DSGVO-konforme KI: Was Unternehmen 2026 wissen müssen
Der praktische Leitfaden für KMU — ohne Juristendeutsch.
Das Problem: KI ja, aber wie?
Jedes dritte Unternehmen in Deutschland nutzt bereits KI-Tools im Arbeitsalltag. ChatGPT für E-Mails, Copilot für Dokumente, automatisierte Kundenanfragen per Chatbot. Die Produktivitätsgewinne sind real — 10 bis 20 Stunden pro Woche sind keine Seltenheit.
Gleichzeitig wächst die Unsicherheit: Darf ich das überhaupt? Was passiert mit den Daten, die ich in ChatGPT eingebe? Wo liegen die Server? Und was sagt der Datenschutzbeauftragte dazu?
Die Antwort ist nicht "KI vermeiden". Die Antwort ist: KI richtig einsetzen.
Was die DSGVO von KI-Nutzern verlangt
Die DSGVO ist keine KI-Verordnung. Sie regelt den Umgang mit personenbezogenen Daten — unabhängig davon, ob ein Mensch oder eine Maschine sie verarbeitet. Für den KI-Einsatz bedeutet das:
1. Verarbeitungsgrundlage klären
Bevor KI personenbezogene Daten verarbeitet, brauchst du eine Rechtsgrundlage. In der Praxis relevant:
- Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Der Betroffene stimmt zu. Beispiel: Kunde willigt ein, dass sein Anliegen per KI beantwortet wird.
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Die Verarbeitung ist für deinen Geschäftsbetrieb notwendig und überwiegt die Interessen des Betroffenen. Beispiel: Interne E-Mail-Kategorisierung.
- Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist nötig, um einen Vertrag zu erfüllen. Beispiel: Automatische Terminbestätigung.
2. Auftragsverarbeitung (AVV) abschließen
Wenn du einen KI-Dienst nutzt, der Daten in deinem Auftrag verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag. Das gilt für:
- Cloud-basierte KI-Dienste (ChatGPT, Copilot, Claude)
- KI-Plugins in deiner Software
- Externe Chatbots auf deiner Website
3. Datensparsamkeit beachten
Die DSGVO verlangt, dass du nur die Daten verarbeitest, die wirklich nötig sind. Für KI bedeutet das:
- Keine vollständigen Kundendatensätze an KI-Modelle senden, wenn nur der Name und das Anliegen relevant sind
- Anonymisierung oder Pseudonymisierung, wo möglich
- Keine sensiblen Daten (Gesundheit, Religion, Finanzen) ohne besondere Schutzmaßnahmen
4. Transparenz & Information
Betroffene müssen wissen, dass KI im Spiel ist. Das heißt:
- Datenschutzerklärung aktualisieren (welche KI-Tools, welcher Zweck, welche Daten)
- Bei automatisierten Entscheidungen: Recht auf menschliche Überprüfung (Art. 22 DSGVO)
- Chatbots als solche kennzeichnen
Der EU AI Act: Was ab 2026 gilt
Seit Februar 2025 ist der EU AI Act in Kraft. Die Umsetzung erfolgt schrittweise, aber KMU sollten schon jetzt wissen, was auf sie zukommt:
Risikoklassen
Der AI Act teilt KI-Systeme in vier Risikoklassen ein:
| Risiko | Beispiele | Pflichten |
|---|---|---|
| Unakzeptabel | Social Scoring, Manipulation | Verboten |
| Hoch | Kreditwürdigkeitsprüfung, Personalauswahl | Registrierung, Dokumentation, Aufsicht |
| Begrenzt | Chatbots, Deepfakes | Transparenzpflichten |
| Minimal | E-Mail-Filter, Textgenerierung | Keine besonderen Pflichten |
Wichtig: Wenn du KI für Personalentscheidungen, Kreditprüfungen oder ähnliche Bewertungen einsetzt, ist das "Hoch" — mit erheblichen Dokumentationspflichten.
Transparenzpflicht für Chatbots
Ab August 2026 müssen alle Chatbots als KI gekennzeichnet werden. Nutzer müssen wissen, dass sie mit einer Maschine kommunizieren. Das gilt auch für E-Mail-Autoresponder, die KI-generierte Antworten senden.
Das US-Cloud-Problem — und warum die übliche Antwort zu teuer ist
Die größte praktische Hürde für DSGVO-konforme KI: Die meisten leistungsfähigen KI-Modelle werden in den USA betrieben.
- OpenAI (ChatGPT): US-Infrastruktur; Eingaben der Consumer-Produkte können in die Modellverbesserung fließen, Enterprise- und API-Tarife sind davon ausgenommen
- Google (Gemini): weltweite Infrastruktur, EU-Regionen über Google Cloud wählbar
- Microsoft (Copilot): EU-Datenresidenz möglich, aber nicht in jedem Produkt Standard
- Anthropic (Claude): über die eigene API US-Verarbeitung mit Auftragsverarbeitungsvertrag; über AWS oder Google Cloud auch in europäischen Regionen betreibbar
Vier Stufen statt einer Alles-oder-nichts-Frage
Zwischen „alles in die US-Cloud" und „eigene Hardware im Serverraum" liegen zwei Stufen, die die meisten überspringen:
Stufe 1 — Die Architektur ändern, nicht die Hardware kaufen.
