Wissen · Stand 29.10.2026

    Datenschutz und KI im Betrieb: neun Prüfpunkte

    Wer KI-Anwendungen mit personenbezogenen Daten nutzt, ist Verantwortlicher im Sinne der DSGVO. Die Datenschutzkonferenz hat im Mai 2024 eine Orientierungshilfe veröffentlicht, die sich an Betriebe richtet, die KI einsetzen möchten. Hier stehen die wichtigsten Prüfpunkte in verständlicher Form.

    Stand 29.10.2026. Zusammenfassung der Orientierungshilfe der Datenschutzkonferenz, Version 1.0 vom 06.05.2024, keine Rechtsberatung. Die Orientierungshilfe nennt sich selbst keinen abschließenden Anforderungskatalog und soll angepasst werden. Prüfen Sie, ob eine neuere Fassung vorliegt.

    Die Prüfpunkte

    Was vor dem Einsatz geklärt sein sollte

    • Zweck festlegenDSK 1.1

      Legen Sie vor dem Einsatz fest, wofür die KI-Anwendung dient. Nur mit einem konkreten Zweck lässt sich prüfen, ob die Verarbeitung personenbezogener Daten dafür erforderlich ist.

    • Kommen personenbezogene Daten vor?DSK 1.3, 3.1

      Prüfen Sie, ob in einem Einsatzfeld Personenbezug vorkommt, bei Eingabe wie bei Ausgabe. Der Bezug kann sich aus vielen Merkmalen ergeben, nicht nur aus Namen und Adressen. Gibt es keinen, gilt das Datenschutzrecht für dieses Einsatzfeld nicht.

    • RechtsgrundlageDSK 1.5

      Für jeden Verarbeitungsschritt mit personenbezogenen Daten braucht es eine Rechtsgrundlage. Welche passt, hängt vom Einsatz ab, zum Beispiel Personalwesen oder Kundenvertrag. Das ist eine Einzelfallprüfung.

    • Geschlossenes oder offenes SystemDSK 1.7

      Bei einem geschlossenen System läuft die Verarbeitung in einer abgegrenzten Umgebung, die Kontrolle über Ein- und Ausgaben liegt beim Anwender, und die Eingaben werden nicht zum weiteren Training verwendet. Bei offenen Systemen, etwa Cloud-Chatbots für unbestimmte Nutzer, verlassen die Eingaben den geschützten Bereich, und es kann zu Drittstaatenübermittlungen kommen. Technisch geschlossene Systeme sind aus Datenschutzsicht vorzugswürdig.

    • Anbieter und VertragDSK 2.1, 1.8

      Setzen Sie die Anwendung eines externen Anbieters zu eigenen Zwecken ein, besteht häufig ein Auftragsverarbeitungsverhältnis. Dann ist eine Vereinbarung nach Art. 28 DS-GVO abzuschließen. Achten Sie darauf, dass der Anbieter Ihnen genug Informationen für Ihre Pflichten liefert.

    • Datenschutz-FolgenabschätzungDSK 2.3

      Nehmen Sie zuerst eine Vorabprüfung des Risikos vor. Bei voraussichtlich hohem Risiko ist eine Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO nötig. Das wird beim Einsatz von KI-Anwendungen nach der Datenschutzkonferenz vielfach der Fall sein.

    • Transparenz und BetroffenenrechteDSK 1.8, 1.11, 3.1

      Betroffene müssen über die Verwendung ihrer Daten informiert werden. Auskunft, Berichtigung und Löschung müssen auch bei einer KI-Anwendung umsetzbar sein.

    • Keine automatisierte LetztentscheidungDSK 1.6

      Entscheidungen mit Rechtswirkung dürfen grundsätzlich nur Menschen treffen (Art. 22 DS-GVO). Eine nur formale Beteiligung genügt nicht. Das Beispiel der Datenschutzkonferenz: Eine KI wertet Bewerbungen aus und verschickt selbstständig Einladungen. Das verstößt gegen Art. 22.

    • Datenschutzbeauftragte und Betriebsrat einbindenDSK 1.12

      Datenschutzbeauftragte sollten stets eingebunden werden, wenn Entscheidungen über KI-Anwendungen vorbereitet oder getroffen werden. Die Beteiligung von Betriebs- und Personalräten ist zu prüfen.

    Die Kürzel verweisen auf die Abschnitte der Orientierungshilfe. Sie ist ein Leitfaden und kein abschließender Katalog. Ob und wie sie bei Ihnen greift, hängt vom Einzelfall ab.

    Praktisch

    Was Betriebe als Nächstes tun können

    • Bestandsaufnahme: Welche KI-Werkzeuge werden genutzt, von wem, wofür und mit welchen Daten?
    • Eine Hausregel für Mitarbeitende aufsetzen (siehe unsere Seite dazu).
    • Bei jedem Werkzeug, das Personenbezug haben kann, die Prüfpunkte oben durchgehen und die Antworten festhalten.
    • Bei offenen Fragen den Datenschutzbeauftragten oder eine Fachanwältin hinzuziehen. Wir ersetzen keine Rechtsberatung.

    Unsere Prozessanalyse kommt ohne Zugriff auf Ihre Kundendaten aus. Sie braucht Gespräche, keine Datenbank.

    Was wir nicht beurteilen

    Offene Punkte für Jurist oder Datenschutzbeauftragte

    • Welche Rechtsgrundlage für Ihren konkreten Einsatz passt.
    • Ob für Ihren Einsatz eine Datenschutz-Folgenabschätzung nötig ist.
    • Ob ein bestimmter Anbieter zulässig ist und welche Verträge Sie brauchen.
    • Wie Drittstaatenübermittlungen bei einem Anbieter zu bewerten sind.

    Quellen

    Mehr: KI-Regeln für Mitarbeitende · AI-Act-Kurzcheck · Häufige Fragen

    Der erste Schritt

    Offene Fragen? Sprechen wir 15 Minuten.

    Kostenlos und ohne Verkaufsdruck. Wir hören zu und sagen Ihnen ehrlich, ob sich ein Termin für Sie lohnt.

    Erstgespräch vereinbaren