DSGVO bremst Ihre KI-Ideen? Diese Regeln brauchen Sie wirklich

„Das geht wegen Datenschutz nicht.“ Diesen Satz hören wir in fast jedem Gespräch über KI. Manchmal steckt eine echte Hürde dahinter. Oft ist es vor allem Unsicherheit.

Die DSGVO verbietet KI nicht. Sie verlangt, dass personenbezogene Daten rechtmäßig, transparent, zweckgebunden und sicher verarbeitet werden. Das ist kein kleiner Punkt. Aber es ist auch kein Grund, jedes sinnvolle KI-Pilotprojekt zu begraben.

Der Mittelstand braucht hier keinen Panikmodus. Er braucht einen sauberen Datenpfad.

Hinweis: Dieser Beitrag bietet technische und organisatorische Orientierung, aber keine Rechtsberatung. Prüfen Sie den konkreten KI-Einsatz mit Ihrer Datenschutzfunktion und einer fachlich qualifizierten Rechtsberatung.

Warum Datenschutz bei KI früh auf den Tisch gehört

Datenschutz wird teuer, wenn er spät kommt. Dann ist der Ablauf schon entwickelt, der Anbieter schon ausgewählt, das Team schon geschult, und plötzlich stellt jemand die richtigen Fragen:

• Welche Daten werden verarbeitet?
• Gehen personenbezogene Daten an einen externen Anbieter?
• Werden Eingaben für Training genutzt?
• Wo werden Daten gespeichert?
• Wer prüft Ausgaben?
• Wie löschen wir Daten wieder?
• Gibt es automatisierte Entscheidungen?

Wenn diese Fragen erst am Ende kommen, fühlt sich Datenschutz wie eine Bremse an. Wenn sie am Anfang kommen, wird Datenschutz zur Architekturentscheidung.

Die wichtigste Unterscheidung: Welche Daten gehen in den Ablauf?

Nicht jeder KI-Anwendungsfall ist datenschutzrechtlich gleich. Ein interner Textentwurf aus allgemeinen Produktinformationen ist etwas anderes als eine automatische Bewertung von Mitarbeitenden. Ein Lieferschein mit Kundendaten ist etwas anderes als eine anonymisierte Prozessbeschreibung.

Für den Start hilft eine einfache Einteilung:

Unkritisch oder wenig kritisch: allgemeine Prozessbeschreibungen, öffentliche Informationen, interne Vorlagen ohne personenbezogene Daten, Beispieltexte.

Prüfpflichtig: Kundenmails, Lieferadressen, Ansprechpartner, Rechnungen, Frachtpapiere, Supportverläufe, Vertragsauszüge.

Hochsensibel: Gesundheitsdaten, HR-Entscheidungen, Leistungsbewertungen, Bonitätsentscheidungen, automatisierte Ablehnungen, personenbezogene Profilbildung.

Die meisten guten Mittelstands-Startfälle liegen in der Mitte: Es gibt personenbezogene oder vertrauliche Daten, aber die Verarbeitung lässt sich begrenzen, dokumentieren und mit menschlicher Prüfung führen.

Drei typische Datenschutz-Ängste

1. „Unsere Daten landen ungeprüft im Training eines Modells“

Das darf nicht passieren. Deshalb ist der Unterschied zwischen einem Consumer-Tool und einer vertraglich geregelten Enterprise-Nutzung wichtig. Unternehmen müssen prüfen, welche Vertragsbedingungen gelten, ob Eingaben für Training verwendet werden, welche Datenstandorte möglich sind und ob ein Auftragsverarbeitungsvertrag nötig ist.

Unser praktischer Grundsatz: Keine sensiblen Kunden- oder Personendaten in nicht freigegebene Consumer-Tools. Für produktive Abläufe braucht es Anbieterprüfung, Vertragsgrundlage und klare Datenregeln.

