DSGVO und KI konkret: Der ultimative Guide für Unternehmen

DSGVO und KI konkret bedeutet: Unternehmen dürfen KI nutzen, aber nicht beliebig, nicht heimlich und nicht ohne Zweck, Rechtsgrundlage, Schutzmaßnahmen und klare Regeln. Kundendaten, Mitarbeiterdaten und vertrauliche Inhalte gehören nur in freigegebene Systeme. Wer KI sauber einführt, braucht Tool-Freigaben, Schulung, Betriebsrat, Datenschutzprüfung und eine verständliche KI-Richtlinie.

Warum ist DSGVO und KI kein reines Datenschutzthema mehr?

Die Frage nach DSGVO und KI konkret ist im Mittelstand inzwischen eine operative Führungsfrage. Es geht nicht nur um Datenschutz. Es geht um Vertrieb, Service, HR, IT, Marketing, Projektarbeit, Kundenkommunikation und interne Wissensarbeit. Sobald Mitarbeiter ChatGPT, Copilot, Gemini, Claude, Perplexity oder andere KI-Werkzeuge nutzen, entstehen neue Datenflüsse. Manche sind harmlos. Manche sind riskant. Manche sind ohne klare Regeln schlicht nicht vertretbar.

Der zentrale Fehler vieler Unternehmen liegt darin, KI entweder komplett zu verbieten oder komplett laufen zu lassen. Beides ist selten sinnvoll. Ein Totalverbot führt oft zu Shadow AI: Mitarbeiter nutzen private Accounts, weil sie ihre Arbeit schneller erledigen wollen. Eine ungeprüfte Freigabe führt dagegen dazu, dass Kundendaten, interne Kalkulationen, Mitarbeiterinformationen oder vertrauliche Dokumente in Tools landen, deren Nutzung niemand wirklich geprüft hat.

Die deutsche Datenschutzkonferenz hat 2024 eine Orientierungshilfe zu KI und Datenschutz veröffentlicht, die Unternehmen bei Auswahl, Einführung und Nutzung von KI-Systemen unterstützen soll. Der Fokus liegt nicht auf abstrakter Technik, sondern auf Verantwortlichkeit, Zweck, Rechtsgrundlage, Transparenz, Risikobewertung und Datenschutz durch Technikgestaltung.  

Was darf man mit KI im Unternehmen grundsätzlich tun?

Unternehmen dürfen KI einsetzen, wenn sie die datenschutzrechtlichen Anforderungen erfüllen. Das klingt trocken, ist aber praktisch gut übersetzbar: Ein Unternehmen muss wissen, welches Tool genutzt wird, wofür es genutzt wird, welche Daten verarbeitet werden, wer Zugriff hat, ob personenbezogene Daten betroffen sind, welche Rechtsgrundlage gilt und ob der Anbieter vertraglich sauber eingebunden ist.

Unproblematisch sind häufig Aufgaben ohne personenbezogene oder vertrauliche Daten. Zum Beispiel: eine allgemeine Gliederung für einen Blogartikel, eine neutrale E-Mail-Vorlage, ein Konzept für eine interne Schulung, eine technische Erklärung ohne Kundendaten, eine Checkliste oder eine Zusammenfassung eines selbst formulierten, anonymisierten Sachverhalts.

Sobald reale Namen, E-Mail-Adressen, Kundennummern, Angebotsdaten, Vertragsinhalte, Bewerberdaten, Gesundheitsdaten, interne Beschwerden, Personalgespräche oder Projektinterna verarbeitet werden, wird es ernst. Dann braucht es eine bewusste Freigabe. Nicht jede KI ist dafür ungeeignet, aber sie muss passend ausgewählt und geregelt sein.

Darf man Kundendaten in ChatGPT eingeben?

Die saubere Antwort lautet: nicht einfach so. Kundendaten dürfen nur dann in ChatGPT oder ein anderes KI-System eingegeben werden, wenn die konkrete Nutzung geprüft und freigegeben ist. Entscheidend sind Tarif, Vertrag, Datenverwendung, Speicherfristen, technische Schutzmaßnahmen, Drittlandtransfer, Auftragsverarbeitung, Löschkonzept und interner Zweck.

