Jetzt anrufen: 040 22 8586877
✉️ Jetzt Kontakt aufnehmen

Datenschutz und Künstliche Intelligenz: Was Unternehmen beim Einsatz von KI rechtlich beachten müssen

ChatGPT, Microsoft Copilot und andere KI-Systeme im Unternehmen: Datenschutzrechtliche Pflichten, Haftungsrisiken und praktische Handlungsempfehlungen

Stand: Oktober 2026

Künstliche Intelligenz hat sich innerhalb kurzer Zeit zu einem wichtigen Bestandteil moderner Unternehmensprozesse entwickelt. KI-Systeme erstellen Texte, analysieren Dokumente, unterstützen den Kundenservice, werten Bewerbungen aus und helfen bei der Verarbeitung großer Datenmengen.

Die wirtschaftlichen Vorteile liegen auf der Hand: Arbeitsabläufe können beschleunigt, Kosten reduziert und neue Dienstleistungen entwickelt werden.

Doch mit dem zunehmenden Einsatz künstlicher Intelligenz wächst auch die datenschutzrechtliche Verantwortung der Unternehmen.

Wer personenbezogene Daten mithilfe künstlicher Intelligenz verarbeitet, muss die Anforderungen der Datenschutz-Grundverordnung (DSGVO) beachten. Das gilt unabhängig davon, ob die KI-Anwendung selbst entwickelt oder von einem externen Dienstleister bereitgestellt wird.

Besonders problematisch wird es, wenn Mitarbeiter vertrauliche Kundendaten, Personalunterlagen oder interne Geschäftsinformationen ohne ausreichende Prüfung in KI-Systeme eingeben.

Unternehmen sollten daher frühzeitig klären, welche KI-Anwendungen eingesetzt werden dürfen, welche personenbezogenen Daten verarbeitet werden und welche rechtlichen Schutzmaßnahmen erforderlich sind.

Dieser Beitrag erläutert die wichtigsten datenschutzrechtlichen Anforderungen beim Einsatz künstlicher Intelligenz und zeigt, weshalb eine rechtliche Prüfung bereits vor der Einführung neuer KI-Systeme sinnvoll ist.

1. Warum ist Datenschutz beim Einsatz künstlicher Intelligenz besonders wichtig?

Künstliche Intelligenz ist häufig auf große Datenmengen angewiesen.

Je nach Anwendung werden Informationen bereits beim Training eines KI-Modells, bei seiner Bereitstellung oder während der Nutzung verarbeitet.

Dabei können personenbezogene Daten auf unterschiedliche Weise betroffen sein.

Beispiele sind:

Ein Unternehmen, das beispielsweise Kundenanfragen automatisiert durch einen KI-Chatbot beantworten lässt, verarbeitet möglicherweise personenbezogene Informationen.

Gleiches gilt, wenn Beschäftigte Bewerbungen mithilfe eines KI-Systems zusammenfassen oder Mitarbeiterdaten durch automatisierte Analysewerkzeuge auswerten.

Besonders kritisch sind Anwendungen, bei denen Daten an externe KI-Anbieter übertragen werden.

Denn in solchen Fällen muss geklärt werden, welche Informationen der Anbieter erhält, wie lange diese gespeichert werden und ob eine Weiterverwendung zu eigenen Zwecken erfolgt.

Der Einsatz moderner Technologie entbindet Unternehmen nicht von ihrer datenschutzrechtlichen Verantwortung.

2. Gilt die DSGVO auch für ChatGPT und andere KI-Systeme?

Ja. Sobald bei der Nutzung künstlicher Intelligenz personenbezogene Daten verarbeitet werden und die DSGVO sachlich und räumlich anwendbar ist, müssen ihre Anforderungen eingehalten werden.

Dabei spielt es grundsätzlich keine Rolle, ob die Verarbeitung durch klassische Software, einen Chatbot oder ein komplexes KI-Modell erfolgt.

Die DSGVO ist technologieneutral ausgestaltet.

Für Unternehmen ist deshalb nicht allein entscheidend, welche KI-Anwendung verwendet wird.

Wesentlich wichtiger ist die Frage, welche Daten zu welchem Zweck und unter welchen Bedingungen verarbeitet werden.

Bei der datenschutzrechtlichen Prüfung müssen insbesondere folgende Grundsätze berücksichtigt werden:

Rechtmäßigkeit: Jede Verarbeitung personenbezogener Daten benötigt eine geeignete Rechtsgrundlage.

Transparenz: Betroffene Personen müssen grundsätzlich nachvollziehen können, wie ihre Daten verwendet werden.

Zweckbindung: Personenbezogene Daten dürfen nicht ohne Weiteres für beliebige andere Zwecke genutzt werden.

Datenminimierung: Es dürfen nur diejenigen personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind.

