KI Datenschutz Unternehmen: sicherer Einsatz mit System

KI Datenschutz Unternehmen: Was bedeutet das?

KI Datenschutz Unternehmen bedeutet, jeden KI-Einsatz nach Zweck, Daten, Rechtsgrundlage, Anbieter, Zugriff, Entscheidungseinfluss und Löschung zu steuern. Datenschutz ist dabei kein einzelnes Häkchen im Werkzeug. Er ist ein betrieblicher Prozess, der von der Auswahl über Nutzung und Kontrolle bis zur Abschaltung des Systems reicht.

Das größte Risiko sitzt selten in der Rechtsabteilung. Es sitzt am Dienstag um 16:40 Uhr vor einem offenen Texteingabefeld.

Ein Mitarbeiter kopiert eine Beschwerde hinein. Eine Führungskraft lässt Gesprächsnotizen zusammenfassen. Das Personalteam prüft einen Lebenslauf. Niemand will Daten „missbrauchen“. Alle wollen schneller arbeiten. Genau deshalb brauchst du Regeln, die im Alltag funktionieren.

Ein pauschales KI-Verbot löst das Problem nicht. Dann wandert die Nutzung in private Konten und bleibt unsichtbar. Ein pauschales „macht mal“ ist genauso schlecht. Du brauchst freigegebene Anwendungen, klare Zwecke, geeignete Konten, kurze Verbotslisten und einen Weg für neue Anwendungsfälle.

Welche Regeln gleichzeitig gelten

Der EU AI Act ersetzt die DSGVO nicht. Das AGG ersetzt den AI Act nicht. Mitbestimmung verschwindet nicht, weil ein Anbieter sein Produkt „Assistent“ nennt. Du musst mehrere Ebenen zusammenführen.

DSGVO: Personenbezug entscheidet

Sobald eine Eingabe, Ausgabe oder Nutzungsinformation einer Person zugeordnet werden kann, greifen die Datenschutzregeln. Namen sind nur der offensichtlichste Fall. Kombinationen aus Rolle, Arbeitgeber, Zeitpunkt, Ereignis und seltenen Merkmalen können eine Person ebenfalls identifizierbar machen.

Die Grundfragen lauten:

• Welcher konkrete Zweck wird verfolgt?
• Welche Daten sind dafür erforderlich?
• Auf welcher Rechtsgrundlage erfolgt jeder Verarbeitungsschritt?
• Wer ist Verantwortlicher, Auftragsverarbeiter oder gemeinsam verantwortlich?
• Wer erhält Zugriff?
• Wo werden Daten verarbeitet und gespeichert?
• Werden Eingaben oder Ausgaben zum Training genutzt?
• Wann werden Daten gelöscht?
• Wie können Betroffene ihre Rechte ausüben?

Die DSK-Orientierungshilfe zu KI und Datenschutz fordert genau diese frühe Zweck- und Rechtsgrundlagenprüfung. Sie hält technisch geschlossene Systeme aus Datenschutzsicht für vorzugswürdig und empfiehlt klare interne Regeln, betriebliche Konten, datenschutzfreundliche Voreinstellungen und kritische Ergebniskontrolle.

BDSG: Beschäftigte und Bewerber besonders beachten

§ 26 BDSG erlaubt die Verarbeitung personenbezogener Daten für Beschäftigungszwecke, wenn sie für die Entscheidung über ein Beschäftigungsverhältnis oder für dessen Durchführung oder Beendigung erforderlich ist. Bewerber zählen ausdrücklich zum geschützten Personenkreis.

Erforderlichkeit ist enger als Nützlichkeit. Nur weil ein System Stimmung, Verhalten oder vermeintliches Potenzial auswerten kann, brauchst du diese Auswertung nicht. Im Beschäftigungsverhältnis ist eine Einwilligung außerdem wegen der Abhängigkeit nicht automatisch freiwillig.

