Wenn ich mit Mittelständlern über KI spreche, kommt früher oder später immer dieselbe Frage: "Dürfen wir das überhaupt mit der DSGVO?" Manchmal ist es eine echte Frage, manchmal ein vorweggenommenes Argument gegen Veränderung.
Die DSGVO ist keine Blockade für KI. Sie ist ein Rahmen. Wer ihn kennt, kann innerhalb davon sinnvoll arbeiten. Hier ist das, was Mittelständler tatsächlich wissen müssen.
Die DSGVO regelt den Umgang mit personenbezogenen Daten. Personenbezogene Daten sind alle Informationen, die eine natürliche Person direkt oder indirekt identifizierbar machen: Name, E-Mail-Adresse, Telefonnummer, IP-Adresse, aber auch Kundennummern, wenn sie einer Person zugeordnet werden können.
KI-Systeme berühren die DSGVO immer dann, wenn personenbezogene Daten verarbeitet werden, sei es als Eingabe in ein Modell, als Trainingsdaten oder als Teil von Ausgaben, die gespeichert werden.
Was ohne jede Einschränkung möglich ist: KI für interne Zwecke nutzen, bei denen keine personenbezogenen Daten verarbeitet werden. Produktbeschreibungen optimieren, interne Texte formulieren, Prozessdokumentation erstellen, Marktrecherchen zusammenfassen. Hier stellt die DSGVO keine Anforderungen.
Das größte datenschutzrechtliche Unterscheidungsmerkmal ist, wo das Modell läuft.
Bei Cloud-KI-Diensten wie ChatGPT, Claude oder Google Gemini gehen die Eingaben an einen externen Anbieter. Dieser Anbieter verarbeitet die Daten auf seinen Servern, oft in den USA oder anderen Ländern außerhalb der EU. Das ist nicht pauschal verboten, erfordert aber, dass ein Datenverarbeitungsvertrag abgeschlossen wird und dass geprüft wird, ob die Datenübertragung in das jeweilige Land zulässig ist.
OpenAI bietet solche Verträge an, ebenso Anthropic (Claude) und Google. Das bedeutet: Der kommerzielle Einsatz dieser Tools in Unternehmen ist unter bestimmten Bedingungen datenschutzrechtlich möglich, aber er erfordert, dass man diese Bedingungen prüft und dokumentiert.
Self-hosted-Modelle, also Open-Source-Modelle wie Llama, die auf eigener Infrastruktur betrieben werden, umgehen das Problem. Die Daten verlassen nie die eigene Umgebung. Das ist datenschutzrechtlich unkomplizierter, erfordert aber technische Infrastruktur und bringt eigene Aufwände mit sich.
In der Praxis sehe ich selten, dass Unternehmen an der DSGVO scheitern. Ich sehe, dass sie sich von der DSGVO einschüchtern lassen und deshalb gar nicht anfangen.
Das eigentliche Risiko liegt häufig nicht in der Nutzung eines KI-Tools, sondern in unüberlegten Eingaben. Wenn ein Mitarbeiter Kundennamen, Kontaktdaten und interne Informationen in ChatGPT eingibt, weil er eine schnelle Antwort braucht, und das ohne jeden organisatorischen Rahmen, dann ist das ein Problem. Nicht weil ChatGPT verboten ist, sondern weil die Verarbeitung personenbezogener Daten nicht strukturiert stattfindet.
Das ist lösbar durch klare interne Regeln: Was darf in welches Tool eingegeben werden? Was muss vorher anonymisiert werden? Wer ist dafür verantwortlich, dass diese Regeln eingehalten werden?
Erstens: Einen Datenverarbeitungsvertrag mit jedem KI-Anbieter abschließen, den das Unternehmen nutzt. Die großen Anbieter haben diese Verträge standardisiert. Das dauert für ChatGPT oder Claude weniger als eine Stunde.
Zweitens: Interne Richtlinien schreiben, was in welches Tool darf. Zwei Seiten reichen. Personenbezogene Daten immer anonymisieren oder pseudonymisieren, bevor sie in Cloud-Dienste eingegeben werden.
Drittens: Das Verarbeitungsverzeichnis aktualisieren. Die DSGVO verlangt, dass Unternehmen dokumentieren, welche Daten sie wie verarbeiten. KI-Tools gehören dazu.
Viertens: Prüfen, ob automatisierte Entscheidungen getroffen werden. Die DSGVO hat besondere Anforderungen für Entscheidungen, die ausschließlich durch automatisierte Verarbeitung getroffen werden und rechtliche oder ähnlich erhebliche Auswirkungen auf Personen haben. In den meisten Mittelstandsprojekten ist das kein Thema, weil KI-Systeme empfehlen und Menschen entscheiden.
Für den normalen Einsatz von KI-Tools im Büroalltag, also Texte schreiben, Daten zusammenfassen, Prozesse automatisieren ohne Kundendaten, brauchen Sie keinen Anwalt.
Einen Anwalt sollten Sie hinzuziehen, wenn Sie KI im direkten Kundenkontakt einsetzen, wenn automatisierte Entscheidungen mit rechtlichen oder finanziellen Auswirkungen getroffen werden, wenn besondere Kategorien personenbezogener Daten verarbeitet werden (Gesundheitsdaten, politische Überzeugungen, etc.), oder wenn Sie KI zur Personalbeurteilung einsetzen wollen.
In allen anderen Fällen reicht gesunder Menschenverstand, strukturierte interne Regeln und die Bereitschaft, sich mit den Datenschutzhinweisen der genutzten Tools auseinanderzusetzen.
Die DSGVO schützt Grundrechte. Das ist ein guter Grund für ihr Bestehen. Aber sie ist kein Argument, nicht mit KI anzufangen.
Die Versprechen der KI-Anbieter sind groß. Was bleibt davon nach sechs Monaten realer Nutzung übrig? Ein nüchterner Blick auf Zahlen, Erwartungen und was tatsächlich funktioniert.
Viele Unternehmen warten auf die perfekte KI-Strategie, bevor sie anfangen. Das ist der teuerste Fehler, den Sie machen können. Warum der erste kleine Schritt mehr lehrt als jedes Konzeptpapier.
Die meisten KI-Projekte scheitern nicht an der Technologie. Sie scheitern an Entscheidungen, die lange vor dem ersten Tool getroffen werden. Was ich in der Praxis immer wieder sehe.
