KI und DSGVO: Was im Mittelstand wirklich gilt

Kaum ein Thema hält Unternehmer so zuverlässig vom KI-Einstieg ab wie die Sorge vor dem Datenschutz. Die gute Nachricht: Die Regeln sind Leitplanken, innerhalb derer sich sehr viel bewegen lässt. Sie müssen sie kennen, aber sie sind kein KO-Kriterium. Dieser Ratgeber zeigt, was wirklich verlangt wird und was Sie getrost vergessen können.

Was verlangt die DSGVO beim KI-Einsatz konkret?

Drei Pflichten tragen fast die ganze Last. Erstens der Vertrag zur Auftragsverarbeitung: Sobald ein KI-Anbieter personenbezogene Daten für Sie verarbeitet, braucht es diesen Vertrag nach Artikel 28 DSGVO. Bei Business-Tarifen von ChatGPT, Claude oder Microsoft Copilot gehört er zum Standardumfang und ist in wenigen Minuten abgeschlossen. Zweitens eine Rechtsgrundlage: Für die interne Nutzung trägt meist das berechtigte Interesse nach Artikel 6, eine Einwilligung jeder einzelnen Person brauchen Sie im Normalfall nicht. Drittens Transparenz: Die Datenschutzerklärung nennt den KI-Einsatz, und Ihre Mitarbeiter wissen, welche Werkzeuge im Haus genutzt werden. Eine förmliche Datenschutz-Folgenabschätzung kommt nur in Sonderfällen dazu, etwa wenn KI Bewerber bewertet oder Beschäftigte überwacht. Für die alltägliche Text- und Prozessunterstützung reicht eine kurze, dokumentierte Risikoprüfung.

„KI ist in Europa verboten" und zwei weitere Irrtümer

Der hartnäckigste Irrtum zuerst: „KI ist in Europa faktisch verboten." Falsch. Die DSGVO regelt Daten, nicht Technologie. Was mit Kundendaten im CRM erlaubt ist, ist mit denselben Daten in einem sauber konfigurierten KI-Werkzeug nicht plötzlich verboten.

Irrtum zwei: „ChatGPT trainiert mit allen meinen Firmendaten." Das stimmt so pauschal nicht. In Business- und Enterprise-Tarifen ist das Training auf Ihre Eingaben vertraglich ausgeschlossen. Der Satz stimmt nur für private Gratis-Accounts, und genau deshalb gehören die nicht in den Betrieb.

Irrtum drei: „Ich brauche für alles eine Einwilligung." Die DSGVO kennt mehrere gleichrangige Rechtsgrundlagen. Das berechtigte Interesse und die Vertragserfüllung tragen die meisten betrieblichen Anwendungsfälle, ganz ohne Unterschriftensammlung.

Was sagen die Datenschutzbehörden?

Wer die Veröffentlichungen der Aufsichtsbehörden liest, findet dort keine Verbotslisten, sondern Arbeitshilfen. Die Datenschutzkonferenz der deutschen Behörden hat seit 2024 gleich drei Orientierungshilfen zu KI veröffentlicht, zuletzt im Oktober 2025 zu KI-Systemen mit angebundenem Firmenwissen. Hamburg und Bayern stellen praxisnahe Checklisten bereit, und auch der Bitkom-Leitfaden zu KI und Datenschutz liest sich als Anleitung, nicht als Warnung. Die Kernbotschaft ist überall dieselbe: keine unnötigen personenbezogenen Daten eingeben, Verträge sauber schließen, Entscheidungen mit Folgen für Menschen nicht ungeprüft der Maschine überlassen. Das ist machbarer Alltag, keine Hürde.

Wo Ihre Daten landen: EU-Datenhaltung in der Praxis

Die wichtigste Weiche stellen Sie mit der Wahl des Tarifs: Business-Konten statt privater Accounts. Dazu kommt die Frage, wo verarbeitet wird. Mehrere große Anbieter bieten inzwischen europäische Datenhaltung an, teils standardmäßig, teils nur in bestimmten Tarifen oder über europäische Cloud-Regionen. Verlassen sollten Sie sich dabei nicht auf Werbetexte, sondern auf zwei schriftliche Zusagen: den Vertrag zur Auftragsverarbeitung und den Ausschluss des Trainings auf Ihren Daten. Genau diese Punkte prüfe ich bei der Werkzeug-Auswahl in jedem Projekt, bevor das erste Dokument fließt. Und wo besonders sensible Daten im Spiel sind, gibt es Alternativen, vom europäischen Anbieter bis zum Betrieb auf eigener Infrastruktur.

Wie hoch ist das Risiko wirklich?

Ein nüchterner Blick auf die Bußgeldpraxis hilft gegen die Angst. Die großen KI-Bußgelder der letzten Jahre trafen die Anbieter selbst, etwa 15 Millionen Euro gegen OpenAI durch die italienische Aufsichtsbehörde Ende 2024. Ein Fall, in dem ein deutscher Mittelständler für die Nutzung von KI-Werkzeugen ein Bußgeld erhalten hätte, ist bislang nicht bekannt geworden. Realistisch beginnt ein Verfahren bei einem KMU mit einer Prüfung und der Auflage, nachzubessern. Das ist keine Einladung zur Sorglosigkeit: Wer ohne Vertrag zur Auftragsverarbeitung sensible Daten in Gratis-Werkzeuge kippt, riskiert zu Recht Ärger. Aber wer die Grundpflichten dokumentiert erfüllt, bewegt sich in einem gut beherrschbaren Rahmen.

In sieben Schritten datenschutzfest

• Inventur machen: Welche KI-Werkzeuge sind im Einsatz, welche Daten fließen hinein?
• Business-Tarife nutzen statt privater Gratis-Accounts.
• Vertrag zur Auftragsverarbeitung mit jedem Anbieter schließen oder prüfen.
• Rechtsgrundlage je Anwendungsfall in zwei, drei Sätzen schriftlich festhalten.
• Interne KI-Richtlinie aufstellen: Welche Daten dürfen hinein, welche nicht?
• Datenschutzerklärung und Mitarbeiterinformation um den KI-Einsatz ergänzen.
• Verarbeitungsverzeichnis ergänzen: Das ist der erste Punkt, den eine Behörde bei einer Prüfung sehen will.

Diese sieben Punkte sind für einen mittelständischen Betrieb kein Monatsprojekt, sondern überschaubarer Aufwand mit klarem Ende. In meinen Projekten gehört dieser Rahmen von Anfang an dazu, damit die Technik auf sauberem Fundament steht.

Dieser Ratgeber ist eine praktische Orientierung, keine Rechtsberatung. Bei Sonderfällen wie Gesundheitsdaten oder Auswertungen über Beschäftigte gehören Fachanwalt oder Datenschutzbeauftragter mit an den Tisch.