AGG: Diskriminierung bleibt Verantwortung des Unternehmens

Das Allgemeine Gleichbehandlungsgesetz schützt vor Benachteiligung wegen der dort genannten Merkmale. Eine KI-Empfehlung kann sachlich falsch oder systematisch verzerrt sein. Wer sie verwendet, bleibt für Auswahl, Beförderung, Aufgabenverteilung und andere Entscheidungen verantwortlich.

Prüfe deshalb nicht nur, ob eine Ausgabe plausibel klingt. Prüfe, ob Kriterien jobbezogen sind, Stellvertretermerkmale wirken und bestimmte Gruppen auffällig benachteiligt werden. Im Recruiting erklärt der Beitrag KI Bewerberauswahl den vollständigen Prüfprozess.

Betriebsrat und Beschäftigtenvertretung

Die DSK empfiehlt, betriebliche oder behördliche Datenschutzbeauftragte einzubinden und die Beteiligung von Betriebs- oder Personalräten zu prüfen. § 87 Abs. 1 Nr. 6 des Betriebsverfassungsgesetzes sieht Mitbestimmung bei technischen Einrichtungen vor, die dazu bestimmt sind, Verhalten oder Leistung von Arbeitnehmern zu überwachen.

Ob ein konkreter Einsatz darunter fällt, braucht eine Einzelfallprüfung. Warte nicht bis zur Einführung. Früh geklärte Beteiligung ist schneller als ein gestoppter Rollout.

Der EU AI Act: Stand 30. Juli 2026

Die Rechtslage hat sich im Juli 2026 geändert. Verlasse dich deshalb nicht auf Zeitpläne, die vor diesem Datum erstellt wurden.

Die EU-KI-Verordnung 2024/1689 arbeitet risikobasiert. Sie verbietet bestimmte Praktiken, enthält Transparenzpflichten und stellt besondere Anforderungen an Hochrisiko-Systeme. Beschäftigungs-KI zum Filtern und Bewerten von Bewerbern, zur Entscheidung über Arbeitsbedingungen, zur Aufgabenverteilung anhand persönlicher Merkmale oder zur Leistungsüberwachung ist in Anhang III erfasst.

Was ab 2. August 2026 gilt

Die Mehrheit der allgemein anwendbaren Regeln und insbesondere Transparenzpflichten des Art. 50 startet am 2. August 2026. Bei Systemen, die für direkte Interaktion mit Menschen bestimmt sind, muss die künstliche Interaktion grundsätzlich erkennbar sein, sofern dies nicht ohnehin offensichtlich ist. Weitere Pflichten betreffen bestimmte synthetische oder manipulierte Inhalte.

Prüfe als Betreiber, ob die Informationsfunktion des Anbieters tatsächlich aktiviert ist und zu deinem Einsatz passt. Ein Hinweis tief in der Datenschutzerklärung ersetzt nicht automatisch eine klare Information in der Interaktion.

Neue Frist für Hochrisiko-Systeme

Am 27. Juli 2026 ist der AI Omnibus in Kraft getreten. Die EU-Kommission nennt den aktualisierten Zeitplan:

• Hochrisiko-Regeln für Anhang-III-Systeme, etwa in Beschäftigung, gelten ab dem 2. Dezember 2027.
• Regeln für Hochrisiko-KI in regulierten Produkten nach Anhang I gelten ab dem 2. August 2028.

Die Fristverlängerung beseitigt nicht die heutige Verantwortung nach DSGVO, BDSG, AGG und weiteren Regeln. Sie gibt Unternehmen Zeit, Inventar, Verträge, Dokumentation, Aufsicht und Tests aufzubauen.

Der AI Omnibus hat laut Kommissionsinformation außerdem die frühere bindende Unternehmenspflicht zur KI-Kompetenz vereinfacht und durch stärkere, nicht bindende Förderung durch Kommission und Mitgliedstaaten ersetzt. Praktisch bleibt Schulung notwendig: Ohne kompetente Nutzer kannst du Datenschutzgrundsätze, Ergebniskontrolle und menschliche Aufsicht nicht umsetzen. Auch die DSK empfiehlt Sensibilisierung durch Schulungen, Leitfäden und Gespräche.

