KI kann auch unter den Anforderungen der DSGVO eingesetzt werden. Entscheidend ist, welche Daten verarbeitet werden, zu welchem Zweck das geschieht, welche Rolle der jeweilige Anbieter hat und wie Verarbeitung, Zugriffe und mögliche Drittlandtransfers organisiert sind.
Keine Rechtsberatung. Diese Seite ordnet technische und organisatorische Prüfpunkte ein. Welche Rechtsgrundlage im konkreten Fall trägt und welche datenschutzrechtlichen Pflichten daraus folgen, sollte mit dem Datenschutzbeauftragten oder einer entsprechend spezialisierten Rechtsberatung geprüft werden.
Datenschutz ist für viele Unternehmen ein zentraler Digitalisierungspunkt. In der Bitkom-Erhebung „Digitalisierung der Wirtschaft 2026“ nennen 77 % der 604 befragten Unternehmen ab 20 Beschäftigten Anforderungen an den Datenschutz als Digitalisierungshürde. 70 % nennen Fachkräftemangel und 61 % Anforderungen an die technische Sicherheit.
Bitkom Research · Digitalisierung der Wirtschaft 2026 · 604 Unternehmen ab 20 Beschäftigten
Bei personenbezogenen Daten muss feststehen, für welchen Zweck sie verarbeitet werden und auf welcher Rechtsgrundlage die Verarbeitung beruht. Außerdem gilt der Grundsatz der Datenminimierung: Es sollten nur die personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind. Für besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, gelten zusätzliche Anforderungen.
Zuerst ist zu klären, welche datenschutzrechtliche Rolle das Unternehmen und der jeweilige Anbieter bei der konkreten Verarbeitung haben. Verarbeitet der Anbieter personenbezogene Daten im Auftrag des Unternehmens, ist dafür grundsätzlich eine Vereinbarung nach Art. 28 DSGVO erforderlich. Bei der Anbieterprüfung gehören deshalb auch Vertragsbedingungen, Unterauftragnehmer und die konkrete Verwendung der eingegebenen Daten auf die Prüfliste.
Der Serverstandort ist ein wichtiger Prüfpunkt, aber nicht der einzige. Relevant ist auch, ob personenbezogene Daten in ein Drittland übermittelt werden oder von dort zugänglich sind und welche Regelungen für solche Übermittlungen gelten. Auch Unterauftragnehmer und weitere Verarbeitungsschritte sollten in diese Prüfung einbezogen werden, siehe IT-Sicherheit.
Für den betrieblichen Einsatz sollte klar geregelt sein, welche Systeme für welche Zwecke genutzt werden dürfen, welche Daten eingegeben werden können, wer Zugriffsrechte erhält und wie mit Ergebnissen umzugehen ist. Daneben können je nach Verarbeitung Informationspflichten aus dem Datenschutzrecht sowie besondere Transparenzpflichten des AI Act relevant sein. Diese hängen vom konkreten System und Einsatzzweck ab.
Ob ein KI-Einsatz datenschutzrechtlich zulässig ist, lässt sich nicht allein aus dem Namen des Werkzeugs beantworten. Relevant sind unter anderem Zweck, Datenarten, Beteiligte, Zugriffsrechte, technische Verarbeitung und mögliche Datenübermittlungen.
Mitware unterstützt bei der technischen und organisatorischen Seite: Datenflüsse erfassen, Rollen und Berechtigungen abbilden, technische Maßnahmen dokumentieren und die Systemarchitektur so aufbereiten, dass sie anschließend datenschutzrechtlich bewertet werden kann. Die rechtliche Bewertung selbst bleibt bei der dafür zuständigen Stelle.
Dass Datenschutz in Digitalisierungsprojekten regelmäßig eine Rolle spielt, zeigt auch die Bitkom-Erhebung 2026 mit 77 % Nennungen bei den Digitalisierungshürden.
Der Einsatz eines KI-Tools ist nicht allein deshalb unzulässig, weil es KI verwendet. Entscheidend ist die konkrete Verarbeitung. Bei personenbezogenen Daten müssen unter anderem Zweck, Rechtsgrundlage, Datenminimierung, Rollen, Anbieterbedingungen und gegebenenfalls Drittlandtransfers geprüft werden.
