DSGVO-konforme KI: Was Unternehmen wissen müssen

KI und Datenschutz — kein Widerspruch

"Können wir KI nutzen, ohne gegen DSGVO zu verstoßen?" Diese Frage stellen sich 2026 praktisch alle Unternehmen. Die Antwort: Ja, absolut. Wenn man weiß wie. Und mit lokaler KI wird es sogar kinderleicht.

Der Einsatz von Künstlicher Intelligenz berührt mehrere gesetzliche Rahmenwerke. Die DSGVO (Datenschutz-Grundverordnung) ist die bekannteste, aber bei weitem nicht die einzige. Der EU AI Act, das BDSG, Branchenregulierungen wie BaFin für Banken oder BSI für Behörden — alle haben sie Anforderungen an den KI-Einsatz.

Dieser Guide gibt Ihnen einen vollständigen Überblick: Was rechtlich gilt, wie Sie compliant bleiben und warum On-Premise AI den einfachsten Weg darstellt.

Der rechtliche Rahmen 2026

DSGVO (Datenschutz-Grundverordnung)

Die DSGVO regelt die Verarbeitung personenbezogener Daten in der EU. Für KI bedeutet das konkret:

• Art. 6 — Rechtsgrundlage: Jede Datenverarbeitung durch KI braucht eine rechtliche Basis: Einwilligung, Vertragserfüllung oder berechtigtes Interesse.
• Art. 13/14 — Informationspflicht: Betroffene müssen erfahren, wenn und wie KI ihre Daten verarbeitet.
• Art. 22 — Automatisierte Entscheidungen: Rein algorithmische Entscheidungen mit rechtlicher Wirkung erfordern besondere Schutzmaßnahmen.
• Art. 35 — Datenschutz-Folgenabschätzung: Bei hohem Risiko muss eine DSFA durchgeführt werden.

EU AI Act

Seit 2025 schrittweise in Kraft getreten, klassifiziert der EU AI Act KI-Systeme nach Risikostufen:

• Minimalrisiko: Spam-Filter, Empfehlungssysteme — keine Pflichten.
• Begrenztes Risiko: KI-generierte Inhalte müssen gekennzeichnet werden (Transparenzpflicht).
• Hohes Risiko: KI in HR, Justiz, Kreditvergabe — strenge Anforderungen an Dokumentation, Tests, menschliche Aufsicht.
• Unannehmbares Risiko: Social Scoring, manipulative KI — verboten.

BDSG und Branchenrecht

Zusätzlich gelten branchenspezifische Regeln:

• § 203 StGB: Anwälte und Ärzte dürfen Fremdgeheimnisse nicht an Dritte weitergeben — Cloud-KI ist hier problematisch.
• BaFin: Banken unterliegen strengen Anforderungen an Datenverarbeitung.
• BSI: Behörden müssen IT-Sicherheitsstandards einhalten.
• HIPAA-Äquivalent: Patienten- und Gesundheitsdaten haben besonderen Schutz.

Cloud-KI vs. lokale KI: Der Compliance-Unterschied

Die Wahl der Infrastruktur bestimmt, wie aufwendig Compliance wird:

Cloud-KI (z.B. OpenAI, Google Gemini)

Bei Nutzung von Cloud-KI müssen Sie:

1. Datenverarbeitungsverträge (AVV/DPA) mit dem Anbieter abschließen
2. Standard Contractual Clauses (SCCs) bei Drittländer-Transfer (USA)
3. Datenübertragungs-Folgenabschätzung durchführen (TIA)
4. Audit-Trail sicherstellen — schwierig bei US-Anbietern
5. Löschkonzepte durchsetzen — Sie haben keine Kontrolle über die Server
6. US-Cloud-Act-Risiko akzeptieren — US-Behörden können auf Daten zugreifen

Dieser Aufwand ist erheblich. Viele Unternehmen scheitern an den rechtlichen Anforderungen von Cloud-KI, bevor sie überhaupt starten.

Lokale KI (On-Premise)

Bei lokaler KI auf eigener Hardware:

1. Keine Drittländer-Übertragung — Daten bleiben im Haus
2. Kein AVV nötig — kein externer Datenverarbeiter involviert
3. Keine SCCs oder TIAs — kein internationaler Transfer
4. Vollständige Audit-Trail-Kontrolle — alle Logs auf eigenen Servern
5. Einfache Löschkonzepte — physische Kontrolle
6. Kein Cloud-Act-Risiko — keine US-Jurisdiktion

Lokale KI löst die meisten Compliance-Herausforderungen per Design. Das ist der fundamentale Vorteil.

