DSGVO Elektrobranche: EU AI Act in der Praxis

DSGVO Elektrobranche und EU AI Act greifen im Elektrohandwerk parallel, sobald KI mit Kunden-, Mitarbeiter-, Gebäude- oder Anlagendaten arbeitet. Seit August 2026 gelten zusätzliche Transparenzpflichten, während Hochrisiko-Regeln teils später einsetzen. Entscheidend ist deshalb nicht, KI pauschal zu vermeiden, sondern jeden Einsatz vom Angebot bis zur Anlagenüberwachung nach Daten, Zweck und Risikoklasse zu steuern.

Warum beginnt KI-Compliance im Elektrohandwerk oft beim ganz normalen Serviceauftrag?

Ein typischer Montagmorgen im Elektrofachbetrieb wirkt zunächst wenig spektakulär. Ein Monteur erhält auf seinem Smartphone den nächsten Einsatz: Kundenname, Adresse, Telefonnummer, Anlagentyp, Fehlerbeschreibung, Bilder vom Schaltschrank, frühere Wartungseinträge und vielleicht noch den Hinweis, dass der Kunde nur vormittags erreichbar ist. Eine KI fasst den Auftrag zusammen, schlägt mögliche Ersatzteile vor und erstellt aus der Sprachnotiz des Monteurs später einen Entwurf für den Servicebericht.

Technisch ist das eine sinnvolle Prozesskette. Datenschutzrechtlich steckt darin jedoch erheblich mehr als ein digitaler Arbeitszettel.

Die KI verarbeitet nicht nur technische Informationen. Kunden- und Kontaktdaten, Adressen, Fotos, Kommunikationsinhalte, Zeitangaben oder Angaben zum eingesetzten Monteur können personenbezogen sein. Wird zusätzlich analysiert, welcher Mitarbeiter für welche Aufgaben besonders geeignet ist, wie schnell Aufträge erledigt werden oder welche Fehler bei einzelnen Monteuren auftreten, gelangt man schnell in den Bereich der Beschäftigtendaten.

Gerade im Elektrohandwerk ist das relevant, weil die Branche längst nicht mehr nur aus klassischer Installation besteht. Photovoltaik, Batteriespeicher, Wallboxen, Smart Meter, Wärmepumpenanbindung, KNX, Gebäudeautomation, Netzwerktechnik, Zutrittskontrolle, Energiemanagement und vernetzte Industrieanlagen erzeugen immer mehr digitale Informationen.

Die wirtschaftliche Dimension ist erheblich: Die deutschen E-Handwerke kamen 2025 auf 49.113 Betriebe, 451.050 sozialversicherungspflichtig Beschäftigte und einen Umsatz von 88,2 Milliarden Euro. Digitalisierung und KI betreffen damit keine kleine technische Nische, sondern einen bedeutenden Teil des deutschen Mittelstands.

Welche Daten aus Baustelle, Kundendienst und Gebäudeautomation fallen unter die DSGVO?

Ein häufiger Denkfehler lautet: „Wir verarbeiten hauptsächlich technische Daten.“ Das kann stimmen, reicht für die datenschutzrechtliche Bewertung aber nicht aus.

Ein Messwert einer Maschine ohne Bezug zu einer natürlichen Person kann außerhalb der DSGVO liegen. Derselbe Messwert kann jedoch personenbezogen werden, sobald er beispielsweise einem privaten Haushalt, einem Bewohner, einem Mitarbeiter oder einem konkreten Nutzerkonto zugeordnet werden kann.

Bei einem Elektrofachbetrieb betrifft das unter anderem Auftragsdaten, Ansprechpartner, private Anschriften, Telefonnummern, E-Mail-Adressen, Rechnungsinformationen, digitale Unterschriften, Servicehistorien und Kommunikationsverläufe. Hinzu kommen Baustellenfotos, auf denen Personen oder Fahrzeuge erscheinen können, Videoaufnahmen, Zutrittsinformationen, Verbrauchsdaten, Smart-Meter-Daten sowie Sprachaufzeichnungen aus dem Kundendienst.

