DSGVO und EU AI Act im SHK-Handwerk: Praxis 2026

DSGVO und EU AI Act im SHK-Handwerk betreffen längst nicht nur große Softwareunternehmen, sondern auch Heizungsbauer, Sanitärbetriebe, Klimatechniker und Gebäudetechniker, sobald KI mit Kunden-, Mitarbeiter- oder Betriebsdaten arbeitet. Entscheidend ist dabei der konkrete Anwendungsfall: Ein Angebotsassistent wird anders behandelt als KI-gestützte Mitarbeiterbewertung. Wer Datenflüsse und Einsatzregeln früh organisiert, kann KI trotzdem pragmatisch einsetzen.

Warum werden DSGVO und EU AI Act im SHK-Handwerk plötzlich zum operativen Thema?

Digitalisierung im SHK-Betrieb beginnt heute häufig sehr unspektakulär. Ein Monteur diktiert seinen Einsatzbericht ins Smartphone. Ein Sprachmodell formuliert daraus eine Kundendokumentation. Die Disposition lässt aus Adresse, Qualifikation und freien Zeitfenstern Tourenvorschläge erstellen. Im Büro erzeugt ein KI-Assistent aus Leistungsverzeichnis, Materialstamm und Notizen einen ersten Angebotstext. Auf der Website nimmt ein Chatbot eine Störungsmeldung entgegen.

Technisch sind das keine exotischen Szenarien mehr. Rechtlich entstehen dabei jedoch unterschiedliche Rollen und Pflichten.

Die DSGVO setzt dort an, wo personenbezogene Daten verarbeitet werden. Dazu können im SHK-Alltag beispielsweise Name, Telefonnummer, E-Mail-Adresse und Anschrift eines Auftraggebers gehören, aber auch Fotos aus einer Privatwohnung, Standortdaten eines Kundendienstmonteurs, Arbeitszeiten, Servicehistorien oder Messwerte, wenn diese einer Person oder einem Haushalt zugeordnet werden können.

Der EU AI Act verfolgt einen anderen Ansatz. Er reguliert nicht allgemein Daten, sondern bestimmte KI-Systeme und deren Verwendung nach ihrem Risiko und Einsatzzweck. Deshalb können beide Regelwerke gleichzeitig gelten.

Gerade diese Überschneidung ist in der Praxis relevant. Der Betrieb muss nicht nur fragen, ob personenbezogene Daten verarbeitet werden dürfen. Zusätzlich ist zu prüfen, welche Rolle die eingesetzte KI erfüllt, ob besondere Transparenzpflichten entstehen, ob Mitarbeiter betroffen sind und ob ein Anwendungsfall in eine Hochrisiko-Kategorie fallen kann.

Der Zeitpunkt dafür ist nicht theoretisch. Seit dem 2. August 2026 gelten wesentliche Transparenzregeln des EU AI Act. Bestimmungen zu verbotenen KI-Praktiken und zur KI-Kompetenz waren bereits zuvor anwendbar. Die europäischen Regeln werden in Deutschland inzwischen durch ein nationales Durchführungsgesetz flankiert.

Welche Daten entstehen im SHK-Betrieb überhaupt bei KI-Anwendungen?

Ein klassischer Kundendienstauftrag enthält bereits erstaunlich viele Informationen. Auftraggeber, Objektanschrift, Ansprechpartner, Telefonnummer, Anlagentyp, Störungsbeschreibung, Wartungshistorie, Fotos und Terminwünsche landen möglicherweise im ERP-System. Der Monteur ergänzt später Arbeitszeit, Materialverbrauch, Befund und Bilder.

Wird daraus ein KI-gestützter Prozess, entsteht ein zusätzlicher Datenfluss.

Ein typisches Beispiel ist die automatische Zusammenfassung eines Wartungseinsatzes. Der Techniker diktiert:

„Frau Müller, Erdgeschosswohnung, Brenner gereinigt, Ausdehnungsgefäß geprüft, Druck auf 1,8 bar eingestellt, Austausch der Umwälzpumpe beim nächsten Termin empfohlen.“

Wenn diese Information an einen extern betriebenen KI-Dienst übertragen wird, verarbeitet nicht mehr nur die bisherige SHK-Software Daten. Ein weiterer technischer Dienst tritt in die Verarbeitungskette ein.