Die drei Risikoklassen für deinen Alltag

Du brauchst keine komplizierte Punktzahl. Eine verständliche erste Einordnung reicht, um die richtige Prüfung zu starten.

Niedrigeres Risiko: kein Personenbezug, leicht prüfbar

Beispiele sind Gliederungen aus öffentlichen Informationen, Formulierungshilfen ohne interne Daten oder Ideen auf Basis freigegebener Produktmerkmale. Auch hier bleiben Geschäftsgeheimnisse, Urheberrecht, Richtigkeit und Anbieterbedingungen relevant.

Mittleres Risiko: interne oder personenbezogene Daten, keine erhebliche Entscheidung

Dazu gehören die Zusammenfassung einer freigegebenen Kundenanfrage, interne Wissenssuche oder ein Entwurf aus Bewerbungsinformationen. Zweck, Rechtsgrundlage, Vertrag, Zugriff, Löschung und Ergebniskontrolle müssen stehen. Häufig ist Pseudonymisierung sinnvoll, aber sie macht Daten nicht automatisch anonym.

Hohes Risiko: erhebliche Entscheidung, Überwachung oder sensible Daten

Automatische Bewerbungsfilter, Leistungsprognosen, Aufgabenverteilung nach persönlichem Verhalten, Gesundheitsdaten oder biometrische Auswertungen brauchen eine vertiefte rechtliche und technische Prüfung. Einige Einsätze können verboten, unzulässig oder als Hochrisiko eingeordnet sein.

Wenn du unsicher bist, behandle den Fall zunächst strenger. Freigeben kannst du später. Einen bereits eingetretenen Datenabfluss holst du nicht zurück.

KI Datenschutz Unternehmen: Governance in sieben Schritten

1. Alle Anwendungsfälle erfassen. Frage nicht nur nach gekauften Werkzeugen. Erfasse auch integrierte KI-Funktionen in CRM, Bewerbermanagement, Textverarbeitung, Videokonferenz und Kundenservice. Notiere Zweck, Nutzer, Daten und Ergebnis.
2. Zweck und Rolle klassifizieren. Trenne Textentwurf, Wissenssuche, Prognose, Empfehlung und Entscheidung. Prüfe, ob du Anbieter, Betreiber, Importeur oder durch wesentliche Änderung selbst zum Anbieter wirst. Ordne Datenschutz- und AI-Act-Risiko getrennt ein.
3. Daten minimieren und trennen. Entferne unnötige Personenbezüge, begrenze Eingabefelder und trenne Wissenssysteme von Personal- oder Kundendaten. Lege erlaubte und verbotene Datenarten in einfachen Beispielen fest.
4. Anbieter und Vertrag prüfen. Kläre Rollen nach DSGVO, Auftragsverarbeitung, Unterauftragnehmer, Speicherorte, Drittlandtransfers, Sicherheitsmaßnahmen, Trainingsnutzung, Löschung, Protokolle und Information über Modelländerungen. Fehlen Antworten, fehlt die Freigabe.
5. Menschliche Kontrolle und Rechte bauen. Lege fest, wer Ausgaben prüft, wie Entscheidungen widersprochen wird und wie Auskunft, Berichtigung, Löschung und Beschwerden bearbeitet werden. Eine Kontrollperson braucht Informationen, Zeit und Befugnis.
6. Risiko testen und dokumentieren. Prüfe falsche Ausgaben, Diskriminierung, Datenabfluss, Berechtigungen und Grenzfälle. Führe eine Vorprüfung für die Datenschutz-Folgenabschätzung durch. Bei voraussichtlich hohem Risiko verlangt Art. 35 DSGVO eine DSFA.
7. Betrieb steuern. Schulen, protokollieren, Änderungen bewerten, Vorfälle bearbeiten und Anwendungen regelmäßig neu freigeben. Ein Anbieter-Update kann den geprüften Datenfluss oder die Ergebnisqualität verändern.