Richtigkeit: Personenbezogene Daten müssen sachlich richtig sein. Fehlerhafte KI-Ausgaben können deshalb auch datenschutzrechtlich relevant werden.

Speicherbegrenzung: Daten dürfen grundsätzlich nicht länger als erforderlich gespeichert werden.

Integrität und Vertraulichkeit: Personenbezogene Daten müssen angemessen vor unbefugtem Zugriff, Verlust und Missbrauch geschützt werden.

Rechenschaftspflicht: Unternehmen müssen die Einhaltung der datenschutzrechtlichen Anforderungen nachweisen können.

Gerade die Rechenschaftspflicht wird in der Praxis häufig unterschätzt.

Es reicht nicht aus, dass ein KI-System vermeintlich datenschutzkonform arbeitet. Das verantwortliche Unternehmen muss seine Entscheidungen und Schutzmaßnahmen auch nachvollziehbar dokumentieren können.

3. Welche Rechtsgrundlage erlaubt die Verarbeitung personenbezogener Daten durch KI?

Eine der wichtigsten Fragen lautet: Auf welcher rechtlichen Grundlage darf ein Unternehmen personenbezogene Daten durch künstliche Intelligenz verarbeiten?

Artikel 6 DSGVO enthält verschiedene mögliche Rechtsgrundlagen.

Welche davon einschlägig ist, hängt vom konkreten Einsatz der KI ab.

Einwilligung der betroffenen Person

Eine Verarbeitung kann auf einer wirksamen Einwilligung beruhen.

Diese muss insbesondere freiwillig, informiert, für den bestimmten Zweck und eindeutig erteilt werden.

Außerdem muss sie grundsätzlich widerrufen werden können.

Die Einwilligung ist jedoch keineswegs für jede KI-Anwendung erforderlich oder die beste Rechtsgrundlage.

Gerade im Beschäftigungsverhältnis kann die Freiwilligkeit problematisch sein.

Vertragserfüllung

Eine Verarbeitung kann zulässig sein, wenn sie für die Erfüllung eines Vertrags mit der betroffenen Person oder für bestimmte vorvertragliche Maßnahmen erforderlich ist.

Allerdings genügt es nicht, dass KI die Vertragserfüllung lediglich erleichtert.

Entscheidend ist, ob die konkrete Verarbeitung personenbezogener Daten tatsächlich erforderlich ist.

Berechtigte Interessen

In bestimmten Fällen kann Artikel 6 Absatz 1 Buchstabe f DSGVO als Rechtsgrundlage dienen.

Hierfür müssen ein berechtigtes Interesse bestehen, die Verarbeitung zur Wahrung dieses Interesses erforderlich sein und die Interessen oder Grundrechte der betroffenen Personen dürfen nicht überwiegen.

Gerade bei KI-Anwendungen ist diese Interessenabwägung häufig komplex.

Der Europäische Datenschutzausschuss hat in seiner Stellungnahme 28/2024 ausdrücklich betont, dass die Nutzung berechtigter Interessen beim Training und Einsatz von KI-Modellen anhand der konkreten Umstände beurteilt werden muss.

Ein allgemeines wirtschaftliches Interesse am Einsatz künstlicher Intelligenz genügt nicht automatisch.

Besondere Kategorien personenbezogener Daten

Noch strengere Anforderungen gelten insbesondere bei Gesundheitsdaten, biometrischen Daten und anderen besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO.

Hier ist neben einer Rechtsgrundlage nach Artikel 6 DSGVO grundsätzlich auch eine Ausnahme vom Verarbeitungsverbot des Artikels 9 DSGVO erforderlich.

Eine pauschale Erlaubnis, personenbezogene Daten mit KI zu verarbeiten, gibt es nicht.

Unternehmen sollten daher für jede wesentliche KI-Anwendung prüfen, welche Rechtsgrundlage tatsächlich trägt.

4. Dürfen Mitarbeiter personenbezogene Daten in ChatGPT eingeben?

Diese Frage gehört zu den praktisch wichtigsten Themen des betrieblichen KI-Einsatzes.

Viele Beschäftigte verwenden generative KI-Systeme, um Texte zu formulieren, Dokumente zusammenzufassen oder E-Mails zu bearbeiten.

Dabei besteht die Gefahr, dass personenbezogene oder vertrauliche Informationen unkontrolliert an externe Dienste übermittelt werden.

Beispielsweise könnte ein Mitarbeiter einen vollständigen Kundenvertrag in einen KI-Chatbot kopieren, um sich dessen wesentliche Regelungen erklären zu lassen.

Enthält der Vertrag Namen, Anschriften oder andere personenbezogene Angaben, liegt regelmäßig eine Verarbeitung personenbezogener Daten vor.