Datenschutz-Folgenabschätzung (DSFA)

Eine DSFA nach Art. 35 DSGVO ist erforderlich, wenn KI-Verarbeitung ein hohes Risiko darstellt. Typische Auslöser:

• Verarbeitung sensibler Daten (Gesundheit, Biometrie)
• Systematische Überwachung
• Profiling mit erheblichen Auswirkungen
• Großmaßstäbliche Verarbeitung

Eine DSFA umfasst:

1. Risikoidentifikation: Welche Gefahren bestehen für Betroffene?
2. Risikobewertung: Wie wahrscheinlich und schwerwiegend sind die Risiken?
3. Gegenmaßnahmen: Technische und organisatorische Maßnahmen (TOMs)
4. Dokumentation: Nachweis für Aufsichtsbehörden

Technische Maßnahmen für DSGVO-konforme KI

1. Datenminimierung

Nur die Daten verarbeiten, die für den jeweiligen Use Case wirklich nötig sind. Keine "just in case"-Datensammlung. Automatische PII-Redaction (Erkennung und Maskierung personenbezogener Daten) vor der KI-Verarbeitung.

2. Zugriffs kontrolle

Role-Based Access Control (RBAC): Nicht jeder Mitarbeiter darf auf alle KI-Ergebnisse zugreifen. Keycloak oder LDAP/Active Directory für Authentifizierung. Audit-Logs für jede Anfrage und Antwort.

3. Verschlüsselung

Datenverschlüsselung at-rest (auf der Festplatte) und in-transit (Netzwerkverkehr). GPU-Speicher-Verschlüsselung für besonders sensible Daten. Secure Enclaves für kritische Berechnungen.

4. Audit-Logging

Jede KI-Interaktion wird protokolliert: Wer hat was gefragt, wann, mit welchem Ergebnis? Diese Logs sind für Auskunftsersuchen nach Art. 15 DSGVO unerlässlich.

5. Löschkonzepte

Automatische Löschroutinen für Trainingsdaten, Konversationsverläufe und Logs. Aufbewahrungsfristen definieren und technisch durchsetzen.

6. Pseudonymisierung

Wo möglich: Arbeiten Sie mit pseudonymisierten Daten. Ersetzen Sie Namen, IDs und andere direkte Identifikatoren durch Platzhalter, bevor die Daten die KI erreichen.

Organisatorische Maßnahmen

• Verfahrensverzeichnis: Alle KI-Prozesse nach Art. 30 DSGVO dokumentieren
• Mitarbeiter-Schulung: Regelmäßige Sensibilisierung für KI-Datenschutz
• Interne Richtlinien: Klare Regeln für den Umgang mit KI-Tools
• Datenschutzbeauftragter: Frühzeitig einbinden — idealerweise ab Projektstart
• Incident Response: Plan für Datenpannen mit KI-Bezug

DSGVO-KI-Checkliste

• ☐ Rechtsgrundlage für jede KI-Verarbeitung definiert
• ☐ Zweckbindung dokumentiert
• ☐ DSFA durchgeführt (bei hohem Risiko)
• ☐ AVV mit Cloud-Anbietern geschlossen (falls Cloud-KI)
• ☐ Informationspflichten erfüllt (Datenschutzerklärung aktualisiert)
• ☐ Betroffenenrechte gewährleistet (Auskunft, Löschung, Berichtigung)
• ☐ Technische Maßnahmen implementiert (Verschlüsselung, Access Control, Logging)
• ☐ Audit-Trail für KI-Entscheidungen aktiv
• ☐ Automatische Datenlöschung konfiguriert
• ☐ Mitarbeiter geschult
• ☐ EU AI Act-Klassifizierung vorgenommen
• ☐ Verfahrensverzeichnis aktualisiert

Branchenspezifika

Anwaltskanzleien

§ 203 StGB macht Cloud-KI praktisch unmöglich. Anwaltsgeheimnis verbotet die Offenbarung von Fremdgeheimnissen an Dritte. Lokale KI ist hier nicht optional, sondern zwingend.

Kliniken und Healthcare

Patientendaten unterliegen besonderem Schutz. Cloud-Übertragung erfordert explizite Einwilligung — praktisch kaum durchsetzbar. Lokale KI auf Krankenhaus-Servern ist der Standardweg.

Banken und FinTech

BaFin-MaRisk verlangen nachvollziehbare KI-Entscheidungen. Bankgeheimnis schließt Cloud-KI ohne umfangreiche Schutzmaßnahmen aus. On-Premise AI bietet Audit-Trail und Kontrolle.

Behörden

BSI-TR-03112 und EU AI Act setzen hohe Hürden. Datenschutzverordnung für Bundesbehörden (DSGVO-Bund) verlangt Data Sovereignty. Lokale KI erfüllt alle Vorgaben per Design.

Fazit

DSGVO-konforme KI ist kein Hexenwerk — wenn man die richtigen Entscheidungen trifft. Cloud-KI erfordert erheblichen rechtlichen Aufwand und birgt Restrisiken (Cloud Act, Datenflüsse). Lokale KI auf eigener Hardware löst die meisten Compliance-Herausforderungen per Design. Für datensensible Branchen — Kanzleien, Kliniken, Banken, Behörden — ist On-Premise AI ohnehin die einzige rechtlich sichere Option.

Rechtskonforme KI implementieren

Wir implementieren DSGVO-konforme KI-Lösungen auf Ihrer Hardware — inklusive DSFA-Support, AVV-Dokumentation und EU AI Act-Klassifizierung.

Beratung anfragen →