DSGVO-konforme KI nutzen: Leitfaden für KMU mit Checkliste

DSGVO-konforme KI nutzen: Was Geschäftsführer jetzt wissen müssen

DSGVO-konforme KI nutzen heißt: Cloud-KI wie ChatGPT oder Microsoft Copilot erfordert einen Auftragsverarbeitungsvertrag (AVV), eine Drittlandabsicherung und Transparenzhinweise. Lokale KI auf den eigenen Servern vereinfacht die Compliance dagegen erheblich, weil keine Daten das Unternehmen verlassen. DSGVO-konforme KI-Nutzung gehört zur Datenschutz-Compliance und ist Teil jedes KI-Einführungsprojekts im Mittelstand.

Der Grund, warum das Thema Chefsache ist: Dienste wie ChatGPT verarbeiten Daten laut Anbieter-Angaben auch auf Servern in den USA. Ein Verstoß gegen die DSGVO kann für dein Unternehmen teuer werden. Wenn du noch am Anfang deiner KI-Einführung stehst, hilft dir zuerst der Praxisguide zu KI im Mittelstand beim strategischen Überblick.

Diese Einordnung kommt aus der Beratungspraxis von Jannis Gerlinger, Geschäftsführer der JANGER GmbH und seit 2007 in der Digitalbranche: Die Wahl zwischen Cloud und lokal entscheidet oft schon im ersten Gespräch, weil sie festlegt, wie viel DSGVO-Aufwand überhaupt anfällt. Wie es um deinen Datenschutz steht, zeigt der KI-Readiness-Check.

DSGVO-Hürden beim KI-Einsatz: die aktuellen Zahlen

Datenschutz ist laut Bitkom keine Nebensache bei der KI-Einführung, sondern eine der meistgenannten Hürden. In der Studie „Digitalisierung der Wirtschaft“ (Bitkom, 11. März 2026, telefonische Befragung von 604 Unternehmen ab 20 Beschäftigten) nennen 77 Prozent Datenschutz-Anforderungen als Hindernis für die Digitalisierung. Der Fachkräftemangel kommt auf 70 Prozent. Inzwischen setzen 57 Prozent der Unternehmen ab 20 Beschäftigten KI ein, ein Jahr zuvor waren es 36 Prozent (Bitkom, Erstmals nutzt die Mehrheit der Unternehmen KI, September 2026).

Diese Lücke zwischen Nachfrage und Unsicherheit ist genau der Grund, warum sich eine strukturierte Herangehensweise auszahlt: Wer die folgenden fünf Pflichten und die passenden Werkzeuge kennt, kann KI einführen, ohne beim Datenschutz zu improvisieren.

Diese fünf DSGVO-Pflichten gelten für jede KI-Nutzung

Die Datenschutz-Grundverordnung stellt klare Anforderungen:

1. Rechtsgrundlage (Art. 6 DSGVO)

Jede Verarbeitung personenbezogener Daten durch KI braucht eine Rechtsgrundlage. In der Praxis sind das meist:

• Einwilligung der betroffenen Person
• Berechtigtes Interesse des Unternehmens (mit Abwägung)
• Vertragserfüllung (zum Beispiel Kundenanfragen beantworten)

2. Auftragsverarbeitung (Art. 28 DSGVO)

Nutzt du einen externen KI-Dienst, musst du einen Auftragsverarbeitungsvertrag (AVV) abschließen. Das gilt für:

• Cloud-basierte KI-Plattformen
• API-Dienste wie OpenAI, Anthropic, Google
• SaaS-Tools mit integrierter KI

Ein AVV regelt vier Punkte:

• welche Daten verarbeitet werden
• zu welchem Zweck
• welche Sicherheitsmaßnahmen der Anbieter trifft
• was nach Vertragsende mit den Daten passiert

Fehlt ein gültiger AVV, ist die Nutzung eines Cloud-KI-Dienstes mit personenbezogenen Daten in der Regel nicht zulässig. Welche vier Punkte konkret hineingehören und wer 2026 einen AVV anbietet, zeigt der Leitfaden zu AVV mit KI-Anbietern.

3. Drittlandtransfer (Art. 44 ff. DSGVO)

Werden Daten in die USA oder andere Drittländer übertragen, brauchst du zusätzliche Absicherungen:

• EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, rechtlich aber umstritten)
• Standardvertragsklauseln (SCCs): von der EU-Kommission vorgegebene Vertragsmuster für Datenübermittlungen in Drittländer
• Transfer Impact Assessments: eine Prüfung, ob Zugriffe durch Behörden im Zielland die Schutzwirkung der Klauseln aushebeln

Wer den Drittlandtransfer von vornherein vermeiden will, findet im Vergleich europäischer KI-Anbieter Alternativen zu US-Anbietern wie OpenAI oder Anthropic.