Das bedeutet nicht, dass eine solche Nutzung stets verboten ist.

Es muss jedoch geprüft werden, ob die Verarbeitung rechtmäßig ist und welche technischen sowie vertraglichen Schutzmaßnahmen bestehen.

Besonders wichtig sind folgende Fragen:

Ein häufiger Fehler besteht darin, die Datenschutzrisiken allein anhand des Produktnamens zu bewerten.

Tatsächlich können sich die Bedingungen einer kostenlosen Verbraucherversion, eines kostenpflichtigen Geschäftskontos und einer speziell konfigurierten Unternehmenslösung erheblich unterscheiden.

Für die rechtliche Beurteilung kommt es deshalb auf das konkrete Produkt, die Vertragsbedingungen und die tatsächlich aktivierten Funktionen an.

5. Microsoft Copilot, ChatGPT Enterprise und andere Unternehmenslösungen: Sind sie automatisch DSGVO-konform?

Nein.

Auch die Verwendung einer ausdrücklich für Unternehmen angebotenen KI-Lösung führt nicht automatisch zur vollständigen Einhaltung der DSGVO.

Zwar können Unternehmenslösungen wichtige Funktionen bieten, beispielsweise erweiterte Datenschutzkontrollen, vertragliche Zusicherungen oder zusätzliche Möglichkeiten zur Verwaltung von Daten.

Diese Funktionen ersetzen jedoch nicht die datenschutzrechtliche Prüfung des konkreten Einsatzes.

Unternehmen müssen insbesondere untersuchen, welche Daten in das System gelangen, auf welche Unternehmensinformationen die KI zugreifen darf und ob die Zugriffsrechte angemessen ausgestaltet sind.

Ein Beispiel:

Wird ein KI-Assistent mit internen Dokumentenbeständen verbunden, kann er unter Umständen Informationen aus unterschiedlichen Unternehmensbereichen verarbeiten.

Sind die bestehenden Zugriffsrechte zu weit gefasst, kann die KI diese Schwächen verstärken.

Die Einführung einer KI-Anwendung sollte daher stets mit einer Überprüfung der Berechtigungsstrukturen verbunden werden.

Auch vorhandene Datenschutzvereinbarungen sollten auf ihren tatsächlichen Anwendungsbereich geprüft werden.

6. Wann ist ein Auftragsverarbeitungsvertrag erforderlich?

Viele Unternehmen greifen beim Einsatz künstlicher Intelligenz auf externe Dienstleister zurück.

Dabei stellt sich die Frage, ob ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO erforderlich ist.

Ein solcher Vertrag ist grundsätzlich notwendig, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung des verantwortlichen Unternehmens verarbeitet.

Allerdings ist nicht jeder KI-Anbieter automatisch Auftragsverarbeiter.

Je nach Geschäftsmodell und konkretem Verarbeitungsvorgang kann der Anbieter auch selbst Verantwortlicher sein.

Denkbar sind außerdem Konstellationen gemeinsamer Verantwortlichkeit.

Entscheidend sind die tatsächlichen Rollen und die jeweiligen Zwecke der Datenverarbeitung.

Ein Auftragsverarbeitungsvertrag sollte insbesondere Regelungen zu Gegenstand und Dauer der Verarbeitung, Datenarten, Weisungen, Sicherheitsmaßnahmen, Unterauftragsverarbeitern und Unterstützungspflichten enthalten.

Unternehmen sollten sich nicht darauf verlassen, dass eine allgemein formulierte Datenschutzerklärung des KI-Anbieters sämtliche Anforderungen erfüllt.

Die datenschutzrechtliche Rollenverteilung muss vor dem Einsatz der KI-Anwendung geklärt werden.

7. KI und Datenübermittlung in die USA oder andere Drittländer

Viele bekannte KI-Dienste werden von international tätigen Unternehmen angeboten.

Dabei können personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden oder für Stellen in Drittländern zugänglich sein.

Solche Datenübermittlungen unterliegen den besonderen Anforderungen der Artikel 44 ff. DSGVO.

Ob eine Übermittlung zulässig ist, hängt unter anderem vom Empfänger, dem jeweiligen Drittland, einer gegebenenfalls bestehenden Angemessenheitsentscheidung und den sonstigen vorgesehenen Garantien ab.

Bei Übermittlungen in die USA kann beispielsweise der EU-US Data Privacy Framework relevant sein, soweit dessen Voraussetzungen für den konkreten Empfänger und die konkrete Verarbeitung erfüllt sind.

In anderen Fällen können geeignete Standardvertragsklauseln und gegebenenfalls ergänzende Maßnahmen erforderlich werden.

Eine bloße Aussage des Anbieters, dass seine Server besonders sicher seien, reicht für die rechtliche Beurteilung nicht aus.

