DSGVO und KI: was im Unternehmen erlaubt ist

„Dürfen wir das überhaupt?" ist die Frage, die in fast jedem Erstgespräch spätestens dann fällt, wenn es um Kunden- oder Mitarbeiterdaten geht. Die kurze Version: Ja, KI und DSGVO schließen sich nicht aus. Die lange Version braucht ein paar klare Unterscheidungen, weil „KI einsetzen" sehr unterschiedliche Dinge meinen kann — von der reinen Texterstellung ohne Personenbezug bis zur automatisierten Bewerberauswahl.

Dieser Beitrag ersetzt keine Rechtsberatung. Er ordnet aber ein, welche Fragen vor dem Start geklärt sein müssen, damit du mit deiner Anwältin oder deinem Anwalt gezielt sprechen kannst, statt bei null anzufangen.

Die kurze Antwort

Der Einsatz von KI im Unternehmen ist datenschutzrechtlich grundsätzlich erlaubt, solange die Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Artikel 6 DSGVO hat, transparent dokumentiert ist und ein Auftragsverarbeitungsvertrag mit dem KI-Anbieter besteht, sofern der Daten verarbeitet. Kritisch wird es bei besonderen Kategorien personenbezogener Daten wie Gesundheits- oder Herkunftsdaten (Artikel 9 DSGVO), bei vollautomatisierten Entscheidungen mit rechtlicher Wirkung für eine Person (Artikel 22 DSGVO) und beim Serverstandort, wenn Daten außerhalb der EU verarbeitet werden. Für die meisten Automatisierungen im Mittelstand — Belege lesen, Anfragen sortieren, Texte entwerfen — reicht eine saubere Rechtsgrundlage, ein AVV und ein Blick auf den Verarbeitungsort. Für alles, was Menschen bewertet oder über sie entscheidet, braucht es zusätzliche Sorgfalt.

Fünf Punkte, die vor dem Start geklärt sein müssen

1. Rechtsgrundlage. Jede Verarbeitung personenbezogener Daten braucht eine Grundlage nach Artikel 6 DSGVO — meist die Erfüllung eines Vertrags, ein berechtigtes Interesse oder eine Einwilligung. Bei internen Abläufen wie der automatisierten Rechnungsverarbeitung ist das in der Regel die Vertragserfüllung oder ein berechtigtes Interesse; bei Marketing-nahen Anwendungen wird häufiger eine Einwilligung nötig.

2. Auftragsverarbeitung. Läuft die KI über einen externen Dienst — was bei den meisten Anbietern der Fall ist —, braucht es einen Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO. Er regelt, welche Daten verarbeitet werden, wo sie liegen, wer Zugriff hat und was bei einer Vertragsbeendigung mit den Daten passiert. Was konkret in einen solchen Vertrag gehört, ist ein eigenes Thema und Grund genug, ihn vor der Unterschrift von jemandem prüfen zu lassen, der beides kennt — den Ablauf und den Vertrag.

3. Serverstandort. Verarbeitet der KI-Dienst Daten außerhalb der EU, etwa in den USA, greifen zusätzliche Anforderungen — Angemessenheitsbeschluss, Standardvertragsklauseln oder eine EU-Verarbeitungsoption des Anbieters. Viele größere Anbieter bieten inzwischen eine EU-Datenverarbeitung an; das ist bei der Auswahl ein Kriterium, kein Nebensatz.

4. Besondere Kategorien von Daten. Gesundheitsdaten, Daten zur ethnischen Herkunft, religiöse Überzeugungen, Gewerkschaftszugehörigkeit — für diese Kategorien gilt nach Artikel 9 DSGVO ein grundsätzliches Verarbeitungsverbot mit engen Ausnahmen. Eine Arztpraxis, die KI für die Terminvergabe einsetzt, muss hier deutlich genauer hinschauen als ein Handwerksbetrieb, der Angebote automatisiert.

5. Automatisierte Entscheidungen. Artikel 22 DSGVO gibt Personen das Recht, nicht ausschließlich einer automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden — etwa bei einer automatisierten Bewerberabsage ohne menschliche Prüfung. Deshalb bauen wir Abläufe so, dass KI vorbereitet und vorschlägt, ein Mensch aber die Entscheidung trifft, sobald es um Personen geht.

