Ratgeber
DSGVO-konforme KI im Unternehmen einführen: Schritt für Schritt
Die meisten KI-Projekte scheitern nicht an der Technik, sondern an offenen Fragen zu Datenschutz und Mitbestimmung, die erst nach dem Kauf auffallen. Diese Anleitung ordnet die Schritte so, wie sie in der Praxis anfallen — vom ersten Anwendungsfall bis zum Rollout.
Kurz gesagt
Wie führt man KI im Unternehmen DSGVO-konform ein? Zweck und Rechtsgrundlage festlegen, einen Anbieter mit Sitz und Servern in der EU wählen, der eure Daten nicht zum Training nutzt, einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO schließen, das Verarbeitungsverzeichnis ergänzen, prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist, technische und organisatorische Maßnahmen festlegen, den Betriebsrat beteiligen, Mitarbeitende schulen, eine KI-Richtlinie erlassen und mit einem Pilot starten.
1. Zweck und Rechtsgrundlage festlegen
Bevor ihr ein Werkzeug auswählt, schreibt auf, wofür es eingesetzt werden soll: Fragen zu internen Richtlinien beantworten, Entwürfe schreiben, Verträge durchsuchen, recherchieren. Der Zweck bestimmt alles Weitere — welche Daten verarbeitet werden, welche Rechtsgrundlage greift und ob eine Datenschutz-Folgenabschätzung nötig wird.
Verarbeitet das System personenbezogene Daten, braucht jede Verarbeitung eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, im Unternehmen meist berechtigtes Interesse (lit. f) oder Vertragserfüllung (lit. b). Für Beschäftigtendaten gelten zusätzlich Art. 88 DSGVO und § 26 BDSG, dessen Reichweite seit dem EuGH-Urteil vom 30. März 2023 (C-34/21) umstritten ist. Besondere Kategorien wie Gesundheitsdaten (Art. 9 DSGVO) brauchen eine eigene Grundlage.
- Anwendungsfälle konkret benennen, nicht „KI für alle“
- Datenkategorien festhalten: interne Dokumente ohne Personenbezug, Kundendaten, Beschäftigtendaten, besondere Kategorien
- Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO): Was nicht gebraucht wird, kommt nicht ins System
- Speicherdauer für Dokumente, Chatverläufe und Protokolle festlegen
2. Anbieter auswählen
Bei der Auswahl entscheidet sich, wie viel Aufwand später auf euch zukommt. Fragt nicht nur nach einer „EU-Region“, sondern danach, wer den Dienst betreibt und wer technisch auf die Daten zugreifen kann.
- Sitz des Anbieters: Unternehmen in der EU, besser in Deutschland, mit Gerichtsstand und Vertrag nach europäischem Recht
- Serverstandort: für Anwendung, Datenbank, Dokumentenablage, Backups und Sprachmodelle — jede Schicht einzeln
- Drittlandtransfer (Art. 44 ff. DSGVO): Gehen Daten etwa in die USA, braucht es einen Angemessenheitsbeschluss wie das EU-U.S. Data Privacy Framework für zertifizierte Empfänger oder Standardvertragsklauseln samt Transfer-Folgenabschätzung
- CLOUD Act: US-Anbieter können verpflichtet werden, Daten herauszugeben, auch wenn diese in einem Rechenzentrum in der EU liegen — ein Serverstandort in Frankfurt ändert daran nichts
- Training mit Kundendaten: vertraglich ausschließen, ausdrücklich auch für Eingaben (Prompts) und Antworten
- Unterauftragsverarbeiter: vollständige Liste mit Sitz, Zweck und Verarbeitungsort, Information vor Änderungen
- Löschung und Export: Was passiert mit Dokumenten, Vektoren und Backups beim Löschen und bei Vertragsende?
Vryne ist nach diesen Kriterien gebaut: Betreiber mit Sitz in Deutschland, Anwendung, Daten und Sprachmodelle in deutschen Rechenzentren, kein US-Cloud-Anbieter und kein Training mit Kundendokumenten. Welche Schicht wo läuft und welche Dienstleister beteiligt sind, ist öffentlich dokumentiert.
3. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abschließen
Verarbeitet der Anbieter personenbezogene Daten in eurem Auftrag, ist ein Auftragsverarbeitungsvertrag (AVV) Pflicht. Das ist bei KI-Werkzeugen praktisch immer der Fall: Schon Namen der Nutzer und Inhalte der Eingaben sind personenbezogene Daten.
Art. 28 Abs. 3 DSGVO legt fest, was der Vertrag mindestens regeln muss:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten und betroffene Personen
- Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit der eingesetzten Personen
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, meist als Anlage
- Bedingungen für Unterauftragsverarbeiter — achtet darauf, ob die Modellanbieter dort genannt sind
- Unterstützung bei Betroffenenrechten und Datenpannen, Löschung oder Rückgabe bei Vertragsende
- Nachweise und Kontrollrechte für euch als Verantwortliche
Den AVV von Vryne mit TOM-Anlage und Liste der Unterauftragsverarbeiter gibt es öffentlich als PDF — ihr könnt ihn vor jeder Registrierung prüfen.
