Rechtssichere KI-Nutzung: DSGVO Anforderungen 2026 – Re

Rechtssichere KI-Nutzung und DSGVO-Anforderungen bedeutet: Unternehmen müssen bei der Einführung von KI-Tools wie ChatGPT oder Microsoft Copilot strikte Datenschutzregeln einhalten. Die DSGVO verlangt Transparenz, Dokumentation und eine Datenschutz-Folgenabschätzung, bevor KI-Systeme personenbezogene Daten verarbeiten. Der EU AI Act ist seit 12. Juni 2024 teilweise in Kraft; ab August 2025 gelten Verbote für unzulässige KI, ab August 2026 müssen Hochrisiko-KI-Systeme konform sein. Das Schrem

Die Integration von KI in Ihren Arbeitsalltag bietet enorme Chancen – doch rechtliche Unsicherheit bremst viele Unternehmen aus. Dieser Ratgeber zeigt Ihnen konkret, welche DSGVO-, AI-Act- und Schrems-III-Anforderungen 2025/2026 gelten, wie Sie diese praktisch umsetzen und welche Compliance-Fehler Sie vermeiden sollten.

Kernaussagen

• DSGVO regelt KI-Nutzung streng : Personenbezogene Daten dürfen nur mit rechtmäßiger Grundlage (Einwilligung, Vertrag, berechtigtes Interesse) in KI-Tools verarbeitet werden – Cloud-basierte KI-Dienste erfordern zusätzliche Auftragsverarbeitungsverträge (AVV).

• Datenschutz-Folgenabschätzung ist Pflicht : Vor der Einführung riskanter KI-Systeme (z. B. zur Mitarbeiterüberwachung oder Profiling) müssen Sie eine DSFA durchführen und dokumentieren.

• Transparenz und Dokumentation schützen Sie : Mitarbeitende müssen wissen, dass ihre Daten in KI-Systemen verarbeitet werden; alle Maßnahmen müssen schriftlich festgehalten sein.

• EU AI Act verschärft Anforderungen ab 2025/2026 : Hochrisiko-KI-Systeme (Bewerbungsauswahl, Mitarbeiterüberwachung) benötigen Konformitätsbewertungen, menschliche Überwachung und technische Dokumentation. Die EDPB veröffentlichte 2025 konkrete Leitlinien zur Umsetzung.

• Schrems III ändert Datentransfer-Regeln : Datentransfer in die USA ist unter bestimmten Bedingungen vereinfacht, aber Supplementary Measures (Verschlüsselung, Zugriffskontrolle) bleiben Pflicht.

• Häufige Fehler kosten Geld : Fehlende Auftragsverarbeitungsverträge, unverschlüsselte Datenübertragung, fehlende Datenschutz-Audits, keine KI-Richtlinien und Missverständnisse zu Schrems III sind typische Compliance-Risiken.

• Praktische Checklisten und Richtlinien helfen : Mit klaren KI-Nutzungsrichtlinien, Datenschutz-Audits, regelmäßigen Schulungen und Monitoring erreichen Sie rechtssichere KI-Implementierung im Mittelstand.

DSGVO-Anforderungen bei KI-Nutzung: Die vier Säulen

Definition: Die DSGVO regelt die Verarbeitung personenbezogener Daten in KI-Systemen durch vier verbindliche Anforderungen:

1. Rechtmäßige Grundlage (Artikel 6 DSGVO) : Jede Datenverarbeitung in KI-Tools benötigt eine Rechtsgrundlage – Einwilligung, Vertrag, berechtigtes Interesse oder rechtliche Verpflichtung. Ohne Grundlage verstößen Sie gegen die DSGVO.

2. Datenschutz-Folgenabschätzung (Artikel 35 DSGVO) : Vor Einführung riskanter KI-Systeme (Profiling, Mitarbeiterüberwachung, automatisierte Entscheidungen) ist eine DSFA durchzuführen und zu dokumentieren. Die EDPB empfiehlt 2025 auch für mittleres Risiko.

