Vorab: den Zweck festlegen
Die Datenschutzaufsichtsbehörden empfehlen, vor dem Einsatz festzulegen, wofür eine KI-Anwendung genutzt werden soll. Nur so lässt sich prüfen, welche personenbezogenen Daten dafür überhaupt nötig sind [1]. Die DSGVO gilt dabei neben der KI-Verordnung weiter: Sobald ein KI-System personenbezogene Daten verarbeitet, greift das Datenschutzrecht vollständig [2].
Keine Rechtsberatung. Dieser Ratgeber fasst die genannten Quellen zusammen, Stand Oktober 2026. Beziehen Sie Ihren Datenschutzbeauftragten von Anfang an ein.
1. Wo liegen die Daten, und wo rechnet die KI?
Fragen Sie getrennt nach Speicherort und Verarbeitungsort. Wo liegen Dokumente, Datenbank, Suchindex und Protokolle? Und wo erzeugt das Sprachmodell die Antworten? Beides kann verschieden sein. Werden Daten in Länder außerhalb der EU übermittelt, gelten die zusätzlichen Regeln aus Kapitel V der DSGVO [1] [3]. Lassen Sie sich die Regionen schriftlich bestätigen.
2. Lernt das Modell mit unseren Eingaben?
Klären Sie, ob Eingaben und Ausgaben zum Training von Modellen verwendet werden und ob sich das ausschließen lässt. Die Datenschutzkonferenz hält Anwendungen für vorzugswürdig, die Ein- und Ausgabedaten nicht zu Trainingszwecken verwenden [1]. Ebenso wichtig: Können Eingaben anderer Kunden in Ihre Antworten einfließen? Technisch geschlossene Systeme, die nur ein begrenzter Kreis nutzt, sind aus Sicht der Aufsicht vorzugswürdig [1].
3. Gibt es einen Vertrag zur Auftragsverarbeitung?
Betreibt ein externer Anbieter die KI für Ihre Zwecke, etwa als Cloud-Lösung, handelt er in der Regel als Auftragsverarbeiter. Dann ist ein Vertrag nach Art. 28 Abs. 3 DSGVO abzuschließen [1] [3]. Achten Sie auf die Liste der Unterauftragsverarbeiter, auf die technischen und organisatorischen Maßnahmen und darauf, wie der Anbieter Sie bei Auskunft und Löschung unterstützt.
4. Wer ist verantwortlich, und wer darf was sehen?
Verantwortlich im Sinne der DSGVO ist, wer über Zwecke und Mittel der Verarbeitung entscheidet, beim Einsatz im eigenen Betrieb also in der Regel Ihr Unternehmen [1]. Intern gehört ein Rollenkonzept dazu: Wer sieht welche Dokumente, wer pflegt Inhalte, wer sieht Auswertungen? Stellen Sie betriebliche Konten bereit, damit niemand mit privaten Zugängen arbeiten muss, und klären Sie, ob ein Verlauf der Eingaben gespeichert wird und wer ihn sehen kann [1].
5. Wie wird gelöscht?
Betroffene haben ein Recht auf Berichtigung und Löschung (Art. 16 und 17 DSGVO). Für beides braucht es Verfahren, die auch wirklich wirken [1]. Fragen Sie konkret nach: Was passiert mit abgeleiteten Daten wie dem Suchindex, wenn ein Dokument gelöscht wird? Wie lange werden Sicherungen aufbewahrt? Lassen sich die Eingaben einer Person löschen oder anonymisieren?
6. Sind Betriebsrat, Datenschutzbeauftragter und Beschäftigte eingebunden?
Datenschutzbeauftragte sollten stets eingebunden werden, die Beteiligung von Betriebs- und Personalräten ist zu prüfen [1]. Bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen, hat der Betriebsrat ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG) [4]; nach verbreiteter Auffassung genügt schon, dass ein System sich dazu eignet.
Hilfreich sind klare interne Regeln, etwa eine Betriebsvereinbarung oder eine Arbeitsanweisung mit erlaubten und untersagten Einsätzen, und eine Schulung der Beschäftigten [1]. Bei voraussichtlich hohem Risiko ist eine Datenschutz-Folgenabschätzung nötig; beim Einsatz von KI wird das laut Datenschutzkonferenz vielfach der Fall sein [1].