Zu prüfen sind insbesondere die tatsächlichen Datenflüsse, die eingesetzten Unterauftragnehmer und die vertraglichen Regelungen.

Gerade für mittelständische Unternehmen kann diese Prüfung anspruchsvoll sein, weil technische und rechtliche Aspekte ineinandergreifen.

8. KI im Personalwesen: Datenschutzrechtliche Risiken für Arbeitgeber

Der Einsatz künstlicher Intelligenz im Personalbereich ist besonders sensibel.

Unternehmen können KI beispielsweise nutzen, um Bewerbungen zu sortieren, Qualifikationen auszuwerten, Arbeitsleistungen zu analysieren oder Personalentscheidungen vorzubereiten.

Dabei werden regelmäßig personenbezogene Beschäftigten- oder Bewerberdaten verarbeitet.

Neben der DSGVO sind insbesondere die einschlägigen arbeitsrechtlichen und beschäftigungsdatenschutzrechtlichen Vorschriften zu beachten.

Besondere Probleme entstehen, wenn KI-Systeme personenbezogene Bewertungen oder Prognosen erstellen.

Ein automatisiertes Bewerberranking kann beispielsweise fehlerhafte oder diskriminierende Ergebnisse erzeugen.

Hinzu kommt Artikel 22 DSGVO.

Diese Vorschrift schützt betroffene Personen unter bestimmten Voraussetzungen vor Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und ihnen gegenüber rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.

Eine lediglich formale Beteiligung eines Mitarbeiters genügt nicht zwingend, um eine Entscheidung als tatsächlich menschlich verantwortet einzuordnen.

Auch Mitbestimmungsrechte des Betriebsrats können betroffen sein.

Arbeitgeber sollten daher vor Einführung entsprechender Systeme eine umfassende rechtliche Prüfung durchführen lassen.

Das gilt insbesondere dann, wenn die KI Einfluss auf Einstellungen, Beförderungen, Leistungsbewertungen oder Kündigungsentscheidungen haben kann.

9. Muss beim Einsatz von KI eine Datenschutz-Folgenabschätzung durchgeführt werden?

Nicht jede KI-Anwendung erfordert automatisch eine Datenschutz-Folgenabschätzung.

Nach Artikel 35 DSGVO ist sie jedoch grundsätzlich erforderlich, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

Bei der Beurteilung sind insbesondere Art, Umfang, Umstände und Zwecke der Verarbeitung zu berücksichtigen.

Eine Datenschutz-Folgenabschätzung kann beispielsweise bei umfangreichen automatisierten Bewertungen, bestimmten Formen der Überwachung oder der Verarbeitung besonders sensibler Daten relevant werden.

Sie dient dazu, Risiken frühzeitig zu identifizieren und geeignete Gegenmaßnahmen zu entwickeln.

Zu den möglichen Maßnahmen gehören die Begrenzung der verarbeiteten Daten, technische Zugriffskontrollen, menschliche Überprüfung und die Anpassung von Speicherfristen.

Wichtig ist, dass die Prüfung vor Beginn der risikoreichen Verarbeitung erfolgt.

Unternehmen sollten deshalb bereits bei der Planung neuer KI-Projekte untersuchen, ob eine Datenschutz-Folgenabschätzung notwendig ist.

10. KI-Training mit personenbezogenen Daten: Was ist erlaubt?

Ein besonders umstrittenes Thema betrifft die Verwendung personenbezogener Daten zum Training künstlicher Intelligenz.

KI-Modelle werden häufig mithilfe umfangreicher Datensätze entwickelt.

Diese können auch Informationen über identifizierte oder identifizierbare Personen enthalten.

Dabei stellt sich unter anderem die Frage, ob personenbezogene Daten aus öffentlich zugänglichen Quellen für Trainingszwecke verwendet werden dürfen.

Die bloße öffentliche Zugänglichkeit bedeutet nicht, dass personenbezogene Daten ohne Einschränkungen für beliebige Zwecke verarbeitet werden dürfen.

Auch beim sogenannten Web Scraping müssen die Anforderungen der DSGVO beachtet werden.

Dazu gehören insbesondere eine tragfähige Rechtsgrundlage, die Grundsätze der Zweckbindung und Datenminimierung sowie die erforderliche Transparenz.

Der Europäische Datenschutzausschuss hat sich in seiner Stellungnahme 28/2024 mit der Entwicklung und Nutzung von KI-Modellen befasst.

Im Juli 2026 veröffentlichte er darüber hinaus Leitlinienentwürfe zur Anonymisierung und zum Web Scraping im Zusammenhang mit generativer KI.

Diese Entwicklungen verdeutlichen, dass die datenschutzrechtliche Bewertung von KI-Trainingsdaten weiterhin ein wichtiges und dynamisches Rechtsgebiet ist.

