DSGVO-konforme KI im Unternehmen

Rechtslage 2026 — Was gilt aktuell?

Wer KI im Unternehmen einsetzt, bewegt sich 2026 in einem mehrschichtigen Regelwerk. Die DSGVO regelt die Verarbeitung personenbezogener Daten und ist seit 2018 verbindlich. Der EU AI Act (Verordnung (EU) 2024/1689) trat im August 2024 in Kraft, mit gestaffelten Anwendungsfristen — wesentliche Pflichten für GP-AI-Modelle ab August 2025, für hochrisiko-Anwendungen ab August 2026, vollständige Anwendbarkeit ab August 2027. Hinzu kommen branchenspezifische Regeln (BDSG für Beschäftigtendatenschutz, MDR für medizinische Geräte, FinDAG für Finanzdienstleister, BetrVG für Mitbestimmung), das deutsche Geschäftsgeheimnisgesetz (GeschGehG) und das künftige Beschäftigtendatengesetz.

Diese Schichten überlagern sich. Eine produktive KI-Anwendung im Mittelstand muss alle relevanten Regelwerke gleichzeitig erfüllen. Wer DSGVO-Konformität allein für ausreichend hält, übersieht die EU-AI-Act-Klassifikationspflichten und die Mitbestimmungs-Erfordernisse. Wer nur den EU AI Act betrachtet, übersieht die Datenschutz-Verarbeitungsverzeichnis- und DSFA-Pflichten.

Rechtsgrundlage — Worauf stützen Sie die Verarbeitung?

Die DSGVO erlaubt die Verarbeitung personenbezogener Daten nur, wenn eine Rechtsgrundlage nach Art. 6 DSGVO vorliegt. Für KI-Anwendungen sind in der Praxis vier Grundlagen relevant:

• Art. 6 Abs. 1 lit. a (Einwilligung) — Selten praktikabel im B2B/Mitarbeiter-Kontext, weil Einwilligungen frei widerrufbar und im Beschäftigungsverhältnis oft nicht freiwillig sind.
• Art. 6 Abs. 1 lit. b (Vertragserfüllung) — Anwendbar, wenn die KI-Anwendung zur Erfüllung eines Vertrags mit der betroffenen Person nötig ist (z. B. KI-gestützte Sachbearbeitung eines Versicherungsvorgangs).
• Art. 6 Abs. 1 lit. c (Rechtspflicht) — Bei gesetzlich vorgeschriebenen KI-Anwendungen, eher selten.
• Art. 6 Abs. 1 lit. f (Berechtigte Interessen) — Häufigste Grundlage für KI-Anwendungen im Geschäftskontext. Erfordert eine dokumentierte Interessenabwägung.

Bei besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO — z. B. Gesundheit, religiöse oder weltanschauliche Überzeugung, biometrische Daten) ist zusätzlich eine spezielle Rechtsgrundlage nötig, typischerweise ausdrückliche Einwilligung oder eine gesetzliche Spezialgrundlage.

Datenschutz-Folgenabschätzung (DSFA)

Eine DSFA ist nach Art. 35 DSGVO verpflichtend, wenn die Verarbeitung „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen“ birgt. Die Liste der Aufsichtsbehörden („Black List“, „Muss-Listen“) enthält explizit die Verwendung neuer Technologien und die automatisierte Entscheidungsfindung — beide treffen auf die meisten KI-Anwendungen zu.

Inhalte einer KBD-Standard-DSFA für KI-Anwendungen:

1. Systembeschreibung: Zweck, Datenkategorien, Datenflüsse, beteiligte Systeme, beteiligte Anbieter
2. Bewertung der Notwendigkeit und Verhältnismäßigkeit
3. Identifikation und Bewertung der Risiken (für Betroffene): Diskriminierung, Re-Identifikation, fehlerhafte automatisierte Entscheidungen, Modell-Drift, Halluzinationen, unbefugter Zugriff
4. Technische und organisatorische Maßnahmen zur Risikoreduktion
5. Restrisiko-Bewertung und ggf. Konsultation der Aufsichtsbehörde
6. EU-AI-Act-Klassifikation (verboten / hochrisiko / begrenzt / minimal)
7. Review-Termin (typisch jährlich oder bei Wesentlicher Änderung)

Auftragsverarbeitung (AVV / DPA)

Wer KI-Modelle externer Anbieter nutzt (OpenAI, Anthropic, Google, Mistral, Microsoft Azure, AWS, Cohere, Voyage etc.), muss mit jedem Anbieter einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abschließen. Der Vertrag muss die in Art. 28 Abs. 3 genannten Mindestinhalte enthalten — und für KI-Anbieter zusätzlich:

• Trainingsausschluss: Ihre Daten dürfen nicht zum Training fremder Modelle genutzt werden.
• Hosting-Standorte: Konkret benannt, idealerweise EU/Deutschland.
• Subunternehmer-Liste: Aktuell und mit Änderungs-Anzeigepflicht.
• Aufbewahrungsfristen: Kurz, nachvollziehbar, technisch erzwungen.
• Audit-Rechte: Mindestens Einsicht in SOC-2- oder ISO-27001-Berichte.
• Schrems-II-Klauseln: Verhalten bei US-Behörden-Zugriff, Standardvertragsklauseln nach Anhang III.
• Halluzinations-/Modell-Risiko: Hinweis- und Mitwirkungspflichten bei erkanntem Modell-Fehlverhalten.

Wir stellen unseren Mandanten ein KBD-Standard-DPA-Template zur Verfügung, das diese Punkte abdeckt und nur unternehmensspezifisch angepasst werden muss.

