DSGVO und KI: Was Unternehmen 2026 wissen müssen

Die Kombination aus Datenschutz-Grundverordnung (DSGVO) und dem neuen EU AI Act schafft einen regulatorischen Rahmen, den kein Unternehmen ignorieren kann — unabhängig von der Größe. Gerade KMU, die zunehmend KI-Tools einsetzen, müssen verstehen, welche Regeln gelten und wie sie diese pragmatisch umsetzen.

Dieser Guide gibt Ihnen einen strukturierten Überblick und eine Checkliste, mit der Sie Ihre Compliance sicherstellen.

Der EU AI Act: Das Wichtigste im Überblick

Der EU AI Act ist seit 2024 in Kraft und wird stufenweise umgesetzt. 2026 gelten bereits wesentliche Pflichten:

Risikoklassen

Der AI Act unterteilt KI-Systeme in vier Kategorien:

• Unannehmbares Risiko: Verboten. Beispiele: Social Scoring, manipulative KI-Systeme.
• Hohes Risiko: Streng reguliert. Beispiele: KI in der Personalauswahl, Kreditwürdigkeitsprüfung, medizinische Diagnostik.
• Begrenztes Risiko: Transparenzpflichten. Beispiele: Chatbots, Deepfake-Generatoren, Emotionserkennung.
• Minimales Risiko: Keine besonderen Auflagen. Beispiele: Spam-Filter, KI-gestützte Suche, Empfehlungssysteme.

Was bedeutet das für KMU?

Die meisten KI-Anwendungen im Mittelstand fallen in die Kategorien "begrenztes" oder "minimales Risiko". Das bedeutet:

• Chatbots müssen als KI gekennzeichnet werden (Transparenzpflicht)
• KI-generierte Inhalte müssen als solche erkennbar sein
• Standard-Automatisierungen (E-Mail-Sortierung, Prognosen) sind in der Regel unproblematisch

Achtung: Wenn Sie KI für Personalentscheidungen oder Kundenbewertungen einsetzen, gelten strengere Regeln. Prüfen Sie die Risikoklasse jedes KI-Systems, das Sie einsetzen.

DSGVO-Anforderungen beim KI-Einsatz

Die DSGVO bleibt das zentrale Datenschutzgesetz — auch für KI-Anwendungen. Die wichtigsten Anforderungen:

1. Rechtsgrundlage

Jede Verarbeitung personenbezogener Daten durch KI braucht eine Rechtsgrundlage. Die häufigsten:

• Einwilligung (Art. 6 Abs. 1 lit. a): Der Betroffene stimmt aktiv zu
• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Die Datenverarbeitung ist für die Vertragsabwicklung notwendig
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Nach Interessenabwägung zulässig — z. B. Betrugsprävention

2. Transparenz und Information

Sie müssen Betroffene informieren:

• Dass KI eingesetzt wird
• Welche Daten verarbeitet werden
• Zu welchem Zweck
• Wer Zugriff hat (inklusive KI-Anbieter als Auftragsverarbeiter)

Praxis-Tipp: Ergänzen Sie Ihre Datenschutzerklärung um einen Abschnitt zu KI-gestützten Verarbeitungen. Benennen Sie die eingesetzten Systeme und deren Zweck.

3. Automatisierte Einzelentscheidungen (Art. 22)

Wenn eine KI-Entscheidung rechtliche oder ähnlich erhebliche Auswirkungen auf eine Person hat — etwa eine automatische Kreditablehnung oder Bewerbungsabsage — gelten besondere Regeln:

• Der Betroffene hat das Recht auf menschliche Überprüfung
• Sie müssen die Logik der Entscheidung erklären können
• Einwilligung oder Vertragserfüllung muss als Rechtsgrundlage vorliegen

4. Datenschutz-Folgenabschätzung (DSFA)

Bei KI-Systemen, die ein hohes Risiko für die Rechte von Betroffenen darstellen, ist eine DSFA Pflicht. Das betrifft insbesondere:

• Profiling zu Marketing- oder Bewertungszwecken
• Videoüberwachung mit Gesichtserkennung
• Systematische Überwachung öffentlich zugänglicher Bereiche