Für Unternehmen, die eigene KI-Modelle entwickeln oder bestehende Modelle mit Unternehmensdaten weitertrainieren, ist daher eine sorgfältige Prüfung der verwendeten Datensätze erforderlich.

11. Sind anonymisierte Daten eine Lösung?

Die Verwendung tatsächlich anonymisierter Daten kann Datenschutzrisiken erheblich reduzieren.

Die DSGVO findet auf Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, grundsätzlich keine Anwendung.

Allerdings ist zwischen Anonymisierung und Pseudonymisierung zu unterscheiden.

Pseudonymisierte Daten bleiben personenbezogene Daten, wenn eine Zuordnung zu einer Person unter den maßgeblichen Umständen weiterhin möglich ist.

Das bloße Entfernen von Namen reicht daher nicht immer aus.

Beispielsweise können Kombinationen aus Alter, Wohnort, Beruf und weiteren Merkmalen eine Identifizierung ermöglichen.

Bei KI-Modellen stellt sich außerdem die Frage, ob personenbezogene Informationen aus dem Modell selbst wiedergewonnen werden können.

Eine wirksame Anonymisierung muss deshalb anhand der konkreten technischen und tatsächlichen Umstände bewertet werden.

Unternehmen sollten nicht ungeprüft davon ausgehen, dass Daten bereits deshalb anonym sind, weil unmittelbar identifizierende Angaben entfernt wurden.

12. Datenschutzrisiken bei KI-Chatbots auf Unternehmenswebsites

Immer mehr Unternehmen integrieren KI-Chatbots in ihre Internetseiten.

Solche Systeme können Fragen beantworten, Dienstleistungen erklären oder Kundenanfragen entgegennehmen.

Datenschutzrechtlich entstehen dabei verschiedene Herausforderungen.

Bereits bei der Nutzung können IP-Adressen, Kommunikationsinhalte oder andere personenbezogene Informationen verarbeitet werden.

Abhängig von der technischen Umsetzung können weitere Daten an externe Dienstleister übertragen werden.

Unternehmen sollten deshalb prüfen, welche Informationen beim Aufruf des Chatbots verarbeitet werden und ob hierfür eine geeignete Rechtsgrundlage besteht.

Auch die Datenschutzhinweise der Website müssen die tatsächlichen Verarbeitungsvorgänge angemessen abbilden.

Besonders wichtig ist die Frage, ob Nutzer den Chatbot mit sensiblen Informationen versorgen können.

Ein KI-Chatbot auf der Website einer Arztpraxis, einer Rechtsanwaltskanzlei oder eines Finanzdienstleisters kann beispielsweise besonders schutzwürdige Informationen erhalten.

In solchen Fällen sind erhöhte Anforderungen an Vertraulichkeit und Sicherheit zu berücksichtigen.

Die Einführung eines KI-Chatbots sollte deshalb nicht allein als technische Erweiterung der Website betrachtet werden.

Sie ist zugleich ein datenschutzrechtlich relevantes Projekt.

13. Welche Rechte haben betroffene Personen gegenüber KI-Systemen?

Die DSGVO gewährt betroffenen Personen verschiedene Rechte.

Dazu gehören insbesondere das Recht auf Auskunft, Berichtigung, Löschung und unter bestimmten Voraussetzungen auf Einschränkung der Verarbeitung oder Widerspruch.

Auch beim Einsatz künstlicher Intelligenz müssen Unternehmen prüfen, wie diese Rechte erfüllt werden können.

Gerade bei komplexen KI-Systemen entstehen praktische Schwierigkeiten.

Beispielsweise kann unklar sein, in welchen Systembestandteilen personenbezogene Daten gespeichert sind oder wie eine Berichtigung technisch umgesetzt werden kann.

Bei generativen KI-Modellen stellt sich zusätzlich die Frage, wie mit unrichtigen personenbezogenen Aussagen umzugehen ist.

Ein Unternehmen darf sich gegenüber betroffenen Personen nicht pauschal darauf berufen, dass eine KI-Anwendung technisch komplex sei.

Vielmehr müssen geeignete organisatorische und technische Verfahren geschaffen werden, um Betroffenenanfragen rechtlich korrekt zu bearbeiten.

Dazu gehören klare Zuständigkeiten, geeignete Dokumentation und gegebenenfalls vertragliche Unterstützungspflichten des KI-Anbieters.

14. Welche technischen und organisatorischen Maßnahmen sind erforderlich?

Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau.

Welche Maßnahmen erforderlich sind, hängt insbesondere von der Art der verarbeiteten Daten, den bestehenden Risiken und den technischen Möglichkeiten ab.