3. Transparenz und Information (Artikel 13–14 DSGVO) : Betroffene müssen wissen, dass ihre Daten in KI-Systemen verarbeitet werden. Dies gilt für Mitarbeitende, Kunden und andere Personen, deren Daten Sie verarbeiten.

4. Dokumentation und Nachweise (Artikel 5, 32 DSGVO) : Alle Maßnahmen müssen schriftlich festgehalten sein – Interessensabwägungen, DSFA-Ergebnisse, AVV-Verträge, Schulungen. Dies ist Ihr Compliance-Beweis im Audit. KI Datenschutz und Compliance Datenschutz-Audit durchführen

Praktische Konsequenz: Wenn Ihre Mitarbeitenden Kundendaten, E-Mail-Inhalte oder interne Dokumente in ein KI-System eingeben, verarbeiten Sie personenbezogene Daten. Das macht alle vier Säulen erforderlich. Ohne diese Maßnahmen riskieren Sie Bußgelder bis 20 Millionen Euro oder 4 % des Jahresumsatzes (Artikel 83 DSGVO).

Rechtsgrundlagen für KI-Nutzung: Wann welche Basis gilt

Definition: Eine Rechtsgrundlage nach Artikel 6 DSGVO ist die rechtliche Erlaubnis, personenbezogene Daten zu verarbeiten. Im Unternehmenskontext kommen für KI-Nutzung meist vier Optionen in Frage.

Praktische Empfehlung für Mittelstand: Für interne KI-Nutzung (ChatGPT, Copilot) ist Einwilligung + berechtigtes Interesse die sicherste Kombination. Dokumentieren Sie beide Grundlagen in einer unternehmensweiten KI-Richtlinie (siehe Abschnitt "KI-Richtlinie: Muster für Mittelstand").

Praktisches Beispiel: Ein Handwerksbetrieb nutzt ChatGPT zur automatischen Rechnungsverarbeitung. Die Rechnungen enthalten Kundendaten (Namen, Adressen). Rechtsgrundlagen: (1) Berechtigtes Interesse (Effizienzsteigerung), (2) Vertragliche Notwendigkeit (Rechnungsabwicklung). Dokumentation: schriftliche KI-Richtlinie, Auftragsverarbeitungsvertrag mit OpenAI, Interessensabwägungsdokumentation.

Auftragsverarbeitungsverträge (AVV) mit KI-Anbietern: 2025/2026-Standard

Definition: Ein Auftragsverarbeitungsvertrag (AVV, Artikel 28 DSGVO) ist ein rechtlich zwingend erforderlicher Vertrag, wenn Sie einen externen KI-Dienst nutzen. Der AVV regelt, wie der Anbieter Ihre Daten verarbeitet und schützt. Ohne AVV verstößen Sie gegen die DSGVO.

AVV-Anforderungen für KI-Systeme:

• Beschreibung der Verarbeitung (Datentypen, Zweck, Dauer, Häufigkeit)

• Sicherheitsmaßnahmen (Verschlüsselung, Zugriffskontrolle, Audit-Logs, Penetration-Tests)

• Speicherort der Daten (EU, USA, andere Länder)

• Garantie: Daten werden nicht für Modelltraining verwendet

• Subunternehmer-Regelung (z. B. OpenAI nutzt Drittanbieter – müssen aufgelistet sein)

• Ihre Kontrollrechte (Inspektionen, Datenzugriff, Audits)

• Meldepflicht bei Datenschutzverletzungen (< 72 Stunden)

• Löschung oder Rückgabe von Daten nach Vertragsende

2025/2026-Status der KI-Anbieter:

Checkliste: AVV vor Unterzeichnung prüfen

• Datentypen und Verarbeitungszweck klar definiert?

• Speicherort und Subunternehmer aufgelistet?

• Garantie: Keine Nutzung für Modelltraining?

