KI & Datenschutz
DSGVO, EU AI Act und Enterprise-Compliance – der vollständige Praxisleitfaden
Auf einen Blick
- Europäischer Datenschutzausschuss (EDPB): KI-Modelle, die mit personenbezogenen Daten trainiert wurden, sind nicht automatisch anonym – jeder Fall muss einzeln geprüft werden
- EU AI Act und DSGVO arbeiten zusammen: Bis 35 Mio. Euro oder 7 % Umsatz Bußgeld bei Verstößen gegen Anforderungen für Hochrisiko-KI
- Deutsche Behörden: Klare Checklisten verfügbar – eine Datenschutz-Folgenabschätzung (DPIA) ist bei Hochrisiko-Systemen praktisch immer Pflicht
Das solltest du tun
- 1Vertrag zur Auftragsverarbeitung (DPA) mit allen KI-Anbietern abschließen – ohne diesen Vertrag ist die Nutzung nicht DSGVO-konform
- 2Datenschutz-Folgenabschätzung (DPIA) für alle Hochrisiko-KI-Systeme durchführen (Persönlichkeitsprofile, Bewertungen, Personalentscheidungen)
- 3Schutzmaßnahmen nach Artikel 22 einführen: Menschliche Überprüfung, Erklärbarkeit der KI-Entscheidung, Widerspruchsrecht für Betroffene
78 % der Unternehmen nutzen bereits KI – aber nur 14 % haben ihren Datenschutz vollständig angepasst. Das bedeutet: 4 von 5 Unternehmen nutzen KI, aber nur jedes siebte ist rechtlich auf der sicheren Seite. Die Konsequenzen: 2025 stiegen Bußgelder im Gesundheitswesen auf durchschnittlich 203.000 Euro pro Verstoß – hauptsächlich wegen fehlender Datenschutz-Folgenabschätzungen bei KI-Systemen.
Seit Februar 2025 ist der EU AI Act teilweise in Kraft. In Kombination mit der DSGVO entstehen neue Compliance-Anforderungen, die viele Unternehmen noch nicht auf dem Schirm haben. Dieses Playbook zeigt, was jetzt zu tun ist.
Die neue Regulierungslandschaft 2025
Zwei Regulierungen, ein Ziel: Der EU AI Act und die DSGVO arbeiten komplementär – aber mit unterschiedlichen Perspektiven.
DSGVO
Fundamentalrechts-Gesetz: Gibt Individuen weitreichende Rechte über ihre personenbezogenen Daten.
- • Fokus: Betroffene Personen und ihre Rechte
- • Adressaten: Verantwortliche (die entscheiden, was mit Daten passiert) und Auftragsverarbeiter (die Daten im Auftrag verarbeiten)
- • Sanktionen: Bis 20 Mio. Euro / 4 % Umsatz
EU AI Act
Produktsicherheits-Gesetz: Stellt sicher, dass KI-Systeme technisch sicher entwickelt und eingesetzt werden.
- • Fokus: Sichere KI-Entwicklung und -Nutzung
- • Adressaten: Anbieter (die KI entwickeln) und Betreiber (die KI einsetzen)
- • Sanktionen: Bis 35 Mio. Euro / 7 % Umsatz
"Der EU AI Act erwähnt die DSGVO mehr als 30 Mal. Die beiden Gesetze sind darauf ausgelegt, Hand in Hand zu funktionieren." – Taylor Wessing Global Data Hub
Wichtige Überschneidungen
Bias & Diskriminierung
Beide Regulierungen adressieren faire Datenverarbeitung
Risikobewertungen
Datenschutz-Folgenabschätzung (DSGVO) + Grundrechte-Folgenabschätzung (AI Act) bei Hochrisiko-KI
Automatisierte Entscheidungen
Art. 22 DSGVO + menschliche Aufsicht (AI Act)
Timeline: Was gilt wann?
Februar 2025: Verbote in Kraft
Unacceptable Risk Systeme verboten: Social Scoring, manipulative Techniken, biometrische Echtzeit-Überwachung. AI Literacy Pflicht für Anbieter.
August 2025: GPAI-Anforderungen
Anforderungen für General-Purpose AI Modelle (wie GPT-4, Claude) treten in Kraft.
August 2026: High-Risk vollständig durchsetzbar
Alle Anforderungen für High-Risk-Systeme: Risk Management, technische Dokumentation, FRIA, Human Oversight, EU-Datenbank-Registrierung.