Beim Einsatz künstlicher Intelligenz können beispielsweise folgende Maßnahmen sinnvoll sein:

Besondere Aufmerksamkeit verdienen KI-Anwendungen, die mit internen Wissensdatenbanken verbunden sind.

Bei sogenannten RAG-Systemen (Retrieval Augmented Generation) werden KI-Modelle durch Informationen aus zusätzlichen Datenquellen ergänzt.

Hier können insbesondere Zugriffsrechte, Datenqualität, Vertraulichkeit und die Trennung unterschiedlicher Datenbestände entscheidend sein.

Die deutschen Datenschutzaufsichtsbehörden haben hierzu eigene Orientierungshilfen veröffentlicht.

15. Datenschutz und AI Act: Welche Vorschriften gelten nebeneinander?

Neben der DSGVO ist auch die europäische KI-Verordnung, der AI Act, zu berücksichtigen.

Beide Regelwerke verfolgen unterschiedliche, teilweise miteinander verbundene Ziele.

Während die DSGVO den Schutz personenbezogener Daten regelt, enthält der AI Act insbesondere Anforderungen an bestimmte KI-Systeme, ihre Anbieter und Betreiber.

Ein KI-System kann deshalb gleichzeitig den Anforderungen beider Regelwerke unterliegen.

Beispielsweise kann ein KI-System zur Bewertung von Bewerbungen sowohl datenschutzrechtliche Fragen aufwerfen als auch als Hochrisiko-KI-System im Sinne des AI Act einzuordnen sein.

Die Erfüllung der Anforderungen des AI Act ersetzt nicht die Einhaltung der DSGVO.

Ebenso wenig führt die datenschutzrechtliche Zulässigkeit einer Verarbeitung automatisch dazu, dass sämtliche Anforderungen der KI-Verordnung erfüllt sind.

Für Unternehmen ist deshalb eine abgestimmte Prüfung von Datenschutzrecht und KI-Regulierung besonders wichtig.

16. Welche Bußgelder und Haftungsrisiken drohen?

Datenschutzverstöße können erhebliche wirtschaftliche Folgen haben.

Die DSGVO sieht bei bestimmten Verstößen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist.

Für andere Verstöße gelten niedrigere gesetzliche Höchstgrenzen.

Die tatsächliche Höhe eines Bußgeldes hängt insbesondere von der Art, Schwere und Dauer des Verstoßes sowie den weiteren gesetzlichen Bemessungskriterien ab.

Neben behördlichen Sanktionen kommen Schadensersatzansprüche nach Artikel 82 DSGVO in Betracht, wenn die gesetzlichen Voraussetzungen erfüllt sind.

Auch Reputationsschäden können erheblich sein.

Wird beispielsweise bekannt, dass ein Unternehmen vertrauliche Kundendaten unzulässig an einen externen KI-Dienst übertragen hat, kann dies das Vertrauen von Kunden und Geschäftspartnern nachhaltig beeinträchtigen.

Datenschutz-Compliance ist deshalb nicht nur eine rechtliche Verpflichtung, sondern auch ein wichtiger Bestandteil des unternehmerischen Risikomanagements.

17. Was sollten Unternehmen beim Einsatz von KI konkret tun?

Die datenschutzrechtliche Absicherung künstlicher Intelligenz beginnt mit einer strukturierten Bestandsaufnahme.

Schritt 1: Verwendete KI-Systeme erfassen

Welche KI-Anwendungen werden bereits eingesetzt? Welche Dienste verwenden Mitarbeiter möglicherweise ohne ausdrückliche Freigabe?

Schritt 2: Datenverarbeitungen analysieren

Welche personenbezogenen Daten gelangen in die jeweiligen Systeme? Werden besondere Kategorien personenbezogener Daten verarbeitet?

Schritt 3: Rechtsgrundlagen prüfen

Auf welcher Grundlage erfolgt die jeweilige Verarbeitung? Sind zusätzliche Anforderungen zu beachten?

Schritt 4: Anbieter und Verträge kontrollieren

Welche Rolle übernimmt der KI-Anbieter? Ist ein Auftragsverarbeitungsvertrag erforderlich? Welche Unterauftragnehmer werden eingesetzt?

Schritt 5: Internationale Datenübermittlungen untersuchen

Werden Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet oder zugänglich gemacht? Welche Garantien bestehen?

Schritt 6: Risiken bewerten

Ist eine Datenschutz-Folgenabschätzung erforderlich? Bestehen besondere Risiken für Beschäftigte, Kunden oder andere betroffene Personen?

Schritt 7: Interne KI-Richtlinien erstellen

Welche KI-Systeme dürfen verwendet werden? Welche Daten dürfen eingegeben werden? Welche Freigaben sind notwendig?

Schritt 8: Mitarbeiter sensibilisieren

Beschäftigte sollten wissen, welche rechtlichen Grenzen beim Einsatz künstlicher Intelligenz gelten.