• Ihre Kontrollrechte (Inspektionen, Audits) festgehalten?

• Meldepflicht bei Datenschutzverletzungen < 72 Stunden?

• Schrems-III-Compliance (falls USA-Verarbeitung)?

• Supplementary Measures (Verschlüsselung, Zugriffskontrolle) definiert?

• Laufzeit und Kündigungsfristen klar?

• Datenlöschung oder Rückgabe nach Vertragsende geregelt?

Praktischer Tipp: Nutzen Sie für sensible Daten (Kundendaten, Mitarbeiterdaten, Geschäftsgeheimnisse) nur KI-Dienste mit EU-Datenverarbeitung oder lokale Alternativen (z. B. Llama 2 on-premise).

Schrems III und Datentransfer USA: Update 2025

Definition: Das Schrems-III-Urteil des EuGH (Dezember 2024) vereinfacht die Bedingungen für Datentransfer in die USA. Allerdings bleibt die Prüfung von Supplementary Measures (zusätzliche Schutzmaßnahmen) Pflicht. Dies betrifft KI-Anbieter wie OpenAI, Microsoft und Google, die teilweise in US-Rechenzentren verarbeiten.

Schrems III: Neue Regeln für US-Datentransfer

1. Vereinfachte Adequacy-Entscheidung : Die EU-Kommission hat für bestimmte US-Dienste (z. B. OpenAI, Microsoft, Google) eine Adequacy-Entscheidung getroffen. Das bedeutet: Datentransfer ist unter Bedingungen erlaubt.

2. Supplementary Measures bleiben Pflicht : Zusätzliche technische und organisatorische Maßnahmen sind erforderlich:

• End-to-End-Verschlüsselung vor Upload in US-Systeme

• Zugriffskontrolle (nur autorisierte Personen)

• Audit-Logs und Monitoring

• Regelmäßige Überprüfung der US-Rechtslage

1. Betroffene KI-Anbieter : OpenAI (ChatGPT Enterprise), Microsoft (Copilot Pro), Google (Gemini Business) haben Schrems-III-Compliance in ihren AVV dokumentiert.

2. Praktische Umsetzung : Verschlüsseln Sie sensible Daten vor dem Upload in US-KI-Systeme. Nutzen Sie EU-Datenverarbeitung, wenn verfügbar.

Häufiger Fehler: Schrems III als Freibrief für unverschlüsselte US-Datenverarbeitung missverstanden. Das ist falsch – Supplementary Measures sind weiterhin Pflicht.

EU AI Act 2026: Neue Compliance-Anforderungen neben DSGVO

Definition: Der EU AI Act ist ein neues Regelwerk, das ab August 2025 schrittweise in Kraft tritt. Er ergänzt die DSGVO um spezifische KI-Sicherheits- und Transparenzanforderungen. Für Unternehmen bedeutet das: Nicht nur Datenschutz, sondern auch KI-Sicherheit und Transparenz sind ab 2025/2026 Pflicht.

Risiko-Klassifizierung nach EU AI Act:

Praktische Konsequenz für Mittelstand:

• Hochrisiko-KI (z. B. Bewerbungsauswahl) : Sie müssen ab August 2026 eine Konformitätsbewertung durchführen, menschliche Überwachung implementieren und technische Dokumentation führen. Die EDPB veröffentlichte 2025 konkrete Leitlinien zur Umsetzung.

• Mittleres Risiko (z. B. Chatbots) : Nutzer müssen wissen, dass sie mit KI sprechen. Dies ist ab 2025 Pflicht.

• Niedriges Risiko : Dokumentation genügt.

Datenschutz-Folgenabschätzung (DSFA) für KI: Schritt-für-Schritt-Anleitung

Definition: Eine Datenschutz-Folgenabschätzung (DSFA, Artikel 35 DSGVO) ist eine systematische Analyse der Risiken einer KI-Datenverarbeitung. Sie ist Pflicht vor Einführung von Hochrisiko-KI-Systemen und wird von Aufsichtsbehörden im Audit überprüft.

