DSGVO-konforme KI: was Unternehmen prüfen müssen.
Keine KI ist von sich aus DSGVO-konform: konform ist erst ihr Einsatz in Ihrem Unternehmen. Dieser Ratgeber zeigt, welche Punkte Ihr Datenschutz prüft: Rechtsgrundlage, Auftragsverarbeitung, Drittländer, Löschung und Folgenabschätzung. Mit Checkliste zum Abhaken.
Stand: 13. Oktober 2026 · keine Rechtsberatung
Das Wichtigste in Kürze
- Kein Anbieter kann „DSGVO-konform“ für Sie erledigen; die Verantwortung bleibt beim Unternehmen, das die KI einsetzt.
- Sechs Prüfpunkte: Rechtsgrundlage, AVV, Drittlandübermittlung, Löschung, Folgenabschätzung, Information der Betroffenen.
- Besonders kritisch sind Gesundheits-, Personal- und Kundendaten sowie Anbieter außerhalb der EU.
- Unsere Checkliste mit zehn Punkten und der kostenlose DSGVO-Check helfen bei der Prüfung.
Welche KI ist DSGVO-konform?
Die DSGVO regelt Verarbeitungen, nicht Produkte. Ob der Einsatz einer KI rechtmäßig ist, hängt davon ab, welche Daten Sie verarbeiten, zu welchem Zweck, bei welchem Anbieter und mit welchen Verträgen. Dieselbe Software kann in einem Unternehmen zulässig und im anderen unzulässig sein.
Ein Siegel oder ein Satz auf der Website eines Anbieters ersetzt diese Prüfung nicht. Hilfreich sind dagegen Fakten: Standort der Daten, Auftragsverarbeitungsvertrag, Liste der Unterauftragsverarbeiter, Löschfristen und technische Maßnahmen. Mit diesen Fakten kann Ihr Datenschutzbeauftragter entscheiden.
Was die DSGVO beim Einsatz von KI verlangt.
| Prüfpunkt | DSGVO | Was Sie klären |
|---|---|---|
| Rechtsgrundlage | Art. 6, bei besonderen Kategorien Art. 9 | Worauf stützt sich die Verarbeitung: Vertrag, berechtigtes Interesse, Einwilligung? |
| Auftragsverarbeitung | Art. 28 | AVV mit dem KI-Anbieter und Liste seiner Unterauftragsverarbeiter |
| Drittländer | Art. 44–49 | Gehen Daten außerhalb der EU? Auf welcher Grundlage: Angemessenheitsbeschluss oder Standardvertragsklauseln? |
| Speicherung und Löschung | Art. 5 Abs. 1 e, Art. 17 | Wie lange bleiben Fragen, Antworten und Dokumente gespeichert? Wie wird gelöscht? |
| Folgenabschätzung | Art. 35 | Ist ein hohes Risiko wahrscheinlich, etwa bei Gesundheits- oder Beschäftigtendaten? |
| Information | Art. 13, 14 | Wissen Beschäftigte und Kunden, dass und wie KI ihre Daten verarbeitet? |
| Sicherheit | Art. 32 | Zugriffsrechte, Verschlüsselung, Protokolle und Schutz vor Datenabfluss |
Rechtsgrundlage und Auftragsverarbeitung: die ersten zwei Fragen.
Für interne Wissensassistenten stützen sich viele Unternehmen auf das berechtigte Interesse (Art. 6 Abs. 1 f) oder auf die Durchführung von Arbeits- und Kundenverträgen. Bei Gesundheitsdaten oder anderen besonderen Kategorien brauchen Sie zusätzlich eine Ausnahme nach Art. 9: das ist deutlich schwieriger.
Verarbeitet ein externer Dienst die Daten in Ihrem Auftrag, schließen Sie einen Auftragsverarbeitungsvertrag nach Art. 28. Prüfen Sie darin Zweckbindung, Weisungsrecht, Unterauftragsverarbeiter, Kontrollrechte und vor allem: ob der Anbieter Ihre Eingaben für eigene Zwecke wie Modelltraining nutzen darf.
Daten in den USA: was bei der Übermittlung gilt.
Sitzt der Anbieter oder ein Unterauftragsverarbeiter außerhalb der EU, ist das eine Übermittlung in ein Drittland. Für die USA gibt es seit Juli 2023 einen Angemessenheitsbeschluss, das EU-US Data Privacy Framework. Er gilt nur für Unternehmen, die sich darunter zertifiziert haben: prüfen Sie die Liste.
