Kompetenz-Radar

77 Prozent der Unternehmen nennen Datenschutz als größte Hürde beim KI-Einsatz. Das ist mehr als Fachkräftemangel, mehr als Kosten, mehr als fehlende Use Cases. Die Angst vor DSGVO-Verstößen blockiert Innovation.

Dabei ist KI-Nutzung mit Datenschutz vereinbar. Entscheidend ist die Frage nach der Rechtsgrundlage.

Fehlende Rechtsgrundlage führt am häufigsten zu Bußgeldern

Jede Verarbeitung personenbezogener Daten durch KI-Systeme benötigt eine Rechtsgrundlage nach Art. 6 DSGVO. Einwilligung, berechtigtes Interesse oder Vertragserfüllung sind die drei Wege. Fehlt die Rechtsgrundlage, drohen Bußgelder bis 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes.

Laut Enforcementtracker.com ist die fehlende Rechtsgrundlage mit Abstand der häufigste Grund für DSGVO-Bußgelder bei KI-Nutzung. Sie führt öfter zu Sanktionen als mangelnde IT-Sicherheit oder fehlende Datenschutz-Folgenabschätzungen. Unternehmen verarbeiten Daten ohne wirksame Einwilligung, ohne berechtigtes Interesse, ohne vertragliche Grundlage.

Training von KI-Modellen ist besonders kritisch

69 Prozent der Unternehmen sagen laut Bitkom, dass Datenschutzregelungen das Training mit ausreichend Daten erschweren. Trainingsdaten aus E-Mails, Kundendaten oder Logfiles fallen unter die DSGVO. Pseudonymisierte Daten sind personenbezogen. Eine Anonymisierung ist technisch oft nicht möglich.

Bei KI-Tools von Drittanbietern kommt hinzu: Die Weitergabe von Kundendaten an einen KI-Anbieter ist eine Übermittlung an einen Dritten. Auch dafür braucht es eine Rechtsgrundlage. Ohne Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit OpenAI, Anthropic oder Google ist die Nutzung rechtswidrig.

Drei Pflichten sind zentral

Erstens: Rechtsgrundlage nach Art. 6 DSGVO dokumentieren. Bei KI-Training besonders kritisch. Zweitens: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit jedem KI-Anbieter abschließen. Drittens: Datenschutz-Folgenabschätzung nach Art. 35 DSGVO bei systematischer Auswertung personenbezogener Daten durchführen und dokumentieren.

Ab August 2026 kommt der AI Act hinzu. Er reguliert nicht die Daten, sondern die KI-Systeme selbst. DSGVO und AI Act gelten parallel. Die DSGVO bleibt maßgeblich für personenbezogene Daten. Der AI Act stuft KI-Systeme nach Risiko ein. Hochrisiko-Systeme im Personalwesen oder bei Kreditentscheidungen unterliegen strengen Auflagen. Die Bußgelder sind höher: bis 35 Millionen Euro oder sieben Prozent des Jahresumsatzes.

Datenschutz kann zum Wettbewerbsvorteil werden

58 Prozent der Unternehmen sehen im Datenschutz laut Bitkom einen Faktor, der Rechtssicherheit bei der Entwicklung von KI-Anwendungen schafft. Wer die DSGVO ernst nimmt, hat einen strukturellen Vorteil. Prozesse für Verarbeitungsverzeichnisse, Folgenabschätzungen und Betroffenenrechte lassen sich auf AI-Act-Anforderungen erweitern.

Die Voraussetzungen für erfolgreiche KI-Einführung im Mittelstand beschreibt der Stand der Datenqualität, der technischen Infrastruktur und der organisatorischen Readiness. Datenschutz wird vom Risiko zum Wettbewerbsvorteil, wenn er von Anfang an mitgedacht wird.

Quellen

• Bitkom, Studienbericht Datenschutz in der deutschen Wirtschaft, 2026
• Skill-Sprinters, KI-Datenschutz-Checkliste für Unternehmen, 2026
• IHK Frankfurt, KI und Datenschutz, 2026
• Proliance, KI datenschutzkonform einsetzen, 2026
• Bitkom, Künstliche Intelligenz und Datenschutz Praxisleitfaden, 2024
• Europäischer Datenschutzausschuss, EDPB Annual Report, 2026
• Enforcementtracker.com, DSGVO-Bußgelder, 2026