Nicht automatisch. Ein Vertrag nach Art. 28 DSGVO ist erforderlich, wenn der Anbieter personenbezogene Daten als Auftragsverarbeiter im Auftrag des Unternehmens verarbeitet. Deshalb muss zuerst die datenschutzrechtliche Rollenverteilung für den konkreten Dienst geprüft werden. Viele Anbieter stellen einen Standardvertrag bereit. Ob dieser für den eigenen Anwendungsfall ausreicht, ist eine Einzelfallprüfung.
Bei Anwältinnen und Anwälten, Steuerberatung und Wirtschaftsprüfung kommen zur DSGVO berufsrechtliche Verschwiegenheitspflichten hinzu, unter anderem mit Blick auf § 203 StGB. Ob und unter welchen Bedingungen eine Verarbeitung zulässig ist, hängt vom konkreten Dienst, der Rollenverteilung, den Vertragsbedingungen und der Art der Einbindung von Dienstleistern ab. Diese Fragen sollten vorab mit der zuständigen Kammer oder einer berufsrechtlich spezialisierten Beratung geklärt werden.
Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und unterliegen erhöhten Anforderungen. Daraus folgt nicht, dass eine bestimmte Hostingform oder ein bestimmter Anbieter automatisch zulässig wäre. Zu prüfen sind unter anderem Rechtsgrundlage, Erforderlichkeit, Rollenverteilung, Zugriffe, Aufbewahrung und technische Schutzmaßnahmen. Organisatorische Anwendungsfälle wie Dokumentation und Verwaltung lassen sich dabei klar von medizinischer Bewertung trennen.
Der Serverstandort ist ein Prüfpunkt, ersetzt aber keine vollständige Prüfung. Übermittlungen in Drittländer richten sich nach Kapitel V der DSGVO und können auch Weiterübermittlungen erfassen. Zu betrachten sind deshalb auch der Anbieter und seine Konzernstruktur, eingesetzte Unterauftragnehmer, technische Zugriffsmöglichkeiten und der jeweils genutzte Übermittlungsmechanismus.
Sinnvoll ist, die tatsächliche Nutzung zunächst organisatorisch zu erfassen: welche Werkzeuge im Einsatz sind und für welche Aufgaben. Darauf aufbauend lassen sich freigegebene Systeme und erlaubte Datenarten festlegen, Zugänge und Zuständigkeiten definieren und Mitarbeitende entsprechend informieren oder schulen. Ein freigegebenes Werkzeug für den tatsächlichen Bedarf verringert dabei den Anreiz zur Nutzung privater Konten.
Eine interne Regelung kann sinnvoll sein, um freigegebene Systeme, Zwecke, Datenarten, Zuständigkeiten und Prüfwege festzuhalten. Welche Dokumentation rechtlich erforderlich ist, hängt vom konkreten Einsatz ab. Der praktische Zweck liegt vor allem in der Handlungssicherheit für die Beteiligten.
Der AI Act ist von der DSGVO zu unterscheiden: Er regelt den Einsatz von KI-Systemen, nicht die Verarbeitung personenbezogener Daten. Welche Pflichten gelten, hängt von der Rolle des Unternehmens und vom jeweiligen System ab. Eine Ausnahme allein wegen der Unternehmensgröße gibt es nicht. Relevant sein können unter anderem Maßnahmen zur KI-Kompetenz nach Art. 4 sowie Transparenzpflichten nach Art. 50 für bestimmte Systeme und Einsatzfälle, etwa bei direkt mit Menschen interagierenden Systemen wie einem Telefonassistenten. Eine allgemeine Kennzeichnungspflicht für jeden KI-gestützten Prozess folgt daraus nicht.
Weder lokale Verarbeitung noch Cloud-Nutzung ist automatisch die richtige Lösung. Entscheidend sind unter anderem Datenarten, Zugriffe, Sicherheitsmaßnahmen, Wartbarkeit, Anbieterrollen und mögliche Übermittlungen. Ein lokaler Betrieb stellt für sich genommen keine Datenschutzkonformität her, sondern verändert nur einen Teil der zu prüfenden Punkte.
Nein. Die Seite erläutert allgemeine technische und organisatorische Prüfpunkte. Eine verbindliche rechtliche Bewertung des konkreten Einsatzes muss durch die dafür zuständige Datenschutz- oder Rechtsberatung erfolgen.
Wir erfassen Datenflüsse, Zugriffsrechte, Systemarchitektur, technische Schutzmaßnahmen und die relevante Dokumentation, damit der konkrete Einsatz anschließend datenschutzrechtlich bewertet werden kann.
Gespräch anfragen → Whitepaper herunterladen (PDF) →