Ohne Zertifizierung brauchen Sie Standardvertragsklauseln und eine Bewertung der Übermittlung (Transfer Impact Assessment). Ein Rechenzentrum in der EU allein löst die Frage nicht, wenn der Anbieter einem Drittstaat unterliegt. Viele Datenschutzbeauftragte bevorzugen deshalb Anbieter mit Sitz und Betrieb in der EU oder den eigenen Betrieb.
Speicherung, Löschung und Folgenabschätzung.
KI-Dienste speichern oft mehr als gedacht: Fragen, Antworten, hochgeladene Dateien, Verläufe und Protokolle. Legen Sie für jede Datenart eine Frist fest und prüfen Sie, ob der Dienst sie technisch umsetzt, mit automatischer Löschung und einem Nachweis. Auch Betroffenenrechte wie Auskunft und Löschung müssen erfüllbar sein.
Eine Datenschutz-Folgenabschätzung nach Art. 35 ist Pflicht, wenn die Verarbeitung voraussichtlich ein hohes Risiko hat. Bei KI mit Beschäftigten-, Kunden- oder Gesundheitsdaten ist das oft der Fall. Die Liste der Aufsichtsbehörden nennt Fälle, in denen eine DSFA immer nötig ist.
DSGVO-Checkliste für KI: zehn Punkte.
Haken Sie ab, was Sie schon geklärt haben. Nichts wird gespeichert.
KI und Datenschutz im Detail.
Die typischen Probleme beim Einsatz von KI, was der Betriebsrat wissen will und fünf Fragen an jeden Anbieter finden Sie in unserem Ratgeber zu KI Datenschutz. Dort steht auch, wie RAGSuite mit diesen Punkten umgeht.
Fragen zu DSGVO-konformer KI.
Welche KI ist DSGVO-konform?
Keine KI ist von sich aus DSGVO-konform, denn die DSGVO regelt Verarbeitungen, nicht Produkte. Entscheidend ist, wie Sie die KI einsetzen: mit welchen Daten, zu welchem Zweck, mit welchem Vertrag und wo die Daten liegen. Prüfen Sie Anbieter anhand von Fakten wie AVV, Standort und Löschfristen.
Brauche ich für KI einen Auftragsverarbeitungsvertrag?
Ja, wenn ein externer Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Der Vertrag nach Art. 28 DSGVO regelt Zweck, Weisungen, Sicherheit und Unterauftragsverarbeiter. Prüfen Sie besonders, ob der Anbieter Ihre Eingaben für eigene Zwecke wie Modelltraining nutzen darf. Betreiben Sie die KI selbst, entfällt dieser Vertrag.
Dürfen personenbezogene Daten in einen KI-Chat?
Nur mit Rechtsgrundlage, Vertrag mit dem Anbieter und klarer Regel, welche Daten erlaubt sind. Bei öffentlichen Chat-Diensten ohne Firmenvertrag sollten Beschäftigte keine personenbezogenen Daten eingeben. Halten Sie das in einer KI-Nutzungsrichtlinie fest und schulen Sie Ihr Team. Unsere Vorlage dafür ist kostenlos.
Ist eine KI mit Servern in der EU automatisch DSGVO-konform?
Nein. Ein Rechenzentrum in der EU hilft, löst aber nicht alle Fragen. Wichtig ist auch, wo der Anbieter sitzt, welchem Recht er unterliegt und wo seine Unterauftragsverarbeiter arbeiten. Dazu kommen Rechtsgrundlage, AVV, Löschung und Folgenabschätzung, die Sie als Verantwortlicher selbst klären müssen.
Wann ist eine Datenschutz-Folgenabschätzung für KI nötig?
Eine DSFA nach Art. 35 DSGVO ist nötig, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene hat. Bei KI mit Gesundheits-, Beschäftigten- oder umfangreichen Kundendaten ist das häufig der Fall. Prüfen Sie die Liste Ihrer Aufsichtsbehörde und dokumentieren Sie auch, wenn Sie keine DSFA durchführen.
Ist dieser Ratgeber Rechtsberatung?
Nein. Der Ratgeber erklärt die Pflichten der DSGVO beim Einsatz von KI in einfacher Sprache und nennt die einschlägigen Artikel. Er ersetzt nicht die Prüfung durch Ihren Datenschutzbeauftragten oder eine Kanzlei. Nutzen Sie die Checkliste und den kostenlosen DSGVO-Check als Vorbereitung für dieses Gespräch.
Prüfen Sie Ihren KI-Einsatz in zehn Minuten.
Der kostenlose DSGVO-Check stellt neun Fragen und zeigt, wo Sie nachbessern sollten. Oder testen Sie RAGSuite 7 Tage kostenlos.