Hosting & Drittlandtransfer (Schrems II)

Seit dem Schrems-II-Urteil (EuGH C-311/18, Juli 2020) und der nachfolgenden EDSA-Empfehlung sind Datentransfers in die USA nur unter strengen Bedingungen zulässig. Das EU-US Data Privacy Framework (DPF, seit 2023) hat die Lage entspannt, aber nicht final geklärt — eine erneute EuGH-Klage ist anhängig. Für sensible Daten empfehlen wir konsequent EU/Deutschland-Hosting:

Betroffenenrechte umsetzbar machen

Die DSGVO-Betroffenenrechte (Art. 12–22) müssen auch bei KI-Anwendungen umsetzbar sein. Konkret:

• Auskunft (Art. 15): Welche personenbezogenen Daten verarbeitet die KI über die betroffene Person?
• Berichtigung (Art. 16): Korrektur falscher Daten — bei RAG-Systemen über Quellsystem-Update + Re-Indexierung.
• Löschung (Art. 17): Daten aus Vektor-DB, Logs, Trainings-Sets entfernen. Bei trainierten Modellen technisch schwierig — möglichst nicht trainieren mit personenbezogenen Daten.
• Einschränkung (Art. 18): KI-Verarbeitung pausieren bei strittigen Daten.
• Widerspruch (Art. 21): Insbesondere bei berechtigtem Interesse als Rechtsgrundlage relevant.
• Automatisierte Entscheidung (Art. 22): Nur unter strengen Bedingungen zulässig — Mensch-im-Loop ist Standard-Empfehlung.

Mitarbeiter, Betriebsrat und BetrVG

Mitarbeiterdaten sind eine besonders sensible Kategorie — nicht durch Art. 9 DSGVO, sondern durch BDSG § 26 und das künftige Beschäftigtendatengesetz. Wenn KI im Unternehmen Mitarbeiterdaten verarbeitet (selbst wenn nur am Rande, z. B. via Workflow-Logging), gelten mehrere Pflichten:

• Mitarbeiter-Information nach Art. 13 DSGVO und BDSG § 26 (umfassend, vor Beginn der Verarbeitung).
• Mitbestimmung des Betriebsrats nach BetrVG § 87 Abs. 1 Nr. 6 — bei „technischen Einrichtungen, die geeignet sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. KI-Tools fallen fast immer darunter.
• Betriebsvereinbarung als typische Lösung — definiert Zweck, Datenverwendung, Bewertungs-Ausschlüsse, Speicherfristen, Zugriffsrechte.
• Schulung der Mitarbeiter zu erlaubter und unerlaubter Nutzung von KI-Tools.

Wir empfehlen, den Betriebsrat von Anfang an einzubeziehen — nicht erst beim Roll-out. In unseren Mandaten dauern Betriebsvereinbarungen typischerweise 6–10 Wochen Verhandlung.

KI-Incident-Response

Ein DSGVO-relevanter Incident bei KI-Anwendungen kann verschiedene Formen annehmen:

• Unbefugter Zugriff auf das KI-System (klassischer Datenschutz-Vorfall)
• Halluzination mit Daten-Leak (KI gibt geheime Information ungeplant aus)
• Modell-Drift mit fehlerhaften Entscheidungen (z. B. diskriminierende Ergebnisse)
• Anbieter-Vorfall (z. B. OpenAI-Datenpanne 2023, Verlust von Konversations-Historien)
• Subunternehmer-Wechsel ohne ordnungsgemäße Anzeige

Für jeden dieser Fälle braucht es ein definiertes Vorgehen: Wer wird benachrichtigt? Wie wird der Schaden bewertet? Wann muss die Aufsichtsbehörde gemeldet werden (72 h Frist!)? Wann werden Betroffene informiert (bei hohem Risiko)? Wie wird die Datenpanne dokumentiert?

Checkliste: DSGVO-konforme KI-Implementierung

1. ☐ Use-Case-Beschreibung mit Datenflüssen erstellt
2. ☐ Rechtsgrundlage nach Art. 6 (und ggf. Art. 9) DSGVO bestimmt und dokumentiert
3. ☐ Verzeichnis der Verarbeitungstätigkeiten ergänzt
4. ☐ DSFA durchgeführt und dokumentiert
5. ☐ AVV/DPA mit allen externen KI-Anbietern abgeschlossen, inkl. Trainingsausschluss
6. ☐ Hosting-Strategie definiert (Standardmäßig EU/DE)
7. ☐ Schrems-II-Bewertung dokumentiert (Standardklauseln, TIA bei US-Anbietern)
8. ☐ Subunternehmer-Liste eingeholt und überwacht
9. ☐ Betroffenen-Information aktualisiert
10. ☐ Mitarbeiter-Information nach Art. 13 DSGVO erfolgt
11. ☐ Betriebsvereinbarung verhandelt (falls Beschäftigtendaten)
12. ☐ Technische Maßnahmen umgesetzt (Verschlüsselung, Zugriffskontrolle, Logging)
13. ☐ Eval-Pipeline für Modell-Qualität etabliert
14. ☐ Mensch-im-Loop bei kritischen Entscheidungen sichergestellt
15. ☐ Lösch- und Aufbewahrungskonzept umgesetzt
16. ☐ Incident-Response-Prozedur dokumentiert
17. ☐ Schulung der Anwender durchgeführt
18. ☐ EU-AI-Act-Risikoklassifikation bestimmt
19. ☐ Review-Termin für jährliche DSFA-Aktualisierung gesetzt

Wenn Sie konkret eine KI-Anwendung DSGVO-konform aufsetzen wollen, ist der einfachste Schritt ein kostenfreies Erstgespräch. Wir prüfen Ihren Use Case und liefern eine erste Datenschutz-Indikation. Für vertiefte Ressourcen siehe unsere Pillar-Pages zu EU AI Act und Private AI Hosting.