Dieser Prozess ist deine Mindestarchitektur. Ein Datenschutztext im Intranet ersetzt keinen davon.

Anbieterprüfung: die Fragen vor dem ersten Vertrag

Ein Anbieter muss nicht jedes technische Detail seines Modells offenlegen. Du brauchst aber genug Information, um deine Pflichten zu erfüllen.

Fordere klare Antworten:

• Welche Daten verarbeitet die Funktion im normalen Betrieb?
• Speichert der Anbieter Ein- und Ausgaben, und wie lange?
• Fließen Inhalte in Training, Feinabstimmung oder Qualitätsprüfung?
• Lässt sich diese Nutzung vertraglich und technisch abschalten?
• Welche Unterauftragnehmer erhalten Daten?
• Welche Übermittlungsgrundlage gilt außerhalb des Europäischen Wirtschaftsraums?
• Welche Sicherheits- und Zugriffskontrollen bestehen?
• Wie meldet der Anbieter Vorfälle und wesentliche Änderungen?
• Kannst du Daten exportieren, berichtigen und löschen?
• Welche Dokumentation liefert er für eine DSFA oder Hochrisiko-Prüfung?

Die bereits verlinkte DSK-Orientierungshilfe macht deutlich, warum du den Personenbezug über den gesamten Datenlebenszyklus prüfen musst: Auch ohne Namen kann der Kontext eine Person identifizierbar machen, und selbst eine zunächst unkritische Eingabe kann eine personenbezogene Ausgabe erzeugen. Für jeden Verarbeitungsschritt mit Personenbezug brauchst du deshalb eine passende Rechtsgrundlage.

Für deinen Einkauf folgt daraus: Ein allgemeiner Satz wie „Das Modell ist anonym“ reicht nicht. Du brauchst Aussagen zum konkreten Dienst, zur konkreten Konfiguration und zu deinen Daten.

Keine automatisierte Letztentscheidung

Art. 22 DSGVO begrenzt ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Es gibt Ausnahmen, doch diese sind kein Standardweg für den Arbeitsalltag.

Die DSK verlangt tatsächlichen menschlichen Entscheidungsspielraum. Folgende Kontrollen gehören in den Prozess:

• Zugriff auf Originaldaten statt nur auf einen Score
• verständliche Kriterien und Begründung
• sichtbare Unsicherheit und fehlende Informationen
• Möglichkeit zur Korrektur
• dokumentierte eigene Abwägung
• Recht und Pflicht, der KI zu widersprechen

Das gilt im Recruiting, aber auch bei Kredit, Leistung, Beförderung, Preis, Zugang oder Kündigung. Wer nur „bestätigen“ klickt, liefert keine menschliche Kontrolle.

So setzt du die Regeln in Vertrieb, Marketing und Personal um

Governance muss in den Fachbereichen ankommen.

Im KI-Vertrieb sind Gesprächsnotizen, CRM-Daten und automatisierte Priorisierung die kritischen Punkte. Im KI-Marketing geht es unter anderem um Zielgruppen, Personalisierung, Einwilligungen und veröffentlichte Inhalte. Bei KI im Recruiting stehen Bewerberdaten, AGG und Entscheidungshoheit im Mittelpunkt.

KI-Agenten im Unternehmen erhöhen die Anforderungen, weil sie mehrere Schritte verbinden und Aktionen auslösen können. Je mehr ein System handeln darf, desto wichtiger sind begrenzte Rechte, Freigabeschritte, Protokolle und eine Notabschaltung.

Nutze bestehende Methoden zur Prozessoptimierung, um Datenwege und Übergaben sichtbar zu machen. Und trenne KI von klassischer Vertriebsautomatisierung: Eine feste Regel und ein lernendes oder generatives System brauchen nicht dieselbe Kontrolle.