2. „Wir brauchen erst vollständige KI-Regeln und klare Verantwortlichkeiten, bevor wir starten“

Nein. Für ein begrenztes Pilotprojekt brauchen Sie keine 40-seitige Richtlinie. Sie brauchen wenige belastbare Regeln und klare Verantwortlichkeiten:

• Zweck des Pilotprojekts
• Datenkategorien
• erlaubte Tools
• Verantwortliche
• Prüf- und Freigabepunkt
• Lösch- und Aufbewahrungslogik
• Dokumentation der wichtigsten Entscheidungen

Die große Richtlinie kann daraus wachsen. Aber sie sollte nicht der Grund sein, warum ein sauberer, kleiner Startfall nie beginnt.

3. „Wenn KI beteiligt ist, haftet niemand mehr sauber“

Das Gegenteil sollte der Anspruch sein. Gute KI-Abläufe machen Verantwortung sichtbarer:

• Wer hat den Ablauf ausgelöst?
• Welche Quelle wurde genutzt?
• Welche Ausgabe wurde erzeugt?
• Wer hat geprüft?
• Was wurde geändert?
• Wann wurde freigegeben?

Ein Ablauf mit menschlicher Prüfung und Protokoll ist oft nachvollziehbarer als ein chaotischer Mailprozess mit zehn Weiterleitungen und mündlichen Absprachen.

Was Sie für den Start wirklich brauchen

Für ein operatives KI-Pilotprojekt im Mittelstand bilden die folgenden zehn Punkte eine erste Arbeitsgrundlage. Ob sie im Einzelfall genügen, hängt von Daten, Zweck, Risiko, betroffenen Personen und eingesetzten Anbietern ab.

1. Datenlandkarte: Welche Daten gehen rein, welche bleiben draußen, welche werden anonymisiert oder maskiert?

2. Zweck und Rechtsgrundlage: Welcher konkrete Zweck wird verfolgt, auf welche Rechtsgrundlage stützt sich die Verarbeitung personenbezogener Daten und greifen bei besonderen Datenkategorien zusätzliche Voraussetzungen?

3. Anbieterprüfung: Welche Tools sind erlaubt, welche Verträge liegen vor, welche Datenverarbeitung ist ausgeschlossen und welche Empfänger oder Drittlandpfade sind beteiligt?

4. Zweckgrenze: Wofür wird der Ablauf genutzt und wofür ausdrücklich nicht?

5. DSFA-Screening: Prüfen und dokumentieren Sie, ob die Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursacht und deshalb eine Datenschutz-Folgenabschätzung erforderlich ist.

6. Transparenz und Betroffenenrechte: Welche Informationen müssen Betroffene erhalten und wie bleiben Auskunft, Berichtigung, Löschung, Widerspruch und weitere anwendbare Rechte praktisch erfüllbar?

7. Fachliche und menschliche Prüfung: Wo entscheidet ein Mensch? Welche Ausgaben dürfen nicht automatisch rausgehen und wann ist Artikel 22 DSGVO zu automatisierten Entscheidungen besonders zu prüfen?

8. Verzeichnis von Verarbeitungstätigkeiten: Prüfen und dokumentieren Sie für den konkreten KI-Ablauf, ob und an welcher Stelle die Verarbeitung in das Verzeichnis von Verarbeitungstätigkeiten gehört.

9. Zugriff, Löschung und Sicherheit: Wer darf Eingaben und Ausgaben sehen, wie lange werden sie aufbewahrt, wie werden sie gelöscht und welche technischen sowie organisatorischen Maßnahmen gelten?

10. Test- und Prüfrhythmus: Welche Fehlerfälle werden geprüft, wie wird verbessert, wer eskaliert und wann wird das Pilotprojekt gestoppt?

Die DSGVO verlangt für personenbezogene Verarbeitung eine passende Rechtsgrundlage. Bei voraussichtlich hohem Risiko ist eine Datenschutz-Folgenabschätzung erforderlich. Die amtliche DSGVO-Fassung bei EUR-Lex bleibt deshalb neben der Prüfung Ihres konkreten Falls die verbindliche Ausgangsquelle.