Das Modell bekommt gar keine personenbezogenen Daten zu sehen, sondern nur Referenzen. Ein Beispiel aus unserem eigenen Betrieb: Bei der automatischen Rechnungserstellung sieht das Sprachmodell eine Projekt-ID, einen Leistungstitel und einen Betrag. Kundenname, Anschrift, Ansprechpartner und Buchhaltungs-ID setzt unser Server danach selbst ein — sie erreichen das Modell nie. Kein neuer Server, keine zusätzlichen Kosten, und der schutzbedürftige Teil der Daten verlässt das Haus überhaupt nicht.
Stufe 2 — Anbieter mit Auftragsverarbeitungsvertrag und EU-Rechenzentrum.
Wenn die Inhalte selbst schutzbedürftig sind, lassen sich die großen Modelle in europäischen Regionen betreiben — etwa über AWS in Frankfurt oder Google Cloud in der EU. Wichtig ist dabei ein Detail, das leicht übersehen wird: Solche Plattformen verteilen Anfragen aus Verfügbarkeitsgründen standardmäßig über mehrere Regionen. Man muss das regionsgebundene Profil aktiv wählen und im Konto überprüfen — sonst verlässt die Anfrage die EU trotz europäischer Region.
Stufe 3 — Ein offenes Modell auf gemieteter Hardware.
Kein Modellanbieter sieht die Daten, weil kein Modellanbieter beteiligt ist. Sinnvoll bei sehr hohem, gleichmäßigem Volumen. Achtung: Gemietete Hardware in einem fremden Rechenzentrum ist gegenüber einem Anbieter mit Auftragsverarbeitungsvertrag rechtlich kein großer Sprung — der Unterschied ist kleiner, als er sich anfühlt.
Stufe 4 — Eigene Hardware im eigenen Haus.
Nichts verlässt das Gebäude. Richtig bei Daten mit rechtlichem Ausreiseverbot — Patientenakten, Mandantenakten, Personalakten. Und nur dort.
Warum die Reihenfolge über Geld entscheidet
Wir haben das im August 2026 für einen typischen Mittelstandsfall durchgerechnet: Ein Betrieb, der etwa 100 Dokumente pro Tag verarbeitet, zahlt bei einem API-Anbieter wenige Euro im Monat. Ein gemieteter Server mit brauchbarer Grafikkarte kostet ein Vielfaches davon — bei diesem Volumen liegt der Faktor im Bereich von 50 zugunsten der API. Selbst bei zehnfachem Volumen bleibt der Abstand deutlich.
Dazu kommt ein Punkt, der in der Diskussion fast immer fehlt: Die bezahlbare Hardware trägt nicht die Modelle, für die sich die Investition lohnen würde. Die Spitze der offenen Modelle bewegt sich in Größenordnungen, die auf einer einzelnen Karte nicht laufen.
Die Frage ist also nicht „Cloud oder lokal", sondern: Welche Stufe trägt deine konkrete Anforderung — und was kostet jede weitere? Wer bei Stufe 1 anfängt, löst überraschend viele Fälle, ohne einen Euro für Infrastruktur auszugeben.
Checkliste: KI DSGVO-konform einsetzen
Bevor du ein KI-Tool in deinem Unternehmen einführst, prüfe diese Punkte:
Fazit: KI ist kein Risiko — fehlende Compliance ist eins
KI-Tools können deinem Unternehmen Stunden pro Woche sparen. Das Risiko liegt nicht in der Technologie, sondern in der fehlenden Compliance. Wer KI auf deutschen Servern betreibt, einen sauberen AVV hat und seine Datenschutzerklärung aktuell hält, ist auf der sicheren Seite.
Die gute Nachricht: Du musst das nicht alleine machen.
Weiterlesen
- IT-Infrastruktur für KMU: der Leitfaden — Server, Netzwerk und Betrieb als Grundlage jeder Automatisierung
- IT-Infrastruktur für KMU: der Leitfaden — Server, Netzwerk und Betrieb als Grundlage
- KI für Arztpraxen — Art. 9 DSGVO bei Gesundheitsdaten
- EU AI Act: was KMU 2026 wirklich betrifft — Risikoklassen, Pflichten und was seit August gilt
- Element/Matrix als DSGVO-konformer Messenger — sichere Kommunikation ohne US-Cloud
Willst du wissen, welche Lösung zu dir passt?
30 Sekunden, kostenlos, unverbindlich. Berechne mit unserem ROI-Kalkulator, wie viel dein Unternehmen mit einem KI-Mitarbeiter sparen kann.
Über den Autor: Fabio D'Angelo ist Gründer von lowkeylab und entwickelt DSGVO-konforme KI-Lösungen für KMU. Alle KI-Mitarbeiter von lowkeylab laufen auf deutschen Servern — ohne US-Cloud, ohne Kompromisse.