Die Betriebsanweisung, die Mitarbeiter wirklich nutzen

Schreibe keine 40-seitige Richtlinie als einzige Hilfe. Erstelle zusätzlich eine Seite mit konkreten Beispielen:

Erlaubt: öffentliche Informationen zusammenfassen, freigegebene Texte umformulieren, Ideen ohne vertrauliche oder personenbezogene Daten entwickeln.

Nur mit freigegebenem Werkzeug: Kundenanfragen, interne Protokolle, Bewerbungsdaten, Vertragsinhalte oder nicht öffentliche Kennzahlen verarbeiten.

Verboten ohne Sonderprüfung: Gesundheitsdaten, Zugangsdaten, vollständige Personalakten, geheime Schlüssel, automatische Ablehnungen oder Leistungsbewertungen.

Dazu gehören ein Ansprechpartner, ein Meldeweg für Fehler und ein schneller Antrag für neue Anwendungsfälle. Wenn Freigabe vier Wochen dauert, suchen Mitarbeiter Abkürzungen. Governance muss sicher und arbeitsfähig sein.

Mach KI nutzbar, ohne die Kontrolle zu verlieren

Datenschutz ist kein Gegenspieler von Wachstum. Ein klarer Rahmen verhindert, dass Teams Daten verstecken, Ergebnisse ungeprüft übernehmen oder nach einem Vorfall jede KI stoppen müssen.

Die kostenlose KI-Anleitung hilft dir, sinnvolle Anwendungen strukturiert in deinen Arbeitsalltag zu bringen. Ergänze jeden Anwendungsfall um Zweck, erlaubte Daten, Prüfperson und Freigabe. So entsteht Geschwindigkeit mit System.

Dieser Beitrag gibt eine betriebliche Orientierung. Er ersetzt keine Rechtsberatung, Datenschutz-Folgenabschätzung oder Prüfung eines konkreten Anbieters. Gerade bei Personalentscheidungen, sensiblen Daten, Überwachung und Hochrisiko-Funktionen brauchst du fachkundige Einzelfallprüfung.

Häufige Fragen zu KI Datenschutz Unternehmen

Darf ich personenbezogene Daten in ein KI-Tool eingeben?

Nicht pauschal. Du brauchst einen festgelegten Zweck, eine Rechtsgrundlage, Erforderlichkeit, geeignete Verträge, Sicherheit, Transparenz und Löschregeln. Nutze nur freigegebene Systeme und minimiere die Daten vor jeder Eingabe.

Reicht es, Namen aus einem Text zu entfernen?

Nein. Rolle, Arbeitgeber, Zeitpunkt, Ereignis oder seltene Merkmale können eine Person weiterhin identifizierbar machen. Dann sind die Daten pseudonymisiert, nicht anonym. Prüfe den gesamten Kontext.

Wann brauche ich eine Datenschutz-Folgenabschätzung?

Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursacht, verlangt Art. 35 DSGVO eine DSFA. Die DSK weist darauf hin, dass dies bei KI vielfach der Fall sein kann. Beginne mit einer dokumentierten Vorabprüfung.

Wann gelten die Hochrisiko-Pflichten des EU AI Act?

Nach dem seit 27. Juli 2026 geltenden AI Omnibus greifen die Hochrisiko-Regeln für Anhang-III-Systeme ab 2. Dezember 2027 und für produktintegrierte Anhang-I-Systeme ab 2. August 2028. Transparenzpflichten des Art. 50 starten am 2. August 2026.

Muss der Betriebsrat bei KI beteiligt werden?

Das hängt von Funktion und Einsatz ab. Bei technischen Einrichtungen, die zur Verhaltens- oder Leistungsüberwachung bestimmt sind, kann § 87 Abs. 1 Nr. 6 BetrVG Mitbestimmung auslösen. Prüfe Beteiligungsrechte frühzeitig und bezogen auf das konkrete System.