Das bedeutet nicht automatisch, dass die Anwendung unzulässig wäre. Es bedeutet aber, dass der Betrieb wissen sollte, welche Daten übertragen werden, zu welchem Zweck, auf welcher Rechtsgrundlage, an welchen Anbieter und gegebenenfalls in welche Staaten.

Genau an dieser Stelle scheitern Projekte häufig. Nicht die KI-Funktion selbst ist das Problem, sondern der unkontrollierte Datenfluss zwischen ERP, Smartphone-App, Cloud-Plattform, Automatisierungsdienst und Sprachmodell.

Warum reicht ein Auftragsverarbeitungsvertrag allein meistens nicht aus?

In vielen mittelständischen Unternehmen besteht Datenschutzprüfung bei neuer Software zunächst aus einer Frage: Gibt es einen Auftragsverarbeitungsvertrag?

Das ist wichtig, aber nicht ausreichend.

Für die praktische Bewertung einer KI-Lösung gehören mindestens Zweck, Datenkategorien, Rollenverteilung, Unterauftragnehmer, Speicherorte, Löschmöglichkeiten, Zugriffskonzepte und gegebenenfalls Drittlandtransfers in die Betrachtung. Hinzu kommt die Frage, ob Eingaben oder Ausgaben eines Systems für das Training oder die Weiterentwicklung eines Modells verwendet werden.

Bei einem SHK-Betrieb kann beispielsweise vereinbart sein, dass ein Servicetechniker Einsatzfotos in die Auftragsakte hochlädt. Befinden sich darauf jedoch Bewohner, Namensschilder, private Unterlagen oder andere nicht benötigte Informationen, entsteht unnötige Datenverarbeitung.

Das Prinzip sollte deshalb schon im Prozess beginnen: Die KI bekommt nur das, was sie für ihre konkrete Aufgabe benötigt.

Für eine Materialempfehlung braucht ein Modell beispielsweise häufig weder Kundennamen noch Telefonnummer. Für die Erstellung einer internen Materialliste können Auftragsnummer, Gerätetyp, Fehlercode und vorhandener Materialbestand ausreichen.

Wie unterscheiden sich typische SHK-Anwendungsfälle regulatorisch?

Die folgende Einordnung ist keine juristische Einzelfallprüfung. Sie zeigt jedoch, warum „wir setzen KI ein“ als Beschreibung viel zu allgemein ist.

Entscheidend ist damit nicht, ob ein Betrieb ChatGPT, Microsoft Copilot, ein Fachsystem oder eine selbst entwickelte Anwendung verwendet. Maßgeblich ist, welche Aufgabe das System tatsächlich übernimmt und welche Daten dabei verarbeitet werden.

Wann wird KI-gestützte Mitarbeiterdisposition für SHK-Unternehmen besonders sensibel?

Die Disposition ist einer der attraktivsten KI-Anwendungsfälle im Handwerk.

Ein Betrieb mit mehreren Kundendienstfahrzeugen muss täglich Qualifikation, Arbeitszeit, Baustellen, Entfernung, Materialverfügbarkeit, Notdienste und kurzfristige Störungen zusammenbringen. Ein Algorithmus kann dafür hervorragende Vorschläge liefern.

Problematisch wird es, wenn aus einer logistischen Assistenz eine Bewertung von Menschen entsteht.

Ein System könnte beispielsweise erkennen, dass Monteur A bei Wärmepumpen durchschnittlich schneller arbeitet als Monteur B. Ergänzt man Reklamationsquote, Fahrzeiten, Kundenbewertungen, Krankheitszeiten oder Pausenverhalten, entsteht aus Tourenplanung schnell Mitarbeiterprofiling.

Der AI Act ordnet bestimmte KI-Systeme im Bereich Beschäftigung und Personalmanagement als Hochrisiko-Anwendungen ein. Dazu gehören unter bestimmten Voraussetzungen Systeme, die Aufgaben anhand individuellen Verhaltens oder persönlicher Merkmale verteilen oder die Leistung und das Verhalten von Beschäftigten überwachen und bewerten.

Für einen SHK-Betrieb ergibt sich daraus eine praktische Trennlinie: Eine Software, die den nächstgelegenen verfügbaren Monteur mit passender Qualifikation vorschlägt, ist regulatorisch etwas anderes als ein System, das Mitarbeiter permanent bewertet und diese Bewertung für Einsatzverteilung, Karriere oder andere arbeitsbezogene Entscheidungen verwendet.

Auch bestehende arbeitsrechtliche Informations- und Mitbestimmungsrechte können hinzukommen.

Was gilt seit August 2026 für KI-Chatbots und digitale Kundenassistenten?

Gerade für größere SHK-Unternehmen sind digitale Kundenschnittstellen attraktiv. Ein KI-Assistent kann außerhalb der Bürozeiten Störungsmeldungen aufnehmen, Informationen zur Anlage abfragen, Fotos entgegennehmen, Terminwünsche erfassen und einen Vorgang für den Innendienst vorbereiten.

Seit dem 2. August 2026 sind die Transparenzpflichten des AI Act für bestimmte interaktive KI-Systeme praktisch besonders relevant.

Kunden sollen erkennen können, dass sie mit einem KI-System interagieren. Ein Bot sollte deshalb nicht so gestaltet sein, dass der Besucher ihn für einen menschlichen Kundendienstmitarbeiter hält.

Daneben bleibt die DSGVO relevant. Sobald der Kunde Name, Adresse, Telefonnummer, Heizungsdaten oder Bilder übermittelt, muss die Datenverarbeitung auf einer passenden Grundlage erfolgen und in die Datenschutzorganisation des Unternehmens eingebunden sein.

Praxisgerechte Architektur bedeutet deshalb beispielsweise: Der Assistent fragt zunächst nur die Informationen ab, die für die Bearbeitung der Anfrage erforderlich sind. Ein Defekt an einer Wärmepumpe benötigt möglicherweise Hersteller, Typ, Fehlercode, Objekt und Rückrufmöglichkeit. Weitere Daten sollten erst erhoben werden, wenn sie für den Auftrag tatsächlich gebraucht werden.

Warum sind Fotos und Gebäudedaten im SHK-Bereich unterschätzte Datenschutzthemen?

Fotos gehören inzwischen zum normalen Arbeitsablauf. Vorher-Nachher-Dokumentation, Leitungsführung, Heizraum, Zählerplatz, Schadenbild und Typenschild lassen sich damit wesentlich besser nachvollziehen als mit handschriftlichen Beschreibungen.

KI kann solche Bilder analysieren, Komponenten erkennen oder aus mehreren Fotos einen Dokumentationsentwurf erstellen.

In der Praxis gelangen jedoch häufig deutlich mehr Informationen aufs Bild als vorgesehen: Bewohner, Familienfotos, Briefe, Namen an Klingelschildern, Fahrzeugkennzeichen oder persönliche Gegenstände.

Ähnliches gilt für Smart-Building- und Energiedaten. Technische Messwerte wirken zunächst sachbezogen. Lassen sie sich jedoch einem bewohnten Objekt oder konkreten Personen zuordnen, können sie Rückschlüsse auf Nutzung und Verhalten ermöglichen.

Für KI-Projekte ist daher die Frage wichtig, welche Rohdaten das Modell überhaupt benötigt. Eine automatische Fehlerdiagnose für eine Heizungsanlage braucht möglicherweise Temperaturverlauf, Fehlermeldungen und Gerätekonfiguration – aber nicht den Namen des Bewohners.

Welche Rolle spielt Datenminimierung beim Einsatz generativer KI?

Generative KI verführt dazu, komplette Dokumente in ein Eingabefeld zu kopieren.

„Hier ist der gesamte Auftrag, fasse ihn zusammen“ ist bequem. Für betriebliche Anwendungen ist eine andere Vorgehensweise häufig besser.

Die benötigten Informationen können technisch vorselektiert werden. Statt einer kompletten Kundenakte erhält das Modell beispielsweise nur Anlagenmodell, Fehlerbeschreibung, bisherige Maßnahmen und gewünschte Aufgabe. Kundenname, Bankverbindung, private Kommunikation oder andere nicht erforderliche Daten bleiben außerhalb des KI-Prozesses.

