KI und DSGVO: Was Unternehmen beim Einsatz von KI beachten müssen

Jede Verarbeitung braucht eine Grundlage nach Art. 6 DSGVO: Vertragserfüllung (lit. b), etwa wenn der Telefonassistent einen Termin für einen Kunden bucht, ein berechtigtes Interesse (lit. f) an einer effizienten Bearbeitung mit dokumentierter Abwägung oder eine Einwilligung (lit. a), etwa für eine Audioaufzeichnung von Telefongesprächen ohne zwingenden Zweck. Besondere Kategorien wie Gesundheitsdaten (Art. 9 DSGVO) unterliegen strengeren Regeln und sollten nicht aktiv abgefragt werden.

Verarbeitet ein externer Anbieter Daten in Ihrem Auftrag, ist er Auftragsverarbeiter und Sie brauchen einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Die großen KI-Anbieter bieten solche Verträge für ihre Business- und API-Produkte an, nicht für private Verbraucherkonten. Wichtig im AVV: Verarbeitung nur nach Ihrer Weisung, kein Training eigener Modelle mit Ihren Daten, Unterauftragsverarbeiter und deren Standorte, Löschung nach Ende der Verarbeitung, technische und organisatorische Sicherheitsmaßnahmen.

Die Übermittlung personenbezogener Daten in Länder außerhalb des EWR ist nur unter den Voraussetzungen von Kapitel V DSGVO zulässig: über den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, der für zertifizierte US-Unternehmen seit Juli 2023 gilt und rechtlich umstritten ist, oder über die Standardvertragsklauseln der EU-Kommission, ergänzt um eine Bewertung der Rechtslage im Zielland. Viele KI-Anbieter bieten inzwischen Verarbeitung in der EU an; die konsequenteste Variante ist ein KI-Modell auf einem eigenen Server. → Firmen-KI

Nach Art. 13 und 14 DSGVO müssen Personen erfahren, wer ihre Daten wofür verarbeitet, auf welcher Grundlage, an wen sie gehen und wie lange sie gespeichert werden. Die Datenschutzerklärung beschreibt jede KI-Anwendung mit Kundenkontakt – Chatbot, Telefonassistent – als eigenen Punkt; im Gespräch oder Chat genügt ein kurzer Hinweis mit Verweis darauf. Unabhängig davon verlangt der EU AI Act seit 2. August 2026, dass Menschen erkennen können, wenn sie mit einer KI interagieren (Art. 50). → EU AI Act

Daten dürfen nur so lange gespeichert werden, wie es für den Zweck nötig ist (Speicherbegrenzung, Art. 5 Abs. 1 lit. e). Für KI-Anwendungen heißt das: feste Fristen für Chatverläufe, Gesprächstranskripte und Protokolle, mit automatischer Löschung. Bei Anwendungen mit Gedächtnis, etwa KI-Agenten, muss geregelt sein, was dauerhaft gespeichert wird und wie Auskunfts- und Löschanfragen erfüllt werden.

Art. 22 DSGVO gibt Betroffenen das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt – etwa eine automatische Absage einer Bewerbung oder die Ablehnung eines Vertrags. Solche Entscheidungen brauchen eine menschliche Prüfung. Bei Telefonassistenten, Chatbots oder Dokumentenerfassung stellt sich diese Frage in der Regel nicht, bei Bewerber-Vorauswahl oder Bonitätsprüfung sehr wohl.

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen mit sich bringt; die österreichische Datenschutzbehörde hat dazu eine Liste von Verarbeitungen veröffentlicht, für die eine DSFA verpflichtend ist. Beim KI-Einsatz ist sie eher angezeigt bei umfangreicher Verarbeitung sensibler Daten, systematischer Bewertung von Personen oder Überwachung von Beschäftigten – für einen Chatbot, der Öffnungszeiten beantwortet, in der Regel nicht. Die Einschätzung sollte dokumentiert werden.