[67|400x300]

DSGVO und KI: Was Unternehmen jetzt klären müssen#

Intro#

KI-Tools sind in vielen Teams schon Alltag. Chat, Zusammenfassung, Code, Vertragsanalyse. Oft über private Accounts, oft ohne klare vertragliche Grundlage.

Genau dort entsteht das Risiko: personenbezogene oder vertrauliche Daten verlassen kontrollierte Systeme, bevor Rechtsgrundlage, Zweck und Auftragsverarbeitung geklärt sind.

Für Unternehmen in der EU ist das kein Nebenthema. Es ist die Voraussetzung dafür, dass KI-Nutzung überhaupt belastbar skaliert werden kann.

Warum DSGVO und KI zusammen gedacht werden müssen#

Die DSGVO fragt nicht danach, ob ein System „KI“ heißt. Sie fragt, was mit personenbezogenen Daten geschieht:

• Wer ist Verantwortlicher?
• Auf welcher Rechtsgrundlage läuft die Verarbeitung?
• Werden Daten an Auftragsverarbeiter oder in Drittländer übermittelt?
• Können Betroffene ihre Rechte noch wirksam ausüben?

KI-Systeme erhöhen die Komplexität, weil Prompts, Logs, Embeddings und Modelltraining neue Verarbeitungswege schaffen. Was wie eine harmlose Chat-Anfrage aussieht, kann Mandanten-, Mitarbeiter- oder Kundendaten enthalten.

Typische Schwachstellen in der Praxis#

In Projekten sehen wir immer wieder dieselben Muster:

1. Schatten-KI: Fachbereiche nutzen Gratis-Tools, ohne IT und Datenschutz einzubeziehen.
2. Fehlende AVV: Es gibt keinen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
3. Unklarer Datenstandort: Verarbeitung außerhalb der EU ohne belastbare Transfergrundlage.
4. Zu breite Zwecke: „Wir testen mal KI“ ersetzt keine dokumentierte Zweckbindung.
5. Geheimnisschutz: In Kanzleien, Steuerberatung und Healthcare kommt § 203 StGB hinzu.

Solange diese Punkte offen sind, bleibt jede KI-Initiative rechtlich und organisatorisch fragil.

Was Sie vor dem ersten produktiven Use Case klären sollten#

Bevor ein Use Case live geht, braucht es eine kurze, belastbare Klärung:

• Datenkategorien: Welche personenbezogenen oder sensiblen Daten können im Prompt landen?
• Rechtsgrundlage: Einwilligung, Vertrag, berechtigtes Interesse oder anonymisierte / pseudonymisierte Daten?
• Anbieter und Hosting: EU-Rechenzentren, Subprozessoren, AVV, TOMs.
• Rollen: Wer darf welche Tools nutzen, und über welchen offiziellen Kanal?
• Löschung und Logs: Wie lange bleiben Prompts und Ausgaben gespeichert?

Das muss nicht monatelang dauern. Es muss nur vor dem Rollout stehen, nicht danach.

Use Cases, die sich gut eignen#

Nicht jeder Use Case ist gleich riskant. Gut starten lassen sich oft:

• interne Wissenssuche auf freigegebenen, bereits klassifizierten Dokumenten
• Code-Unterstützung ohne Kundendaten im Prompt
• Zusammenfassungen anonymisierter oder rein interner Texte
• Assistenten hinter einem kontrollierten Unternehmenskanal statt privater Accounts

Hochkritisch bleiben Use Cases mit Mandanten-, Patienten- oder Personaldaten, solange Hosting, AVV und Freigaben nicht sitzen.

Fazit#

DSGVO und KI sind kein Widerspruch. Ohne klare Datenwege, Verträge und Zwecke wird aus Innovation schnell ein Compliance-Problem.

Wer früh festlegt, welche Daten wohin dürfen und über welchen Kanal KI genutzt wird, schafft Freiraum für produktive Use Cases statt nachträglicher Sperren.

CTA#

Wenn Sie KI-Use-Cases datenschutzkonform aufsetzen oder bestehende Schatten-KI bereinigen wollen:

→ Sprechen Sie uns über [https://awa-consulting.de/contact] an