5. Auftragsverarbeitung

Wenn Sie Cloud-basierte KI-Tools nutzen (und das tun die meisten KMU), ist der Anbieter in der Regel Auftragsverarbeiter. Das bedeutet:

• Sie brauchen einen Auftragsverarbeitungsvertrag (AVV)
• Der Anbieter muss angemessene technische und organisatorische Maßnahmen nachweisen
• Bei Datenübertragung außerhalb der EU: Prüfung der Rechtsgrundlage (z. B. Standardvertragsklauseln, Angemessenheitsbeschluss)

Praktische Compliance-Checkliste

Nutzen Sie diese Checkliste, um den KI-Einsatz in Ihrem Unternehmen DSGVO- und AI-Act-konform zu gestalten:

Vor der Einführung

• Risikoklasse des KI-Systems bestimmt (AI Act)
• Rechtsgrundlage für Datenverarbeitung identifiziert (DSGVO)
• DSFA durchgeführt (wenn erforderlich)
• Datenschutzbeauftragten eingebunden
• AVV mit KI-Anbieter geschlossen
• Datenstandort geprüft (EU/nicht-EU)
• Datenschutzerklärung aktualisiert

Im laufenden Betrieb

• KI-Systeme als solche gekennzeichnet (z. B. Chatbot-Hinweis)
• KI-generierte Inhalte als solche markiert
• Menschliche Überprüfung bei automatisierten Entscheidungen sichergestellt
• Betroffenenrechte (Auskunft, Löschung, Widerspruch) für KI-Daten implementiert
• Regelmäßige Überprüfung der KI-Ergebnisse auf Diskriminierung und Bias
• Protokollierung der KI-Entscheidungen (Nachvollziehbarkeit)

Dokumentation

• Verzeichnis der Verarbeitungstätigkeiten um KI-Systeme ergänzt
• Technische Dokumentation des KI-Systems vorhanden (bei Hochrisiko-KI)
• Schulungsnachweise der Mitarbeiter
• Regelmäßige Compliance-Audits eingeplant

Häufige Fragen

Darf ich ChatGPT oder ähnliche Tools im Unternehmen nutzen? Ja, aber mit Einschränkungen. Geben Sie keine personenbezogenen Daten in öffentlich zugängliche KI-Tools ein. Nutzen Sie Business-Versionen mit AVV und deaktiviertem Training auf Ihren Daten.

Brauche ich als kleines Unternehmen einen Datenschutzbeauftragten? Einen DSB brauchen Sie ab 20 Mitarbeitern, die regelmäßig mit personenbezogenen Daten arbeiten. Unabhängig davon empfiehlt sich bei KI-Einsatz eine datenschutzrechtliche Beratung.

Was passiert bei Verstößen? Die DSGVO sieht Bußgelder bis 20 Mio. EUR oder 4 % des Jahresumsatzes vor. Der AI Act ergänzt eigene Sanktionen. In der Praxis sind die Bußgelder für KMU deutlich niedriger — aber ein Verstoß schadet auch dem Vertrauen Ihrer Kunden.

Nächste Schritte

1. Bestandsaufnahme: Welche KI-Systeme setzen Sie bereits ein? Oft nutzen Mitarbeiter Tools, ohne dass die Geschäftsführung davon weiß.
2. Risikoklassifizierung: Ordnen Sie jedes System in die AI-Act-Kategorien ein.
3. GAP-Analyse: Vergleichen Sie Ihren Ist-Zustand mit den Anforderungen dieser Checkliste.
4. Maßnahmenplan: Priorisieren Sie die offenen Punkte nach Risiko und Aufwand.

Der DigitalChecker kann Ihnen dabei helfen, eine erste Einschätzung Ihres Digitalisierungs- und Compliance-Stands zu erhalten.

Fazit

DSGVO und AI Act sind kein Grund, auf KI zu verzichten — aber ein Grund, sie richtig einzusetzen. Die gute Nachricht: Für die meisten KMU-Anwendungen ist der Compliance-Aufwand überschaubar. Entscheidend ist, dass Sie sich frühzeitig informieren und die Anforderungen von Anfang an mitdenken.

Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung.