DSGVO-konforme KI-Nutzung: Die vollständige Checkliste für Unternehmen

IT-Sicherheit & Datenschutz · 12 Min. Lesezeit · aktualisiert am 28. Juni 2026 · von Maximilian Heim

Welche Datenarten sind betroffen? Wann brauchen Sie eine Einwilligung? Wie stufen Sie KI-Systeme nach Risiko ein? Unsere Schritt-für-Schritt-Checkliste für den datenschutzkonformen KI-Einsatz.

Künstliche Intelligenz ist längst nicht mehr nur ein Zukunftsthema. Viele Unternehmen nutzen KI bereits für Texte, Kundenservice, Datenanalyse, Übersetzungen, Ideensammlung oder interne Automatisierung. Das Problem: Sobald personenbezogene Daten verarbeitet werden, wird KI auch zu einem Datenschutzthema. Viele Firmen starten zu schnell. Mitarbeitende kopieren Kundendaten in Chatbots, interne Dokumente werden in externe Tools geladen oder KI-Systeme werden eingeführt, ohne vorher zu prüfen, wo Daten gespeichert werden. Genau hier entsteht Risiko. Dieser Ratgeber zeigt Schritt für Schritt, wie Unternehmen KI möglichst datenschutzkonform einsetzen können. Die Checkliste ersetzt keine Rechtsberatung, hilft aber dabei, typische Fehler zu vermeiden und KI-Projekte sauberer aufzubauen.

1. Klären Sie zuerst den konkreten Zweck

Bevor ein KI-Tool genutzt wird, sollte klar sein, wofür es eingesetzt wird. Beispiele: Texte formulieren, E-Mails zusammenfassen, Kundensupport unterstützen, Bewerbungen vorsortieren, Verträge analysieren, interne Dokumente durchsuchen oder Marketingideen erstellen.

Wichtig ist: Der Zweck darf nicht zu unklar sein. „Wir nutzen KI irgendwie zur Effizienzsteigerung" reicht nicht. Besser ist eine konkrete Beschreibung wie: „Wir nutzen ein KI-Tool, um interne Entwürfe für Marketingtexte zu erstellen. Kundendaten werden dabei nicht eingegeben." Je genauer der Zweck, desto leichter lassen sich Datenschutz, Sicherheit und Verantwortlichkeiten prüfen.

2. Prüfen Sie, ob personenbezogene Daten verarbeitet werden

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu gehören zum Beispiel: Name, E-Mail-Adresse, Telefonnummer, Kundennummer, IP-Adresse, Standortdaten, Bewerbungsunterlagen, Chatverläufe, Rechnungen, Gesundheitsdaten und Mitarbeiterdaten.

Wenn solche Daten in ein KI-System eingegeben werden, liegt in der Regel eine Verarbeitung personenbezogener Daten vor. Dann braucht das Unternehmen eine klare rechtliche Grundlage und muss die DSGVO-Pflichten beachten. Ein guter Grundsatz lautet: Geben Sie nur Daten in ein KI-Tool ein, die für den konkreten Zweck wirklich notwendig sind.

3. Daten minimieren: Nicht alles in die KI kopieren

Einer der wichtigsten Datenschutz-Grundsätze ist Datenminimierung. Unternehmen sollten nur die Daten verarbeiten, die sie wirklich brauchen.

Schlecht:

Besser:

Noch besser ist es, interne Regeln aufzustellen: keine Kundendaten in öffentliche KI-Tools, keine Gesundheitsdaten, keine Bewerbungsunterlagen ohne Prüfung, keine vertraulichen Geschäftsgeheimnisse, keine Passwörter, Zugangsdaten oder API-Keys und keine vollständigen Datenbanken hochladen. Gerade am Anfang ist es sinnvoll, KI nur mit anonymisierten oder nicht sensiblen Daten zu nutzen.

4. Anbieter prüfen: Wo landen die Daten?

Nicht jedes KI-Tool ist automatisch für Unternehmen geeignet. Vor der Nutzung sollte geprüft werden: Wer ist der Anbieter? Wo sitzt der Anbieter? Wo werden Daten gespeichert? Werden Eingaben zum Training genutzt? Gibt es eine Business-Version? Gibt es einen Vertrag zur Auftragsverarbeitung? Gibt es Einstellungen zum Deaktivieren von Trainingsnutzung? Wie lange werden Daten gespeichert? Können Daten gelöscht werden? Gibt es Sicherheitszertifikate oder Dokumentation?

Ein kostenloses KI-Tool kann praktisch sein, ist aber für Unternehmen oft riskanter als eine bezahlte Business-Lösung mit klaren Datenschutz- und Sicherheitseinstellungen.

