DSGVO-konforme KI: was Sie prüfen sollten
Kein KI-Werkzeug ist von sich aus DSGVO-konform. Es kommt auf den Einsatz an. Diese sieben Punkte klären die meisten Fälle.
Stand: 24. September 2026
Die Prüfpunkte
| Punkt | Frage | Worauf achten |
|---|---|---|
| Rechtsgrundlage | Auf welcher Grundlage nach Art. 6 DSGVO verarbeiten Sie die Daten? | Oft berechtigtes Interesse, mit dokumentierter Abwägung. |
| Auftragsverarbeitung | Gibt es einen AVV mit dem KI-Anbieter? | Ohne AVV keine personenbezogenen Daten ins Werkzeug. |
| Datenstandort | Wo werden die Daten verarbeitet und gespeichert? | EU-Verarbeitung, und prüfen, ob ein Drittland Zugriff hat. |
| Training | Nutzt der Anbieter Ihre Daten zum Training seiner Modelle? | Vertraglich ausschließen. |
| Transparenz | Wissen Betroffene, dass KI ihre Daten verarbeitet? | Datenschutzerklärung und Hinweis im Kontakt. |
| Automatisierte Entscheidungen | Entscheidet die KI allein über Menschen? | Art. 22 DSGVO: menschliche Prüfung einplanen. |
| Folgenabschätzung | Ist das Risiko für Betroffene hoch? | Dann vorher eine DSFA durchführen. |
Was die Aufsicht sagt
- EDPB Stellungnahme 28/2024Ob ein KI-Modell anonym ist, wird im Einzelfall geprüft. Berechtigtes Interesse kann eine Rechtsgrundlage sein, nach einer Abwägung in drei Schritten.
- DatenschutzbehördeDSGVO und AI Act gelten nebeneinander. Betroffene müssen informiert werden. KI-Ausgaben können plausibel und trotzdem falsch sein.
Wie wir KI betreiben
- Datenverarbeitung in der EU, keine Übermittlung in die USA, wo nicht ausdrücklich vereinbart
- Wissenssysteme (RAG) auf Wunsch selbst gehostet, mit Ihren Dokumenten auf Ihrer Infrastruktur
- Kein Training fremder Modelle mit Ihren Daten
- Menschliche Freigabe an den Stellen, an denen eine Entscheidung über Menschen fällt
Häufige Fragen
Gibt es DSGVO-zertifizierte KI?
Nein, nicht als Gütesiegel für ein KI-Werkzeug. Ob eine KI-Nutzung DSGVO-konform ist, hängt vom konkreten Einsatz ab: welche Daten, welcher Zweck, welche Rechtsgrundlage, welcher Anbieter.
Darf ich ChatGPT mit Kundendaten nutzen?
Nur mit Rechtsgrundlage, Auftragsverarbeitungsvertrag und einer Lösung für den Drittlandtransfer. Mit der Consumer-Version ohne Vertrag ist das in der Regel nicht möglich.
Reicht es, wenn die Server in der EU stehen?
Der Standort ist ein wichtiger Punkt, aber nicht der einzige. Es zählt auch, wer Zugriff hat, ob Daten zum Training verwendet werden und ob ein Anbieter aus einem Drittland dahintersteht.
Braucht KI eine Datenschutz-Folgenabschätzung?
Nicht immer. Sie ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene hat, etwa bei Bewertung von Personen oder großen Mengen sensibler Daten.
Quellen
Diese Seite ist eine Zusammenfassung und keine Rechtsberatung.
KI einsetzen, Datenschutz klären
Wir sehen uns Ihren Anwendungsfall an und sagen Ihnen, welche Punkte offen sind.
Termin auswählen