Was in der Praxis meist unproblematisch ist

| Anwendung | Typische Einordnung | |---|---| | Belege lesen und Kostenstellen zuordnen | unproblematisch, sofern AVV besteht und keine Gesundheitsdaten enthalten sind | | Kundenanfragen vorsortieren und Entwürfe erstellen | unproblematisch, Mensch prüft vor Versand | | Protokolle aus internen Meetings erstellen | unproblematisch, sofern Teilnehmende informiert sind | | Bewerberunterlagen automatisiert vorauswählen ohne menschliche Prüfung | kritisch, Artikel 22 DSGVO greift | | Gesundheitsdaten von Patienten automatisiert auswerten | kritisch, besondere Kategorie nach Artikel 9 DSGVO | | Mitarbeiterverhalten automatisiert bewerten (z. B. Leistungsscoring) | kritisch, zusätzlich Mitbestimmungsrechte des Betriebsrats prüfen |

Die Tabelle ersetzt keine Einzelfallprüfung, zeigt aber die Richtung: Je näher eine Anwendung an eine Bewertung oder Entscheidung über eine Person heranrückt, desto mehr Sorgfalt braucht sie.

Ein Beispiel aus der Praxis

Bei einer Prozessanalyse in einem Dienstleistungsunternehmen mit rund 40 Mitarbeitenden ging es zunächst um die automatisierte Vorsortierung eingehender Bewerbungen nach Qualifikation. Nach der rechtlichen Einordnung wurde der Ablauf so gebaut, dass die KI eine Zusammenfassung und Einschätzung liefert, die Absage oder Einladung aber ausschließlich von einer Person im Team ausgesprochen wird — mit kurzer Begründung im System. Der Zeitgewinn blieb fast identisch zur ursprünglich geplanten Vollautomatisierung, das rechtliche Risiko sank deutlich. Das ist der typische Kompromiss: nicht weniger Automatisierung, aber ein Mensch am Ende der Kette.

Wo Automatisierung rechtlich eng wird

Am engsten wird es bei drei Konstellationen: automatisierte Personalentscheidungen ohne menschliche Prüfung, die Verarbeitung besonderer Datenkategorien ohne ausdrückliche Ausnahme, und der Einsatz von KI-Diensten ohne AVV oder mit unklarem Serverstandort. In allen drei Fällen raten wir dazu, vor dem Bau eine kurze rechtliche Prüfung einzuholen — das kostet einen Bruchteil dessen, was eine spätere Korrektur oder ein Bußgeldverfahren kosten würde. Bußgelder nach der DSGVO können nach Artikel 83 DSGVO empfindlich ausfallen; die genaue Höhe hängt vom Einzelfall ab und ist eine Frage an die zuständige Aufsichtsbehörde, nicht an eine Pauschalzahl.

Was wir tun, was wir nicht tun

Wir bauen Automatisierungen so, dass sie mit einer klaren Rechtsgrundlage arbeiten, AVVs mit den eingesetzten Diensten vorliegen und Entscheidungen über Personen bei einem Menschen bleiben. Was wir nicht tun: eine rechtliche Freigabe erteilen. Ob eine konkrete Verarbeitung in eurem Fall zulässig ist, ist immer eine Frage an eure Datenschutzbeauftragte, euren Datenschutzbeauftragten oder eine spezialisierte Kanzlei — wir bauen die technische Seite so, dass diese Prüfung möglich und dokumentierbar ist.

Der nächste Schritt

Wenn du wissen willst, wie ein konkreter Ablauf bei euch rechtlich und technisch einzuordnen ist, ist das genau die Art Frage, die in eine Prozessanalyse gehört — dort schauen wir uns eure Daten und Systeme konkret an, nicht abstrakt. Wie eine Beratung bei uns grundsätzlich abläuft und wo ihre Grenzen liegen, steht im Beitrag KI-Beratung: was sie leistet und was sie nicht leistet sowie auf der Seite KI-Beratung.