Noch sensibler wird die Situation im eigenen Betrieb. GPS-Daten aus Servicefahrzeugen, Arbeitszeiten, Leistungsdaten, Krankmeldungen, Qualifikationen, Bewerbungsunterlagen oder digitale Einsatzprotokolle betreffen Mitarbeiter unmittelbar. Für Beschäftigtendaten kommen in Deutschland neben der DSGVO insbesondere § 26 BDSG und bei vorhandenen Betriebsräten Beteiligungsrechte nach dem Betriebsverfassungsgesetz hinzu. Technische Einrichtungen, die Verhalten oder Leistung von Mitarbeitern überwachen können, können die Mitbestimmung auslösen.

Die praktische Konsequenz lautet deshalb: Vor der Auswahl eines KI-Werkzeugs sollte nicht nur gefragt werden, was das Werkzeug kann. Entscheidend ist ebenso, welche Informationen hineingelangen, wo diese verarbeitet werden, wie lange sie gespeichert bleiben, wer Zugriff erhält und ob der Anbieter Daten möglicherweise für eigene Zwecke verwendet.

Wann gelten DSGVO und EU AI Act gleichzeitig?

DSGVO und EU AI Act ersetzen sich nicht gegenseitig. Ein KI-System kann nach dem AI Act wenig regulatorisches Risiko aufweisen und trotzdem datenschutzrechtlich anspruchsvoll sein.

Ein Sprachmodell, das aus einem Kundendienstbericht einen Rechnungstext erzeugt, wird beispielsweise normalerweise nicht allein dadurch zum Hochrisiko-System. Enthält der Bericht aber Namen, Adresse, Telefonnummer oder weitere personenbezogene Informationen, bleibt die DSGVO vollständig relevant.

Umgekehrt kann ein AI-Act-relevanter Anwendungsfall entstehen, obwohl personenbezogene Daten nicht im Mittelpunkt des Projekts stehen. Das betrifft insbesondere sicherheitsbezogene KI-Funktionen in regulierten Produkten oder bestimmte Anwendungen in kritischer Infrastruktur.

Für mittelständische Elektrobetriebe ist deshalb eine kombinierte Bewertung praktikabler als zwei getrennte Compliance-Projekte. Für jeden Anwendungsfall sollten zumindest Zweck, Datenarten, Nutzer, betroffene Personen, technische Anbieter, Speicherorte, Entscheidungswirkung und AI-Act-Risikokategorie dokumentiert werden.

Ein solches KI-Verzeichnis kann eng mit dem Verzeichnis von Verarbeitungstätigkeiten verbunden werden, sollte aber nicht einfach darin verschwinden. Datenschutz und AI Act beantworten unterschiedliche Fragen.

Welche Pflichten des EU AI Act gelten im August 2026 bereits?

Der Rechtsstand hat sich im Sommer 2026 noch einmal verändert. Der AI Omnibus trat am 27. Juli 2026 in Kraft und änderte unter anderem den Zeitplan für Hochrisiko-Anwendungen. Die Transparenzvorgaben des Artikels 50 gelten dagegen seit dem 2. August 2026.

Für Elektrobetriebe ist deshalb eine zeitliche Differenzierung wichtig.

Bestimmte verbotene KI-Praktiken gelten bereits. Dazu zählt beispielsweise Emotionserkennung am Arbeitsplatz, abgesehen von eng begrenzten medizinischen oder sicherheitsbezogenen Ausnahmen. Ein System, das aus Kamera-, Sprach- oder Gesichtsdaten vermeintlich Motivation, Stress oder emotionale Verfassung eines Monteurs ableiten soll, ist deshalb in einer völlig anderen Kategorie als eine normale digitale Einsatzplanung.

Seit August 2026 kommen die Transparenzanforderungen hinzu. Direkte Interaktion mit einem KI-System, synthetische Inhalte, Deepfakes und bestimmte KI-generierte Veröffentlichungen können Kennzeichnungs- beziehungsweise Informationspflichten auslösen. Die konkrete Pflicht hängt auch davon ab, ob ein Unternehmen Anbieter oder Betreiber eines Systems ist.