Damit wird Datenschutz nicht zu einem nachträglichen Formular, sondern zu einer Eigenschaft der Softwarearchitektur.

Besonders interessant ist dieser Ansatz bei Unternehmenswissen. Montageanleitungen, Produktkataloge, interne Arbeitsanweisungen, Wartungsleitfäden und technische Dokumentationen enthalten häufig keine oder nur wenige personenbezogene Daten. Ein darauf begrenzter Wissensassistent kann daher wesentlich einfacher zu beherrschen sein als ein System, das uneingeschränkten Zugriff auf ERP, E-Mail, Personalakten und Dateiserver erhält.

Was verlangt der EU AI Act zur KI-Kompetenz im Betrieb?

Wer KI einführt, sollte nicht davon ausgehen, dass Mitarbeiter allein durch gelegentliche Nutzung eines Chatbots ausreichend vorbereitet sind.

Der AI Act enthält Anforderungen an Maßnahmen zur Entwicklung von KI-Kompetenz bei Personen, die KI-Systeme für ein Unternehmen einsetzen. Die europäische Regelung schreibt dafür nach dem aktuellen Stand kein bestimmtes Schulungsformat und kein spezielles Zertifikat vor.

Für einen SHK-Betrieb ist das eher ein Organisations- als ein Seminarproblem.

Ein Servicetechniker benötigt andere Kenntnisse als die Geschäftsführung. Der Techniker sollte beispielsweise wissen, welche Kundeninformationen nicht ohne Weiteres in einen beliebigen KI-Dienst gehören und dass KI-generierte technische Aussagen überprüft werden müssen. Die Disposition muss die Grenzen automatischer Einsatzvorschläge verstehen. Der Einkauf wiederum muss erkennen können, welche Vertrags- und Datenschutzfragen bei einem KI-Anbieter relevant werden.

In der Praxis reichen häufig wenige, auf den jeweiligen Arbeitsplatz abgestimmte Regeln wesentlich weiter als ein allgemeiner mehrstündiger Vortrag.

Eine dokumentierte interne KI-Richtlinie, konkrete Anwendungsbeispiele, kurze Schulungen und die Festlegung zulässiger Systeme schaffen dafür eine belastbare Grundlage.

Welche Fehler treten bei KI-Projekten in SHK-Unternehmen besonders häufig auf?

Ein typischer Fehler besteht darin, dass zuerst ein Werkzeug ausgewählt und erst danach über den Prozess nachgedacht wird.

Mitarbeiter erhalten beispielsweise Zugang zu einem generativen KI-System, ohne festzulegen, welche Daten dort verarbeitet werden dürfen. Nach einigen Wochen werden Angebote, Kunden-E-Mails, Wartungsberichte und Bewerbungen hineinkopiert. Die eigentliche Datenschutzprüfung findet erst statt, nachdem sich das Werkzeug bereits etabliert hat.

Der zweite Fehler ist ein pauschales Verbot. Dadurch verschwindet KI-Nutzung selten. Sie verlagert sich lediglich auf private Accounts und nicht freigegebene Dienste. Aus einem überschaubaren Governance-Thema entsteht Shadow AI.

Der dritte Fehler liegt in überdimensionierten Projekten. Ein mittelständischer SHK-Betrieb benötigt für den Einstieg normalerweise kein unternehmensweites KI-Programm mit dutzenden Richtlinien. Ein Inventar der tatsächlich eingesetzten Systeme, definierte Anwendungsfälle, Verantwortlichkeiten und einige verbindliche Regeln können bereits einen erheblichen Unterschied machen.

Der vierte Fehler betrifft Automatisierung. Nur weil ein Sprachmodell eine Entscheidung technisch treffen kann, sollte es diese nicht automatisch ausführen. Gerade bei Personal, sicherheitsrelevanten Arbeiten, Angebotsfreigaben oder technischen Empfehlungen ist eine menschliche Prüfstufe sinnvoll.

Wie kann ein mittelständischer SHK-Betrieb DSGVO und AI Act pragmatisch organisieren?

Der praktikabelste Startpunkt ist kein Gesetzestext, sondern eine Bestandsaufnahme.