EDPB Opinion 28/2024: Die Klarstellungen
Am 17. Dezember 2024 veröffentlichte der Europäische Datenschutzausschuss (EDPB) die wegweisende Stellungnahme 28/2024. Sie beantwortet drei kritische Fragen, die für jedes Unternehmen mit KI relevant sind.
Sind KI-Modelle anonym?
Nein, nicht automatisch. Der EDPB stellt klar: "AI models trained with personal data cannot, in all cases, be considered anonymous."
Kriterien für Anonymität: Es muss "sehr unwahrscheinlich" sein, dass (1) Individuen direkt oder indirekt identifiziert werden können, und (2) personenbezogene Daten durch Queries extrahiert werden können. Das Wort "case by case" erscheint 16 Mal in der Opinion.
Ist "Berechtigtes Interesse" als Rechtsgrundlage möglich?
Grundsätzlich ja – aber mit Drei-Stufen-Test nach Art. 6(1)(f) DSGVO:
1. Legitimes Interesse
identifizieren
2. Erforderlichkeit
nachweisen
3. Interessenabwägung
dokumentieren
Was wenn Training rechtswidrig war?
Folgen für nachgelagerte Verarbeitung. Der EDPB stellt klar: Wenn die Entwicklung eines KI-Modells auf unrechtmäßiger Datenverarbeitung basierte, kann dies die Rechtmäßigkeit aller nachfolgenden Nutzungen beeinflussen – die Interessenabwägung kippt zugunsten der Betroffenen.
Risiko-Klassifizierung nach EU AI Act
Der AI Act kategorisiert KI-Systeme in vier Risikoklassen. Je höher das Risiko, desto strenger die Anforderungen.
Social Scoring durch Behörden, manipulative Unterschwellen-Techniken, Emotionserkennung am Arbeitsplatz, biometrische Kategorisierung nach Rasse/Religion, ungezielte Gesichtserkennung aus Internet/CCTV.
Kritische Bereiche: Biometrische Identifikation, kritische Infrastruktur, Bildung & Berufsausbildung, Beschäftigung & HR, Zugang zu essenziellen Diensten, Strafverfolgung, Migration, Rechtspflege.
Beispiele: KI für Kredit-Scoring, Bewerbungsscreening, Leistungsbeurteilung, Zulassung zu Bildungseinrichtungen.
Chatbots, Deepfakes, Emotion Recognition (außerhalb High-Risk). Pflicht: Nutzer müssen informiert werden, dass sie mit KI interagieren.
Spam-Filter, Empfehlungssysteme, KI-gestützte Videospiele, interne Produktivitätstools ohne signifikante Auswirkungen auf Individuen.
Datenschutz-Folgenabschätzung (DPIA) für KI
Die CNIL (französische Datenschutzbehörde) stellt klar: Für alle High-Risk-Systeme nach AI Act wird eine DPIA praktisch immer erforderlich sein, wenn personenbezogene Daten verarbeitet werden.
EDPB: 9 Kriterien für High-Risk-Verarbeitung
Bei mindestens 2 zutreffenden Kriterien ist eine DPIA erforderlich:
Die 4 Pflicht-Elemente einer DPIA
1. Verarbeitungsbeschreibung
Welche Daten, warum, wer ist beteiligt, Systemarchitektur und Datenflüsse.
2. Erforderlichkeit & Verhältnismäßigkeit
Rechtfertigung, warum diese Verarbeitung nötig ist und ob weniger invasive Alternativen existieren.
3. Risikobewertung
Potenzielle Schäden identifizieren: Diskriminierung, Datenlecks, finanzielle Verluste, Rufschädigung.
4. Risikominderungsmaßnahmen
Verschlüsselung, Anonymisierung, Zugriffsbeschränkungen, menschliche Überprüfung etablieren.
KI-spezifische DPIA-Anforderungen
- Transparenz & Erklärbarkeit: Wie werden diese Ziele erreicht?
- Fehlermargen: Statistische Genauigkeit und Auswirkungen auf Fairness dokumentieren
- Menschliche Kontrolle (Human-in-the-Loop): Wann und wie findet menschliche Beteiligung statt?
- Qualitätsverlust über Zeit (Concept Drift): Wie wird überwacht, ob das KI-Modell mit der Zeit schlechtere Ergebnisse liefert?
Artikel 22 DSGVO: Automatisierte Entscheidungen
Artikel 22 DSGVO gibt Betroffenen das Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung beruht – wenn diese Entscheidung rechtliche Wirkung oder ähnlich erhebliche Auswirkungen hat.
