DSGVO und KI im Überblick.
Der EU AI Act ist nicht die einzige Verordnung, die beim KI-Einsatz zählt. Die DSGVO gilt parallel, und für die meisten Mittelstandsbetriebe ist sie im Alltag sogar die relevantere. Alles, was Sie zum Thema DSGVO und KI wissen sollten, an einem Ort.
Stand: 17. Juli 2026 · dieser Artikel wird laufend aktualisiert, sobald sich an der Rechtslage etwas ändert.
Über den AI Act wird viel geredet, über die DSGVO beim Thema KI eher wenig, dabei ist sie für die meisten Betriebe die Verordnung, die zuerst greift. Wer einen Chatbot, ein KI-Tool im Kundenservice oder eine automatische Bewerber-Vorauswahl einsetzt, verarbeitet fast immer personenbezogene Daten, und damit gilt die DSGVO sofort, unabhängig davon, wann welcher AI-Act-Artikel scharf geschaltet wird. Hier die wichtigsten Punkte, sortiert danach, wie oft sie in der Praxis tatsächlich relevant werden. Wir aktualisieren diese Liste, sobald sich etwas ändert, es lohnt sich also, gelegentlich wieder vorbeizuschauen.
1. Die Rechtsgrundlage: darf die KI Ihre Daten überhaupt verwenden?
Bevor irgendein KI-System Daten verarbeiten darf, braucht es eine Rechtsgrundlage nach Artikel 6 DSGVO, so wie bei jeder anderen Datenverarbeitung auch. Für viele KI-Anwendungen kommt dabei berechtigtes Interesse infrage, allerdings nicht automatisch. Der Europäische Datenschutzausschuss (EDPB) hat das am 18. Dezember 2024 in seiner Stellungnahme 28/2024 konkretisiert und einen Drei-Stufen-Test aufgestellt: Es muss ein legitimes Interesse vorliegen, die Verarbeitung muss dafür erforderlich sein, und die Interessen der betroffenen Personen dürfen nicht überwiegen. Diese Stellungnahme ist kein Gesetz, aber die Richtschnur, an der sich Aufsichtsbehörden seither orientieren.
2. Der KI-Anbieter als Auftragsverarbeiter
Fast jeder Betrieb, der KI einsetzt, nutzt dafür fremde Modelle: ChatGPT, Copilot, Azure OpenAI oder Ähnliches. Sobald dabei personenbezogene Daten übermittelt werden, braucht es einen Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO mit dem Anbieter, den es bei den meisten Business- und Enterprise-Lizenzen gibt, bei privaten Consumer-Accounts in der Regel nicht. Läuft die Verarbeitung über Server außerhalb der EU, kommt die Frage des Drittlandtransfers dazu. Bei US-Anbietern hilft oft eine Zertifizierung nach dem EU-US Data Privacy Framework, und mittlerweile bieten mehrere große Anbieter auch reines EU-Hosting an, inklusive der Rechenleistung für die eigentliche Modell-Anfrage. Wer hier den günstigsten Consumer-Zugang nutzt, weil er nichts kostet, zahlt den Preis oft an anderer Stelle.
3. Wenn die KI entscheidet: Artikel 22 DSGVO
Artikel 22 gilt schon seit Inkrafttreten der DSGVO am 25. Mai 2018, gewinnt aber gerade durch KI neue Praxisrelevanz. Er schränkt ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ein, etwa bei Bewerberauswahl, Kreditvergabe oder Vertragskündigung. Betroffen ist das vor allem, wenn eine KI ohne menschliche Prüfung final entscheidet, nicht wenn sie nur vorbereitet oder vorschlägt. Der Digital Omnibus, auf den sich EU-Parlament und -Rat am 7. Mai 2026 vorläufig geeinigt haben, soll Artikel 22 klarstellen, ist aber noch nicht formell verabschiedet und damit noch kein geltendes Recht.
4. Die Folgenabschätzung: Pflicht bei höherem Risiko
Verarbeitet ein KI-System Daten mit voraussichtlich hohem Risiko für Betroffene, schreibt Artikel 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) vor, eine dokumentierte Prüfung von Risiken und Gegenmaßnahmen, bevor das System live geht. Praktisch deckt sich das oft mit den Hochrisiko-Kategorien des AI Act, deren volle Pflichten ab August 2026 greifen. Für kleinere Betriebe soll der Digital Omnibus vereinfachte Dokumentationspflichten bringen, das ist aber, wie Punkt 3, noch nicht endgültig beschlossen.
5. Die Orientierungshilfe der Datenschutzkonferenz
Die deutsche Datenschutzkonferenz (DSK), der Zusammenschluss aller Landesdatenschutzbehörden, hat am 6. Mai 2024 eine eigene Orientierungshilfe zu KI und Datenschutz veröffentlicht. Auf rund 15 Seiten liefert sie konkrete Kriterien für Auswahl, Einführung und Betrieb von KI-Anwendungen, mit Fokus auf große Sprachmodelle, plus eine praktische Checkliste. Kein Gesetzestext, aber die Quelle, an der sich deutsche Aufsichtsbehörden in der Praxis orientieren, und damit für uns oft der erste Blick, wenn ein neuer Anwendungsfall auf den Tisch kommt.
Was das für Sie bedeutet
Keiner dieser fünf Punkte verlangt, auf KI zu verzichten. Sie verlangen, sich vor dem Start ein paar Fragen zu stellen: Auf welcher Rechtsgrundlage laufen die Daten, gibt es mit dem KI-Anbieter einen Auftragsverarbeitungsvertrag, entscheidet die KI final oder nur vorbereitend, wie hoch ist das Risiko für die Betroffenen, und was sagt die Orientierungshilfe der Aufsichtsbehörden dazu. Wer diese Fragen beantworten kann, ist DSGVO-technisch in einer deutlich besseren Position als der Großteil des Marktes.
Wie wir bei Bayern-IT damit umgehen
Für uns ist das kein nachträglicher Compliance-Check, sondern Teil jedes Projekts von der ersten Skizze an. Wir dokumentieren die Rechtsgrundlage für jede Datenverarbeitung, bevor ein System live geht, nicht danach. Wo eine KI Vorschläge macht statt final zu entscheiden, ist das eine bewusste Architekturentscheidung, keine nachträgliche Rechtfertigung. Und wo eine Folgenabschätzung sinnvoll ist, machen wir sie, auch wenn sie formal noch nicht zwingend wäre. Datenschutz ist bei uns keine Formalie am Ende, sondern eine der ersten Fragen im Erstgespräch.