Was ist DSGVO?
Zuletzt aktualisiert am · Aidan Faes
Kurz gesagt
Die Datenschutz-Grundverordnung ist die europäische Verordnung, die regelt, unter welchen Bedingungen personenbezogene Daten verarbeitet werden dürfen. Sie verlangt für jede Verarbeitung eine Rechtsgrundlage, verpflichtet zu Transparenz und Datensicherheit und gibt betroffenen Personen Rechte, etwa auf Auskunft und Löschung. Für KI-Werkzeuge gilt sie wie für jede andere Software auch.
Vier Bezugspunkte tauchen bei KI-Projekten regelmäßig auf. Art. 6 Abs. 1 DSGVO nennt die Rechtsgrundlagen, unter anderem Einwilligung, Vertrag und berechtigtes Interesse. Art. 28 DSGVO regelt die Beauftragung eines Dienstleisters. Art. 35 DSGVO sieht eine Datenschutz-Folgenabschätzung vor, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt, insbesondere bei neuen Technologien. Art. 44 ff. DSGVO setzen die Bedingungen für Übermittlungen in Drittländer.
Im Betrieb heißt das vor allem Dokumentation. Sie halten fest, welches Werkzeug welche Daten verarbeitet, auf welcher Grundlage, wie lange und mit welchen Dienstleistern. Dazu kommt eine interne Regel, welche Inhalte in ein KI-Werkzeug eingegeben werden dürfen und welche nicht. Diese Regel ist der Teil, der im Alltag wirkt, weil er das Verhalten steuert und nicht nur die Vertragsakte füllt.
Der verbreitetste Fehler ist die Suche nach einem Siegel. Eine pauschale DSGVO-Zertifizierung eines Unternehmens gibt es nicht; Art. 42 DSGVO fördert datenschutzspezifische Zertifizierungsverfahren, die Teilnahme ist freiwillig und bezieht sich auf einen festgelegten Gegenstand. Wenn ein Anbieter mit einer allgemeinen DSGVO-Bescheinigung wirbt, sollten Sie nachfragen, worauf sie sich genau bezieht.
Wie viel Aufwand angemessen ist, hängt an der Art der Daten. Ein Assistent für Produkttexte ohne Personenbezug ist leichter zu begründen als ein Werkzeug, das Bewerbungen sichtet oder Krankmeldungen liest. Nach Destatis nennen 62 % der Unternehmen, die keine KI einsetzen, Unklarheit über rechtliche Folgen als Grund, 60 % Bedenken beim Datenschutz (Destatis, 2025). Die Bewertung Ihres konkreten Falls gehört in fachkundige Hände, dieser Text ersetzt sie nicht.
Welche Begriffe hängen damit zusammen?
- Auftragsverarbeitungsvertrag: Der Vertrag nach Art. 28 DSGVO, der regelt, wie ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet.
- KI-Verordnung: Die europäische Verordnung, die KI-Systeme nach Risiko einstuft und daran Pflichten knüpft.
- Verarbeitungsort: Der Ort, an dem Daten tatsächlich verarbeitet werden. Er kann vom Firmensitz des Anbieters abweichen.
Wo wird DSGVO in der Auswahl konkret?
Begriffe helfen erst, wenn sie an einer Entscheidung hängen. DSGVO spielt vor allem in KI-Assistenten & LLM-Plattformen eine Rolle. Dort sehen Sie, wie die geprüften Lösungen mit dem Punkt umgehen, jeweils mit Quelle und Stand-Datum. Ausführlicher steht das auf KI und DSGVO.
Weiter im Glossar
Recht und Sicherheit
Kategorien
Häufige Fragen
Gilt die DSGVO auch für Anbieter mit Sitz außerhalb der EU?
Nach dem Marktortprinzip aus Art. 3 Abs. 2 DSGVO kann sie auch dann greifen, wenn ein Anbieter außerhalb der EU sitzt und sich an Personen in der EU richtet. Für Ihre eigene Verantwortung ändert das ohnehin nichts: Sie bleiben verantwortlich für die Daten, die Sie in ein Werkzeug geben.
Brauche ich für jedes KI-Werkzeug eine Datenschutz-Folgenabschätzung?
Art. 35 DSGVO knüpft die Pflicht an ein voraussichtlich hohes Risiko, insbesondere bei neuen Technologien. Das ist eine Einzelfallbewertung, keine pauschale Regel für jede Software. Lassen Sie für die Werkzeuge mit sensiblen Daten prüfen, ob die Schwelle erreicht ist.
Dürfen Mitarbeitende Kundendaten in einen Chat kopieren?
Das hängt an Rechtsgrundlage, Vertrag mit dem Anbieter und Ihrer internen Regel. Ohne schriftliche Vorgabe entscheidet faktisch jede Person selbst, und genau daraus entstehen die Vorfälle. Legen Sie fest, welche Datenarten erlaubt sind, und schulen Sie das aktiv.