Das Wichtigste in Kürze

  • Prüfe, ob dein KI-Tool personenbezogene Daten verarbeitet.
  • Schließe einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter ab.
  • Dokumentiere alle Maßnahmen für den Datenschutz-Nachweis.

Du sitzt im Büro, die Auftragslage ist gut, aber die E-Mails stapeln sich. Du denkst: "Jetzt hol ich mir KI, die schreibt die Angebote, erstellt die Rechnungen, beantwortet Kundenanfragen." Die Tools sind verlockend, doch dann kommt der Gedanke: Darf ich das überhaupt? Deine Kunden, Lieferanten und Mitarbeiter haben Rechte, und die Datenschutz-Grundverordnung (DSGVO) macht klare Vorgaben. Gerade als kleines oder mittleres Unternehmen (KMU) willst du keine Abmahnung riskieren.

Der Artikel zeigt dir, worauf es beim Einsatz von KI-Tools ankommt, damit du DSGVO-konform handelst. Du lernst, wie du Drittland-Transfers erkennst, was eine gültige Einwilligung ist und welche Nachweise du führen musst. Du bekommst konkrete Schritte, die du ab morgen umsetzen kannst – ohne Jurastudium und ohne Angst. So nutzt du die Vorteile der KI und schützt gleichzeitig die Daten deiner Kunden und dein Unternehmen.

Prüfe zuerst, ob dein KI-Tool personenbezogene Daten verarbeitet

Viele KI-Tools versprechen Effizienz, aber nicht alle verarbeiten personenbezogene Daten. Ein Tool, das nur interne Notizen umformuliert, ohne Namen oder Kontaktdaten zu verwenden, fällt oft nicht unter die DSGVO. Anders sieht es aus, wenn du Kundennamen, E-Mail-Adressen oder Telefonnummern in ein KI-System eingibst. Dann greift die DSGVO in vollem Umfang. Du musst also zuerst klären: Was genau fütterst du in das Tool?

Nimm dir eine Liste deiner geplanten KI-Anwendungen und schreibe auf, welche Daten jeweils einfließen. Das können Stammdaten, Kommunikationsinhalte oder sogar Fotos sein. Wenn du unsicher bist, ob ein Datum personenbezogen ist, behandle es im Zweifel als personenbezogen. Diese Bestandsaufnahme ist die Basis für alle weiteren Schritte. Sie hilft dir auch, den Umfang der Verarbeitung zu dokumentieren, was später für die Nachweise wichtig ist.

  • Erstelle eine Liste aller KI-Tools, die du einsetzen willst, und notiere, welche Daten sie erhalten.
  • Prüfe, ob die Daten direkt oder indirekt einer Person zugeordnet werden können.
  • Falls du unsicher bist, behandle die Daten als personenbezogen und wende die DSGVO an.
  • Dokumentiere die Ergebnisse deiner Prüfung in einem einfachen Dokument.
Praxistipp: Nutze eine Tabellenvorlage, um jede KI-Anwendung mit Datenkategorien, Zweck und Rechtsgrundlage festzuhalten.

Drittland-Transfer: Daten fließen oft in die USA oder nach Asien

Viele KI-Tools haben ihren Server in den USA oder in anderen Ländern außerhalb der EU. Das ist ein Drittland-Transfer im Sinne der DSGVO. Die USA gelten nicht als Land mit angemessenem Datenschutzniveau. Der EuGH hat mit dem Urteil "Schrems II" den Datenfluss in die USA stark eingeschränkt. Es gibt aber einen Ausweg: den Angemessenheitsbeschluss für Unternehmen, die sich dem Data Privacy Framework (DPF) angeschlossen haben. Das DPF ist ein Abkommen zwischen der EU und den USA, das einen sicheren Datentransfer ermöglichen soll.

Du musst also prüfen, ob dein KI-Anbieter unter das DPF fällt. Das erkennst du an der Eintragung in der DPF-Liste des US-Handelsministeriums. Wenn der Anbieter nicht gelistet ist, brauchst du sogenannte Standardvertragsklauseln (SCCs). Das sind von der EU-Kommission bereitgestellte Vertragstexte, die du mit dem Anbieter abschließen kannst. Zusätzlich sind oft technische Maßnahmen nötig, wie Verschlüsselung. Das klingt komplex, aber du kannst es Schritt für Schritt abarbeiten.

