DSGVO-konforme KI: Ein Leitfaden für deutsche Unternehmen

DSGVO-konforme KI: die Grundsätze aus Art. 5

Die DSGVO kennt keine Sonderregeln für künstliche Intelligenz. Sie gilt immer dann, wenn ein KI-System personenbezogene Daten verarbeitet – etwa Namen in Kundenanfragen, Mitarbeiterdaten in HR-Dokumenten oder Gesprächsinhalte in einem Chatbot. Maßgeblich sind die Grundsätze aus Art. 5 DSGVO:

• Zweckbindung: Die KI darf Daten nur für den festgelegten Zweck verarbeiten. Ein Wissensassistent für den Vertrieb ist kein Freibrief für Leistungsauswertungen.
• Datenminimierung: Nur die Daten einbeziehen, die für den Zweck nötig sind. Nicht jedes Laufwerk gehört in den Index eines RAG-Systems.
• Speicherbegrenzung: Prompts, Antworten und Protokolle brauchen Löschfristen.
• Integrität und Vertraulichkeit: Zugriffskontrolle, Verschlüsselung und Protokollierung nach Art. 32 DSGVO.
• Rechenschaftspflicht: Sie müssen nachweisen können, dass Sie die Grundsätze einhalten.

Zusätzlich brauchen Sie für jede Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO. Im Unternehmenskontext ist das häufig das berechtigte Interesse oder die Vertragserfüllung; bei Beschäftigtendaten kommen arbeitsrechtliche Besonderheiten und die Mitbestimmung des Betriebsrats hinzu.

Wo wird verarbeitet? Drittlandtransfer und Datenhoheit

Die zentrale Frage bei vielen KI-Diensten lautet: Wo landen die Daten? Bei Anbietern mit Sitz oder Rechenzentren in den USA greifen die Regeln zum Drittlandtransfer (Art. 44 ff. DSGVO). Derzeit stützen sich viele Übermittlungen auf das EU-US Data Privacy Framework. Das Gericht der EU hat den Angemessenheitsbeschluss im September 2025 bestätigt; ein Rechtsmittel beim Europäischen Gerichtshof ist jedoch anhängig (Stand: September 2026). Frühere Abkommen – Safe Harbor und Privacy Shield – hat der EuGH gekippt.

Hinzu kommt: US-Anbieter können nach US-Recht zur Herausgabe von Daten verpflichtet sein, auch wenn diese in europäischen Rechenzentren liegen. Für vertrauliche Unternehmensdaten ist das ein Risiko, das Sie bewerten müssen.

Die robusteste Lösung ist eine Verarbeitung vollständig in Deutschland durch einen Anbieter, der europäischem Recht unterliegt. Ein lokal betriebenes Sprachmodell mit Secure Gateway vermeidet den Drittlandtransfer von vornherein, weil Prompts und Antworten die eigene Infrastruktur nicht verlassen. Verdacloud betreibt seine Systeme in ISO-27001-zertifizierten Rechenzentren in Bayern und Sachsen.

Auftragsverarbeitung nach Art. 28

Nutzen Sie einen externen KI-Dienstleister, ist ein Auftragsverarbeitungsvertrag (AVV) Pflicht. Prüfen Sie darin insbesondere:

• Verarbeitet der Anbieter die Daten ausschließlich nach Ihrer Weisung?
• Ist ausgeschlossen, dass Prompts, Dokumente oder Antworten für das Training eigener Modelle genutzt werden?
• Welche Unterauftragsverarbeiter sind beteiligt, und wo sitzen sie?
• Welche technischen und organisatorischen Maßnahmen sind dokumentiert?
• Wie lange werden Protokolle gespeichert, und wie erfolgt die Löschung?

Gerade bei Standard-Accounts von KI-Chatdiensten fehlt oft ein AVV – ein häufiger Grund, warum die private Nutzung durch Mitarbeitende zum Compliance-Problem wird.

Transparenz und Informationspflichten

Verarbeitet eine KI personenbezogene Daten von Kunden, Bewerbern oder Beschäftigten, müssen Betroffene nach Art. 13 und 14 DSGVO informiert werden. Ergänzen Sie Ihre Datenschutzerklärung um einen KI-Abschnitt mit Art der Verarbeitung, Zweck, Rechtsgrundlage, Empfängern und Speicherdauer.

Besondere Vorsicht gilt bei automatisierten Einzelentscheidungen (Art. 22 DSGVO): Entscheidungen mit rechtlicher Wirkung – etwa Absagen im Bewerbungsprozess – dürfen nicht ausschließlich von einer KI getroffen werden. Ein Mensch muss das Ergebnis prüfen und verantworten. Seit dem 2. August 2026 kommen die Transparenzpflichten des EU AI Act hinzu, etwa der Hinweis, dass Nutzer mit einem KI-System kommunizieren. Details dazu im Beitrag zum AI Act 2026.

Datenschutz-Folgenabschätzung (DSFA)

Birgt eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen, ist eine DSFA nach Art. 35 DSGVO Pflicht. Typische KI-Szenarien mit DSFA-Bedarf:

• KI-gestützte Vorauswahl von Bewerbungen
• Automatisierte Bonitäts- oder Risikobewertung
• Profiling von Kunden oder Beschäftigten
• Verarbeitung von Gesundheitsdaten oder anderen besonderen Kategorien

Für einen RAG-Assistenten, der interne Handbücher und Richtlinien durchsucht, ist eine DSFA häufig nicht erforderlich – das hängt aber davon ab, welche Dokumente indexiert werden. Enthalten sie Personalakten oder Kundendaten, ändert sich die Bewertung. Stimmen Sie die Einschätzung mit Ihrer Datenschutzbeauftragten ab. Vertiefend: DSGVO-Konformität bei RAG-Systemen.

Technische Maßnahmen, die in der Praxis helfen

• Rollen- und Rechtekonzept: Die KI zeigt nur Inhalte, auf die der Nutzer ohnehin Zugriff hat.
• PII-Filter: Personenbezogene Daten werden vor der Verarbeitung erkannt und maskiert.
• Audit-Logging: Nachvollziehbar, wer wann welche Anfrage gestellt hat.
• Löschkonzept: Definierte Aufbewahrungsfristen für Prompts und Antworten.

Ein Secure Cloud RAG bringt diese Bausteine als DSGVO-konforme Architektur mit. Die rechtliche Bewertung Ihres konkreten Einsatzes ersetzt das nicht – für Strategie und Umsetzungsbegleitung steht Ihnen VerdaGen.ai zur Seite.