Die Hochrisiko-Regeln für die in Anhang III genannten Bereiche, darunter Beschäftigung und bestimmte kritische Infrastrukturen, gelten nach dem aktuellen Zeitplan ab 2. Dezember 2027. Für KI, die in bestimmte regulierte physische Produkte integriert ist, wurde die Frist auf 2. August 2028 verschoben.

Auch beim Thema KI-Kompetenz hat der AI Omnibus Änderungen gebracht: Die vorherige verbindliche eigenständige AI-Literacy-Pflicht für Unternehmen wurde durch einen weniger verpflichtenden Ansatz ersetzt. Schulungen bleiben für Elektrobetriebe trotzdem sinnvoll. Wer mit Kundendaten, technischen Dokumentationen oder sicherheitsrelevanten Informationen arbeitet, muss wissen, welche Daten in ein System eingegeben werden dürfen und welche Ergebnisse vor einer Verwendung geprüft werden müssen.

Wann wird KI bei Bewerbern, Monteuren und Disposition besonders sensibel?

Ein Elektrobetrieb möchte seine Disposition verbessern. Das System kennt Qualifikationen, Führerscheine, Schulungen, Einsatzorte und Verfügbarkeiten. Daraus schlägt es passende Monteure für einen Auftrag vor.

Eine solche Assistenz muss nicht automatisch Hochrisiko-KI sein. Entscheidend ist, worauf die Auswahl beruht und welchen Einfluss das System auf Beschäftigte hat.

Anders sieht es aus, wenn ein System Leistung bewertet, Mitarbeiter rankt, Verhalten analysiert, Beförderungen beeinflusst oder Aufgaben auf Grundlage persönlicher Merkmale beziehungsweise Verhaltensinformationen verteilt. Der AI Act nennt Beschäftigung und Personalmanagement ausdrücklich als sensiblen Bereich.

Im Elektrohandwerk wird dieser Unterschied schnell praktisch. Eine regelbasierte Prüfung „Für diesen Auftrag wird eine bestimmte Qualifikation benötigt“ ist etwas anderes als ein KI-Score „Monteur A ist zuverlässiger als Monteur B“. Auch automatische Bewerbervorauswahl anhand von Lebensläufen, Videoanalyse oder Persönlichkeitsprognosen verlangt eine wesentlich strengere Prüfung.

Parallel bleibt das deutsche Beschäftigtendatenschutzrecht relevant. Gibt es einen Betriebsrat und ermöglicht ein System die Überwachung von Verhalten oder Leistung, sollte die Mitbestimmung nicht erst kurz vor dem Go-live betrachtet werden. Erfahrungsgemäß scheitern Projekte häufig nicht an der KI selbst, sondern daran, dass Personalvertretung, Datenschutz und tatsächliche Prozessverantwortliche zu spät eingebunden wurden.

Was bedeutet der AI Act für Gebäudeautomation, Energie und kritische Infrastruktur?

Hier lohnt sich eine differenzierte Betrachtung.

Eine KI, die in einem Bürogebäude den Energieverbrauch prognostiziert oder Sollwerte für Heizung und Beleuchtung optimiert, ist nicht automatisch ein Hochrisiko-System. Auch ein Algorithmus zur Fehlererkennung in einer Photovoltaikanlage wird nicht allein wegen seines technischen Einsatzgebietes zu Hochrisiko-KI.

Anders kann es aussehen, wenn KI als sicherheitsrelevante Komponente eines regulierten Produktes eingesetzt wird oder eine Funktion für Betrieb und Management kritischer Infrastruktur übernimmt. Bei Energieversorgung, Netzbetrieb und vergleichbaren Szenarien kann die AI-Act-Einstufung deshalb wesentlich anspruchsvoller sein.

Gerade Elektrofachbetriebe, Systemintegratoren und TGA-Unternehmen bewegen sich zunehmend zwischen klassischem Handwerk und IT. Wer Gebäudeleittechnik, Energieplattformen, Batteriespeicher, Ladeinfrastruktur, Zutrittssysteme oder vernetzte Steuerungen integriert, sollte deshalb nicht nur den einzelnen Algorithmus betrachten. Entscheidend ist die Funktion im Gesamtsystem.