  • Frag den Anbieter, in welchem Land die Daten verarbeitet werden.
  • Such den Anbieter in der DPF-Liste des US-Handelsministeriums.
  • Falls nicht gelistet: Fordere Standardvertragsklauseln (SCCs) an.
  • Prüfe, ob der Anbieter zusätzliche technische Maßnahmen wie Verschlüsselung anbietet.
  • Dokumentiere deine Prüfung und die Entscheidung.
Praxistipp: Speichere den Nachweis der DPF-Zertifizierung oder die SCCs als PDF in deinem Datenschutzordner.

Einwilligung: Wann du sie brauchst und wie du sie einholst

Nicht jede KI-Verarbeitung braucht eine Einwilligung. Oft hast du eine andere Rechtsgrundlage, etwa die Vertragserfüllung oder dein berechtigtes Interesse. Das gilt zum Beispiel, wenn du KI für die Buchhaltung nutzt und die Daten zur Rechnungsstellung erforderlich sind. Eine Einwilligung ist dann nötig, wenn du Daten für Zwecke verarbeitest, die nicht direkt mit deinem Vertrag zu tun haben, etwa für Marketing-Analysen oder die Erstellung von Kundenprofilen.

Wenn du eine Einwilligung brauchst, muss sie freiwillig, informiert und eindeutig sein. Das heißt: Du musst deine Kunden klar darüber informieren, welche Daten du mit welchem KI-Tool verarbeitest und zu welchem Zweck. Die Einwilligung muss aktiv erteilt werden, also per Klick oder Unterschrift – nicht durch vorangekreuzte Kästchen. Zudem muss der Kunde sie jederzeit widerrufen können. Das ist ein hoher Aufwand, aber im Zweifel die sicherste Variante.

  • Prüfe, ob du eine Einwilligung brauchst oder ob eine andere Rechtsgrundlage greift.
  • Formuliere eine klare Datenschutzerklärung, die die KI-Nutzung beschreibt.
  • Gestalte das Einwilligungsformular so, dass der Nutzer aktiv zustimmen muss.
  • Speichere den Nachweis der Einwilligung (Zeitpunkt, Inhalt, Version).
Praxistipp: Baue in dein Formular einen Link zu deiner Datenschutzerklärung ein und dokumentiere die Version.

Auftragsverarbeitung: Der Vertrag mit dem KI-Anbieter

Wenn du ein KI-Tool nutzt, das Daten in deinem Auftrag verarbeitet, ist der Anbieter ein Auftragsverarbeiter. Mit ihm musst du einen Auftragsverarbeitungsvertrag (AVV) abschließen. Das ist gesetzlich vorgeschrieben und dient deiner Absicherung. Der AVV regelt unter anderem, welche Daten verarbeitet werden, wie sie geschützt werden und was mit ihnen nach Vertragsende passiert. Viele Anbieter stellen einen solchen Vertrag auf ihrer Website bereit – du musst ihn nur anfordern und unterschreiben.

Achte darauf, dass der AVV auch die Einhaltung der DSGVO durch den Anbieter bestätigt. Er muss zudem die technischen und organisatorischen Maßnahmen (TOMs) beschreiben, die der Anbieter zum Schutz der Daten ergreift. Dazu gehören Verschlüsselung, Zugriffskontrollen und regelmäßige Sicherheitsupdates. Prüfe, ob diese Maßnahmen für deine Daten ausreichend sind. Wenn du Zweifel hast, frag nach oder such dir einen anderen Anbieter. Ein AVV ist kein Selbstläufer, sondern ein wichtiges Dokument.

  • Fordere vom Anbieter den Auftragsverarbeitungsvertrag (AVV) an.
  • Prüfe, ob der AVV die wesentlichen Punkte der DSGVO abdeckt.
  • Lass dir die technisch-organisatorischen Maßnahmen (TOMs) schriftlich geben.
  • Unterschreibe den Vertrag und archiviere ihn in deinem Datenschutzordner.
Praxistipp: Nutze die Muster-AVV der Aufsichtsbehörden als Vergleich, um die Qualität des Anbietervertrags zu prüfen.