4. Transparenzpflicht (Art. 13/14 DSGVO)

Du musst Betroffene informieren, dass ihre Daten durch KI verarbeitet werden. Das betrifft:

• Kunden, deren Anfragen durch KI beantwortet werden
• Mitarbeiter, deren Dokumente durch KI analysiert werden
• Bewerber, deren Unterlagen KI-gestützt gesichtet werden

5. Betroffenenrechte und Löschpflichten

Ein oft unterschätzter Aspekt: Betroffene haben das Recht auf Auskunft, Berichtigung und Löschung ihrer Daten (Art. 15 bis 17 DSGVO). Das gilt auch für Daten, die durch KI verarbeitet wurden.

In der Praxis bedeutet das:

• Auskunftsrecht: Wenn ein Kunde fragt, welche Daten die KI über ihn verarbeitet hat, musst du das innerhalb eines Monats beantworten können.
• Löschpflicht: Auf Anfrage müssen personenbezogene Daten aus dem KI-System entfernt werden. Bei Cloud-Diensten ist das oft schwer nachzuweisen.
• Recht auf menschliche Überprüfung: Bei automatisierten Einzelentscheidungen kann der Betroffene verlangen, dass ein Mensch die Entscheidung prüft. Wann das bei Bewerbungen, Bonität oder Preisen konkret greift, erklärt der Artikel zu Art. 22 DSGVO und KI.

Vorteil lokaler KI: Du kannst auf die Daten direkt zugreifen und Löschanfragen selbst umsetzen, ohne auf externe Anbieter warten zu müssen.

Schatten-KI: das Risiko neben den offiziellen Pflichten

Selbst wenn du alle fünf Pflichten oben sauber umsetzt, bleibt ein blinder Fleck: die KI-Nutzung, von der IT und Geschäftsführung nichts wissen. Laut Bitkom (Beschäftigte nutzen vermehrt Schatten-KI, Oktober 2025, 604 Unternehmen ab 20 Beschäftigten) gehen 42 Prozent der Unternehmen davon aus, dass ihre Mitarbeiter private KI-Tools im Job nutzen. In 8 Prozent ist das weit verbreitet, in 17 Prozent gibt es Einzelfälle. Nur 26 Prozent der Unternehmen stellen ihren Beschäftigten selbst einen Zugang zu generativer KI bereit.

Jede dieser Nutzungen kann AVV, Löschpflichten und Dokumentation unterlaufen, weil oft unklar ist, welche Daten wohin gelangt sind. Wie du Schatten-KI erkennst und eine offizielle Alternative aufbaust, zeigt der ausführliche Artikel zu Schatten-KI im Unternehmen.

Wann eine Datenschutz-Folgenabschätzung Pflicht ist

Bei einem Teil der KI-Anwendungen reicht die übliche Dokumentation nicht aus. Sobald eine KI in großem Umfang sensible Daten verarbeitet, Profiling betreibt oder automatisierte Entscheidungen trifft, verlangt Art. 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) vor dem produktiven Einsatz. In der Praxis betrifft das häufiger Vorhaben, als Geschäftsführer zunächst vermuten, etwa eine KI-gestützte Bewerbervorauswahl oder Bonitätsprüfung. Die neun Risikokriterien, die eine DSFA auslösen, und die fünf Schritte zur Umsetzung erklärt der Leitfaden zur Datenschutz-Folgenabschätzung bei KI.

DSGVO-konforme KI-Lösung: Cloud-KI vs. lokale KI im Vergleich

Kein KI-Tool ist von sich aus DSGVO-konform. Entscheidend ist die Einrichtung: ein gültiger AVV, eine passende Rechtsgrundlage und keine Weiterverarbeitung der Daten durch den Anbieter. Europäische Anbieter vereinfachen das, weil der Drittlandtransfer entfällt. Am wenigsten Aufwand verursacht ein lokales System, weil dort kein externer Anbieter Daten verarbeitet.

Zwischen den beiden Polen Cloud und komplett lokal gibt es einen dritten Weg: ein Corporate LLM, das dein Team im Alltag nutzt, ohne dass Daten dein Unternehmen verlassen. Wie das konkret aussieht, welche Geschäftsgeheimnisse dabei besonders geschützt werden müssen und welche typischen Datenschutz-Fallen es gibt, zeigt der Leitfaden zu Corporate LLMs für KMU.

Wer haftet, wenn etwas schiefgeht?