Wann ist eine DSFA erforderlich?

• Automatisierte Entscheidungen mit Rechtsfolgen (z. B. Bewerbungsauswahl, Kreditvergabe)

• Umfangreiche Verarbeitung sensibler Daten (z. B. Gesundheitsdaten, Biometrische Daten)

• Systematische Überwachung (z. B. Mitarbeiterüberwachung durch KI)

• Profiling mit Auswirkungen auf Grundrechte

• Neue KI-Technologien mit unbekannten Risiken

DSFA-Schritte:

1. Beschreibung der Verarbeitung : Welche KI? Welche Daten? Welcher Zweck? Wie lange?

2. Risiko-Analyse : Welche Risiken für Betroffene? (z. B. Diskriminierung, Datenverlust, Manipulation)

3. Maßnahmen : Welche technischen und organisatorischen Maßnahmen reduzieren Risiken? (z. B. Verschlüsselung, menschliche Überwachung, Audit-Logs)

4. Dokumentation : Schriftliche Feststellung: Risiken akzeptabel oder nicht?

5. Behörden-Konsultation (optional): Bei hohem Risiko können Sie die Aufsichtsbehörde konsultieren.

Praktisches Beispiel: Ein Unternehmen nutzt KI zur automatischen Bewerbungsauswahl. DSFA-Ergebnis: Hochrisiko (automatisierte Entscheidung mit Rechtsfolgen). Maßnahmen: (1) Menschliche Überprüfung aller KI-Entscheidungen, (2) Audit-Logs, (3) Transparenz für Bewerber, (4) Regelmäßige Überprüfung auf Diskriminierung. Dokumentation: schriftliche DSFA mit Maßnahmenplan.

KI-Risiko-Assessment: Praktisches Screening-Tool für Mittelstand

Definition: Ein KI-Risiko-Assessment ist ein einfaches Screening-Tool, mit dem Sie schnell einschätzen, ob eine KI-Anwendung Hochrisiko, Mittleres Risiko oder Niedriges Risiko ist. Dies hilft Ihnen zu entscheiden, ob eine DSFA erforderlich ist.

Screening-Fragen (Ja/Nein):

1. Verarbeitet die KI personenbezogene Daten?

2. Beeinflusst die KI Grundrechte (Bewerbung, Kreditvergabe, Überwachung, Profiling)?

3. Nutzt die KI automatisierte Entscheidungen ohne menschliche Überprüfung?

4. Ist Transparenz für Betroffene schwierig oder unmöglich?

5. Nutzt die KI sensible Daten (Gesundheit, Biometrie, Religion)?

Scoring:

• 5 Ja : Hochrisiko → DSFA erforderlich, EU-AI-Act-Konformität ab 2026 Pflicht

• 3–4 Ja : Mittleres Risiko → DSFA empfohlen, Transparenz-Maßnahmen erforderlich

• 1–2 Ja : Niedriges Risiko → Dokumentation ausreichend

• 0 Ja : Kein Risiko → Keine speziellen Maßnahmen erforderlich

Praktische Beispiele:

Checkliste als Download: Erstellen Sie eine Excel-Vorlage mit diesen Fragen für alle KI-Anwendungen in Ihrem Unternehmen.

Behördenleitlinien und Enforcement 2025: Was Aufsichtsbehörden erwarten

Definition: Aufsichtsbehörden wie die EDPB (Europäischer Datenschutzausschuss), der BfDI (Bundesbeauftragter für Datenschutz) und nationale Behörden haben 2025 konkrete Erwartungen und Leitlinien für KI-Compliance veröffentlicht. Diese bestimmen, wie Audits durchgeführt werden und welche Bußgelder drohen.

