Datenschutz bei KI-Tools im Unternehmen: Was beim Einsatz von ChatGPT & Co. rechtlich zu beachten ist

Künstliche Intelligenz ist aus dem Unternehmensalltag nicht mehr wegzudenken. Tools wie ChatGPT, Microsoft Copilot oder DeepSeek versprechen Effizienzgewinne in nahezu allen Abteilungen – vom Marketing über die Personalabteilung bis zum Kundenservice. Doch gerade für kleine und mittelständische Unternehmen (KMU) stellt sich eine zentrale Frage: Wie lassen sich diese Technologien datenschutzkonform einsetzen?

Die rechtlichen Anforderungen sind komplex und für viele Verantwortliche nicht auf den ersten Blick durchschaubar. Dieser Artikel gibt Ihnen einen strukturierten Überblick über die wichtigsten Pflichten aus DSGVO und der neuen KI-Verordnung – praxisnah und ohne juristische Umwege.

DSGVO-Anforderungen: Wo liegen die Knackpunkte?

Die Datenschutz-Grundverordnung (DSGVO) gilt auch für den Einsatz von KI-Tools – und zwar uneingeschränkt. Zentral sind dabei drei Bereiche:

Datenflüsse und Auftragsverarbeitung: Viele KI-Anwendungen werden über Cloud-Plattformen bereitgestellt. Dabei werden personenbezogene Daten häufig an Drittanbieter – mitunter außerhalb der EU – übermittelt. Ohne einen rechtssicheren Auftragsverarbeitungsvertrag (AVV) und eine sorgfältige Prüfung von Datenweitergaben (etwa in die USA) drohen empfindliche Bußgelder. Unternehmen sollten daher genau klären, wo ihre Daten verarbeitet werden und welche Subunternehmer involviert sind.

Transparenz- und Informationspflichten: Die DSGVO verpflichtet Unternehmen, Betroffene umfassend darüber zu informieren, welche Daten zu welchem Zweck verarbeitet werden. Bei KI-Systemen ist diese Anforderung besonders anspruchsvoll: Die Verarbeitungsprozesse sind oft komplex, dynamisch und für Außenstehende schwer nachvollziehbar. Dennoch bleibt die Pflicht zur klaren Aufklärung bestehen – etwa in Datenschutzerklärungen oder Mitarbeiterrichtlinien.

Zweckbindung und Datenminimierung: KI-Modelle arbeiten typischerweise mit großen Datenmengen. Das steht im Spannungsverhältnis zum Grundsatz der Datenminimierung: Es dürfen nur die Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind. Unternehmen müssen daher genau prüfen, welche Eingaben in KI-Tools erfolgen – und ob diese wirklich notwendig sind. Personenbezogene oder sensible Daten sollten möglichst gar nicht oder nur anonymisiert eingegeben werden.

Datenschutz-Folgenabschätzung nach Art. 35 DSGVO: Wann ist sie Pflicht?

Besonders wichtig und oft unterschätzt ist die Datenschutz-Folgenabschätzung (DSFA). Sie ist immer dann verpflichtend, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.

Bei KI-Tools ist das häufig der Fall – etwa wenn:

• automatisierte Bewertungen oder Profiling durchgeführt werden (z. B. Scoring, Bewerberauswahl),
• umfangreiche personenbezogene Daten verarbeitet werden,
• besondere Kategorien von Daten betroffen sind (z. B. Gesundheitsdaten, ethnische Herkunft),
• neue Technologien zum Einsatz kommen – was auf die meisten KI-Anwendungen zutrifft.

Die Datenschutzkonferenz führt in ihrer offiziellen Liste explizit auf: „Einsatz von künstlicher Intelligenz zur Verarbeitung personenbezogener Daten zur Steuerung der Interaktion mit den Betroffenen oder zur Bewertung persönlicher Aspekte der betroffenen Person“ – also genau die Szenarien, die viele Unternehmen betreffen.

Eine DSFA umfasst dabei mindestens:

• eine systematische Beschreibung der geplanten Datenverarbeitung,
• eine Bewertung von Notwendigkeit und Verhältnismäßigkeit,
• eine Risikoanalyse für die Betroffenen,
• die Festlegung technischer und organisatorischer Maßnahmen zur Risikominimierung.

