Kompetenz-Radar

Bei KI-Projekten verarbeiten Sie große Mengen personenbezogener Daten. Damit greifen dieselben DSGVO-Vorgaben wie bei jeder anderen Datenverarbeitung: Transparenz, Zweckbindung, Datensparsamkeit. Die wichtigste Regel: Jede Verarbeitung braucht eine Rechtsgrundlage.

Die Rechtslage ist komplex und im Fluss. Für KI-Anwendungen kommen laut Bitkom in Frage: Einwilligung der Betroffenen, Vertragserfüllung, gesetzliche Pflicht oder berechtigtes Interesse. Gerade beim Training von KI-Modellen mit personenbezogenen Daten ist die Rechtsgrundlage umstritten – aktuell braucht es meist die ausdrückliche Einwilligung.

Datenschutz-Folgenabschätzung ist bei hohem Risiko Pflicht

Vor dem Einsatz sollten Sie ein Datenschutzkonzept entwickeln und gegebenenfalls eine Datenschutz-Folgenabschätzung durchführen. Diese DSFA ist Pflicht, wenn ein hohes Risiko für Betroffene besteht – etwa bei umfangreichem Profiling oder der Verarbeitung sensibler Daten. Sie dokumentieren darin, welche Risiken bestehen und welche Schutzmaßnahmen Sie treffen.

Beachten Sie das Verbot automatisierter Entscheidungen ohne menschliche Kontrolle gemäß Artikel 22 DSGVO. Ausnahme: Sie haben ausdrücklich eine gültige Einwilligung oder eine der Ausnahmeregeln erfüllt.

Zweckbindung gilt auch für KI-Training

Daten, die Sie für einen bestimmten Zweck erhoben haben, dürfen Sie nicht ohne Weiteres für KI-Training verwenden. Eine nachträgliche Zweckänderung ist nur unter bestimmten Umständen zulässig. Halten Sie ein Verzeichnis der Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO, in dem Sie Zwecke, Rechtsgrundlagen, Speicherfristen und Empfänger dokumentieren.

Bei Auftragsverarbeitern – etwa Cloud-Anbieter für KI-Dienste – brauchen Sie Auftragsverarbeitungsverträge. Prüfen Sie externe Partner regelmäßig. Falls personenbezogene Daten ins Nicht-EU-Ausland gehen, müssen Sie Standardvertragsklauseln oder andere Garantien nutzen.

72-Stunden-Meldepflicht gilt auch bei KI-Projekten

Die 72-Stunden-Meldepflicht bei Datenpannen gilt auch für KI-Projekte. Stellen Sie Meldeprozesse für Datenschutzverletzungen auf. Die Bundesregierung plant laut Center for Compliance im Digital-Omnibus eine Verlängerung auf drei Arbeitstage, doch bis dahin gilt die strikte Frist.

Technisch müssen Sie sicherstellen: Verschlüsselung, Zugriffskontrolle, Backups. Schulen Sie Mitarbeitende regelmäßig, damit Datenschutzverstöße durch menschliche Fehler vermieden werden.

Pseudonymisierte Daten sind nach einem EuGH-Urteil aus dem Jahr 2025 nicht automatisch personenbezogen, wenn der Empfänger keine Mittel zur Re-Identifizierung hat. Diese Klarstellung schafft mehr Spielraum für Analysen und KI-Modelle, solange Sie Missbrauch ausschließen.

Was das für den Mittelstand bedeutet

Verstöße gegen die DSGVO sind teuer. Laut DLA Piper hat Deutschland seit Inkrafttreten der DSGVO bis Ende 2024 Bußgelder von insgesamt 89,1 Millionen Euro verhängt. Die Höchststrafe: 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Ich sehe in über 1000 Projekten immer wieder: Die Technik läuft, aber die Rechtsgrundlage fehlt. KI-Kompetenz ist heute mehr als Tool-Kompetenz – sie verlangt Urteilskraft. Wie ich in KI Kompetenzen: Der entscheidende Erfolgsfaktor für Manager im Mittelstand 2026 beschrieben habe, berichten 79 Prozent der Unternehmen von einem Mangel an grundlegenden KI-Kompetenzen in ihrer Belegschaft. Das umfasst auch den rechtssicheren Umgang mit personenbezogenen Daten.

Entwickeln Sie vor dem Start Ihres KI-Projekts ein Datenschutzkonzept. Klären Sie die Rechtsgrundlage, bevor Sie das erste Modell trainieren. Prüfen Sie, ob eine DSFA nötig ist. Und stellen Sie sicher, dass Ihre Mitarbeitenden wissen, was bei einer Datenpanne zu tun ist.

Quellen

• Comenius Akademie, Datenschutz und DSGVO konform: Leitfaden für Unternehmen, 2025,
  https://comeniusakademie.at/dsgvo-konform-unternehmen/
• Bitkom, Praxisleitfaden KI & Datenschutz – Grundlagen, 2025,
  https://www.bitkom.org/Bitkom/Publikationen/KI-Datenschutz-Praxisleitfaden
• IONOS Digital Guide, Datenschutz-Grundverordnung Zusammenfassung und Checkliste, 2026,
  https://www.ionos.de/digitalguide/websites/online-recht/datenschutz-grundverordnung-regeln-fuer-unternehmen/
• Center for Compliance, DSGVO-Update im Digital-Omnibus, 2025,
  https://center-for-compliance.com/dsgvo-update-im-digital-omnibus-droht-die-vereinfachungswelle/