Welche KI-Systeme werden bereits verwendet? Dabei sollte nicht nur nach offiziell beschaffter Software gefragt werden. Browser-Chatbots, Schreibassistenten, CRM-Funktionen, automatische Gesprächszusammenfassungen, Bildgeneratoren, Planungssoftware und Funktionen im ERP können ebenfalls KI enthalten.

Danach wird jeder Einsatz einem konkreten Zweck zugeordnet.

„ChatGPT“ ist kein Zweck. „Formulierung von Kunden-E-Mails ohne vertrauliche Daten“ ist einer.

„KI-Disposition“ ist ebenfalls zu weit gefasst. „Vorschlag verfügbarer Monteure anhand Qualifikation, Entfernung und Dienstplan; finale Auswahl durch Disponent“ lässt sich wesentlich besser beurteilen.

Anschließend werden Datenkategorien, betroffene Personen, Anbieter, Speicherorte und Entscheidungswirkung betrachtet.

Aus Erfahrung ist eine einfache KI-Anwendungsmatrix dafür häufig wirkungsvoller als ein umfangreiches Dokument, das niemand im Tagesgeschäft nutzt.

Warum können Datenschutzvorgaben sogar zu besseren KI-Prozessen führen?

Viele Datenschutzanforderungen zwingen Unternehmen dazu, Daten strukturiert zu betrachten. Für KI ist genau das hilfreich.

Wenn ein Betrieb weiß, welche Informationen für einen Wartungsassistenten tatsächlich benötigt werden, lassen sich die Daten gezielt bereitstellen. Dadurch sinkt nicht nur das Datenschutzrisiko. Auch der Kontext des Modells wird besser.

Ein KI-System, das auf 30 Seiten gemischter Kundenakte arbeiten muss, bekommt viele Informationen, die für die Aufgabe keine Rolle spielen. Werden dagegen Störung, Gerät, bisherige Maßnahmen und relevante technische Dokumentation strukturiert bereitgestellt, kann die Antwort häufig präziser und reproduzierbarer ausfallen.

Datenschutz, Informationsarchitektur und KI-Qualität sind deshalb in der Praxis keine getrennten Themen.

Welche wirtschaftliche Bedeutung hat das Thema inzwischen für den Mittelstand?

Die Diskussion ist längst nicht mehr auf erste Experimente beschränkt. Nach Angaben des Statistischen Bundesamts nutzten 2025 bereits 26 Prozent der Unternehmen in Deutschland KI-Technologien. Gleichzeitig nannten 62 Prozent der Unternehmen ohne KI-Nutzung Unsicherheit über die rechtlichen Folgen als Grund gegen den Einsatz.

Das ist für den Mittelstand bemerkenswert: Regulierung ist nicht nur ein Compliance-Thema, sondern beeinflusst unmittelbar die Geschwindigkeit der Einführung.

Auf der Sanktionsseite existieren erhebliche Obergrenzen. Die DSGVO ermöglicht bei bestimmten Verstößen Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Beim AI Act können bestimmte besonders schwerwiegende Verstöße mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes sanktioniert werden; für kleine und mittlere Unternehmen enthält der AI Act besondere Verhältnismäßigkeitsregeln.

Für einen normalen SHK-Mittelständler sollte daraus allerdings keine Strategie des Verzichts entstehen. Sinnvoller ist, die wenigen Anwendungen mit erhöhtem Risiko von den vielen alltäglichen Assistenzfunktionen zu unterscheiden.

Wie könnte ein realistischer SHK-Anwendungsfall aufgebaut sein?

Ein mittelständisches Unternehmen betreut Heizungs-, Sanitär- und Wärmepumpenanlagen im regionalen Kundendienst.

Morgens gehen telefonisch, per E-Mail und über die Website Störungen ein. Ein KI-Assistent strukturiert die Anfrage nach Kunde, Objekt, Anlage, Fehlercode und Dringlichkeit. Er erstellt keine endgültige technische Diagnose.

Das System gleicht anschließend den Auftrag mit Qualifikationen, Touren und freien Zeitfenstern ab. Der Disponent erhält drei mögliche Termine und entscheidet selbst.