Ein Diagnoseassistent, der einem Techniker mögliche Fehlerursachen nennt, unterscheidet sich regulatorisch von einer KI, die selbstständig eine sicherheitsrelevante Anlagenfunktion steuert.

Diese Abgrenzung wird in den kommenden Jahren zusätzlich durch harmonisierte europäische Normen geprägt. Gerade für die Elektrobranche ist die laufende Standardisierung durch CEN und CENELEC deshalb relevant.

Wie können Elektrobetriebe generative KI für Angebote und Dokumentation einsetzen?

Hier liegt aktuell einer der unkomplizierteren Einstiege.

Anfragen zusammenfassen, Leistungsverzeichnisse analysieren, Angebotsentwürfe formulieren, Wartungsberichte strukturieren, Montagehinweise aus internen Unterlagen suchen, E-Mails vorbereiten oder aus einer Sprachnotiz eine strukturierte Dokumentation erstellen: Solche Anwendungen können erhebliche Zeit sparen, ohne dass eine KI selbst eine sicherheitskritische Entscheidung treffen muss.

Der entscheidende Unterschied entsteht bei der Datenarchitektur.

Ein Monteur sollte nicht darauf angewiesen sein, komplette Kundenakten, Stromlaufpläne, Zugangsdaten und Fotos in irgendeinen frei verfügbaren KI-Dienst zu kopieren. Ein betrieblich kontrollierter Zugang mit definierten Benutzerrechten, Auftragsverarbeitungsregeln, Protokollierung und festgelegten Datenquellen ist wesentlich besser beherrschbar.

Für ein internes Wissenssystem kann beispielsweise eine RAG-Architektur interessant sein. Dabei beantwortet das Sprachmodell Fragen auf Grundlage ausgewählter eigener Dokumente, etwa Arbeitsanweisungen, Herstellerunterlagen, Montagehinweise oder interne Prozessbeschreibungen. Datenschutzrechtlich löst RAG die Fragen nicht automatisch. Zugriffsrechte, Dokumentherkunft, Löschkonzepte und personenbezogene Inhalte bleiben relevant.

Auch bei technischen Ergebnissen sollte die Rollenverteilung erhalten bleiben. Eine KI kann einen Prüfbericht vorbereiten oder Auffälligkeiten hervorheben. Sie sollte jedoch nicht ohne fachliche Prüfung darüber entscheiden, ob eine Anlage normgerecht, sicher oder freigabefähig ist.

Was läuft bei KI-Projekten im Elektrohandwerk üblicherweise falsch?

Der häufigste Fehler beginnt erstaunlich unspektakulär: Das Unternehmen führt offiziell gar keine KI ein.

Stattdessen nutzt der Projektleiter einen privaten KI-Account für Leistungsverzeichnisse. Die Verwaltung lässt E-Mails zusammenfassen. Ein Mitarbeiter erstellt Baustellenberichte mit einem frei verfügbaren Sprachmodell. Jemand anderes lädt Fotos hoch, weil das System darauf Komponenten erkennen kann.

So entsteht Schatten-KI. Niemand hat bewusst ein großes KI-Projekt beschlossen, aber personenbezogene Daten, technische Unterlagen und Kundeninformationen verlassen bereits bestehende Prozesse.

Der zweite typische Fehler besteht darin, lediglich einen Auftragsverarbeitungsvertrag abzuschließen und das Thema damit als erledigt anzusehen. Ein solcher Vertrag kann erforderlich sein, beantwortet aber nicht automatisch Fragen zu Rechtsgrundlage, Zweckbindung, Löschung, Unterauftragnehmern, Drittlandtransfers, Zugriffsrechten oder AI-Act-Rollen.

Der dritte Fehler ist die fehlende Trennung zwischen Assistenz und Entscheidung. Ein System darf einen Vorschlag erstellen; das bedeutet nicht, dass dieser ungeprüft in Angebot, Prüfprotokoll, Personaleinsatz oder technische Planung übernommen werden sollte.