Verantwortlich im Sinne der DSGVO ist nach Art. 4 Nr. 7 DSGVO das Unternehmen, nicht automatisch eine einzelne Führungskraft. Bei einem Verstoß richten sich Aufsichtsbehörden deshalb zunächst an die Gesellschaft. Der Bußgeldrahmen aus Art. 83 DSGVO kennt zwei Stufen. Für Verstöße wie eine fehlende Auftragsverarbeitung oder Datenschutz-Folgenabschätzung reicht er bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Bei schwereren Verstößen gegen Grundprinzipien oder Betroffenenrechte steigt er auf bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes (Art. 83 Abs. 5 DSGVO). Maßgeblich ist jeweils der höhere der beiden Beträge. Zusätzlich können Betroffene nach Art. 82 DSGVO Schadensersatz für materielle und immaterielle Schäden verlangen, etwa wenn eine KI personenbezogene Daten unrechtmäßig verarbeitet hat.

Für die Geschäftsführung kommt eine zweite Ebene hinzu: § 43 GmbHG verpflichtet zur Sorgfalt eines ordentlichen Geschäftsmanns. Wer den KI-Einsatz ohne Rechtsgrundlage, AVV oder Folgenabschätzung einführt, kann bei einem daraus entstehenden Schaden Schadensersatzansprüche der eigenen Gesellschaft auslösen. Das ist keine Rechtsberatung: Wie sich Bußgeld, Schadensersatz und Geschäftsführerhaftung im Einzelfall verteilen, hängt von der Vertragslage und den Umständen ab und gehört vor eine Anwältin oder einen Anwalt.

Interne Richtlinien erstellen

Bevor du KI in deinem Unternehmen einführst, brauchst du klare interne Spielregeln. Diese sollten mindestens folgende Punkte abdecken:

• Erlaubte Daten: Welche Informationen dürfen in die KI eingegeben werden? Bei Cloud-KI: Keine personenbezogenen Daten, keine Geschäftsgeheimnisse, keine Kundendaten.
• Verbotene Daten: Gehaltsabrechnungen, Gesundheitsdaten, Bewerbungsunterlagen und vertrauliche Verträge gehören nicht in Cloud-KI-Tools.
• Dokumentationspflicht: Jede KI-Nutzung mit personenbezogenen Daten muss im Verarbeitungsverzeichnis erfasst sein.
• Meldewege: Lege fest, wer bei Datenschutzfragen Ansprechpartner ist und wie ein Vorfall gemeldet wird.

Diese Richtlinien sollten für alle Mitarbeiter zugänglich sein und in regelmäßigen Abständen (mindestens jährlich) überprüft werden.

Die Vertiefungen im Überblick: welcher Artikel wann passt

Dieser Artikel gibt dir den Gesamtrahmen. Jedes Teilthema hat einen eigenen Artikel mit den Details:

• Schatten-KI im Unternehmen: wie du private KI-Nutzung erkennst und eine offizielle Alternative aufbaust.
• AVV mit KI-Anbietern: welche Punkte der Auftragsverarbeitungsvertrag regelt und welche Anbieter 2026 einen AVV anbieten.
• DSFA bei KI: wann die Datenschutz-Folgenabschätzung Pflicht ist und wie du sie umsetzt.
• Art. 22 DSGVO und KI: wann automatisierte Entscheidungen einen Menschen zur Prüfung brauchen.
• KI-Schulungspflicht: was Art. 4 KI-VO von dir verlangt und wie du es pragmatisch umsetzt.
• KI-Kennzeichnungspflicht: wann KI-Inhalte und Chatbots gekennzeichnet werden müssen.
• Verbotene KI-Praktiken: welche acht Praktiken der EU AI Act untersagt und was davon KMU betrifft.
• Hochrisiko-KI: die acht Kategorien und was du jetzt schon sinnvoll vorbereiten kannst.
• Betriebsrat und KI: wann der Betriebsrat mitbestimmen darf und wie du das klärst.
• Europäische KI-Anbieter: Alternativen zu US-Anbietern, wenn der Drittlandtransfer wegfallen soll.
• Corporate LLM für KMU: ein KI-Assistent für dein Team, ohne dass Unternehmensdaten das Haus verlassen.
• KI-Verordnung im Überblick: alle vier Risikoklassen, Fristen und Bußgelder des EU AI Act.

