KI nutzen. Vorher klären, welche Daten hinein dürfen.
Veröffentlicht am 7. März 2026 · Inhaltlich überarbeitet am 5. September 2026Welche Unterlagen darf Ihr Team mit KI bearbeiten, welche Anbieter kommen infrage und wer muss zustimmen? Dieser Leitfaden hilft Ihnen, die nötigen Fragen vor dem ersten Einsatz zu sortieren.
„Mit KI geht das wegen Datenschutz nicht“ ist ebenso pauschal wie „Ein Geschäftskonto macht alles datenschutzkonform“. Entscheidend ist der konkrete Ablauf. Betrachten Sie Daten, Zweck, Beteiligte und Verarbeitung zusammen.
Zuerst die Daten unterscheiden
Die DSGVO betrifft personenbezogene Daten. Dazu können auch Namen und Kontaktdaten in geschäftlichen E-Mails gehören. Für besondere Kategorien, etwa Gesundheitsdaten, gelten zusätzliche Voraussetzungen. Grundlage sind insbesondere Artikel 5, 6 und 9 der DSGVO.
Ein einfacher technischer Test kann zunächst mit erfundenen Daten arbeiten. Achten Sie darauf, dass vermeintlich anonymisierte Dokumente nicht doch über Namen, Nummern oder Kontext einer Person zugeordnet werden können. Pseudonyme sind nicht dasselbe wie anonyme Daten.
Zweck und Rolle klären
Beschreiben Sie, warum die Daten verarbeitet werden und wer darüber entscheidet. Wer Zweck und wesentliche Mittel festlegt, ist Verantwortlicher. Wer personenbezogene Daten weisungsgebunden für einen anderen verarbeitet, kann Auftragsverarbeiter sein. Diese Unterscheidung erläutert der Europäische Datenschutzausschuss.
Eine Auftragsverarbeitungsvereinbarung ist kein Ersatz für die Rechtsgrundlage des Verantwortlichen. Sie ist auch nicht bei jeder Zusammenarbeit die passende Vertragsform. Klären Sie die Rollen vor dem Austausch echter personenbezogener Daten.
Anbieter und Datenweg prüfen
- Welches konkrete Produkt und welcher Vertrag werden genutzt?
- Welche Daten werden übertragen, gespeichert oder für weitere Zwecke verwendet?
- Welche Dienstleister und Unterauftragnehmer sind beteiligt?
- In welchen Regionen findet die Verarbeitung statt und sind Zugriffe aus Drittländern möglich?
- Wie funktionieren Berechtigungen, Löschung, Aufbewahrung und Unterstützung bei Anfragen?
Die DSK-Orientierungshilfe zu KI unterstützt die Auswahl und den datenschutzgerechten Einsatz. Eine Aussage zum Speicherort allein beantwortet diese Fragen nicht. Auch „kein Modelltraining“ bedeutet nicht automatisch „keine Speicherung“.
Freigaben so gestalten, dass sie helfen
Für diesen Ablauf müssen nicht sämtliche Postfächer und Anlagen freigegeben werden. Beginnen Sie mit einem begrenzten Eingang und den tatsächlich benötigten Daten. Definieren Sie, welche Inhalte ausgeschlossen sind und wann die Verarbeitung abgebrochen wird.
Eine überschaubare Startliste
- Zweck, Datenarten und verantwortlichen Fachbereich notieren.
- Rechtsgrundlage und Rollen mit der zuständigen Stelle klären.
- Anbieter, Vertrag, Datenflüsse und mögliche Übermittlungen prüfen.
- Berechtigungen, Löschregeln und Informationspflichten festlegen.
- Risiken bewerten und prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
- Die fachliche Kontrolle sowie einen Stopp- und Meldeweg testen.
Diese Liste ist eine praktische Struktur. Ob zusätzliche Maßnahmen nötig sind, hängt vom Risiko ab. Die DSGVO bleibt maßgeblich.
AI Act und DSGVO laufen nebeneinander
Der AI Act ersetzt die DSGVO nicht. Nach dem AI Omnibus gilt der neu gefasste Artikel 4 zur Unterstützung von KI-Kompetenz; Transparenzpflichten nach Artikel 50 sind seit 2. August 2026 zu prüfen. Eine Einordnung finden Sie im aktuellen AI-Act-Leitfaden mit den Primärquellen.
Unsere Empfehlung: Halten Sie die Datenprüfung und die KI-spezifische Einordnung in einer gemeinsamen Projektübersicht fest. So vermeiden Sie, dass Fachbereich, IT und Datenschutz an verschiedenen Annahmen arbeiten.
Was wir bei Fluxward vorbereiten
Wir beschreiben den vorgesehenen Ablauf, die Datenquellen, Zugriffe und Kontrollpunkte. Offene rechtliche Fragen werden sichtbar gemacht und an die zuständigen Personen gegeben. Wir erteilen keine juristische Datenschutzfreigabe und versprechen keine pauschale „DSGVO-Konformität“ eines Werkzeugs.
Ein begrenzter Einstieg lässt sich in der KI-Potenzialanalyse vorbereiten. Tests mit echten Daten beginnen erst, wenn die dafür notwendigen Voraussetzungen geklärt sind.
Quellen und Prüfstand
Die verlinkten Primärquellen wurden am geprüft. Die beschriebenen Arbeitsschritte sind Empfehlungen von Fluxward; sie sind von den Aussagen der Quellen zu unterscheiden.
Mitgründer · Technik, Umsetzung, Produkt
EU AI Act: Was bedeutet das konkret für Ihren Betrieb?
Welche KI nutzen Sie, wofür und in welcher Rolle? Mit diesen Fragen beginnt die Einordnung. Der Beitrag führt Sie durch die beschriebenen Anforderungen und einen betrieblichen Check; maßgeblich bleiben die aktuellen Rechtsquellen.
Weiterlesen
KI-Projekt in NRW geplant? Diese Förderfragen kommen zuerst.
Welche Teile Ihres Vorhabens könnten förderfähig sein und was muss vor der Beauftragung geklärt werden? Der Beitrag hilft bei der Vorbereitung. Verbindlich sind die aktuellen Bedingungen der Förderstelle.
Weiterlesen KI arbeitet vor. So behält Ihr Team den Überblick.
Wer prüft ein Ergebnis, welche Angaben müssen sichtbar sein und wann wird gestoppt? So gestalten Sie Kontrollpunkte, die sich im Arbeitsalltag tatsächlich nutzen lassen.
WeiterlesenSo geht es los
Welche Aufgabe möchten Sie zuerst erleichtern?
Sie möchten das auf Ihren Betrieb übertragen? Erzählen Sie uns von einer wiederkehrenden Aufgabe. Im kostenlosen Erstgespräch klären wir den passenden nächsten Schritt. Vertrauliche Unterlagen sind dafür nicht nötig.
- Zeitfresser konkretisieren
- Datenlage besprechen
- Nächsten Schritt festlegen