Der vierte Fehler entsteht später. Das ursprünglich geprüfte Werkzeug verändert sich. Der Anbieter wechselt Modell, Hostingregion, Unterauftragnehmer oder Funktionen. Aus einem Textassistenten wird beispielsweise ein Agent, der selbstständig auf CRM, E-Mail und Projektablage zugreift. Die ursprüngliche Bewertung passt dann möglicherweise nicht mehr.

Deshalb gehört KI-Governance nicht nur in den Beschaffungsprozess. Sie muss auch Änderungen eines Systems erfassen.

Wie lässt sich ein KI-Einsatz ohne Compliance-Bürokratie organisieren?

Für einen mittelständischen Elektrofachbetrieb muss daraus kein juristisches Großprojekt werden.

Sinnvoll ist zunächst ein vollständiges Verzeichnis der tatsächlich eingesetzten KI-Funktionen. Nicht nur offiziell beschaffte Anwendungen gehören hinein, sondern auch KI-Funktionen in Microsoft-Umgebungen, ERP-Systemen, CRM, Telefonie, Zeiterfassung, Gebäudeplattformen, Foto-Apps oder Herstellersoftware.

Danach wird pro Anwendung dokumentiert, wofür sie genutzt wird und welche Daten hineingelangen. Anschließend folgen DSGVO-Rolle, Rechtsgrundlage, Empfänger, Speicherort, Löschung, technische Schutzmaßnahmen und gegebenenfalls eine Datenschutz-Folgenabschätzung.

Parallel erfolgt die AI-Act-Bewertung. Handelt es sich überhaupt um ein KI-System im Sinne der Verordnung? Welche Rolle hat das Unternehmen? Besteht eine verbotene Anwendung? Greifen Transparenzanforderungen? Gehört der Anwendungsfall perspektivisch zu den Hochrisiko-Kategorien?

Danach kommen die betrieblichen Regeln: Wer darf welche Systeme einsetzen? Welche Daten dürfen verarbeitet werden? Welche Ergebnisse brauchen zwingend fachliche Kontrolle? Wie werden Fehler gemeldet? Wer prüft Änderungen des Anbieters?

Das Ergebnis sollte kein Ordner sein, den niemand im Tagesgeschäft öffnet. Besser funktioniert ein kompakter Prozess, der mit Einkauf, IT, Datenschutz, Personal, Qualitätsmanagement und den jeweiligen Fachverantwortlichen verbunden ist.

Warum reicht EU-Hosting allein für DSGVO-konforme KI nicht aus?

EU-Hosting ist hilfreich, aber kein Freifahrtschein.

Datenschutz beginnt bereits mit der Frage, ob personenbezogene Daten überhaupt verarbeitet werden dürfen. Danach folgen Zweck, Datenumfang, Empfänger, Aufbewahrungsdauer, Zugriffsschutz und Betroffenenrechte. Auch ein ausschließlich in der Europäischen Union betriebenes System kann gegen Datenschutzanforderungen verstoßen, wenn beispielsweise zu viele Daten verarbeitet werden oder keine ausreichende Rechtsgrundlage besteht.

Ebenso muss geprüft werden, welche Unternehmen hinter dem Dienst stehen, welche Unterauftragnehmer eingesetzt werden und ob Support-, Telemetrie- oder Administrationszugriffe aus Drittländern stattfinden.

Bei generativen Modellen kommt ein weiterer Punkt hinzu: Was geschieht mit Eingaben und Ausgaben? Werden diese nur für den konkreten Auftrag verarbeitet, zur Missbrauchserkennung gespeichert oder für eine Weiterentwicklung des Dienstes verwendet?

Die datenschutzrechtliche Bewertung eines KI-Systems sollte deshalb die tatsächliche Datenkette betrachten und nicht nur den Standort eines Rechenzentrums.

Warum kann gute KI-Compliance im Elektrohandwerk sogar Prozesse verbessern?

Viele Compliance-Anforderungen decken Schwachstellen auf, die ohnehin vorhanden sind.

Wenn ein Unternehmen nicht weiß, welche Mitarbeiter auf welche Kundendokumente zugreifen können, ist das nicht nur ein KI-Thema. Wenn Baustellenfotos ohne Löschkonzept auf Smartphones, Messenger-Diensten und Netzlaufwerken verteilt liegen, bestand das Problem bereits vor der Einführung eines Sprachmodells. Wenn niemand weiß, welche Version einer Arbeitsanweisung aktuell ist, kann auch eine KI darauf keine verlässliche Antwort aufbauen.