EDPB-Leitlinien 2025:

• Konformitätsbewertungen müssen dokumentiert sein (schriftliche Nachweise)

• DSFA ist auch für mittleres Risiko empfohlen (nicht nur Hochrisiko)

• Subunternehmer von KI-Anbietern müssen überprüft werden

• Supplementary Measures (Verschlüsselung, Zugriffskontrolle) sind Pflicht für US-Datentransfer

• Regelmäßige Audits (mindestens jährlich) sind Best Practice

BfDI-Fokus 2025:

• Mitarbeiterüberwachung durch KI ist Hochrisiko und wird intensiv geprüft

• Fehlende Interessensabwägungen (Art. 6 Abs. 1 f) sind häufiger Audit-Befund

• Kostenlose KI-Versionen (ChatGPT Free) in Unternehmensrichtlinien müssen explizit verboten sein

• Schulungen für Mitarbeitende sind Pflicht

Häufige Audit-Befunde 2025:

1. Fehlende DSFA für Hochrisiko-KI

2. Unzureichende Interessensabwägungen

3. Keine Dokumentation von Maßnahmen

4. Fehlende Subunternehmer-Kontrolle

5. Unverschlüsselte Datenübertragung in die USA

6. Keine Schulungen für Mitarbeitende

7. Kostenlose KI-Versionen ohne Einschränkung

Enforcement-Trend: Bußgelder werden nicht nur für Datenschutzverletzungen verhängt, sondern auch für fehlende Dokumentation und Compliance-Maßnahmen. Proaktive Audits reduzieren Bußgeld-Risiko um bis zu 50 %.

Lokale KI-Alternativen und On-Premise-Lösungen: Compliance-Shortcut

Definition: Lokale KI-Alternativen sind Open-Source-Modelle (z. B. Llama 2, Mistral, Phi), die Sie auf Ihren eigenen Servern hosten. Dies vermeidet Datentransfer in die USA und vereinfacht DSGVO-Compliance.

Open-Source-Modelle für Mittelstand:

Vorteile lokaler KI:

• Keine Datentransfer in die USA → DSGVO-konform

• Volle Kontrolle über Daten und Modell

• Keine Abhängigkeit von Cloud-Anbietern

• Geringere laufende Kosten (nach initialer Investition)

• Keine Modelltraining-Risiken

Nachteile lokaler KI:

• Höhere IT-Kosten (Server, Infrastruktur, Wartung)

• Weniger Funktionen als Cloud-KI (z. B. kein Multimodal)

• Längere Antwortzeiten

• Technische Expertise erforderlich

Hybrid-Ansatz (empfohlen):

• Sensible Daten (Kundendaten, Geschäftsgeheimnisse): Lokal gehostet (Llama 2, Mistral)

• Standard-Tasks (Textverarbeitung, Brainstorming): Cloud-KI (ChatGPT Enterprise, Copilot Pro)

• Öffentliche Daten (Recherche, Zusammenfassung): Kostenlose Cloud-KI (mit Einschränkungen)

Kosten-Vergleich (jährlich):

Praktische Checkliste: KI-Compliance für Mittelstand 2026

Zeitplan für Compliance-Implementierung:

Q1 2025 (Januar–März):

• Datenschutz-Audit durchführen: Welche KI-Tools nutzen Sie aktuell?

• AVV mit KI-Anbietern prüfen (OpenAI, Microsoft, Google)

• Schrems-III-Compliance überprüfen (Supplementary Measures)

• Risiko-Assessment für alle KI-Anwendungen durchführen

• KI-Richtlinie-Entwurf erstellen

Q2 2025 (April–Juni):

• DSFA für Hochrisiko-KI abschließen

• Interessensabwägungen dokumentieren (Art. 6 Abs. 1 f)

• Mitarbeitende schulen (KI-Nutzung, Datenschutz)

• KI-Richtlinie finalisieren und unterzeichnen lassen

• Subunternehmer von KI-Anbietern überprüfen verantwortungsvolle KI-Nutzung im Betrieb

Q3 2025 (Juli–September):

• KI-Richtlinie implementieren (Zugriffskontrolle, Monitoring)

