KI und DSGVO sind kein Widerspruch. Aber wer im Unternehmen KI einführt, muss die Hausaufgaben machen — sonst drohen Bußgelder, Abmahnungen und im schlimmsten Fall der Verlust von Kundendaten. Wir gehen die acht Pflichtbausteine durch.
1. Rechtsgrundlage klären (Art. 6 DSGVO)
Jede Verarbeitung personenbezogener Daten durch eine KI braucht eine Rechtsgrundlage. Die relevanten:
- Art. 6 Abs. 1 lit. b: Vertragserfüllung (z. B. Kundensupport per KI)
- Art. 6 Abs. 1 lit. f: Berechtigtes Interesse (z. B. interne Effizienz-Tools) — verlangt Interessenabwägung
- Art. 6 Abs. 1 lit. a: Einwilligung (z. B. wenn Mitarbeiter-Stimme transkribiert wird)
- § 26 BDSG: Beschäftigtenkontext (z. B. Bewerbungsmanagement) — eng auszulegen
Für jeden KI-Use-Case dokumentierst du, welche Rechtsgrundlage greift. Diese Dokumentation gehört ins Verfahrensverzeichnis.
2. Auftragsverarbeitungsvertrag (AVV) abschließen
Der KI-Anbieter ist Auftragsverarbeiter — du brauchst Art. 28 DSGVO einen schriftlichen Vertrag. Achte auf:
- Eindeutige Verarbeitungszwecke
- Hosting-Standort (EU bevorzugt, sonst Standardvertragsklauseln + Risikobewertung)
- Keine Nutzung deiner Daten zum Modell-Training (das ist 2026 das wichtigste Kriterium!)
- Klare Löschfristen
- Subunternehmer-Liste
Cortexion stellt einen AVV mit allen Pflichtpunkten bereit — du musst nichts selbst aufsetzen.
3. Technische und organisatorische Maßnahmen (TOM)
Art. 32 DSGVO verlangt „dem Stand der Technik" angemessene Schutzmaßnahmen. Für KI-Nutzung relevant:
- Verschlüsselung in transit (TLS 1.3) und at rest (AES-256)
- Rollen- und Rechtekonzept (wer darf welche Daten sehen?)
- Audit-Logs (wer hat wann was mit der KI gemacht?)
- Single Sign-On / 2-Faktor-Authentifizierung
- Datenminimierung im Prompt (nur senden, was wirklich nötig ist)
4. Datenschutz-Folgenabschätzung (DSFA) prüfen
Art. 35 DSGVO: Bei voraussichtlich hohem Risiko ist eine DSFA Pflicht. Für KI typischerweise erforderlich, wenn:
- du Bewerber automatisch vorsortierst
- du Kundendaten profilierst oder scorest
- du Mitarbeiterleistung analysierst
- du besondere Datenkategorien (Gesundheit, Religion etc.) verarbeitest
Für klassische Office-Anwendungen (Texte schreiben, Belege buchen) brauchst du sie meist nicht — aber eine kurze Begründung der Nicht-Erforderlichkeit gehört trotzdem in die Akte.
5. Transparenz- und Informationspflichten
Art. 13/14 DSGVO: Wer Daten in eine KI gibt, muss die betroffenen Personen darüber informieren. Praktisch bedeutet das:
- Datenschutzerklärung um KI-Verarbeitung erweitern
- Mitarbeiter-Information per E-Mail oder Intranet
- Kunden: Hinweis im AGB-Abschnitt und in spezifischen Prozessen (z. B. „Diese Antwort wurde KI-gestützt erstellt")
6. Verfahrensverzeichnis aktualisieren
Jeder KI-Use-Case ist ein neuer Eintrag im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Pflichtfelder: Zweck, Datenkategorien, Empfänger, Aufbewahrungsfristen, TOM. Halte die Einträge so kurz wie möglich, aber so vollständig wie nötig.
7. Mitarbeiter-Schulung und KI-Richtlinie
Datenschutz ist nicht delegierbar an die KI. Jeder Mitarbeiter, der die KI nutzt, muss wissen:
- Welche Daten dürfen rein, welche nicht? (Klare Negativliste!)
- Wer ist Ansprechpartner bei Unsicherheit?
- Was passiert mit den KI-Ausgaben? (Quellen prüfen!)
- Wie gehe ich mit personenbezogenen Daten Dritter um?
Wir empfehlen eine 60-Minuten-Pflichtschulung beim Onboarding plus jährliche Auffrischung — und eine schriftliche KI-Richtlinie, die jeder neue Mitarbeiter mit Unterschrift bestätigt.
8. Betroffenenrechte umsetzen
Art. 15–22 DSGVO: Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch, Recht auf menschliche Überprüfung bei automatisierten Entscheidungen. Praktisch heißt das für KI-Tools:
- Daten müssen auf Anfrage exportierbar sein
- Wissensdatenbank-Einträge müssen einzeln löschbar sein
- Bei automatisierten Entscheidungen muss ein Mensch einsehen und revidieren können
Checkliste für die ersten 30 Tage
- AVV vom KI-Anbieter anfordern und prüfen lassen
- Erste Use Cases mit Rechtsgrundlagen tabellieren
- Verfahrensverzeichnis-Eintrag pro Use Case anlegen
- Prüfen, ob DSFA nötig — falls ja, Termin mit Datenschutzbeauftragtem
- Datenschutzerklärung und AGB anpassen
- Betriebsrat informieren (falls vorhanden)
- KI-Richtlinie schreiben und an alle Mitarbeiter
- Pflichtschulung für Power-User durchführen
Häufige Fehler im Mittelstand
- „Wir nutzen ja nur ChatGPT, das ist privat": Falsch. Das ist klassische Schatten-KI — sobald Firmenrechner oder Firmen-Login involviert ist, gilt DSGVO.
- „Der Anbieter sitzt in USA, das ist eh ein Problem": Nein — mit EU-Hosting und Standardvertragsklauseln plus Risikobewertung geht das. Aber: deutsche Anbieter sparen dir die Diskussion.
- „Wir haben einen AVV unterschrieben, das reicht": Nein. AVV ist eine von acht Bausteinen, nicht der einzige.
Du willst KI im Unternehmen DSGVO-konform einführen, ohne dich monatelang durch Verträge zu wühlen? Cortexion bringt alle Pflichtbausteine mit — AVV, EU-Hosting, Audit-Logs, Rollen-Konzept. Buche eine Demo.