Gerade deshalb kann die Einführung von KI ein Anlass sein, Datenflüsse und Verantwortlichkeiten neu zu ordnen.

Für Elektrofachbetriebe ergibt sich daraus ein praktischer Vorteil: Ein sauber aufgebautes Wissenssystem kann Monteuren schneller die richtige Herstellerinformation liefern. Ein kontrollierter KI-Assistent kann Serviceberichte vereinheitlichen. Eine gut strukturierte Auftragsdatenbasis kann Disposition und Materialvorbereitung verbessern. Und ein dokumentierter Freigabeprozess verhindert, dass automatisch erzeugte technische Aussagen ungeprüft beim Kunden landen.

DSGVO Elektrobranche und EU AI Act Elektrobranche sind damit nicht nur juristische Suchbegriffe. Hinter ihnen steht eine sehr operative Frage: Wie lässt sich KI in einem Elektrofachbetrieb so einsetzen, dass sie Büro und Baustelle tatsächlich unterstützt, ohne neue Risiken in Prozesse einzubauen?

Gilt der EU AI Act für jeden Elektrobetrieb, der KI verwendet?

Grundsätzlich kann der AI Act auch kleine und mittelständische Elektrobetriebe betreffen. Entscheidend sind Funktion, Risikokategorie und Rolle des Unternehmens, nicht allein die Betriebsgröße. Ein Betrieb, der einen marktüblichen KI-Assistenten intern verwendet, hat andere Pflichten als ein Unternehmen, das ein eigenes KI-System entwickelt oder unter eigenem Namen anbietet.

Muss ein KI-Chatbot eines Elektrofachbetriebs Kunden auf die KI hinweisen?

Seit 2. August 2026 gelten Transparenzvorgaben für bestimmte direkt mit Menschen interagierende KI-Systeme. Welche Pflicht den Elektrobetrieb selbst trifft, hängt auch von seiner Rolle als Anbieter oder Betreiber ab. In der Praxis sollte ein Kundenassistent so gestaltet sein, dass Nutzer erkennen können, dass sie mit einem KI-System und nicht mit einem Mitarbeiter kommunizieren.

Dürfen Mitarbeiter Kundendaten in ChatGPT oder andere generative KI eingeben?

Das lässt sich nicht pauschal bejahen. Der Betrieb muss unter anderem Rechtsgrundlage, Vertragsbeziehung zum Anbieter, Verarbeitungszwecke, Speicherbedingungen, Unterauftragnehmer, mögliche Drittlandübermittlungen und technische Schutzmaßnahmen bewerten. Für den Arbeitsalltag empfiehlt sich deshalb ein freigegebener Unternehmenszugang mit definierten Regeln anstelle privater oder unkontrollierter Konten.

Sind Baustellenfotos automatisch personenbezogene Daten?

Nein. Ein Foto eines Bauteils oder eines leeren Schaltschranks muss keinen Personenbezug besitzen. Sobald jedoch Personen, Fahrzeuge, private Adressen, Namensschilder oder andere einem Menschen zuordenbare Informationen sichtbar sind, kann die DSGVO relevant werden. Auch der Kontext und die Verknüpfung mit einem konkreten Kundenauftrag können bei der Bewertung eine Rolle spielen.

Ist KI-gestützte Monteurdisposition automatisch Hochrisiko-KI?

Nicht jede Einsatzplanung fällt automatisch in den Hochrisikobereich. Eine Zuordnung nach Verfügbarkeit, Einsatzort und erforderlicher Qualifikation kann anders zu bewerten sein als ein System, das Beschäftigte anhand von Leistung, Verhalten oder persönlichen Merkmalen bewertet und darauf Aufgaben verteilt. Gerade bei Personalmanagement sollte deshalb der konkrete Entscheidungsmechanismus dokumentiert und geprüft werden.

Darf KI Bewerbungen für einen Elektrofachbetrieb vorsortieren?