• Audit-Logs einrichten

• Datenschutz-Schulungen für Führungskräfte

• Erste Compliance-Überprüfung durchführen

• EU-AI-Act-Anforderungen für Hochrisiko-KI prüfen

Q4 2025 (Oktober–Dezember):

• Konformitätsbewertung für Hochrisiko-KI starten (für August 2026 Deadline)

• Dokumentation finalisieren

• Zweite Compliance-Überprüfung durchführen

• Behördenleitlinien (EDPB, BfDI) überprüfen

• Jahresbericht: Compliance-Status dokumentieren

Q1 2026 (Januar–März):

• Konformitätsbewertung abschließen (EU AI Act)

• Menschliche Überwachung für Hochrisiko-KI implementieren

• Technische Dokumentation finalisieren

• Finale Compliance-Überprüfung vor August 2026

KI-Richtlinie: Muster für Mittelstand

Definition: Eine KI-Richtlinie ist ein schriftliches Dokument, das regelt, wie Mitarbeitende KI-Tools nutzen dürfen. Sie ist Pflicht für DSGVO-Compliance und wird von Aufsichtsbehörden im Audit überprüft.

Muster-KI-Richtlinie (Auszug):

1. Geltungsbereich

Diese Richtlinie gilt für alle Mitarbeitenden und regelt die Nutzung von KI-Tools (z. B. ChatGPT, Copilot, Gemini) im Unternehmen.

2. Erlaubte KI-Tools

• ChatGPT Enterprise (mit AVV)

• Microsoft Copilot Pro (mit AVV)

• Google Gemini Business (mit AVV)

• Lokale KI-Systeme (Llama 2, Mistral)

3. Verbotene KI-Tools

• ChatGPT Free (keine AVV, Modelltraining möglich)

• Google Gemini Free (keine AVV, Modelltraining möglich)

• Andere kostenlose KI-Versionen ohne AVV

4. Daten-Regeln

• Keine Kundendaten in KI-Tools eingeben (außer mit Verschlüsselung)

• Keine Geschäftsgeheimnisse in KI-Tools eingeben

• Keine Mitarbeiterdaten in KI-Tools eingeben

• Keine Gesundheitsdaten oder biometrischen Daten in KI-Tools eingeben

• Öffentliche Daten und allgemeine Informationen sind erlaubt

5. Sicherheitsmaßnahmen

• Verschlüsselung vor Upload in Cloud-KI (für sensible Daten)

• Zwei-Faktor-Authentifizierung für KI-Konten

• Regelmäßige Passwort-Änderungen

• Audit-Logs überprüfen (monatlich)

6. Schulung und Compliance

• Alle Mitarbeitenden müssen diese Richtlinie unterschreiben

• Jährliche Schulung zur KI-Nutzung und Datenschutz

• Verstöße führen zu Disziplinarmaßnahmen

7. Dokumentation

• Alle KI-Nutzungen werden dokumentiert

• Datenschutz-Audits finden jährlich statt

• Behördenleitlinien werden regelmäßig überprüft

Häufige Compliance-Fehler 2025/2026 und ihre Kosten

Definition: Häufige Compliance-Fehler sind typische Verstöße gegen DSGVO und EU AI Act, die zu Bußgeldern und Reputationsschäden führen. Viele Fehler sind vermeidbar durch proaktive Maßnahmen.

