DSGVO und KI-Projekte

Regelungsbereich und betroffene Unternehmen

Die DSGVO regelt die Verarbeitung personenbezogener Daten. Ihr Grundprinzip ist für KI-Projekte entscheidend: Personenbezogene Daten dürfen nicht einfach verarbeitet werden, außer es gibt einen Rechtfertigungsgrund wie Vertragserfüllung, rechtliche Verpflichtung, berechtigtes Interesse oder Einwilligung (Niessner 2026).

Für Unternehmen bedeutet das: Nicht das KI-Tool entscheidet über die Zulässigkeit, sondern der konkrete Zweck, die Datenart, die Verarbeitungskette und die Rolle des Unternehmens. Wer Zweck und Mittel festlegt, bleibt verantwortlich, auch wenn ein externer KI-Anbieter die Technik liefert (Niessner 2026).

Konkrete Pflichten und Prüfpunkte

Setzen Sie produktive KI möglichst über betriebliche Lizenzen ein, nicht über kostenlose Einzelaccounts. Wichtig sind Auftragsverarbeiterverträge, klare Zweckbindung, möglichst EWR-nahe Datenverarbeitung, technische Schutzräume und transparente Datenschutzhinweise. Damit lösen Unternehmen nicht jedes DSGVO-Problem, schaffen aber eine belastbare Sorgfaltsstruktur (Illibauer 2026).

Klären Sie vor jedem KI-Projekt vier Fragen (Niessner 2026):

1. Haben die Daten Personenbezug?
2. Welcher Rechtfertigungsgrund nach Art. 6 DSGVO liegt vor?
3. Werden Daten intern oder durch Dritte verarbeitet?
4. Wo findet die Verarbeitung statt: EU, sicheres Drittland oder unsicheres Drittland?

Bei internationalen KI-Tools muss die letzte Frage genauer werden: Werden personenbezogene Daten in ein Drittland oder an eine internationale Organisation übermittelt, braucht es zusätzlich eine Transfergrundlage. Möglich sind etwa ein Angemessenheitsbeschluss, geeignete Garantien wie neue Standarddatenschutzklauseln oder Binding Corporate Rules, oder eng begrenzte Ausnahmen. Für die USA gilt das EU-US Data Privacy Framework nur für konkret zertifizierte Unternehmen (WKO o. J.; Internationaler Datenverkehr bei KI-Projekten).

Abbildung: Die vier Kernfragen helfen Führungskräften, Datenschutzrisiken vor Projektstart zu erkennen: Personenbezug, Rechtsgrundlage, Auftragsverarbeitung und geografischer Datenfluss. Quelle: Niessner 2026.

Wählen Sie den datensparsamsten Weg. Anonymisierte und synthetische Daten fallen nicht unter die DSGVO, wenn kein Rückschluss auf Personen möglich ist. Pseudonymisierung und Verschlüsselung reduzieren Risiken, beseitigen den Personenbezug aber nicht, weil eine Rückführung über Schlüssel oder Zusatzwissen möglich bleibt (Niessner 2026).

Prüfen Sie automatisierte Entscheidungen besonders streng. Art. 22 DSGVO schützt Personen vor ausschließlich automatisierten Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung, etwa bei Kreditvergabe, Bewerbungsscreening, Versicherungstarifen oder automatisierten Kündigungen (Niessner 2026).

Abbildung: Art. 22 DSGVO wird relevant, wenn KI allein über Menschen entscheidet und diese Entscheidung erhebliche Wirkung entfaltet. Ein ernst gemeinter Human-in-the-Loop kann das Risiko reduzieren, wenn der Mensch tatsächlich prüfen und übersteuern kann. Quelle: Niessner 2026.

Prüfen Sie bei neuen KI-Anwendungen ausdrücklich, ob eine Datenschutz-Folgenabschätzung nötig ist. Eine praxistaugliche Reihenfolge ist: Schwellwertanalyse, Positivlisten beziehungsweise gesetzliche Kriterien, Risiko für Betroffene und danach technische und organisatorische Maßnahmen. Für Österreich sollten Unternehmen dabei österreichische Vorgaben und Hinweise der Datenschutzbehörde heranziehen, nicht deutsche Positivlisten (Rohrlich 2025; DSB o. J.).

Erweitern Sie das Verzeichnis der Verarbeitungstätigkeiten bei KI-Projekten freiwillig um drei praktische Felder: eingesetzte KI-Anwendung, Rechtsgrundlage und Risikoeinschätzung. Diese Angaben sind nicht immer ausdrücklich als Pflichtfeld formuliert, helfen aber Führung, Datenschutz und IT, spätere Auskunftsanfragen, Datenpannen und Anbieterwechsel nachvollziehbar zu bearbeiten (Rohrlich 2025).

Typische Risiken und Praxisfehler

Viele Teams verwechseln Cloud-Vertrag mit Datenschutzfreigabe. Bei internationalen Anbietern müssen Unternehmen nicht nur den Speicherort, sondern auch Supportzugriffe, Unterauftragsverarbeiter, Weiterübermittlungen und die konkrete Transfergrundlage prüfen. Bei US-Anbietern kommt zusätzlich der US CLOUD Act ins Spiel, weil US-Dienstleister unter bestimmten Bedingungen Daten herausgeben müssen, auch wenn Server physisch in Europa stehen (WKO o. J.; Niessner 2026).

Ein weiterer blinder Fleck sind Betroffenenrechte. Auskunft, Löschung, Datenübertragbarkeit und Informationspflichten müssen technisch erfüllbar bleiben. Beschwerden gegen ChatGPT wegen falscher personenbezogener Angaben zeigen ein praktisches Problem: Bei generativer KI lassen sich Auskunft, Berichtigung und Löschung nicht immer so einfach erfüllen wie bei klassischen Datenbanken (Illibauer 2026; Niessner 2026).

Datenpannen können auch durch Prompts entstehen. Wenn Mitarbeitende personenbezogene Daten ohne Freigabe in ein externes KI-Tool eingeben, müssen Unternehmen prüfen, ob unbefugte Offenlegung, Drittlandtransfer oder fehlende Rechtsgrundlage vorliegen. Deshalb gehören Prompt-Regeln, Tool-Freigaben und Meldewege in interne KI-Guidelines (Rohrlich 2025).

Abbildung: Die DSGVO-Checkliste fasst die wichtigsten Projektfragen zusammen: Personenbezug, Rechtsgrundlage, Datenschutz-Folgenabschätzung, Betroffenenrechte, Drittlandtransfer, Auftragsverarbeitung und Dokumentation. Quelle: Niessner 2026.

Stand der Einordnung

Diese Seite fasst DSGVO-Grundlagen für KI-Projekte aus Unternehmenssicht zusammen. Stand der Wiki-Einordnung: 2026-05-29. Für konkrete Projekte sollten Unternehmen Datenschutzbeauftragte oder Rechtsberatung einbeziehen, weil Zweck, Datenart, Anbieterrolle und Datenfluss die Bewertung ändern können (Niessner 2026).