KI und DSGVO – in deutschen Mittelstandsunternehmen hört man oft: "Wir dürfen das nicht einsetzen, wegen des Datenschutzes." Diese Aussage ist falsch. KI ist DSGVO-konform einsetzbar, wenn man die richtigen Architekturentscheidungen trifft. Dieser Leitfaden erklärt konkret, welche KI-Anwendungen problemlos zulässig sind, welche besondere Maßnahmen erfordern – und welche Sie wirklich vermeiden sollten.
Warum ist KI und DSGVO kein Widerspruch?
Die DSGVO reguliert die Verarbeitung personenbezogener Daten – nicht KI als solche. Wenn Ihr KI-System keine personenbezogenen Daten verarbeitet (z. B. ein interner Chatbot auf technischen Handbüchern), greift die DSGVO gar nicht. Wenn es personenbezogene Daten verarbeitet, gelten dieselben Grundsätze wie für jede andere Software: Zweckbindung, Datenminimierung, technische und organisatorische Maßnahmen (TOMs). Das EU AI Act (in Kraft seit August 2024, vollständig anwendbar ab Februar 2025) fügt für bestimmte Hochrisiko-KI-Anwendungen zusätzliche Transparenz- und Dokumentationspflichten hinzu – betrifft aber die meisten KMU-Anwendungsfälle nicht direkt. Entscheidend ist die richtige Architektur von Anfang an: Privacy by Design nach Art. 25 DSGVO.
Welche KI-Anwendungen sind für KMU ohne Bedenken DSGVO-konform?
Die folgenden KI-Anwendungen verarbeiten keine oder kaum personenbezogene Daten und sind für KMU unkompliziert einsetzbar:
- Interner Wissens-Chatbot auf Basis technischer Dokumentationen, Produkthandbücher oder interner Prozessdokumente – keine Kundendaten, keine DSGVO-Relevanz.
- Automatisierte Dokumentenverarbeitung (Rechnungen, Lieferscheine) – solange keine Kundenpersonendaten dauerhaft gespeichert werden.
- Code-Assistenten (GitHub Copilot, Cursor) – verarbeiten Code, keine personenbezogenen Daten.
- Produktbeschreibungen und Marketing-Texte generieren – kein Personenbezug.
- Anomalieerkennung in Maschinendaten – Sensor- und Betriebsdaten sind keine personenbezogenen Daten.
Welche KI-Anwendungen erfordern besondere DSGVO-Massnahmen?
Folgende Anwendungen sind möglich, erfordern aber konkrete Schutzmassnahmen:
Kundenkommunikation mit KI: Wenn der Chatbot Kundendaten verarbeitet (Name, Email, Kaufhistorie), benötigen Sie einen Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter sowie eine transparente Datenschutzerklärung.
KI-gestützte HR-Prozesse (Bewerbungsauswahl): Hochrisiko nach EU AI Act. Erfordert explizite Einwilligung, menschliche Überprüfung jeder Entscheidung und Dokumentation des Algorithmus.
Kundenscoring oder Kreditbewertung: Automatisierte Einzelentscheidungen nach Art. 22 DSGVO sind nur unter engen Voraussetzungen zulässig – immer menschliche Überprüfungsmöglichkeit anbieten.
Private LLM vs. Cloud KI: Was ist DSGVO-sicherer?
Ein privates LLM (on-premise oder Private Cloud, z. B. LLaMA 3, Mistral) ist aus DSGVO-Sicht am sichersten: Ihre Daten verlassen niemals Ihre Infrastruktur, kein Dritter hat Zugriff, kein AVV erforderlich. Cloud-KI (OpenAI, Azure OpenAI, Anthropic) ist ebenfalls DSGVO-konform möglich, wenn Sie einen AVV abschließen und sicherstellen, dass Daten in europäischen Rechenzentren verarbeitet werden. Azure OpenAI Service mit Deutschland-Region ist die am häufigsten genutzte Enterprise-Lösung im deutschen Mittelstand. GPT-4 direkt über api.openai.com ist für sensible Unternehmensdaten nicht zu empfehlen, da OpenAI US-amerikanischem Recht unterliegt.
Die DSGVO-KI-Checkliste für KMU (2026)
Bevor Sie ein KI-System einführen, prüfen Sie diese sieben Punkte:
- Personenbezug prüfen: Verarbeitet das System personenbezogene Daten? Falls nein – deutlich einfachere Compliance.
- AVV abschließen: Wenn ein Cloud-KI-Anbieter Ihre Daten verarbeitet, muss ein Auftragsverarbeitungsvertrag vorliegen (DSGVO Art. 28).
- Rechtsgrundlage festlegen: Art. 6 DSGVO – meist berechtigtes Interesse oder Vertragserfüllung.
- Datenschutzerklärung aktualisieren: KI-Einsatz transparent kommunizieren.
- Datenspeicherung minimieren: Chatbot-Verläufe automatisch nach 30–90 Tagen löschen.
- DSFA prüfen: Bei Hochrisiko-KI (HR, Kredit, Biometrie) ist eine Datenschutz-Folgeabschätzung (Art. 35 DSGVO) Pflicht.
- EU AI Act-Klassifizierung: Prüfen, ob Ihre KI als "Hochrisiko" gilt – dann gelten zusätzliche Dokumentationspflichten.
Fazit: KI DSGVO-konform einsetzen
DSGVO-konforme KI ist kein Widerspruch, sondern eine Frage der richtigen Architektur und Dokumentation. Mit europäischen Cloud-Rechenzentren, privaten LLM-Deployments und konsequentem Privacy by Design können KMU alle relevanten KI-Anwendungsfälle rechtssicher umsetzen. LSI Analytics begleitet Sie dabei von der Architekturentscheidung über die AVV-Prüfung bis zur DSFA. Sprechen Sie uns an – kostenloses Erstgesprach, auf Deutsch.