Schritt 9: Dokumentation und Kontrolle sicherstellen

Die wesentlichen datenschutzrechtlichen Entscheidungen sollten nachvollziehbar dokumentiert und regelmäßig überprüft werden.

Diese Maßnahmen können dazu beitragen, Datenschutzverstöße zu vermeiden und gleichzeitig die wirtschaftlichen Möglichkeiten künstlicher Intelligenz zu nutzen.

18. Warum anwaltliche Beratung bei Datenschutz und KI sinnvoll ist

Die datenschutzrechtliche Bewertung künstlicher Intelligenz erfordert häufig eine Verbindung aus juristischem Verständnis und Kenntnissen der technischen Abläufe.

Allgemeine Datenschutzerklärungen oder standardisierte Checklisten reichen bei komplexeren KI-Anwendungen nicht immer aus.

Gerade Unternehmen, die personenbezogene Daten in größerem Umfang verarbeiten, KI im Personalwesen einsetzen oder eigene KI-Lösungen entwickeln, sollten ihre Vorhaben rechtlich prüfen lassen.

Eine anwaltliche Beratung kann insbesondere folgende Bereiche umfassen:

Prüfung geplanter KI-Anwendungen: Rechtliche Bewertung des konkreten Einsatzzwecks und der betroffenen Datenverarbeitungen.

Datenschutzrechtliche Vertragsgestaltung: Prüfung und Gestaltung von Auftragsverarbeitungsverträgen und weiteren Vereinbarungen mit KI-Anbietern.

KI-Richtlinien für Unternehmen: Entwicklung rechtlich fundierter Vorgaben für die Nutzung von ChatGPT, Copilot und vergleichbaren Anwendungen.

Datenschutz-Folgenabschätzungen: Rechtliche Unterstützung bei der Bewertung und Dokumentation besonderer Risiken.

Internationale Datenübermittlungen: Prüfung von Drittlandtransfers und geeigneten Garantien.

Beschäftigtendatenschutz: Beratung zum Einsatz künstlicher Intelligenz im Personalbereich.

Datenschutzrechtliche Konflikte: Unterstützung bei Betroffenenanfragen, behördlichen Verfahren und möglichen Schadensersatzforderungen.

Besonders sinnvoll kann eine frühzeitige rechtliche Begleitung sein.

Denn werden datenschutzrechtliche Anforderungen bereits bei der Auswahl und Einführung eines KI-Systems berücksichtigt, lassen sich spätere Anpassungen und Konflikte häufig vermeiden.

19. Häufig gestellte Fragen zu Datenschutz und KI

Darf ein Unternehmen ChatGPT geschäftlich nutzen?

Grundsätzlich ja. Der geschäftliche Einsatz ist nicht generell verboten. Werden personenbezogene Daten verarbeitet, müssen jedoch die Anforderungen der DSGVO eingehalten werden.

Dürfen Kundendaten in KI-Systeme eingegeben werden?

Das hängt vom konkreten Zweck, der Rechtsgrundlage, dem eingesetzten Dienst und den Schutzmaßnahmen ab. Eine pauschale Freigabe ist nicht empfehlenswert.

Braucht jedes Unternehmen eine Einwilligung für den KI-Einsatz?

Nein. Die Einwilligung ist nur eine von mehreren möglichen Rechtsgrundlagen. Welche Rechtsgrundlage geeignet ist, muss im Einzelfall geprüft werden.

Ist eine KI-Anwendung mit Serverstandort Deutschland automatisch datenschutzkonform?

Nein. Der Serverstandort ist lediglich ein möglicher Gesichtspunkt. Entscheidend sind sämtliche relevanten Verarbeitungsvorgänge, Vertragsbedingungen und Schutzmaßnahmen.

Muss die Datenschutzerklärung angepasst werden?

Wenn durch eine neue KI-Anwendung zusätzliche oder veränderte Verarbeitungsvorgänge entstehen, kann eine Anpassung der Datenschutzhinweise erforderlich sein.

Ist Microsoft Copilot automatisch DSGVO-konform?

Nein. Auch hier kommt es auf das konkrete Produkt, die Konfiguration, die verarbeiteten Daten und die tatsächlichen Verarbeitungsvorgänge an.

Benötigt jedes Unternehmen wegen KI einen Datenschutzbeauftragten?

Nicht allein wegen der Nutzung künstlicher Intelligenz. Ob ein Datenschutzbeauftragter zu benennen ist, richtet sich nach den einschlägigen gesetzlichen Voraussetzungen.

Kann ein Unternehmen für Fehler seines KI-Anbieters haften?