7. Ist erkennbar, was die KI geschrieben hat, und wer entscheidet?
Die KI-Verordnung enthält Transparenzpflichten, etwa dass Menschen erfahren, wenn sie mit einem KI-System interagieren (Art. 50 KI-VO) [5]. Unabhängig davon sollten KI-Antworten im Betrieb als solche erkennbar sein und Quellen nennen, damit man sie prüfen kann.
Ergebnisse mit Personenbezug müssen vor der Weiterverwendung geprüft werden. Entscheidungen mit Rechtswirkung für eine Person dürfen grundsätzlich nicht allein automatisiert fallen (Art. 22 DSGVO), und für besondere Kategorien wie Gesundheitsdaten gelten strengere Regeln (Art. 9 DSGVO) [1].
Die sieben Fragen auf einen Blick
- DatenortSpeicher- und Verarbeitungsort sind bekannt und schriftlich bestätigt.
- TrainingEingaben und Ausgaben fließen nicht ohne Zustimmung in das Training von Modellen.
- AuftragsverarbeitungVertrag nach Art. 28 DSGVO, Liste der Unterauftragsverarbeiter, technische und organisatorische Maßnahmen.
- RollenVerantwortung, Berechtigungen und betriebliche Konten sind geregelt.
- LöschungLöschen erfasst auch abgeleitete Daten, Fristen für Sicherungen sind bekannt.
- BetriebsratDatenschutzbeauftragter und, falls vorhanden, Betriebsrat sind beteiligt, Regeln stehen fest.
- KennzeichnungKI-Antworten sind erkennbar und prüfbar, Entscheidungen trifft ein Mensch.
Beispiel: So beantwortet Druvis die sieben Fragen
| Frage | Druvis |
|---|---|
| Datenort | Dokumente, Datenbank und Suchindex bei Google Cloud in Frankfurt; KI-Antworten über Vertex AI in der EU-Multi-Region, ein Land ist nicht festgelegt; Betriebsprotokolle 30 Tage in Frankfurt |
| Training | laut Google-Cloud-Bedingungen für Vertex AI kein Training mit Kundendaten ohne Zustimmung; eigene Datenbank je Kunde |
| Auftragsverarbeitung | Vertrag nach Art. 28 DSGVO, Unterauftragsverarbeiter Google Cloud |
| Rollen | Admin, Editor und Viewer, Abteilungsfreigaben; Admins melden sich mit zweitem Faktor an; Einblick je Person nur, wenn das Unternehmen ihn einschaltet |
| Löschung | Löschen eines Dokuments entfernt auch Volltext, Suchindex, Freigaben und daraus gespeicherte Antworten; Sicherungen der Datenbank 5 Tage, dazu Wiederherstellung auf einen Zeitpunkt; Restkopien der Datei laufen nach spätestens etwa fünf Wochen aus |
| Betriebsrat | Einschalten des Einblicks nur mit der Bestätigung, dass Beschäftigte informiert und Betriebsrat sowie Datenschutzbeauftragter beteiligt sind |
| Kennzeichnung | Antworten als KI-Antworten gekennzeichnet, mit Fundstelle; die KI trifft keine Entscheidungen über Personen und bewertet keine Personen |
Einzelheiten unter Sicherheit und Datenschutz.
Quellen
- Datenschutzkonferenz (DSK): Orientierungshilfe „Künstliche Intelligenz und Datenschutz“, Version 1.0 vom 06.05.2024 (PDF)
- Der Landesbeauftragte für den Datenschutz Niedersachsen: „Künstliche Intelligenz in Niedersachsen. Zusammenfassung der Expertengespräche, Ausblick und Forderungen“, Stand 11.06.2025 (PDF)
- Verordnung (EU) 2016/679, Datenschutz-Grundverordnung (DSGVO), EUR-Lex
- § 87 Betriebsverfassungsgesetz (BetrVG): Mitbestimmungsrechte, gesetze-im-internet.de
- Verordnung (EU) 2024/1689, KI-Verordnung, EUR-Lex
Alle Quellen abgerufen am 25.10.2026.