Der Monteur bekommt auf seinem Mobilgerät die benötigten Auftragsinformationen. Nach Abschluss spricht er einen Bericht ein. Ein Sprachmodell erzeugt daraus einen Entwurf für den Servicebericht. Fotos werden automatisch dem Auftrag zugeordnet, aber nur ausgewählte Bilder gelangen gegebenenfalls in eine Bildanalyse.

Vor dem Versand prüft der Monteur oder das Büro den Bericht.

Das Ergebnis ist ein weitgehend KI-unterstützter Prozess, ohne dass KI jede Entscheidung übernimmt.

Genau solche Architekturen werden für mittelständische Betriebe interessant: Automatisierung dort, wo sie Zeit spart, und definierte menschliche Entscheidungspunkte dort, wo fachliche, rechtliche oder sicherheitsbezogene Verantwortung verbleiben muss.

Quellen der verwendeten Kennzahlen

Statistisches Bundesamt – Nutzung von IKT in Unternehmen
26 Prozent KI-Nutzung in deutschen Unternehmen 2025 sowie 62 Prozent Nennung rechtlicher Unsicherheit bei Unternehmen ohne KI-Einsatz.
https://www.destatis.de/DE/Themen/Branchen-Unternehmen/Unternehmen/IKT-in-Unternehmen-IKT-Branche/IKT-U-Erhebung/info.html

Europäische Kommission – Enforcement and sanctions der DSGVO
Bußgeldrahmen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.
https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/enforcement-and-sanctions_en

Europäische Kommission – Navigating the AI Act
Sanktionsrahmen bestimmter Verstöße von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes sowie besondere Behandlung von KMU.
https://digital-strategy.ec.europa.eu/en/faqs/navigating-ai-act

Interessante Links

Datenschutzkonferenz – Orientierungshilfe Künstliche Intelligenz und Datenschutz
Praxisorientierte Hinweise der deutschen Datenschutzaufsichtsbehörden zur Auswahl, Einführung und Nutzung von KI-Systemen.
https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf

Europäische Kommission – Guidelines on transparency obligations for AI systems
Aktuelle Leitlinien vom Juli 2026 zu den seit August 2026 relevanten Transparenzanforderungen des AI Act.
https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems

Bundesministerium für Digitales und Staatsmodernisierung – Gesetz zur Durchführung der KI-Verordnung
Informationen zur deutschen Umsetzung und nationalen Aufsichtsstruktur für den EU AI Act.
https://bmds.bund.de/service/gesetzgebungsverfahren/gesetz-zur-durchfuehrung-der-ki-verordnung

Gilt die DSGVO auch für einen einfachen KI-Angebotsassistenten?

Das hängt von den verwendeten Daten ab. Arbeitet der Assistent ausschließlich mit anonymen Leistungspositionen, Produktinformationen und technischen Texten, kann die DSGVO kaum betroffen sein. Werden dagegen Kundenname, Anschrift, E-Mail-Verkehr oder andere personenbezogene Informationen verarbeitet, gelten die entsprechenden Datenschutzanforderungen. Deshalb sollte der Datenumfang bereits vor der technischen Umsetzung festgelegt werden.

Muss ein SHK-Betrieb seine Kunden auf einen KI-Chatbot hinweisen?

Bei einem interaktiven KI-System können seit dem 2. August 2026 Transparenzpflichten des EU AI Act greifen. Der Nutzer soll erkennen können, dass er mit einem KI-System kommuniziert. Zusätzlich benötigt der Betrieb für personenbezogene Angaben des Kunden eine datenschutzkonforme Verarbeitung, passende Informationen und gegebenenfalls Regelungen mit beteiligten technischen Dienstleistern.

Darf ein Monteur Kundendaten in ChatGPT oder andere KI-Dienste eingeben?

Das sollte nicht allein der einzelne Mitarbeiter entscheiden. Entscheidend sind freigegebener Dienst, Vertragsmodell, Datenverwendung, Speicherbedingungen, Unterauftragnehmer und mögliche Drittlandtransfers. In einer betrieblichen KI-Richtlinie sollte festgelegt werden, welche Systeme erlaubt sind und welche Daten dort verarbeitet werden dürfen. Besonders vollständige Kundenakten sollten nicht ungeprüft an externe KI-Dienste übertragen werden.