- AVV von Vryne nach Art. 28 DSGVO mit TOM-Anlage
- → Trust & Sicherheit: TOMs, Hosting und Unterlagen für die Prüfung
4. Verzeichnis von Verarbeitungstätigkeiten ergänzen (Art. 30 DSGVO)
Die KI-Nutzung bekommt einen eigenen Eintrag im Verzeichnis von Verarbeitungstätigkeiten. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift in der Praxis selten, weil eine dauerhaft genutzte Anwendung keine nur gelegentliche Verarbeitung ist.
- Bezeichnung und Zweck der Verarbeitung
- Kategorien betroffener Personen und personenbezogener Daten
- Empfänger, einschließlich Anbieter und Unterauftragsverarbeiter
- Übermittlungen in Drittländer und deren Garantien — oder der Vermerk, dass keine stattfinden
- Löschfristen und Verweis auf die technischen und organisatorischen Maßnahmen
5. Prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist (Art. 35 DSGVO)
Eine Datenschutz-Folgenabschätzung (DSFA) ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen mit sich bringt — besonders beim Einsatz neuer Technologien. Die deutschen Aufsichtsbehörden führen zusätzlich eine Liste von Verarbeitungen, für die eine DSFA immer nötig ist.
Hinweise darauf, dass eine DSFA nötig wird:
- umfangreiche Verarbeitung besonderer Kategorien, etwa Gesundheitsdaten
- systematische Bewertung von Personen, etwa von Bewerbungen oder Leistung
- Überwachung oder Auswertung des Verhaltens von Beschäftigten
- Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Betroffene
Ein Assistent, der Fragen zu internen Richtlinien und Handbüchern ohne Personenbezug beantwortet, braucht in der Regel keine DSFA. Dokumentiert aber die Prüfung als Schwellwertanalyse und bezieht euren Datenschutzbeauftragten ein (Art. 35 Abs. 2 DSGVO).
6. Technische und organisatorische Maßnahmen festlegen (Art. 32 DSGVO)
Neben den Maßnahmen des Anbieters braucht ihr eigene Regeln dafür, wer was im System sieht und wie lange Daten bleiben.
- Rollen- und Rechtekonzept: Wer darf welche Dokumentensammlungen sehen und durchsuchen?
- Getrennte Bereiche für vertrauliche Unterlagen wie Personal- oder Mandatsakten
- Verschlüsselung bei Übertragung und Speicherung
- Protokollierung der Nutzung — mit klarer Regel, wer die Protokolle wofür einsehen darf
- Löschkonzept für Dokumente, Chatverläufe und Backups
- Ablauf für Datenpannen: Meldung an die Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO)
7. Betriebsrat einbinden (§ 87 Abs. 1 Nr. 6 BetrVG)
Der Betriebsrat hat ein Mitbestimmungsrecht bei technischen Einrichtungen, die geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Nach der Rechtsprechung des Bundesarbeitsgerichts genügt die objektive Eignung — eine Absicht zur Überwachung ist nicht nötig. Ein vom Unternehmen bereitgestelltes KI-System mit Nutzerkonten und Protokollen fällt deshalb in der Regel darunter.
Bezieht den Betriebsrat früh ein: Er ist bei der Planung zu unterrichten (§ 90 BetrVG) und kann bei der Einführung von KI einen Sachverständigen hinzuziehen (§ 80 Abs. 3 BetrVG). Üblich ist eine Betriebsvereinbarung, die Zweck, zugelassene Werkzeuge, den Ausschluss von Leistungs- und Verhaltenskontrolle, den Zugriff auf Protokolle und die Schulung regelt.
8. Mitarbeitende schulen und KI-Kompetenz nachweisen
Seit dem 2. Februar 2025 verlangt Art. 4 der EU-KI-Verordnung, dass Unternehmen, die KI-Systeme einsetzen, für ausreichende KI-Kompetenz ihrer Beschäftigten sorgen. Eine Schulung sollte mindestens erklären, wie generative KI Antworten erzeugt und warum sie Fehler macht, welche Daten nicht eingegeben werden dürfen, dass jedes Ergebnis geprüft wird und wann KI-Inhalte gekennzeichnet werden. Haltet fest, wer wann woran teilgenommen hat.
9. Eine KI-Richtlinie erlassen
Die Richtlinie fasst die Regeln für den Alltag zusammen: welche Werkzeuge freigegeben sind, was nicht hineingehört, wer Ansprechpartner ist und was bei Verstößen gilt. Ohne sie greifen Mitarbeitende auf private Konten zurück — die sogenannte Schatten-KI, bei der Unternehmensdaten unkontrolliert bei Dritten landen.