Wer diese Pflicht missachtet, riskiert nicht nur Bußgelder, sondern auch Haftungsrisiken – etwa wenn Betroffene Schadenersatz geltend machen.

Die KI-Verordnung (AI Act): Neue Transparenz- und Kompetenzvorgaben ab 2026

Zusätzlich zur DSGVO ist seit August 2024 die EU-KI-Verordnung (AI Act) in Kraft. Ihre Anforderungen gelten stufenweise – und ab dem 2. August 2026 werden weitere zentrale Pflichten wirksam. Diese betreffen auch KMU, die KI-Tools lediglich nutzen, nicht selbst entwickeln.

Transparenzpflichten: Unternehmen müssen künftig deutlich kennzeichnen, wenn Inhalte durch KI erzeugt wurden – insbesondere bei Texten, Bildern, Videos oder Audio, die authentisch wirken könnten. Das betrifft etwa KI-generierte Produktfotos, Deepfakes oder automatisierte Chatbot-Kommunikation. Auch bei der Interaktion mit Kunden muss klar sein, ob ein Mensch oder eine KI antwortet.

KI-Kompetenzvermittlung: Bereits seit Februar 2025 müssen Unternehmen sicherstellen, dass Mitarbeiter, die mit KI-Systemen arbeiten, über ausreichende Kenntnisse verfügen. Das bedeutet: Schulungen zum datenschutzkonformen Umgang, zur Funktionsweise der Tools und zu den rechtlichen Rahmenbedingungen sind nicht optional, sondern verpflichtend.

Risikobasierter Ansatz: Die KI-Verordnung unterscheidet zwischen verschiedenen Risikoklassen. Hochrisiko-Systeme (z. B. in der Personalauswahl, Kreditvergabe oder Gesundheitsversorgung) unterliegen strengen Anforderungen. Aber auch Systeme mit begrenztem oder minimalem Risiko müssen dokumentiert und verantwortungsvoll betrieben werden.

Handlungsempfehlungen für KMU: Was jetzt zu tun ist

Um KI-Tools rechtssicher im Unternehmen einzusetzen, sollten Verantwortliche folgende Schritte beachten:

• Bestandsaufnahme: Identifizieren Sie alle KI-Systeme, die im Unternehmen genutzt werden – auch solche, die Mitarbeitende eigenständig einsetzen (sogenannte „Schatten-KI“).
• Risikoklassifizierung: Prüfen Sie, welche Daten verarbeitet werden und ob eine Datenschutz-Folgenabschätzung erforderlich ist.
• Vertragsmanagement: Schließen Sie mit allen KI-Anbietern Auftragsverarbeitungsverträge ab und klären Sie Fragen zu Drittlandtransfers.
• Richtlinien erstellen: Entwickeln Sie interne Nutzungsrichtlinien, die regeln, welche Daten in welche Tools eingegeben werden dürfen.
• Schulungen durchführen: Sorgen Sie dafür, dass alle Mitarbeiter im Umgang mit KI sensibilisiert sind und die datenschutzrechtlichen Grenzen kennen.
• Dokumentation: Halten Sie alle Verarbeitungsvorgänge, Risikobewertungen und getroffenen Maßnahmen schriftlich fest – im Ernstfall ist dies Ihre Nachweispflicht gegenüber Aufsichtsbehörden.

Fazit: Datenschutz ist kein Hindernis, sondern ein Qualitätsmerkmal

KI-Tools bieten enorme Chancen – aber nur, wenn sie verantwortungsvoll eingesetzt werden. Die rechtlichen Anforderungen aus DSGVO und KI-Verordnung mögen auf den ersten Blick komplex erscheinen. Doch wer sie ernst nimmt, schützt nicht nur sein Unternehmen vor Bußgeldern, sondern stärkt auch das Vertrauen von Kunden, Mitarbeitern und Geschäftspartnern.

Für KMU gilt: Holen Sie sich bei Bedarf Unterstützung – sei es durch einen externen Datenschutzbeauftragten, spezialisierte Berater oder Brancheninitiativen. Datenschutz ist kein Kostenfaktor, sondern ein Qualitätsmerkmal – und ein Wettbewerbsvorteil in einer zunehmend regulierten digitalen Wirtschaft.