5. Auftragsverarbeitung klären

Wenn ein externer Anbieter personenbezogene Daten im Auftrag des Unternehmens verarbeitet, kann ein Vertrag zur Auftragsverarbeitung erforderlich sein. In so einem Vertrag wird geregelt: welche Daten verarbeitet werden, zu welchem Zweck, wie lange, welche Sicherheitsmaßnahmen gelten, welche Rechte und Pflichten beide Seiten haben, ob Unterauftragnehmer eingesetzt werden und wie Daten gelöscht oder zurückgegeben werden. Unternehmen sollten KI-Tools nicht einfach nutzen, ohne zu prüfen, ob ein solcher Vertrag nötig ist.

6. Mitarbeitende schulen

Ein großer Teil des Risikos entsteht nicht durch die KI selbst, sondern durch falsche Nutzung. Deshalb sollten Mitarbeitende klare Regeln bekommen. Eine einfache interne KI-Regel könnte so aussehen:

Interne KI-Nutzungsregeln

Solche Regeln müssen nicht kompliziert sein. Wichtig ist, dass sie verständlich und praktisch sind.

7. KI-Ergebnisse nie blind übernehmen

KI-Systeme können überzeugend klingen und trotzdem falsch liegen. Deshalb sollten Ergebnisse immer geprüft werden. Besonders kritisch sind: rechtliche Aussagen, medizinische Inhalte, Finanzinformationen, technische Anleitungen, Bewertungen von Personen, automatisierte Entscheidungen und Inhalte, die veröffentlicht werden. Für Unternehmen gilt: KI kann unterstützen, aber Verantwortung bleibt beim Menschen.

8. Besondere Vorsicht bei Bewerbungen, Personal und Bewertung von Menschen

Wenn KI eingesetzt wird, um Menschen zu bewerten, wird es besonders sensibel. Dazu gehören zum Beispiel: Bewerberauswahl, Leistungskontrolle, Bonitätsprüfung, Kundenbewertung, Risiko-Einstufungen, Scoring und automatisierte Empfehlungen mit Wirkung auf Personen. Solche Einsätze können datenschutzrechtlich und regulatorisch deutlich anspruchsvoller sein. Unternehmen sollten solche Projekte nicht ohne Datenschutzprüfung, Dokumentation und menschliche Kontrolle starten.

9. Transparenz schaffen

Betroffene Personen müssen grundsätzlich wissen, wenn ihre Daten verarbeitet werden. Deshalb sollte geprüft werden, ob Datenschutzhinweise angepasst werden müssen. Das kann betreffen: Website-Datenschutzerklärung, Datenschutzhinweise für Kunden, interne Mitarbeiterinformationen, Hinweise im Bewerbungsprozess und Informationen bei Chatbots. Besonders bei KI-Chatbots auf Webseiten sollte klar sein, welche Daten verarbeitet werden und ob externe Anbieter beteiligt sind.

10. Technische und organisatorische Maßnahmen

Unternehmen sollten nicht nur rechtlich, sondern auch technisch sauber arbeiten. Sinnvolle Maßnahmen sind: Zugriff nur für berechtigte Personen, starke Passwörter und Zwei-Faktor-Authentifizierung, keine privaten Accounts für geschäftliche KI-Nutzung, Rollen- und Rechtekonzepte, Protokollierung wichtiger Vorgänge, regelmäßige Prüfung der Einstellungen, Löschkonzepte, sichere Anbieterwahl und interne Freigabeprozesse. Je sensibler die Daten, desto höher sollten die Sicherheitsmaßnahmen sein.

11. Dokumentation nicht vergessen

Wer KI im Unternehmen einsetzt, sollte wichtige Entscheidungen dokumentieren. Dazu gehören: welches Tool genutzt wird, wofür es genutzt wird, welche Daten verarbeitet werden, welche Rechtsgrundlage genutzt wird, welche Risiken bestehen, welche Schutzmaßnahmen umgesetzt wurden, wer verantwortlich ist und wann die nächste Prüfung erfolgt. Dokumentation klingt langweilig, schützt aber, wenn später Fragen von Kunden, Behörden oder Geschäftspartnern kommen.

12. Praktische KI-Checkliste für Unternehmen

Vor dem Einsatz eines KI-Tools sollten Unternehmen diese Fragen beantworten:

KI-Checkliste vor dem Einsatz

Fazit

KI kann Unternehmen enorm helfen – aber nur, wenn Datenschutz und Sicherheit von Anfang an mitgedacht werden. Wer einfach loslegt, riskiert Datenpannen, falsche Ergebnisse und rechtliche Probleme. Die wichtigste Regel lautet: Erst Zweck, Daten und Anbieter prüfen – dann KI einsetzen. Für viele Unternehmen ist der beste Start ein klar begrenzter Anwendungsfall ohne sensible Daten. Danach kann die Nutzung Schritt für Schritt erweitert werden.