Ein Beispiel: „Schreibe eine freundlichere Antwort an Herrn Müller, Kundennummer 4711, wegen Reklamation zu Auftrag XY“ ist datenschutzrechtlich etwas völlig anderes als „Formuliere eine neutrale Antwort auf eine Kundenreklamation, ohne personenbezogene Daten“. Im zweiten Fall wird KI als Formulierungshilfe genutzt. Im ersten Fall verarbeitet das Tool konkrete personenbezogene und geschäftliche Daten.

Für den Mittelstand ist die praktikable Regel: Kundendaten gehören nur in freigegebene KI-Systeme. Wenn kein freigegebenes System vorhanden ist, sollten Mitarbeiter mit Platzhaltern, anonymisierten Beispielen oder abstrakten Sachverhalten arbeiten. Das ist nicht perfekt, aber deutlich besser als unkontrollierte Eingaben in private Accounts.

Ist ChatGPT DSGVO-konform?

ChatGPT ist nicht pauschal DSGVO-konform oder pauschal DSGVO-widrig. Entscheidend ist die konkrete Nutzung. OpenAI beschreibt für Business- und Enterprise-Angebote, dass Geschäftsdaten standardmäßig nicht zum Training verwendet werden und Unternehmen Kontrolle über ihre Daten behalten. Trotzdem muss ein Unternehmen prüfen, ob der konkrete Vertrag, die Einstellungen, der Einsatzzweck und die Datenarten zur eigenen Datenschutzdokumentation passen.  

Für private oder frei zugängliche Accounts gelten andere Risiken als für Business- oder Enterprise-Umgebungen. Wer Mitarbeiter einfach private Accounts nutzen lässt, verliert Kontrolle über Daten, Rollen, Protokolle und Unternehmenswissen. Wer dagegen eine Unternehmensumgebung einführt, klare Regeln definiert und sensible Daten trennt, kann viele Risiken deutlich reduzieren.

Die entscheidende Frage lautet also nicht: „Ist ChatGPT DSGVO-konform?“ Die bessere Frage lautet: „Für welche Daten, welchen Zweck, welche Nutzergruppe und mit welchem Vertrag wollen wir ChatGPT einsetzen?“

Was darf man mit KI nicht tun?

Nicht erlaubt oder zumindest hochriskant ist die unkontrollierte Verarbeitung personenbezogener Daten ohne Rechtsgrundlage, Zweckbindung und Schutzmaßnahmen. Dazu gehört vor allem das Kopieren sensibler Kundenvorgänge, Bewerbungen, Personalakten, Krankmeldungen, Beschwerden oder interner Konflikte in nicht freigegebene KI-Systeme.

Ebenfalls problematisch ist die verdeckte Leistungs- oder Verhaltenskontrolle von Mitarbeitern. Wenn ein KI-System Arbeitsleistung bewertet, Schreibverhalten analysiert, Tickets priorisiert, Produktivität misst oder Kommunikation auswertet, entstehen arbeitsrechtliche und mitbestimmungsrechtliche Fragen.

Auch Kundenkommunikation darf nicht irreführend werden. Wenn KI Antworten im Namen des Unternehmens formuliert, müssen Inhalte geprüft werden. Falsche Zusagen, erfundene Rechtsaussagen, unklare Verantwortlichkeiten oder automatisierte Ablehnungen können schnell zu Haftungs- und Vertrauensproblemen führen.

Welche typischen Fehler passieren bei KI und Datenschutz?

Viele Fehler entstehen nicht aus böser Absicht, sondern aus Bequemlichkeit. Ein Mitarbeiter will eine Kundenmail schneller schreiben. Eine Führungskraft will ein schwieriges Mitarbeitergespräch strukturieren. Ein Vertriebler lädt eine Ausschreibung hoch. Ein Projektleiter lässt ein Protokoll zusammenfassen. Alles klingt harmlos. Bis klar wird, dass personenbezogene Daten, vertrauliche Preise, interne Bewertungen oder Kundengeheimnisse verarbeitet wurden.