Wegweisendes Urteil: SCHUFA (EuGH C-634/21)
Der Europäische Gerichtshof entschied 2023: Automatisierte Bonitätsbewertungen, die von Dritten für Vertragsentscheidungen genutzt werden, fallen unter Artikel 22. Betroffene haben Anspruch auf Erklärung, menschliche Überprüfung und Widerspruchsrecht. Das Urteil zeigt, wie stark der Schutz vor automatisierten Entscheidungen das Unternehmensverhalten beeinflusst.
Drei Ausnahmen nach Art. 22(2)
Vertragserfüllung
Entscheidung ist für Vertragsschluss oder -erfüllung erforderlich
Gesetzliche Ermächtigung
EU- oder Mitgliedstaatsrecht erlaubt es mit angemessenen Schutzmaßnahmen
Ausdrückliche Einwilligung
Betroffener hat explizit zugestimmt
Pflicht-Safeguards
Menschliche Intervention
Recht auf Überprüfung durch eine natürliche Person
Standpunkt äußern
Betroffene können ihre Sicht darlegen
Entscheidung anfechten
Formelles Widerspruchsrecht gegen die automatisierte Entscheidung
Wichtig: "Echte menschliche Überprüfung" bedeutet nicht einfach, dass ein Mensch die Daten eingibt. Die menschliche Beteiligung muss nach der automatisierten Entscheidung stattfinden und sich auf das konkrete Ergebnis beziehen. Blindes Abnicken reicht nicht aus.
KI-Werkzeuge für Unternehmen: Datenschutz-Check
Ohne Vertrag zur Auftragsverarbeitung (DPA) ist die Nutzung externer KI-Werkzeuge schlicht nicht DSGVO-konform. Sobald ein externer Anbieter personenbezogene Daten verarbeitet, ist ein solcher Vertrag verpflichtend. Stell dir den DPA vor wie einen Mietvertrag: Er regelt, was der Vermieter (KI-Anbieter) mit deinen Möbeln (Daten) tun darf und was nicht.
ChatGPT (OpenAI)
Stand: Januar 2026
Claude (Anthropic)
Stand: Januar 2026
Checkliste für Geschäftskunden
Deutsche Behörden: Praktische Guidance
Am 17. Juni 2025 veröffentlichten die deutschen Datenschutzbehörden umfassend überarbeitete Leitlinien für technische und organisatorische Maßnahmen bei KI-Systemen. Die Guidance orientiert sich an vier Phasen des KI-Lebenszyklus.
Design
Anforderungen definieren, Risiken identifizieren
Entwicklung
Datenaufbereitung, Modelltraining
Implementierung
Testing, Validierung, Deployment
Betrieb
Monitoring, Wartung, Weiterentwicklung
Die 7 Datenschutzziele (DSK)
Datenminimierung
Nur erforderliche Daten erheben und verarbeiten
Verfügbarkeit
System und Daten müssen zugänglich sein
Vertraulichkeit
Unbefugter Zugriff verhindern
Integrität
Daten vor Manipulation schützen
Intervenierbarkeit
Eingriffsmöglichkeiten für Betroffene
Transparenz
Nachvollziehbarkeit der Verarbeitung
Nichtverkettbarkeit
Zweckbindung durchsetzen
Verfügbare Ressourcen der deutschen DPAs
Implementierungs-Checkliste
Eine strukturierte Vorgehensweise für KI-Datenschutz-Compliance in deinem Unternehmen.
1Governance etablieren
2Bestandsaufnahme & Klassifizierung
3Verträge & DPAs
4DPIAs & Dokumentation
5Operational Excellence
Fazit: Die 3 kritischen Prioritäten
DPAs jetzt abschließen
Ohne Vertrag zur Auftragsverarbeitung ist jede Nutzung externer KI-Werkzeuge ein Datenschutzverstoß. Prüfung der Datenübermittlung in die USA nicht vergessen.
High-Risk-Systeme identifizieren
KI im Personalwesen, Bonitätsbewertung, Zugangskontrollen – für diese Systeme greifen ab August 2026 umfassende Pflichten nach dem AI Act. Datenschutz-Folgenabschätzungen jetzt vorbereiten.
Artikel-22-Safeguards implementieren
Bei automatisierten Entscheidungen: Echte menschliche Überprüfung, Erklärbarkeit und Widerspruchsrecht sind keine Kür, sondern Pflicht.