Wichtiger Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Er gibt dir einen praxisorientierten Überblick über die wichtigsten Prüfpunkte beim Einsatz von KI-Tools in deutschen Unternehmen. Für verbindliche Einschätzungen wende dich an einen Datenschutzbeauftragten oder Rechtsanwalt.

KI-Tools verändern, wie Unternehmen arbeiten. Ob Chatbots für Kundenanfragen, KI-gestützte Textgenerierung oder automatische Dokumentenverarbeitung: Die Effizienzgewinne sind real. Gleichzeitig ist Deutschland das Land mit den höchsten Datenschutzstandards in der EU. Diese Kombination führt dazu, dass viele Geschäftsführer unsicher sind, ob und wie sie KI-Tools legal einsetzen dürfen.

Die gute Nachricht: Mit der richtigen Vorbereitung ist DSGVO-konformer KI-Einsatz in den meisten Fällen gut realisierbar. Ich habe diese 10-Punkte-Checkliste aus meiner Projekterfahrung mit deutschen KMU zusammengestellt.

Die 10-Punkte-Checkliste für DSGVO-konformen KI-Einsatz

Geh diese Punkte für jedes neue KI-Tool durch, das du in deinem Unternehmen einsetzen möchtest. Ein „Nein“ oder „Unklar“ ist kein Ausschlusskriterium, sondern ein Signal, dass Klärungsbedarf besteht.

1. Serverstandort prüfen: EU oder Deutschland?

Der erste und wichtigste Prüfpunkt: Wo werden deine Daten verarbeitet und gespeichert? Anbieter mit Servern in der EU oder besser noch in Deutschland erleichtern die DSGVO-Compliance erheblich. Bei Anbietern außerhalb der EU müssen zusätzliche Anforderungen erfüllt sein: entweder ein gültiger Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln plus zusätzliche technische Maßnahmen.

Prüffrage: Wo befinden sich die Rechenzentren des Anbieters? Gibt es eine EU-Region oder eine Deutschland-Option?

2. Auftragsverarbeitungsvertrag (AVV) abschließen

Wenn ein KI-Tool personenbezogene Daten in deinem Auftrag verarbeitet, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO Pflicht. Das gilt auch für SaaS-Anbieter. Viele größere Anbieter stellen standardisierte AVV-Vorlagen zur Verfügung, die du online unterschreiben kannst. Fehlt ein AVV, liegt bereits ein Verstoß vor.

Prüffrage: Stellt der Anbieter einen AVV bereit? Ist dieser bereits unterzeichnet oder kann er über das Kundenportal aktiviert werden?

3. Datenweitergabe an Dritte prüfen

KI-Tools nutzen oft Unterauftragnehmer für Infrastruktur, Modelltraining oder Analysen. Prüfe in den Datenschutzbestimmungen und im AVV, welche Drittanbieter Zugriff auf deine Daten haben können. Besondere Aufmerksamkeit gilt Unternehmen außerhalb der EU.

Prüffrage: Gibt es eine Liste der Unterauftragnehmer? Werden Daten in Drittländer übertragen?

4. KI-Training-Opt-Out sicherstellen

Manche KI-Anbieter verwenden eingegebene Daten standardmäßig zum Trainieren ihrer Modelle. Das ist für Unternehmensdaten in der Regel nicht akzeptabel. Prüfe, ob der Anbieter ein Opt-Out anbietet und ob dieses für dein Konto aktiviert ist. Im Geschäftskundenbereich ist das bei seriösen Anbietern meist Standard, sollte aber immer schriftlich bestätigt sein.

Prüffrage: Werden meine Eingaben für KI-Training verwendet? Ist das Opt-Out aktiv und dokumentiert?

5. Zugriffsrechte und Rollen definieren

Wer in deinem Unternehmen darf mit dem KI-Tool arbeiten? Welche Daten darf das Tool verarbeiten? Das Prinzip der Datenminimierung (Art. 5 DSGVO) verlangt, dass nur die Daten verarbeitet werden, die wirklich benötigt werden. Richte rollenbasierte Zugriffsrechte ein, damit beispielsweise ein Praktikant keinen Zugriff auf Kundendaten hat.

Prüffrage: Gibt es im Tool ein Rollen- und Rechtemanagement? Sind die Zugriffsrechte dokumentiert?

6. Löschkonzept erstellen

Die DSGVO verlangt, dass personenbezogene Daten gelöscht werden, wenn sie für den ursprünglichen Zweck nicht mehr benötigt werden (Speicherbegrenzung, Art. 5 DSGVO). Erstelle ein Löschkonzept: Wann werden welche Daten automatisch oder manuell gelöscht? Bietet das KI-Tool automatische Löschfristen?

Prüffrage: Wie lange speichert der Anbieter die Daten? Kannst du Löschfristen konfigurieren oder Löschung anfordern?

7. Technische und organisatorische Maßnahmen (TOMs)

Art. 32 DSGVO fordert angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Prüfe, ob der Anbieter Verschlüsselung (Transport und Speicherung), Zugangskontrollen und regelmäßige Sicherheitsüberprüfungen nachweisen kann. ISO-Zertifizierung oder vergleichbare Nachweise sind gute Indikatoren.

Prüffrage: Welche Sicherheitszertifizierungen hat der Anbieter? Sind Verschlüsselung und Zugangskontrolle dokumentiert?

8. Informationspflichten erfüllen

Wenn du KI-Tools einsetzt, die personenbezogene Daten deiner Kunden oder Mitarbeiter verarbeiten, musst du diese in der Regel informieren (Art. 13/14 DSGVO). Das bedeutet: Datenschutzerklärung aktualisieren, Mitarbeiter über neue Tools informieren und bei Bedarf eine Einwilligung einholen.