Typische Fehler sind:

Welche Rolle spielt der Betriebsrat bei KI?

Der Betriebsrat ist bei KI kein formaler Störfaktor, sondern ein wichtiger Teil einer belastbaren Einführung. Das Bundesministerium für Arbeit und Soziales weist darauf hin, dass Betriebsräte beim KI-Einsatz im Betrieb eine wichtige Rolle haben und Technik über Mitbestimmungsrechte mitgestalten können.  

Besonders relevant wird die Mitbestimmung, wenn KI-Systeme geeignet sind, Verhalten oder Leistung von Arbeitnehmern zu überwachen. Juristische Einordnungen verweisen hier regelmäßig auf § 87 Abs. 1 Nr. 6 BetrVG. Bei software- oder webbasierten KI-Anwendungen kann dieses Thema schnell berührt sein, wenn Nutzungsdaten, Produktivität, Kommunikationsverhalten oder Arbeitsergebnisse ausgewertet werden.  

Für den Mittelstand heißt das: Betriebsrat früh einbinden, nicht erst nach der Tool-Auswahl. Wer erst Lizenzen kauft und dann die Mitbestimmung klärt, erzeugt Misstrauen. Besser ist ein gemeinsames Bild: Welche Tools? Welche Zwecke? Welche Daten? Welche Kontrollen? Welche Grenzen? Welche Schulung?

Wann braucht ein Unternehmen eine Datenschutzfolgenabschätzung?

Eine Datenschutzfolgenabschätzung, kurz DSFA, wird relevant, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen mit sich bringt. Bei KI kann das besonders dann der Fall sein, wenn Mitarbeiterdaten, Kundenprofile, automatisierte Entscheidungen, umfangreiche Auswertungen, sensible Daten oder Überwachungsfunktionen betroffen sind.

Nicht jede KI-Nutzung braucht automatisch eine DSFA. Eine allgemeine Textvorlage ohne personenbezogene Daten ist etwas anderes als ein KI-System, das Bewerber vorsortiert, Kundenverhalten bewertet, Supportfälle priorisiert oder Mitarbeiterleistung analysiert. Entscheidend sind Zweck, Datenumfang, Betroffenengruppe, Automatisierungsgrad, Transparenz und mögliche Auswirkungen.

Praktisch sollte jedes Unternehmen vor der Einführung mindestens eine strukturierte Datenschutzprüfung durchführen. Daraus ergibt sich, ob eine DSFA notwendig ist. Diese Vorprüfung ist oft wichtiger als die theoretische Debatte, weil sie sichtbar macht, welche Daten wirklich betroffen sind.

Warum reicht eine KI-Richtlinie allein nicht aus?

Eine KI-Richtlinie ist notwendig, aber sie ist nur Papier, wenn sie nicht verstanden und umgesetzt wird. Viele Richtlinien scheitern daran, dass sie zu abstrakt sind. Mitarbeiter brauchen keine juristische Abhandlung. Sie brauchen klare Antworten: Welches Tool darf ich nutzen? Welche Daten darf ich eingeben? Wann muss ich anonymisieren? Wann muss ich nachfragen? Welche Ergebnisse darf ich direkt verwenden? Was muss geprüft werden?

Eine gute KI-Richtlinie enthält mindestens diese Elemente: erlaubte Tools, verbotene Tools, Datenklassen, Beispiele, Freigabeprozess, Verantwortliche, Dokumentationspflichten, Regeln für Kundenkommunikation, Regeln für interne Dokumente, Umgang mit Fehlern und Konsequenzen bei Verstößen.

Noch besser ist eine kurze Ampellogik. Grün: allgemeine Texte, anonymisierte Beispiele, interne Entwürfe ohne Personenbezug. Gelb: Kundenvorgänge, Vertragsinhalte, technische Dokumente, interne Analysen. Rot: Gesundheitsdaten, Personalakten, Bewerberdaten, Passwörter, Geschäftsgeheimnisse, vertrauliche Kundendaten ohne Freigabe.

Wie sollten Mitarbeiter geschult werden?

