DSGVO und KI: So setzen Unternehmen KI datenschutzkonform ein

Es ist ein Dienstagvormittag im Mai, als bei Markus Reinhardt, Geschäftsführer eines Maschinenbau-Zulieferers mit 40 Mitarbeitern bei Stuttgart, ein Brief der Landesdatenschutzbehörde auf dem Tisch liegt. Ein ehemaliger Mitarbeiter hat sich beschwert: Seine Bewerbungsunterlagen seien durch ein KI-Tool gelaufen, das die Vorauswahl im Recruiting übernimmt. Die Behörde fragt nach drei Dingen, dem Auftragsverarbeitungsvertrag, der Rechtsgrundlage und der Datenschutz-Folgenabschätzung. Reinhardt hat keines davon. Das Tool läuft seit acht Monaten produktiv, eingerichtet von einem Praktikanten, abgesegnet von niemandem.

Genau an dieser Stelle wird das Thema DSGVO KI vom abstrakten Risiko zum konkreten Problem. Reinhardt ist kein Einzelfall. Laut Statistisches Bundesamt (2024) setzten 2024 bereits 20 Prozent der Unternehmen in Deutschland KI ein, ein Anstieg um acht Prozentpunkte binnen eines Jahres. Die Werkzeuge sind im Betrieb angekommen, die Rechtssicherheit hinkt hinterher. Dieser Artikel beantwortet die vier Fragen, an denen der datenschutzkonforme KI-Einsatz konkret scheitert, und zeigt, wie DigiRift KMU die juristische Last komplett abnimmt.

Warum gerade die Rechtsunsicherheit KI-Projekte ausbremst

Nicht die Technik stoppt KI-Projekte im Mittelstand, sondern die Angst vor Bußgeldern. Laut Bitkom (2025) nennen 53 Prozent der Unternehmen rechtliche Hürden und Unklarheiten als größtes Hemmnis beim KI-Einsatz, gleichauf mit fehlendem Know-how. 48 Prozent beklagen hohe Datenschutzanforderungen, 39 Prozent fürchten Datenmissbrauch.

Diese Verunsicherung ist teuer. Sie führt zu zwei Extremen: Entweder ein Tool läuft wie bei Reinhardt völlig ungeprüft, oder das Projekt wird aus Angst gar nicht erst gestartet. Beides kostet, einmal als Bußgeldrisiko, einmal als verpasster Produktivitätsgewinn.

Der Mittelstand zieht nach, aber unvorbereitet

Die Dynamik ist real. Laut KfW Research (2026) nutzten rund 780.000 mittelständische Unternehmen, also 20 Prozent, im Zeitraum 2022 bis 2024 KI, gegenüber nur 4 Prozent in den Jahren 2016 bis 2018. Bei Firmen ab 50 Beschäftigten sind es bereits 36 Prozent.

Die Werkzeuge verbreiten sich also schneller, als die Datenschutz-Strukturen mitwachsen. Genau in diese Lücke fällt der Fall Reinhardt, und genau diese Lücke schließt ein Full-Service-Partner.

Welche Rechtsgrundlage Ihre KI nach der DSGVO wirklich braucht

Jede KI-Anwendung, die personenbezogene Daten verarbeitet, braucht eine Rechtsgrundlage nach Art. 6 DSGVO, sonst ist sie schlicht rechtswidrig. Die drei praxisrelevanten Optionen sind Einwilligung, Vertragserfüllung und berechtigtes Interesse. Welche passt, entscheidet der konkrete Zweck.

Das berechtigte Interesse nach Art. 6 Abs. 1 lit. f ist der häufigste Anker im B2B-Alltag, etwa bei interner Prozessautomatisierung. Es ist aber kein Freibrief. Laut Europäischer Datenschutzausschuss (2024) ist es in der Stellungnahme 28/2024 nur nach einem Drei-Stufen-Test zulässig: Das Interesse muss legitim sein, die Verarbeitung erforderlich, und die Grundrechte der Betroffenen dürfen nicht überwiegen.