Prüffrage: Ist die Datenschutzerklärung aktuell? Wurden betroffene Personen über den KI-Einsatz informiert?

9. Datenschutz-Folgenabschätzung (DSFA) prüfen

Für bestimmte Verarbeitungen ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO Pflicht. Das betrifft vor allem systematisches Profiling, Verarbeitung von Gesundheitsdaten und umfangreiche Überwachung. Für typische Geschäftsprozesse wie E-Mail-Automatisierung oder Rechnungsverarbeitung ist eine DSFA meist nicht erforderlich.

Prüffrage: Liegt ein Fall des Art. 35 DSGVO vor? Falls ja: Wurde eine DSFA durchgeführt und dokumentiert?

10. Dokumentation und Nachweispflicht

Das Rechenschaftsprinzip (Art. 5 Abs. 2 DSGVO) verlangt, dass du nachweisen kannst, dass du die DSGVO einhältst. Halte fest: Welche KI-Tools setzt du ein, zu welchem Zweck, auf welcher Rechtsgrundlage und mit welchen Schutzmaßnahmen? Das Verzeichnis der Verarbeitungstätigkeiten (VVT) ist das zentrale Dokument hierfür.

Prüffrage: Ist der KI-Tool-Einsatz im Verarbeitungsverzeichnis dokumentiert? Sind AVV und TOMs abgelegt?

Wie ich diese Checkliste in der Praxis umsetze

Bei jedem Automatisierungsprojekt gehe ich diese zehn Punkte systematisch durch, bevor ein Tool produktiv geht. Konkret heißt das:

  • Serverstandort Frankfurt am Main, Deutschland. DSGVO-konform gehostet.
  • AVV nach Art. 28 DSGVO ab Tag 1, nicht erst auf Nachfrage, sondern Standardbestandteil jedes Projekts.
  • Kein KI-Training mit Kundendaten. Deine Prozesse und Dokumente fließen nicht in ein Modelltraining ein.
  • TLS 1.3 und AES-256-Verschlüsselung für Übertragung und Speicherung.
  • ISO-zertifiziertes EU-Rechenzentrum als technische Grundlage.

Das ersetzt keine eigene Prüfung deiner bestehenden Tools, aber es zeigt, wie die zehn Punkte oben konkret aussehen können, wenn ein Anbieter sie von Anfang an mitdenkt.

Häufige Fehler beim DSGVO-konformen KI-Einsatz

Diese Fehler sehe ich regelmäßig in der Praxis:

  • Kein AVV abgeschlossen: Das Tool wird einfach genutzt, ohne dass ein Auftragsverarbeitungsvertrag existiert. Das ist ein unmittelbarer DSGVO-Verstoß.
  • Mitarbeiter nutzen private KI-Konten: Wenn Mitarbeiter Kundendaten in persönliche KI-Accounts eingeben, ist das ein Problem. Firmenkonten mit AVV sind Pflicht.
  • KI-Training-Opt-Out vergessen: Das Opt-Out ist oft nicht standardmäßig aktiv und muss aktiv konfiguriert und dokumentiert werden.
  • Datenschutzerklärung nicht aktualisiert: Der KI-Einsatz taucht nicht in der Datenschutzerklärung auf, obwohl Kundendaten verarbeitet werden.
  • Keine Mitarbeiterinformation: Mitarbeiter wissen nicht, welche ihrer Daten durch KI-Tools verarbeitet werden.

Wenn du diese Checkliste durchgehst und Unsicherheiten feststellst, melde dich. Im kostenlosen Erstgespräch sehen wir gemeinsam, welche Maßnahmen für dein Unternehmen sinnvoll sind. Die Datenschutzerklärung dieser Website findest du unter Datenschutz.

FAQ

Muss ich für jeden KI-Tool-Einsatz eine Datenschutz-Folgenabschätzung durchführen?

Nicht für jeden Einsatz, aber für bestimmte Szenarien ist eine DSFA Pflicht. Konkret dann, wenn KI-Tools systematisch personenbezogene Daten in großem Umfang verarbeiten, Profiling betreiben oder besonders sensible Datenkategorien (Gesundheit, Herkunft etc.) betreffen. In der Praxis empfehle ich eine kurze interne Prüfung bei jedem neuen KI-Tool.

Reicht ein AVV, um ein KI-Tool DSGVO-konform zu nutzen?

Ein AVV ist eine notwendige, aber keine hinreichende Bedingung. Zusätzlich müssen Serverstandort, Zweckbindung, Datenminimierung, Zugriffsrechte und Informationspflichten gegenüber Betroffenen geklärt sein. Der AVV regelt nur das Verhältnis zwischen dir und dem Dienstleister, nicht alle DSGVO-Anforderungen.

Was passiert bei einem Verstoß gegen die DSGVO?

Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes sind möglich. Für KMU relevant sind jedoch vor allem Abmahnungen, Reputationsschäden und Vertrauensverlust bei Kunden. Die gute Nachricht: Die meisten Datenschutzbehörden gehen bei kleinen Unternehmen zunächst mit Beratung und Verwarnungen vor, wenn echte Compliance-Bemühungen erkennbar sind.

Nächster Schritt

Unsicher, ob dein geplanter KI-Einsatz DSGVO-konform ist? Im kostenlosen Erstgespräch prüfen wir gemeinsam deine Situation und finden einen klaren Weg, unverbindlich und ohne Verkaufsdruck. Die erste Automatisierung ist danach in der Regel innerhalb von 2 bis 4 Wochen live.