Checkliste: DSGVO-konforme KI in 7 Schritten

• Dateninventur durchführenWelche personenbezogenen Daten soll die KI verarbeiten?
• Rechtsgrundlage festlegenEinwilligung, berechtigtes Interesse oder Vertragserfüllung?
• Verarbeitungsverzeichnis aktualisierenKI-Verarbeitung dokumentieren (Art. 30 DSGVO)
• Datenschutz-Folgenabschätzung prüfenBei hohem Risiko ist eine DSFA Pflicht (Art. 35 DSGVO)
• Technische Maßnahmen umsetzenVerschlüsselung, Zugriffskontrollen, Logging
• Mitarbeiter schulenKlare Regeln, was in die KI eingegeben werden darf, plus Maßnahmen zur KI-Kompetenz nach Art. 4 EU AI Act
• Regelmäßig überprüfenMindestens jährlich Compliance-Check durchführen

Praxisbeispiel: DSGVO-konforme KI im Kundenservice

Stell dir vor: Ein Steuerberatungsbüro mit 12 Mitarbeitern will Kundenanfragen per KI vorqualifizieren: E-Mails analysieren, das Anliegen erkennen und dem richtigen Berater zuweisen. Die Herausforderung: Steuerberater unterliegen der Berufsverschwiegenheit. Mandantendaten dürfen unter keinen Umständen das Büro verlassen.

Lösung: Ein lokales KI-System, das auf dem Büro-Server läuft. Die KI analysiert eingehende E-Mails, erkennt das Thema (Steuererklärung, Buchhaltung, Lohnabrechnung) und ordnet die Anfrage dem passenden Berater zu. Kein Datentransfer nach außen, kein AVV mit einem KI-Anbieter nötig.

Mögliches Ergebnis: Die Zuordnung von Kundenanfragen könnte in Sekunden statt Minuten erfolgen. Die Berater hätten mehr Zeit für die eigentliche Mandantenarbeit. Und die DSGVO-Compliance? Der zusätzliche Aufwand dürfte gering bleiben, weil die Daten den Server nicht verlassen.

Weitere Branchen mit besonderem Datenschutzbedarf

Das Steuerberater-Beispiel lässt sich auf viele Branchen übertragen:

• Rechtsanwälte: Mandantengeheimnisse sind berufsrechtlich geschützt. Cloud-KI ist hier besonders riskant, weil bereits die Übermittlung an einen Cloud-Anbieter eine Verletzung der Verschwiegenheit darstellen kann.
• Ärzte und Gesundheitswesen: Gesundheitsdaten sind nach Art. 9 DSGVO besonders sensibel. Lokale KI für Patientendokumentation oder Befundanalyse ist hier in der Regel die sicherste Option, weil keine Gesundheitsdaten das Haus verlassen.
• Finanzdienstleister: Regulatorische Anforderungen (BaFin, MaRisk) erfordern volle Kontrolle über die Datenverarbeitung. Eine lokale KI-Lösung kann diese Anforderungen unterstützen.
• Personaldienstleister: Bewerberdaten unterliegen strengen Löschfristen. Mit lokaler KI kannst du Löschpflichten umsetzen, ohne auf externe Anbieter angewiesen zu sein.

Wie du KI generell in deinem Unternehmen einführst, zeigt unser Praxis-Leitfaden zur KI-Einführung im Mittelstand.

EU AI Act: Diese Pflichten kommen zusätzlich zur DSGVO

Neben der DSGVO gilt seit 2025 der EU AI Act (offiziell KI-Verordnung, kurz KI-VO) mit eigenen, gestaffelten Pflichten. Einen vollständigen Überblick über alle vier Risikoklassen, Fristen und Bußgelder gibt der Überblicksartikel zur KI-Verordnung für den Mittelstand. Für den laufenden Betrieb sind vier Pflichten am wichtigsten:

• KI-Kompetenz (Art. 4 KI-VO): Seit Februar 2025 müssen Unternehmen Maßnahmen zur KI-Kompetenz ihrer Mitarbeiter ergreifen. Der AI Omnibus (Verordnung (EU) 2026/1744) hat die Pflicht 2026 auf die Förderung dieser Kompetenz umgestellt, ein garantiertes Niveau pro Person verlangt sie nicht mehr. Welche Inhalte Pflicht sind und wie sich das pragmatisch umsetzen lässt, zeigt der Leitfaden zur KI-Schulungspflicht.
• Kennzeichnungspflicht (Art. 50 KI-VO): Seit dem 2. August 2026 müssen Chatbots und Deepfakes als KI erkennbar sein. Für die technische Markierung synthetischer Inhalte gilt für Altsysteme eine Übergangsfrist bis 2. Dezember 2026. Details im Leitfaden zur KI-Kennzeichnungspflicht.
• Verbotene Praktiken (Art. 5 KI-VO): Seit Februar 2025 sind acht KI-Praktiken untersagt, etwa Social Scoring oder biometrische Echtzeit-Überwachung, mit Bußgeldern bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Was davon KMU wirklich betrifft, erklärt der Artikel zu Art. 5 KI-VO.
• Hochrisiko-KI: Die Pflichten für Hochrisiko-Systeme, etwa im HR-Bereich, greifen erst ab dem 2. Dezember 2027. Die acht Kategorien und was jetzt schon sinnvoll ist, zeigt der Artikel zu Hochrisiko-KI im EU AI Act.