Warum die Einwilligung kein Selbstläufer ist

Viele Geschäftsführer glauben, eine Einwilligung löse jedes Problem. Das ist ein Trugschluss. Der EDSA stellt in derselben Stellungnahme klar: Eine Einwilligung entbindet nicht von den Grundsätzen des Art. 5 DSGVO, also Zweckbindung, Datenminimierung und Speicherbegrenzung gelten weiter.

Für Reinhardts Recruiting-Tool heißt das: Selbst mit Einwilligung der Bewerber hätte er die verarbeiteten Datenfelder begründen und begrenzen müssen. In unserer Praxis bei DigiRift legen wir die Rechtsgrundlage daher VOR der ersten Verarbeitung fest und dokumentieren sie, statt sie nachträglich zu rechtfertigen.

Der AVV nach Art. 28: der Pflicht-Hebel, den fast alle vergessen

Sobald ein externes KI-Tool personenbezogene Daten in Ihrem Auftrag verarbeitet, liegt eine Auftragsverarbeitung nach Art. 28 DSGVO vor, und die verlangt zwingend einen unterzeichneten Auftragsverarbeitungsvertrag (AVV). Ohne diesen Vertrag ist der Einsatz rechtswidrig, unabhängig davon, wie sauber Sie sonst arbeiten.

Das war Reinhardts erster Stolperstein. Das Tool verarbeitete Bewerberdaten, ein AVV existierte nicht. Genau das prüfen Aufsichtsbehörden zuerst, weil es schnell nachweisbar ist. Die Datenschutzkonferenz (2024) widmet der Auftragsverarbeitung in ihrer Orientierungshilfe zu KI und Datenschutz einen eigenen Schwerpunkt.

Was im AVV stehen muss

Ein AVV ist kein Formular zum Abhaken, sondern muss konkrete Pflichten regeln. Die folgende Übersicht zeigt die kritischen Bausteine, die wir bei jedem KI-Projekt prüfen.

Gerade der Punkt kein Training mit Kundendaten ist entscheidend. Fließen personenbezogene Daten in das Training eines Modells ein, lassen sie sich faktisch nicht mehr löschen, und das kollidiert direkt mit den Betroffenenrechten auf Löschung.

Datenminimierung und Zweckbindung: weniger Daten, weniger Risiko

Der wirksamste Schutz ist, gar nicht erst zu viele personenbezogene Daten in die KI zu geben. Datenminimierung und Zweckbindung sind nach Art. 5 DSGVO Grundsätze, keine Empfehlungen. Wer sie ernst nimmt, reduziert das Risiko an der Wurzel.

Konkret heißt das dreierlei: Prompts vor der Verarbeitung pseudonymisieren, also Namen und Klartext-Identifikatoren entfernen. Keine personenbezogenen Daten in offene Consumer-Tools eingeben, deren AVV-Lage ungeklärt ist. Und bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 durchführen.

Wann eine DSFA Pflicht wird

Eine DSFA ist nicht optional, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen birgt. Bei KI-gestützter Bewerberauswahl, Scoring oder umfangreicher Profilbildung ist das regelmäßig der Fall, Reinhardts Recruiting-Tool eingeschlossen.

Die Unsicherheit darüber lähmt viele Projekte. Laut Bitkom Research (2025) sehen inzwischen 58 Prozent der Unternehmen im Datenschutz Rechtssicherheit für die KI-Entwicklung, 2024 waren es 53 Prozent. Die Richtung stimmt, doch die Verunsicherung bleibt ein zentrales Adoptionshemmnis. Wie eine strukturierte Prüfung Schritt für Schritt aussieht, zeigt unsere DSGVO-KI-Compliance: die 10-Punkte-Checkliste.

Server und Daten in Deutschland: die Abkürzung um das Drittland-Problem

Der eleganteste Weg, das Drittland-Transfer-Problem zu umgehen, ist, die Daten gar nicht erst die EU verlassen zu lassen. Verarbeitet ein KI-Dienst Daten auf Servern außerhalb der EU, braucht es einen Angemessenheitsbeschluss oder zusätzliche Garantien, und genau hier wird es nach der Schrems-Rechtsprechung kompliziert.