KI-Systeme zur Bewerberauswahl gehören zu den Bereichen, die der AI Act als besonders sensibel behandelt. Die entsprechenden Hochrisiko-Regeln sollen nach aktuellem Zeitplan ab 2. Dezember 2027 gelten. Bereits heute bleiben jedoch DSGVO, Beschäftigtendatenschutz und Diskriminierungsrisiken relevant. Eine automatische Vorauswahl sollte deshalb nicht ohne dokumentierte Bewertung und menschliche Kontrolle eingeführt werden.

Kann KI Prüfprotokolle oder technische Bewertungen automatisch freigeben?

KI kann Messwerte strukturieren, Texte vorbereiten, Abweichungen hervorheben oder einen Entwurf für ein Prüfprotokoll erzeugen. Daraus sollte jedoch keine ungeprüfte technische Freigabe entstehen. Bei Arbeiten an elektrischen Anlagen bleiben fachliche Verantwortlichkeit, einschlägige technische Regeln, Prüfpflichten und betriebliche Freigabeprozesse bestehen. KI sollte hier als Assistenzwerkzeug und nicht als Ersatz verantwortlicher Fachentscheidungen eingesetzt werden.

Reicht ein Auftragsverarbeitungsvertrag mit dem KI-Anbieter aus?

Nein. Ein Auftragsverarbeitungsvertrag deckt nur einen Teil der datenschutzrechtlichen Anforderungen ab. Zusätzlich sind beispielsweise Rechtsgrundlage, Zweck, Datenminimierung, Löschung, technische Schutzmaßnahmen, Informationspflichten, Betroffenenrechte und mögliche internationale Datenübermittlungen zu bewerten. Außerdem beantwortet ein DSGVO-Vertrag nicht automatisch die Frage, welche Pflichten das Unternehmen nach dem AI Act besitzt.

Wann braucht ein Elektrobetrieb eine Datenschutz-Folgenabschätzung für KI?

Eine Datenschutz-Folgenabschätzung ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursacht. Das kann etwa bei umfangreicher Überwachung, sensiblen Beschäftigtendaten oder bestimmten Profiling-Anwendungen relevant werden. Ob sie erforderlich ist, muss für den konkreten Einsatz geprüft werden; das Etikett „KI“ allein löst die Pflicht nicht automatisch aus.

Muss der Betriebsrat bei der Einführung von KI beteiligt werden?

Bei vorhandenem Betriebsrat kann eine Beteiligung insbesondere dann notwendig sein, wenn die eingesetzte technische Einrichtung dazu bestimmt ist oder objektiv geeignet eingesetzt wird, Verhalten oder Leistung von Mitarbeitern zu überwachen. Auch Arbeitszeit, Personalplanung oder neue Arbeitsmethoden können Beteiligungsrechte berühren. Deshalb sollte die betriebsverfassungsrechtliche Prüfung früh in die Einführung integriert werden.

Quellen der verwendeten Kennzahlen

Zentralverband der Deutschen Elektro- und Informationstechnischen Handwerke – Branchenkennzahlen 2025: 49.113 Betriebe, 451.050 sozialversicherungspflichtig Beschäftigte, 88,2 Milliarden Euro Umsatz.
https://www.zveh.de/news/detailansicht/branchenkennzahlen-2025-fuer-e-handwerke-ein-jahr-der-stagnation.html

Rechtsstand

Aktueller Anwendungszeitplan des EU AI Act nach dem AI Omnibus:
https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

Leitlinien zu den Transparenzpflichten nach Artikel 50 des AI Act:
https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems

Interessante Links

Europäischer Datenschutzausschuss – Stellungnahme 28/2024 zu Datenschutzaspekten bei KI-Modellen:
https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-282024-on-certain-data-protection-aspects-related-to_de

Bundesbeauftragte für den Datenschutz und die Informationsfreiheit – KI-Fragenkatalog:
https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DokumenteBfDI/AccessForAll/2025/KI-Fragenkatalog.html

CEN und CENELEC – Entwicklung europäischer KI-Standards zur Unterstützung des AI Act:
https://www.cencenelec.eu/news-events/news/2025/brief-news/2025-10-23-ai-standardization/