Ist KI-gestützte Einsatzplanung im SHK-Handwerk eine Hochrisiko-Anwendung?

Nicht jede Touren- oder Einsatzplanung wird dadurch automatisch zur Hochrisiko-Anwendung. Relevant wird insbesondere, ob das System Beschäftigte anhand ihres Verhaltens, persönlicher Merkmale oder ihrer Leistung bewertet oder auf dieser Basis arbeitsbezogene Entscheidungen beeinflusst. Eine reine logistische Assistenz anhand von Entfernung, Qualifikation und Verfügbarkeit ist daher anders zu beurteilen als automatisiertes Performance-Scoring.

Braucht ein SHK-Unternehmen einen eigenen AI Officer?

Der EU AI Act schreibt für normale Unternehmen nicht allgemein die Einrichtung eines eigenen AI Officers vor. Trotzdem sollte intern festgelegt sein, wer KI-Anwendungen freigibt, Anbieter bewertet, Risiken dokumentiert und Regeln aktualisiert. Bei einem mittelständischen Betrieb kann diese Aufgabe häufig in bestehende Verantwortlichkeiten für IT, Datenschutz, Geschäftsführung oder Prozessmanagement integriert werden.

Brauchen Mitarbeiter ein offizielles KI-Zertifikat?

Nach den aktuellen Hinweisen der europäischen Institutionen ist für die allgemeine KI-Kompetenzpflicht kein bestimmtes Zertifikat vorgeschrieben. Betriebe können beispielsweise interne Schulungen, konkrete Nutzungsregeln und dokumentierte Unterweisungen einsetzen. Entscheidend ist, dass die Maßnahmen zum tatsächlichen Anwendungsfall passen. Ein Monteur benötigt deshalb andere Inhalte als ein Mitarbeiter, der KI für Personalentscheidungen oder Systemadministration nutzt.

Wann ist bei einem KI-Projekt eine Datenschutz-Folgenabschätzung notwendig?

Eine Datenschutz-Folgenabschätzung wird relevant, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursacht. Typische Indikatoren können umfangreiche automatisierte Bewertungen, Profiling, sensible Daten oder systematische Überwachung sein. Für einfache Textassistenz ist sie daher nicht automatisch erforderlich, während umfangreiche KI-gestützte Mitarbeiterüberwachung eine wesentlich intensivere Prüfung verlangen kann.

Sind technische Heizungs- und Gebäudedaten immer personenbezogene Daten?

Nein. Reine technische Messwerte ohne Bezug zu einer identifizierten oder identifizierbaren Person fallen nicht automatisch unter die DSGVO. Anders kann es aussehen, wenn Verbrauchs-, Nutzungs- oder Sensordaten einem konkreten Haushalt, Mieter oder Eigentümer zugeordnet werden können. Bei Smart-Building-Anwendungen sollte deshalb geprüft werden, ob über technische Daten Rückschlüsse auf Personen möglich werden.

Was sollte ein SHK-Betrieb als Erstes dokumentieren?

Ein sinnvoller Start ist ein Verzeichnis der tatsächlich verwendeten KI-Anwendungen. Zu jeder Anwendung sollten Zweck, Nutzergruppe, verwendete Daten, Anbieter, betroffene Personen, automatisierte Entscheidungen und vorgesehene menschliche Kontrolle festgehalten werden. Daraus lässt sich anschließend ableiten, welche Anwendungen lediglich einfache Nutzungsregeln benötigen und welche eine vertiefte Datenschutz- oder AI-Act-Prüfung verlangen.

Können DSGVO und AI Act gleichzeitig auf dieselbe Anwendung angewendet werden?

Ja. Beide Regelwerke verfolgen unterschiedliche Schwerpunkte und können parallel gelten. Ein KI-System zur Mitarbeiterbewertung kann beispielsweise personenbezogene Daten nach der DSGVO verarbeiten und gleichzeitig aufgrund seines arbeitsbezogenen Einsatzzwecks unter besondere Regeln des AI Act fallen. Die Einhaltung eines Regelwerks ersetzt deshalb nicht automatisch die Anforderungen des jeweils anderen.