Mit einem Anbieter, der Server und Daten in Deutschland oder der EU hält, entfällt diese ganze Prüfkette. Die Datenhoheit bleibt im Haus, der Drittlandtransfer ist kein Thema mehr. Das ist kein Nice-to-have, sondern die saubere Lösung des am schwersten zu beherrschenden DSGVO-Risikos. Wie sich das mit eigener Infrastruktur statt Abo-Diensten umsetzen lässt, zeigt unser Beitrag Eigene KI-Infrastruktur statt SaaS-Abos.

DSGVO KI und KI-Verordnung greifen ineinander

Die DSGVO ist nicht die einzige Regulierung. Mit der EU-KI-Verordnung kommt eine zweite Ebene hinzu, die für Hochrisiko-Systeme wie Recruiting-KI eigene Pflichten definiert. Beide Regelwerke müssen zusammen gedacht werden.

Für Entscheider lohnt daher der Blick auf beide Seiten. Wie die Verordnung KMU konkret betrifft, lesen Sie in EU AI Act 2026: Was KMU jetzt wissen müssen, und den breiteren Rechtsrahmen jenseits des Datenschutzes ordnet KI-Recht: 10 Rechtsbereiche, die KMU kennen müssen ein.

So nimmt DigiRift Ihnen die DSGVO-Last komplett ab

Der entscheidende Punkt für Geschäftsführer wie Reinhardt: Sie müssen das alles nicht selbst beherrschen. DigiRift liefert KI-Lösungen schlüsselfertig, inklusive sauberer Vertragslage, EU-Hosting und dokumentierter Rechtsgrundlage. Sie kümmern sich um Ihr Kerngeschäft, wir übernehmen den Rest.

Als Premium Full-Service KI-Agentur mit über 250 umgesetzten Projekten, einem Team von 37 Spezialisten und mehr als zehn Jahren Erfahrung planen, entwickeln, integrieren und betreiben wir KI-Systeme, die von Tag eins datenschutzkonform laufen. AVV, Datenminimierung, DSFA-Bewertung und Privacy by Design sind dabei kein Zusatz, sondern Teil der Lieferung.

Wäre Reinhardts Tool von uns gekommen, hätte der Brief der Behörde keine offenen Fragen hinterlassen, weil AVV, Rechtsgrundlage und Folgenabschätzung von Beginn an vorgelegen hätten. Wenn Sie wissen wollen, ob Ihr aktueller KI-Einsatz diesen Prüfungen standhält, klären wir das im direkten Gespräch mit unseren Experten: In rund 30 Minuten sichten wir Ihre eingesetzten Tools, benennen die konkreten DSGVO-Lücken in Ihrem Betrieb und zeigen, mit welchem Aufwand sich diese schließen lassen. Die technische Umsetzung von Privacy by Design vertieft ergänzend unsere KI-Ethik und Compliance: Technik-Checkliste.

Fazit: DSGVO-konforme KI ist machbar, aber nicht nebenbei

DSGVO und KI schließen sich nicht aus, sie verlangen nur Struktur. Wer die Rechtsgrundlage vorab festlegt, für jedes externe Tool einen AVV nach Art. 28 abschließt, Daten konsequent minimiert und auf EU-Hosting setzt, hat die vier größten Risiken im Griff. Der Fall Reinhardt zeigt, was passiert, wenn diese Basis fehlt: ein produktives Tool wird zum Bußgeldrisiko. Mit DigiRift als Full-Service-Partner entsteht diese Lücke gar nicht erst, weil Datenschutz von Anfang an mitgeliefert wird, statt nachträglich repariert zu werden.

Quellen

1. Statistisches Bundesamt (Destatis), 2024: 20 Prozent der Unternehmen in Deutschland nutzen KI
2. Bitkom e.V., 2025: Durchbruch Künstliche Intelligenz
3. Europäischer Datenschutzausschuss (EDSA/EDPB), 2024: Stellungnahme 28/2024 zu KI-Modellen und Datenschutz
4. KfW Research, 2026: KI-Nutzung im Mittelstand
5. Datenschutzkonferenz (DSK), 2024: Orientierungshilfe Künstliche Intelligenz und Datenschutz
6. Bitkom Research, 2025: Studienbericht Künstliche Intelligenz in Deutschland