Mitarbeiterschulung muss praktisch sein. Niemand braucht eine zweistündige Folienvorlesung über alle Artikel der DSGVO. Was Teams brauchen, sind echte Situationen aus ihrem Alltag. Vertrieb, Service, HR, IT, Marketing und Geschäftsführung nutzen KI unterschiedlich. Deshalb sollten Schulungen nicht nur erklären, was verboten ist, sondern zeigen, wie KI sicher genutzt werden kann.

Gute Schulungen arbeiten mit konkreten Beispielen: eine Kundenmail anonymisieren, eine Ausschreibung zusammenfassen, eine interne Prozessbeschreibung verbessern, eine Supportantwort prüfen, ein Meetingprotokoll bereinigen, eine technische Anleitung formulieren. Dazu gehört auch die Fähigkeit, KI-Ergebnisse kritisch zu prüfen.

Der wichtigste Satz in jeder Schulung lautet: KI ist kein vertraulicher Kollege. KI ist ein Werkzeug mit Datenverarbeitung. Genau dieser Perspektivwechsel verhindert viele Fehler.

Wie sollte Kundenkommunikation mit KI geregelt werden?

Kundenkommunikation ist besonders sensibel, weil sie nach außen wirkt. Wenn KI eine interne Formulierung vorbereitet, ist das meist unkritischer als eine automatisierte Antwort an Kunden. Je näher KI an verbindliche Aussagen, Preise, Termine, Reklamationen, Vertragsfragen oder Beschwerden kommt, desto stärker muss geprüft werden.

Unternehmen sollten festlegen, wann KI nur entwerfen darf und wann automatisierte Kommunikation erlaubt ist. In vielen mittelständischen Prozessen ist der sichere Einstieg: KI erstellt Vorschläge, Menschen prüfen und senden. Vollautomatische Kommunikation sollte nur dort eingesetzt werden, wo Inhalte begrenzt, getestet und nachvollziehbar sind.

Wichtig ist auch Transparenz. Nicht jede KI-Unterstützung muss groß angekündigt werden. Aber wenn Kunden direkt mit einem KI-System interagieren, sollte klar sein, dass sie nicht mit einem Menschen sprechen. Außerdem muss es einen einfachen Weg zu einem menschlichen Ansprechpartner geben.

Welche Kennzahlen zeigen, warum KI-Governance jetzt wichtig ist?

1. Laut Bitkom bewerten 97 Prozent der deutschen Unternehmen den Aufwand für Datenschutz als sehr hoch oder eher hoch.
   Quelle: Bitkom, Datenschutz in der deutschen Wirtschaft
   https://www.bitkom.org/sites/main/files/2026-02/bitkom-studienbericht-datenschutz.pdf
2. Im Vergleich zum Vorjahr ist der Datenschutzaufwand laut Bitkom bei 69 Prozent der Unternehmen gestiegen.
   Quelle: Bitkom, Datenschutz in der deutschen Wirtschaft
   https://www.bitkom.org/sites/main/files/2026-02/bitkom-studienbericht-datenschutz.pdf
3. Der EU AI Act trat am 1. August 2024 in Kraft und wird grundsätzlich ab 2. August 2026 vollständig anwendbar.
   Quelle: Europäische Kommission, AI Act
   https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
4. IBM beziffert die globalen durchschnittlichen Kosten einer Datenschutzverletzung 2025 auf 4,44 Millionen US-Dollar.
   Quelle: IBM, Cost of a Data Breach Report 2025
   https://www.ibm.com/reports/data-breach

Interessante Links

Datenschutzkonferenz – Orientierungshilfen zu Künstlicher Intelligenz und Datenschutz
https://www.datenschutzkonferenz-online.de/orientierungshilfen.html

European Data Protection Board – Opinion 28/2024 on AI Models and GDPR
https://www.edpb.europa.eu/news/news/2024/edpb-opinion-ai-models-gdpr-principles-support-responsible-ai_en

Bundesministerium für Arbeit und Soziales – KI-Einsatz im Betrieb
https://www.bmas.de/DE/Service/Publikationen/Broschueren/inqa-109-ki-einsatz-im-betrieb.html

Darf man Kundendaten in ChatGPT eingeben?

