Datenschutz
Die KI-Verordnung ersetzt die DSGVO nicht. Sobald ein KI-System personenbezogene Daten verarbeitet, gelten beide Regelwerke nebeneinander. Ich prüfe mit Ihnen, welche Werkzeuge Sie einsetzen dürfen, was vertraglich fehlt und wo eine Datenschutz-Folgenabschätzung nötig wird.
Projekt besprechen
Vor der Werkzeugfrage steht die Kontofrage. Geschäftliche Nutzung gehört in ein geschäftliches Konto, nicht in einen privaten Zugang. Für die Verarbeitung im Auftrag ist ein Vertrag nach Art. 28 DSGVO erforderlich. Zusätzlich ist zu klären, ob der Anbieter Eingaben zur Modellverbesserung nutzt und wie lange er sie speichert. Beides lässt sich bei den gängigen Anbietern einstellen, ist aber selten die Voreinstellung.
Viele KI-Dienste verarbeiten Daten außerhalb der EU. Dann sind die Grundlage der Übermittlung, der Status des Anbieters und die eigene Risikoabwägung zu dokumentieren. Unabhängig davon gilt die Datenminimierung: Was nicht in den Prompt muss, gehört nicht hinein. Gekürzte oder pseudonymisierte Eingaben senken das Risiko wirksamer als jede nachträgliche Vertragsklausel. Pseudonymisierte Daten bleiben aber personenbezogen. Aus der DSGVO führt nur eine Anonymisierung heraus, bei der sich nach den Kriterien des Europäischen Datenschutzausschusses niemand mehr herausgreifen, verknüpfen oder ableiten lässt.
Bei voraussichtlich hohem Risiko ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich. Automatisierte Letztentscheidungen über Personen sind nach Art. 22 DSGVO nur eingeschränkt zulässig, eine menschliche Prüfung bleibt notwendig. Den Rahmen bildet eine interne Richtlinie mit zugelassenen Werkzeugen, verbotenen Eingaben und klaren Zuständigkeiten. Eine individuelle Rechtsberatung ist nicht Bestandteil der Leistung.
Die DSGVO gilt unverändert. Die von der Kommission im November 2025 vorgeschlagenen Änderungen, etwa ein berechtigtes Interesse für KI-Training, eine engere Definition personenbezogener Daten und eine Meldefrist von 96 Stunden, sind mit Stand 8. Oktober 2026 weder vom Rat noch vom Parlament beschlossen. Planen Sie nicht mit ihnen. Neu sind die Entwürfe des Europäischen Datenschutzausschusses vom 8. Juli 2026 zur Anonymisierung und zum Web-Scraping für generative KI, in Konsultation bis zum 30. Oktober 2026. Praktischer Maßstab für den KI-Einsatz bleiben die Orientierungshilfen der Datenschutzkonferenz zu KI und Datenschutz, zu technischen und organisatorischen Maßnahmen und zu RAG-Systemen. Was die KI-Verordnung daneben verlangt, steht auf der Seite zum EU AI Act.
Werkzeug und Material
DatOnym entfernt personenbezogene Daten aus KI-Prompts, bevor sie den Server verlassen, reversibel und On-Premise. Das Repository sammelt praktische Hinweise für den datenschutzbewussten Einsatz von KI im Unternehmen.
Kontakt