Nachweise führen: So dokumentierst du DSGVO-Konformität

Die DSGVO verlangt, dass du die Einhaltung der Datenschutzregeln nachweisen kannst. Das bedeutet: Du musst dokumentieren, welche KI-Tools du einsetzt, auf welcher Rechtsgrundlage und mit welchen Schutzmaßnahmen. Diese Nachweise sind wichtig, falls eine Aufsichtsbehörde nachfragt oder ein Kunde Auskunft verlangt. Ohne Dokumentation kannst du im Zweifel nicht beweisen, dass du dich an die Regeln gehalten hast – und das kann teuer werden.

Führe ein Verarbeitungsverzeichnis, in dem du alle KI-Anwendungen auflistest. Das muss nicht kompliziert sein: eine Tabelle mit Tool, Anbieter, Datenkategorien, Zweck, Rechtsgrundlage, Drittlandstatus und Maßnahmen. Aktualisiere das Verzeichnis regelmäßig, mindestens einmal im Jahr oder wenn sich etwas ändert. Ergänze die Einwilligungsnachweise und die AVVs. So bist du auf der sicheren Seite und kannst bei Fragen schnell reagieren.

  • Erstelle ein Verarbeitungsverzeichnis für alle KI-Tools.
  • Dokumentiere für jede Anwendung die Rechtsgrundlage und den Drittlandstatus.
  • Archiviere AVVs, Einwilligungsnachweise und DPF-Zertifikate an einem Ort.
  • Aktualisiere das Verzeichnis mindestens jährlich oder bei Änderungen.
Praxistipp: Setze dir eine Erinnerung im Kalender, um das Verzeichnis einmal im Jahr zu prüfen.

Fazit

KI-Tools bieten auch kleinen Betrieben große Chancen, aber nur wenn du die DSGVO im Blick behältst. Die Prüfung, ob personenbezogene Daten verarbeitet werden, der Blick auf den Drittland-Transfer, die Einwilligung, der Auftragsverarbeitungsvertrag und die Dokumentation sind keine unüberwindbaren Hürden. Mit strukturiertem Vorgehen und einfachen Vorlagen kannst du die Anforderungen erfüllen. Der Aufwand zahlt sich aus: Du vermeidest Abmahnungen, baust Vertrauen bei Kunden auf und kannst KI sorgenfrei nutzen. Fang noch heute mit der Bestandsaufnahme an.

Passend dazu

Häufige Fragen

Was passiert, wenn ich KI-Tools ohne DSGVO-Konformität nutze?

Wenn du personenbezogene Daten ohne Rechtsgrundlage oder ohne Auftragsverarbeitungsvertrag verarbeitest, drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % deines Jahresumsatzes. Zudem können Kunden Schadensersatz fordern. In der Praxis werden bei KMU oft erst niedrigere Bußgelder verhängt, aber das Risiko ist real. Auch ein Reputationsschaden ist möglich, wenn ein Datenschutzverstoß öffentlich wird.

Reicht es, wenn der KI-Anbieter seinen Sitz in der EU hat?

Ein Sitz in der EU ist ein gutes Zeichen, aber nicht automatisch ein Freibrief. Auch EU-Anbieter können Daten in Drittländer übertragen, zum Beispiel durch Unterauftragnehmer. Du musst also trotzdem prüfen, ob der Anbieter selbst oder seine Subunternehmer Daten außerhalb der EU verarbeiten. Frage direkt nach und lass dir die Serverstandorte bestätigen.

Muss ich für jede KI-Nutzung eine Einwilligung einholen?

Nein, nur wenn du keine andere Rechtsgrundlage hast. Für viele Zwecke reicht das berechtigte Interesse oder die Vertragserfüllung. Eine Einwilligung ist nötig, wenn du Daten für Zwecke nutzt, die nicht unbedingt erforderlich sind, wie etwa für personalisierte Werbung oder Profilbildung. Prüfe immer, ob es eine weniger eingreifende Möglichkeit gibt.

Wie finde ich heraus, ob ein KI-Anbieter dem Data Privacy Framework (DPF) angehört?

Das US-Handelsministerium führt eine öffentliche Liste aller zertifizierten Unternehmen. Du kannst auf der offiziellen Website nach dem Namen des Anbieters suchen. Wenn du ihn dort findest, ist der Datentransfer in die USA unter bestimmten Bedingungen erlaubt. Wenn nicht, brauchst du Standardvertragsklauseln und gegebenenfalls zusätzliche Maßnahmen. Diese Liste wird regelmäßig aktualisiert.