Je nach Sachverhalt können eigene datenschutzrechtliche Verantwortlichkeiten und Haftungsrisiken bestehen. Die Nutzung eines externen Dienstleisters entbindet das Unternehmen nicht automatisch von seinen Pflichten.

20. Fazit: Datenschutz muss von Anfang an Teil der KI-Strategie sein

Künstliche Intelligenz eröffnet Unternehmen erhebliche wirtschaftliche Möglichkeiten.

Gleichzeitig entstehen neue Herausforderungen beim Schutz personenbezogener Daten.

Insbesondere die Verarbeitung von Kundeninformationen, Beschäftigtendaten und vertraulichen Dokumenten verlangt eine sorgfältige rechtliche Bewertung.

Die DSGVO steht dem Einsatz künstlicher Intelligenz nicht grundsätzlich entgegen. Sie setzt jedoch verbindliche Anforderungen an die Rechtmäßigkeit, Transparenz und Sicherheit der Verarbeitung.

Unternehmen sollten deshalb nicht erst nach der Einführung eines KI-Systems über Datenschutzfragen nachdenken.

Vielmehr empfiehlt es sich, Datenschutzanforderungen bereits bei der Planung, Auswahl und Implementierung zu berücksichtigen.

Wer künstliche Intelligenz rechtssicher einsetzen möchte, benötigt nicht nur eine leistungsfähige technische Lösung, sondern auch ein tragfähiges rechtliches Konzept.

Rechtliche Beratung zu Datenschutz und künstlicher Intelligenz

Sie möchten ChatGPT, Microsoft Copilot oder andere KI-Anwendungen in Ihrem Unternehmen einsetzen und datenschutzrechtliche Risiken vermeiden?

Oder verwenden Ihre Mitarbeiter bereits KI-Systeme, ohne dass deren rechtliche Zulässigkeit bislang umfassend geprüft wurde?

Die datenschutzrechtlichen Anforderungen hängen wesentlich vom konkreten Einsatzzweck, den verarbeiteten Informationen und den technischen Rahmenbedingungen ab.

Eine individuelle anwaltliche Prüfung kann helfen, bestehende Risiken zu erkennen, geeignete Maßnahmen festzulegen und den Einsatz künstlicher Intelligenz auf eine rechtlich verlässliche Grundlage zu stellen.

Ob Datenschutzprüfung, Vertragsgestaltung, KI-Nutzungsrichtlinie oder rechtliche Begleitung eines neuen KI-Projekts: Eine frühzeitige Beratung schafft Klarheit und kann spätere Konflikte vermeiden.

Lassen Sie die datenschutzrechtlichen Anforderungen Ihrer KI-Anwendungen prüfen.

Nehmen Sie Kontakt auf, um Ihr Vorhaben und den konkreten rechtlichen Beratungsbedarf zu besprechen.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung.


Rechtliche Quellen

Die deutschen Datenschutzaufsichtsbehörden stellen für die Auswahl, Einführung und Nutzung von KI-Anwendungen konkrete Orientierungshilfen bereit. Der Europäische Datenschutzausschuss hat zudem die Anforderungen an Rechtsgrundlagen und Anonymisierung von KI-Modellen weiter konkretisiert.


KI-Anwalt Fabian Fritsch

KI-Anwalt Fabian Fritsch

Zugegegen: Es gibt die Fachanwaltschaft für künstliche Intelligenz noch nicht, daher ist  der Versuch, die Begrifflichkeit "KI-Anwalt" mit Leben zu füllen, von Visionen, eigenem Interesse und dem Aufbau eigener Erfahrungen geprägt. Fabian Fritsch gründete die Kanzlei Hafencity im Bedürfnis, Unternehmern und Verbrauchern im "Bankrecht 2.0" ein zuverlässiger Begleiter zu sein. gerade im Bank- und Kapitalmarktrecht steigt die Bedeutung von künstlicher Intelligenz rasant.

So fügten sich nach erfolgreicher Kanzleigründ sehr schnell Berührungspunkte zum Recht der Künstlichen Intelligenz ein. Fritsch vertritt  aktuell Opfer von KI-Einsätzen im Bereich von Accountsperrungen, bei Problemen mit Paypal und anderen Zahlungsdienstleistern und im Konflikt mit NEO-Brokern wie Trade Republik oder im Themengebiet Bitcoin-Handel.

Breiten Raum nimmt auch die Vertretung geschädigter Mandanten durch Cyberkriminalität und Identitätsmissbrauch ein, insbesonder bei Auseinandersetzungen mit Banken nach Phishing und anschließendem Kreditkarten-/Onlinebetrug.

Zur Mandantschaft gehören neben geschädigten Verbrauchern auch mittelständische Unternehmer und selbständig Tätige, die KI intensiv in ihre Abläufe einbinden und dabei auf rechtskonforme Lösungen angewiesen sind.