundheits- oder Finanzangaben) gehören nur mit klarer Rechtsgrundlage in ein KI-Tool, und nur so viel wie nötig.
Verarbeitet das Tool personenbezogene Daten, braucht es in der Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter.
Wo Daten verarbeitet werden, ist ein eigener Prüfpunkt, aber kein Freibrief für sich allein, siehe IT-Sicherheit.
Wer KI-gestützte Prozesse einsetzt, kommuniziert das intern klar, und extern dort, wo es Kunden betrifft.
Die meisten Sorgen, die wir bei KMU hören, lösen sich nicht durch Verzicht auf KI, sondern durch eine saubere technische und organisatorische Basis darunter. Genau diese Basis, nicht die Rechtsprüfung selbst, ist der Teil, den wir liefern.
Dass diese Sorge weit verbreitet ist, zeigt die Bitkom-Erhebung von Anfang 2026 unter 604 deutschen Unternehmen: 77 % nennen Datenschutz-Anforderungen als Hemmnis der Digitalisierung, mehr als jeden anderen Punkt. Bemerkenswert daran ist, dass im selben Zeitraum der KI-Einsatz von 17 auf 41 % gestiegen ist. Beides gleichzeitig ist kein Widerspruch, sondern der Normalfall: Die Bedenken bleiben, die Unternehmen handeln trotzdem, weil sich die Fragen im Einzelfall klären lassen.
Der Fehler liegt selten darin, KI zu früh einzusetzen. Er liegt darin, sie ungeregelt einzusetzen, also ohne festzulegen, welche Daten hineindürfen und wo sie verarbeitet werden. Wer das vorher klärt, braucht danach keine Grundsatzdebatte mehr.
Grundsätzlich ja, DSGVO verbietet KI-Nutzung nicht. Wichtig ist, wie: keine unnötigen personenbezogenen Daten in Prompts, ein Auftragsverarbeitungsvertrag mit dem Anbieter, und Transparenz gegenüber Mitarbeitern und Kunden. Details sind ein Fall für den Datenschutzbeauftragten.
Sobald ein Tool personenbezogene Daten verarbeitet, in der Regel ja, Art. 28 DSGVO. Viele größere Anbieter stellen einen Standard-AVV bereit. Ob er für den eigenen Anwendungsfall ausreicht, ist eine rechtliche Einzelfallprüfung.
Für Anwälte, Steuerberater und Wirtschaftsprüfer kommt zur DSGVO die berufsrechtliche Verschwiegenheitspflicht dazu, und die ist strenger. Sie erlaubt keine Verarbeitung bei einem Dienstleister, der die Inhalte einsehen oder weiterverwenden könnte. Praktisch heißt das: kein kostenloses Chat-Tool, sondern eine Umgebung mit Auftragsverarbeitungsvertrag, europäischer Verarbeitung und vertraglich ausgeschlossenem Training mit euren Daten. Damit sind Mandantenschriftsätze zusammenfassen, Fristen erkennen oder Belege vorsortieren gut machbar. Die Einbindung nach § 203 StGB gehört vorab mit eurer Kammer oder eurem Berufsrechtler geklärt.
Gesundheitsdaten sind besonders geschützt, deshalb wird dort meist zweigeteilt gebaut. Alles, was Patientendaten berührt, bleibt im eigenen Rechenzentrum oder bei einem europäischen Anbieter mit passendem Vertrag. Sprachmodelle laufen entweder lokal oder werden über eine abgesicherte Verbindung angebunden, ohne dass Daten beim Anbieter liegen bleiben. Ein öffentliches Chat-Tool im Klinikbetrieb auszurollen scheidet aus. Sinnvolle Einstiegsfälle sind Dokumentation und Verwaltung, nicht die Behandlung selbst.
Das ist die erste Frage, die ihr jedem Anbieter stellen solltet, und sie hat drei Teile: In welchem Land stehen die Server, wer kann technisch zugreifen, und werden eure Eingaben zum Training verwendet. Der Serverstandort allein sagt wenig, wenn der Mutterkonzern anderswo sitzt und rechtlich zum Zugriff verpflichtet werden kann. Wir dokumentieren das für jedes eingesetzte Werkzeug schriftlich, damit ihr es im Ernstfall vorlegen könnt.
Das ist der häufigste ungelöste Fall im Mittelstand, und Verbieten funktioniert dabei am schlechtesten. Wer die Arbeit erledigt bekommen will, findet einen Weg, und dann passiert es unkontrolliert auf privaten Konten. Der bessere Weg ist, innerhalb weniger Tage ein freigegebenes Werkzeug bereitzustellen, das mindestens so gut ist, dazu eine knappe Regel, was hineindarf und was nicht. Der Bedarf ist ja real, er sucht sich nur bisher den falschen Weg.
Sobald mehrere Personen KI im Arbeitsalltag nutzen, ja, und sie muss nicht lang sein. Zwei Seiten reichen meist: welche Werkzeuge freigegeben sind, welche Daten hineindürfen und welche nicht, wer bei Unsicherheit entscheidet, und dass Ergebnisse vor der Weitergabe geprüft werden. Der Zweck ist weniger Formalität als Handlungssicherheit, damit niemand raten muss.
Für die meisten KMU deutlich weniger als befürchtet, weil die strengen Auflagen an Hochrisiko-Anwendungen hängen, etwa in Personalauswahl oder Kreditvergabe. Wer KI für Texte, Terminorganisation oder interne Abläufe nutzt, fällt in der Regel nicht darunter. Ein Punkt betrifft euch aber direkt: Seit dem 2. August 2026 gilt die Transparenzpflicht aus Artikel 50. Wer einen Chatbot oder Telefonassistenten einsetzt, muss die Person bei der ersten Interaktion klar darüber informieren, dass sie mit einer KI spricht. Ein origineller Bot-Name genügt dafür nicht.
Das hängt am Schutzbedarf, und beides falsch zu wählen kostet Geld. Lokaler Betrieb bedeutet volle Kontrolle, aber auch eigene Hardware, eigene Wartung und meist schwächere Modelle. Cloud bedeutet mehr Leistung zu geringeren Kosten, dafür Vertrauen in einen Anbieter. Für die meisten KMU ist eine europäische Cloud mit ordentlichem Vertrag der richtige Punkt auf dieser Skala. Sicherheitsanforderungen zu übererfüllen ist kein Vorteil, es kostet nur Leistung und Budget.
Nein, ausdrücklich nicht. Sie ordnet die üblichen Ansatzpunkte ein, die vor dem Gespräch mit einem Datenschutzbeauftragten oder Juristen sinnvoll sind. Eine verbindliche DSGVO-Prüfung bleibt deren Aufgabe.
Wir prüfen Architektur, Rechte, Verschlüsselung und Dokumentation, als Grundlage für die rechtliche Prüfung.
Gespräch anfragen → Whitepaper herunterladen (PDF) →