Kundendaten sollten nicht in private oder nicht freigegebene KI-Tools eingegeben werden. Zulässig kann eine Verarbeitung nur sein, wenn Zweck, Rechtsgrundlage, Vertrag, Anbieterprüfung, Schutzmaßnahmen und interne Freigabe geklärt sind. In der Praxis sollten Mitarbeiter mit anonymisierten Beispielen, Platzhaltern oder freigegebenen Unternehmenslösungen arbeiten.

Ist ChatGPT DSGVO-konform?

ChatGPT ist nicht pauschal DSGVO-konform oder pauschal unzulässig. Entscheidend ist, welche Version genutzt wird, welche Daten verarbeitet werden, welche Verträge gelten und welche Einstellungen aktiv sind. Unternehmensversionen können besser kontrollierbar sein als private Accounts. Trotzdem braucht jedes Unternehmen eine eigene Prüfung und klare Nutzungsregeln.

Welche KI-Tools dürfen Mitarbeiter nutzen?

Mitarbeiter sollten nur KI-Tools nutzen, die vom Unternehmen geprüft und freigegeben wurden. Eine gute Freigabeliste unterscheidet zwischen erlaubten, eingeschränkt erlaubten und verbotenen Tools. Zusätzlich sollte geregelt sein, welche Datenklassen verarbeitet werden dürfen und wann eine Rückfrage bei Datenschutz, IT oder Führung notwendig ist.

Wie erstellt man eine KI-Richtlinie für Unternehmen?

Eine KI-Richtlinie sollte kurz, verständlich und praktisch sein. Sie braucht klare Tool-Freigaben, Datenklassen, Beispiele, Regeln für Kundenkommunikation, Vorgaben zur Prüfung von Ergebnissen und einen Prozess für neue Tools. Wichtig ist eine Sprache, die Mitarbeiter im Alltag verstehen, nicht nur eine juristische Formulierung für die Ablage.

Wann muss der Betriebsrat bei KI eingebunden werden?

Der Betriebsrat sollte früh eingebunden werden, besonders wenn KI-Systeme Arbeitsabläufe verändern oder zur Auswertung von Verhalten und Leistung geeignet sind. Relevant können Mitbestimmungsrechte nach dem Betriebsverfassungsgesetz sein. Frühzeitige Einbindung schafft Vertrauen und verhindert, dass ein fachlich sinnvolles KI-Projekt später organisatorisch blockiert wird.

Wann braucht man eine Datenschutzfolgenabschätzung für KI?

Eine Datenschutzfolgenabschätzung wird relevant, wenn KI voraussichtlich ein hohes Risiko für Personen erzeugt. Das kann bei sensiblen Daten, Mitarbeiterbewertung, Profiling, automatisierten Entscheidungen oder umfangreicher Auswertung personenbezogener Daten der Fall sein. Nicht jedes KI-Tool braucht automatisch eine DSFA, aber jedes relevante Vorhaben braucht eine strukturierte Vorprüfung.

Welche typischen Datenschutzfehler passieren bei KI?

Typische Fehler sind private KI-Accounts, direkte Eingabe von Kundendaten, fehlende Tool-Freigaben, ungeprüfte KI-Ergebnisse, unklare Zuständigkeiten und fehlende Schulung. Besonders riskant ist Shadow AI, weil Unternehmen dann weder wissen, welche Daten verarbeitet werden, noch welche Ergebnisse in Kundenkommunikation oder interne Entscheidungen einfließen.

Wie sollte KI in der Kundenkommunikation genutzt werden?

KI sollte in der Kundenkommunikation zunächst als Entwurfs- und Unterstützungssystem genutzt werden. Kritische Aussagen zu Preisen, Verträgen, Reklamationen, Fristen oder Haftung müssen geprüft werden. Wenn Kunden direkt mit KI interagieren, sollte das transparent sein und es sollte immer eine Möglichkeit geben, einen menschlichen Ansprechpartner zu erreichen.