Das klingt nach viel, lässt sich für einen klar begrenzten Pilot aber strukturiert vorbereiten. Die Liste ersetzt weder die rechtliche Einzelfallprüfung noch notwendige Beteiligung von Datenschutzbeauftragten, Betriebsrat oder weiteren Stellen.

EU AI Act: Was aktuell zusätzlich relevant ist

Neben der DSGVO ist seit 2025 der EU AI Act praktisch relevant. Besonders wichtig für Unternehmen, die KI einsetzen: Artikel 4 zur KI-Kompetenz gilt seit dem 2. Februar 2025. Die Europäische Kommission erklärt dazu, dass Anbieter und Betreiber von KI-Systemen Maßnahmen für ein ausreichendes Maß an KI-Kompetenz bei den Personen ergreifen müssen, die mit den Systemen umgehen.

Das heißt nicht automatisch: Jedes Unternehmen braucht sofort ein Zertifikat oder einen KI-Beauftragten. Die Kommission sagt ausdrücklich, dass kein bestimmtes Zertifikat erforderlich ist und keine bestimmte Verantwortungsstruktur vorgeschrieben wird. Aber Unternehmen sollten zeigen können, dass sie Menschen passend zum Einsatzkontext befähigen.

Für den Mittelstand ist das ein pragmatischer Auftrag:

• Mitarbeitende verstehen, was KI kann und nicht kann
• Risiken wie Halluzinationen und Datenschutz werden erklärt
• erlaubte und verbotene Nutzungen sind klar
• Prüfpunkte sind definiert
• Schulungen und interne Leitlinien werden dokumentiert

Gute Startfälle aus Datenschutzsicht

Nicht alle KI-Projekte sind gleich geeignet. Für einen ersten datenschutzbewussten Einstieg sind oft diese Fälle stark:

• interne Prozessdokumentation ohne personenbezogene Daten
• Dokumentenprüfung mit Datenminimierung und menschlicher Freigabe
• Statusmail-Entwürfe mit klaren Quellen und Prüfung
• Reporting-Entwürfe ohne automatische Einzelentscheidungen
• Wissenssuche auf freigegebenen internen Dokumenten

Vorsichtiger wären wir bei HR-Bewertungen, automatisierten Ablehnungen, Profiling, sensiblen Gesundheitsdaten oder KI-Systemen, die unmittelbar rechtliche Wirkung für Personen haben. Nicht unmöglich, aber kein gutes erstes Pilotprojekt.

Unser Ansatz bei Fluxward

Wir trennen Datenschutz nicht von Umsetzung. In einem guten Pilotprojekt gehören beide zusammen:

1. Hebel eingrenzen
2. Datenpfad zeichnen
3. Anbieter und Nutzungsmodus des Tools prüfen
4. fachliche Prüfung festlegen
5. Testdaten und echte Daten trennen
6. Dokumentation aufsetzen
7. Pilotprojekt erst dann in echten Betrieb bringen

Das ist weniger glamourös als ein KI-Demovideo. Aber genau so kommt ein Ablauf in Bewegung, ohne dass später alles wieder gestoppt wird.

Quellen und Kontext

• Europäische Kommission: AI Literacy Q&A zu Artikel 4
• EUR-Lex: Datenschutz-Grundverordnung, insbesondere Artikel 6, 13–22, 30 und 35
• EDPB: Opinion 28/2024 zu KI-Modellen

Wenn Datenschutz bei Ihnen gerade zwischen Idee und Pilotprojekt steht, ist das kein Zeichen, dass KI unmöglich ist. Es ist ein Zeichen, dass der Start sauberer entwickelt werden muss. Genau dafür ist das Orientierungsgespräch oder die KI-Potenzialanalyse da.