Schützen Sie Ihre Daten mit der richtigen Sicherheitssoftware. Vergleichen Sie jetzt passende Tools.

Sicherheits-Tools vergleichen

Häufige Fragen

Darf ich Kundendaten in ein KI-Tool eingeben?

Sobald personenbezogene Daten in ein KI-System eingegeben werden, liegt in der Regel eine Verarbeitung vor – dann braucht Ihr Unternehmen eine klare Rechtsgrundlage und muss die DSGVO-Pflichten beachten. Es gilt der Grundsatz der Datenminimierung: Geben Sie nur Daten ein, die für den konkreten Zweck wirklich notwendig sind. Für öffentliche KI-Tools ist die sicherste interne Regel, gar keine Kundendaten einzugeben.

Was sind personenbezogene Daten?

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Dazu gehören unter anderem Name, E-Mail-Adresse, Telefonnummer, Kundennummer, IP-Adresse, Standortdaten, Bewerbungsunterlagen, Chatverläufe, Rechnungen, Gesundheitsdaten und Mitarbeiterdaten. Werden solche Daten in ein KI-Tool kopiert, gilt das als Verarbeitung.

Brauche ich einen Auftragsverarbeitungsvertrag für KI-Tools?

Wenn ein externer Anbieter personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet, kann ein Vertrag zur Auftragsverarbeitung erforderlich sein. Darin wird geregelt, welche Daten zu welchem Zweck und wie lange verarbeitet werden, welche Sicherheitsmaßnahmen gelten, ob Unterauftragnehmer eingesetzt werden und wie Daten gelöscht oder zurückgegeben werden. Prüfen Sie das, bevor Sie ein Tool produktiv einsetzen.

Wie erkenne ich, ob ein KI-Tool DSGVO-konform ist?

Ein Siegel gibt es dafür nicht – Sie müssen den Anbieter selbst prüfen. Klären Sie vorab, wer der Anbieter ist, wo er sitzt, wo die Daten gespeichert werden und ob Eingaben zum Training genutzt werden. Wichtig sind außerdem eine Business-Version, Einstellungen zum Deaktivieren der Trainingsnutzung, die Speicherdauer und die Möglichkeit, Daten zu löschen. Ein kostenloses KI-Tool ist für Unternehmen oft riskanter als eine bezahlte Business-Lösung mit klaren Datenschutzeinstellungen.

Darf KI Bewerbungen vorsortieren?

Sobald KI eingesetzt wird, um Menschen zu bewerten, wird es besonders sensibel – das betrifft Bewerberauswahl, Leistungskontrolle, Bonitätsprüfung und Scoring gleichermaßen. Solche Einsätze sind datenschutzrechtlich und regulatorisch deutlich anspruchsvoller. Starten Sie sie nicht ohne Datenschutzprüfung, Dokumentation und menschliche Kontrolle.

Muss ich den KI-Einsatz im Unternehmen dokumentieren?

Wer KI im Unternehmen einsetzt, sollte die wichtigen Entscheidungen festhalten: welches Tool wofür genutzt wird, welche Daten verarbeitet werden, welche Rechtsgrundlage gilt, welche Risiken bestehen, welche Schutzmaßnahmen umgesetzt wurden, wer verantwortlich ist und wann die nächste Prüfung erfolgt. Diese Dokumentation hilft, wenn später Fragen von Kunden, Behörden oder Geschäftspartnern kommen. Eine Rechtsberatung ersetzt sie nicht.

Welche Daten darf man nicht in eine KI eingeben?

Als interne Grundregel hat sich bewährt: keine Kundendaten in öffentliche KI-Tools, keine Gesundheitsdaten, keine Bewerbungsunterlagen ohne vorherige Prüfung, keine vertraulichen Geschäftsgeheimnisse, keine Passwörter, Zugangsdaten oder API-Keys und keine vollständigen Datenbanken. Statt einen kompletten Vertrag samt Name, Adresse und Bankdaten hochzuladen, sollten Sie ihn vorher anonymisieren. Gerade am Anfang ist es sinnvoll, KI nur mit anonymisierten oder nicht sensiblen Daten zu nutzen.

Ist der Einsatz von KI im Unternehmen DSGVO-konform möglich?

Ja, wenn Sie strukturiert vorgehen. Dazu gehören ein konkret beschriebener Zweck, Datenminimierung, eine Prüfung des Anbieters und der Speicherorte, gegebenenfalls ein Vertrag zur Auftragsverarbeitung, klare Regeln für Mitarbeitende, menschliche Kontrolle der Ergebnisse und eine schriftliche Dokumentation. Riskant wird es vor allem dann, wenn Unternehmen zu schnell starten und personenbezogene Daten ungeprüft in externe Tools kopieren. Eine Rechtsberatung ersetzt diese Checkliste nicht.

Weitere Ratgeber