- → Ratgeber: KI-Richtlinie für Mitarbeitende mit Vorlage
- Vorlage der KI-Richtlinie
10. Pilot starten, auswerten, ausrollen
Startet mit einer kleinen Gruppe und einem klar umrissenen Dokumentenbestand, etwa dem QM-Handbuch oder den Betriebsvereinbarungen. Nach einigen Wochen wertet ihr aus: Stimmen die Antworten, sind die Quellen nachvollziehbar, gab es Fehleingaben oder Datenschutzfragen?
Danach rollt ihr in Stufen aus, aktualisiert Verzeichnis, TOMs und Richtlinie und plant eine regelmäßige Überprüfung — mindestens einmal im Jahr und bei jedem neuen Werkzeug.
- Checkliste zur DSGVO-konformen KI-Einführung
Zum Herunterladen
Ohne Anmeldung und ohne E-Mail-Adresse: als PDF zum Ausdrucken und Abhaken, als Markdown zum Weiterbearbeiten in jedem Editor, in Word oder im Wiki.
Checkliste: DSGVO-konforme KI-Einführung
Alle Schritte von Zweck und Rechtsgrundlage bis Rollout zum Abhaken — von AVV über DSFA bis Betriebsrat.
Häufige Fragen
Ist ChatGPT im Unternehmen DSGVO-konform nutzbar?
Das hängt von Version, Vertrag und Einsatz ab. Für Verbraucherkonten gibt es in der Regel keinen Auftragsverarbeitungsvertrag, damit scheidet die Eingabe personenbezogener Daten aus. Business-Angebote US-amerikanischer Anbieter bieten einen AVV und teils Datenspeicherung in der EU, unterliegen als US-Unternehmen aber dem CLOUD Act. Entscheidend sind AVV, Drittlandtransfer, der Ausschluss des Trainings und eure eigene Dokumentation.
Brauche ich für KI-Tools einen Auftragsverarbeitungsvertrag?
Ja, sobald der Anbieter personenbezogene Daten in eurem Auftrag verarbeitet — und das ist praktisch immer der Fall, weil schon Nutzerkonten und Eingaben personenbezogene Daten enthalten. Der Vertrag muss die Mindestinhalte nach Art. 28 Abs. 3 DSGVO regeln.
Wann ist eine Datenschutz-Folgenabschätzung für KI Pflicht?
Wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene mit sich bringt, etwa bei umfangreicher Verarbeitung von Gesundheitsdaten, bei der Bewertung von Bewerbungen oder Beschäftigten oder bei Überwachung. Ein Assistent für interne Dokumente ohne Personenbezug braucht in der Regel keine DSFA; die Prüfung sollte trotzdem dokumentiert werden.
Muss der Betriebsrat bei der Einführung von KI zustimmen?
In der Regel ja. Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat mit, wenn eine technische Einrichtung objektiv geeignet ist, Verhalten oder Leistung zu überwachen. Ein vom Unternehmen bereitgestelltes KI-System mit Nutzerkonten und Protokollen erfüllt das meist. Üblich ist eine Betriebsvereinbarung.
Reicht ein Serverstandort in der EU für DSGVO-konforme KI?
Allein nicht. Gehört der Anbieter zu einem US-Konzern, kann er nach dem CLOUD Act zur Herausgabe verpflichtet werden, auch wenn die Server in der EU stehen. Prüft deshalb auch Sitz und Konzernzugehörigkeit des Anbieters, wo die Sprachmodelle laufen, wer Support-Zugriff hat und ob Daten zum Training genutzt werden.
Keine Rechtsberatung: Dieser Ratgeber gibt einen allgemeinen Überblick zum genannten Stand und ersetzt nicht die Prüfung des Einzelfalls durch eure Datenschutzbeauftragten oder eine Rechtsberatung.
KI einführen, ohne die Daten aus der Hand zu geben
Vryne beantwortet Fragen aus euren eigenen Dokumenten, belegt jede Aussage mit der Fundstelle und läuft mit Anwendung, Daten und Sprachmodellen in Deutschland. Der Einstieg ist kostenlos.
Weitere Ratgeber
EU AI Act: Pflicht zur KI-Kompetenz nach Art. 4 — was Unternehmen jetzt tun müssen
Was Art. 4 seit dem 2. Februar 2025 verlangt, wie ihr Schulung und Nachweis organisiert und wie Assistenzsysteme eingestuft werden.
Lesen
KI-Richtlinie für Mitarbeitende: Vorlage zum Anpassen
Was in eine KI-Richtlinie gehört — und die vollständige Vorlage mit Platzhaltern zum Übernehmen.
Lesen