Fehler 1: Fehlende Auftragsverarbeitungsverträge (AVV)

• Problem : Nutzung von Cloud-KI ohne AVV

• Beispiel : ChatGPT Free oder Gemini Free in Unternehmensrichtlinien nicht verboten

• Risiko : Bußgeld bis 20 Mio. EUR oder 4 % Jahresumsatz (Artikel 83 DSGVO)

• Lösung : Nur KI-Tools mit AVV nutzen; kostenlose Versionen explizit verbieten

Fehler 2: Schrems-III-Missverständnis

• Problem : Schrems III als Freibrief für unverschlüsselte US-Datenverarbeitung missverstanden

• Beispiel : Sensible Daten unverschlüsselt in OpenAI-USA-Server hochladen

• Risiko : Datenschutzverletzung, Bußgeld bis 20 Mio. EUR

• Lösung : Supplementary Measures (Verschlüsselung, Zugriffskontrolle) sind weiterhin Pflicht

Fehler 3: Fehlende DSFA für Hochrisiko-KI

• Problem : Keine Datenschutz-Folgenabschätzung vor KI-Einführung

• Beispiel : KI-Bewerbungsauswahl ohne DSFA implementiert

• Risiko : Audit-Befund, Bußgeld bis 10 Mio. EUR oder 2 % Jahresumsatz

• Lösung : DSFA vor Einführung durchführen und dokumentieren

Fehler 4: Keine Dokumentation von Interessensabwägungen

• Problem : Berechtigtes Interesse (Art. 6 Abs. 1 f) ohne schriftliche Abwägung

• Beispiel : KI-Dokumentenanalyse ohne Interessensabwägungsdokumentation

• Risiko : Audit-Befund, Bußgeld bis 10 Mio. EUR

• Lösung : Schriftliche Interessensabwägung dokumentieren und archivieren

Fehler 5: Kostenlose KI-Versionen in Unternehmensrichtlinien nicht verboten

• Problem : Mitarbeitende nutzen ChatGPT Free oder Gemini Free

• Beispiel : Kundendaten in ChatGPT Free eingeben (Modelltraining möglich)

• Risiko : Datenschutzverletzung, Bußgeld bis 20 Mio. EUR

• Lösung : Kostenlose Versionen explizit in KI-Richtlinie verbieten

Fehler 6: Keine Schulungen für Mitarbeitende

• Problem : Mitarbeitende wissen nicht, welche Daten sie in KI eingeben dürfen

• Beispiel : Mitarbeiter gibt Kundendaten in ChatGPT ein (ohne Wissen um Risiken)

• Risiko : Datenschutzverletzung, Reputationsschaden

• Lösung : Jährliche Schulungen zur KI-Nutzung und Datenschutz durchführen

Fehler 7: Keine Subunternehmer-Kontrolle

• Problem : KI-Anbieter nutzen Subunternehmer, die nicht überprüft werden

• Beispiel : OpenAI nutzt Drittanbieter für Datenverarbeitung (nicht dokumentiert)

• Risiko : Audit-Befund, Bußgeld bis 10 Mio. EUR

• Lösung : Subunternehmer-Liste des KI-Anbieters überprüfen und dokumentieren

Fehler 8: Keine Audit-Logs und Monitoring

• Problem : Keine Nachverfolgung, wer welche Daten in KI eingibt

• Beispiel : Keine Logs, wer ChatGPT nutzt und welche Daten eingegeben werden

• Risiko : Audit-Befund, Bußgeld bis 10 Mio. EUR

• Lösung : Audit-Logs einrichten und monatlich überprüfen

Fehler 9: Keine Transparenz für Betroffene

• Problem : Mitarbeitende und Kunden wissen nicht, dass ihre Daten in KI verarbeitet werden

• Beispiel : Kundenservice-Chatbot ohne Hinweis, dass KI antwortet

• Risiko : Audit-Befund, Bußgeld bis 10 Mio. EUR

• Lösung : Transparenz-Hinweise in Datenschutzerklärung und Chatbot-Interface

Fehler 10: Keine Konformitätsbewertung für Hochrisiko-KI (EU AI Act)

• Problem : Hochrisiko-KI ohne Konformitätsbewertung ab August 2026

• Beispiel : KI-Bewerbungsauswahl ohne Konformitätsbewertung

• Risiko : Bußgeld bis 30 Mio. EUR oder 6 % Jahresumsatz (EU AI Act)

• Lösung : Konformitätsbewertung ab Q2 2025 starten (für August 2026 Deadline)

Häufig gestellte Fragen

Darf ich ChatGPT Free im Unternehmen nutzen?