Für die meisten KI-Anwendungen im Mittelstand (Dokumentenverarbeitung, Kundenanfragen, Angebotserstellung) reichen diese drei Dinge:

• eine saubere Dokumentation
• Maßnahmen zur KI-Kompetenz nach Art. 4
• ein Transparenzhinweis

Das ist mit einem lokalen KI-System einfacher umzusetzen, weil du die volle Kontrolle über das System hast.

Welcher Ansatz für dein Unternehmen der richtige ist, ob KI oder klassische Automatisierung, hängt vom konkreten Anwendungsfall ab.

Mitbestimmung: Wann der Betriebsrat mitreden darf

Ein Punkt, der bei DSGVO und EU AI Act oft übersehen wird: Sobald ein KI-System das Verhalten oder die Leistung von Mitarbeitern überwachen kann, greift zusätzlich § 87 BetrVG. Der Betriebsrat hat dann ein Mitbestimmungsrecht, unabhängig davon, ob du die KI überhaupt zu diesem Zweck einsetzen willst. Das betrifft in der Praxis auch Tools, die eigentlich für andere Aufgaben gedacht sind, etwa wenn eine KI zur Dokumentenanalyse nebenbei Bearbeitungszeiten protokolliert. Welche Systeme konkret betroffen sind und wie du die Mitbestimmung in fünf Schritten klärst, zeigt der Leitfaden zu Betriebsrat und KI.

Fazit: DSGVO-konforme KI kann dein Haftungsrisiko senken

DSGVO-konforme KI-Nutzung ist kein Bremsklotz, sie ist ein Qualitätsmerkmal. Konkret bringt sie dir:

• ein niedrigeres Risiko von Bußgeldern nach Art. 83 DSGVO
• Löschanfragen, die du sicher und nachweisbar umsetzen kannst
• Verträge mit Mandanten oder Auftraggebern ohne offenzulegende Datenweitergabe an Cloud-Anbieter
• in regulierten Branchen wie Kanzleien, Steuerberatung oder Gesundheitswesen in manchen Fällen Voraussetzung dafür, KI einsetzen zu dürfen

Eine besonders risikoarme Lösung für den Mittelstand: Lokale KI-Systeme, die auf deinen eigenen Servern laufen:

• keine Daten in der Cloud
• keine Drittland-Problematik
• volle Kontrolle über das System

Welche Tools dabei konkret helfen, zeigt unser Praxistest der Top 10 KI-Tools 2026 mit DSGVO-Bewertung für jedes Tool.

Zusammengefasst in drei Sätzen: Prüfe zuerst, welche Daten deine KI verarbeiten soll. Entscheide dann, ob Cloud oder lokal der richtige Weg ist. Und dokumentiere alles sauber, damit du bei einer Prüfung durch die Aufsichtsbehörde vorbereitet bist.

Zwei Werkzeuge helfen dir beim nächsten Schritt: Der KI-Readiness-Check zeigt dir, wo bei deinem konkreten KI-Einsatz noch Handlungsbedarf besteht. Für die Umsetzung selbst ist unser Corporate LLM die Lösung: eine DSGVO-konforme KI-Plattform auf europäischen Servern, mit der dein Team arbeitet, damit du die Umsetzung nicht selbst aufbauen musst. Die rechtliche Prüfung bleibt bei deinem Unternehmen und seinem Anwalt. Die Lösungsseite Firmen-KI zeigt, wie das im Alltag aussieht.

Jannis Gerlinger KI-Berater und Geschäftsführer, JANGER GmbH

Jannis Gerlinger berät kleine und mittlere Unternehmen bei der Einführung von Künstlicher Intelligenz und setzt die Lösungen selbst um: KI-Assistenten, Automationen und individuelle Web-Apps. Als Geschäftsführer der JANGER GmbH arbeitet er seit 2007 an digitalen Systemen für Handwerk, Handel und Industrie, von Onlineshops bis zu internen Werkzeugen. Seine vom TÜV Rheinland geprüfte Qualifikation in Verkaufspsychologie verbindet technisches Know-how mit einem tiefen Verständnis für Geschäftsprozesse.