Nein, nicht für Unternehmensdaten. ChatGPT Free hat keinen AVV und Daten können für Modelltraining genutzt werden. Nutzen Sie nur ChatGPT Enterprise mit AVV.

Muss ich eine DSFA durchführen?

Ja, wenn Sie Hochrisiko-KI nutzen (automatisierte Entscheidungen, Überwachung, Profiling). Die EDPB empfiehlt auch für mittleres Risiko. Dokumentieren Sie die DSFA schriftlich.

Ist Datentransfer in die USA erlaubt?

Ja, unter Bedingungen (Schrems III). Sie müssen aber Supplementary Measures (Verschlüsselung, Zugriffskontrolle) implementieren. Nutzen Sie EU-Datenverarbeitung, wenn möglich.

Wann ist die Deadline für EU-AI-Act-Konformität?

August 2026 für Hochrisiko-KI. Starten Sie jetzt mit Konformitätsbewertung und Dokumentation.

Welche Strafen drohen bei Verstößen?

DSGVO: bis 20 Mio. EUR oder 4 % Jahresumsatz. EU AI Act: bis 30 Mio. EUR oder 6 % Jahresumsatz. Proaktive Compliance reduziert Risiko.

Kann ich lokale KI-Systeme nutzen?

Ja, Open-Source-Modelle (Llama 2, Mistral) sind DSGVO-konform, wenn lokal gehostet. Höhere IT-Kosten, aber volle Kontrolle über Daten.

Wie oft muss ich Audits durchführen?

Mindestens jährlich. Die EDPB empfiehlt regelmäßige Überprüfungen. Dokumentieren Sie alle Audit-Ergebnisse.

Fazit: Rechtssichere KI-Nutzung ist machbar

Rechtssichere KI-Nutzung ist für Mittelstand machbar – mit klarer Planung, Dokumentation und regelmäßigen Audits. Die Anforderungen der DSGVO, des EU AI Act und von Schrems III sind komplex, aber nicht unmöglich zu erfüllen.

Zusammenfassung der Maßnahmen:

1. Rechtsgrundlagen klären : Einwilligung + berechtigtes Interesse dokumentieren

2. AVV prüfen : Nur KI-Tools mit AVV nutzen; kostenlose Versionen verbieten

3. DSFA durchführen : Für Hochrisiko-KI vor Einführung

4. Schrems III umsetzen : Supplementary Measures (Verschlüsselung) für US-Datentransfer

5. KI-Richtlinie erstellen : Schriftlich, unterschrieben, regelmäßig aktualisiert

6. Schulungen durchführen : Jährlich für alle Mitarbeitenden

7. Audits durchführen : Mindestens jährlich; Dokumentation archivieren

8. Konformitätsbewertung starten : Für Hochrisiko-KI (Deadline August 2026)

Nächste Schritte:

• Sofort (Q1 2025) : Datenschutz-Audit durchführen, AVV prüfen, Risiko-Assessment durchführen

• Kurzfristig (Q2–Q3 2025) : DSFA abschließen, KI-Richtlinie implementieren, Schulungen durchführen

• Mittelfristig (Q4 2025–Q1 2026) : Konformitätsbewertung abschließen, Dokumentation finalisieren

Mit diesen Maßnahmen sind Sie 2026 compliance-ready und reduzieren Ihr Bußgeld-Risiko erheblich.

Über den Autor

Nikita Schmitke

Gründer & Geschäftsführer

Gründer und Geschäftsführer von KI Kapitän sowie Gründer und Geschäftsführer der Firma Deutscher Fortbildungsservice UG. Mit Erfahrung in leitender Position von über 100 Mitarbeitern eines KMU im Gesundheitsbereich, wo er durch ChatGPT-Einsatz rund 50% seiner Büroarbeitszeit einsparte.

Zum vollständigen Artikel