DSGVO-Checkliste für KI-Einsatz (2026)

Schritt 1: Datenschutz-Folgenabschätzung (DSFA)

Bevor du ein KI-Tool einführst, prüfe, ob eine DSFA nötig ist:

• Werden personenbezogene Daten verarbeitet? (Kunden-, Mitarbeiter-, Lieferantendaten)
• Ist die Verarbeitung systematisch und umfangreich?
• Gibt es eine hohe Risiko für die Betroffenen? (Profiling, automatisierte Entscheidungen)

Tipp: Wenn du zwei der drei Kriterien mit Ja beantwortest, ist eine DSFA Pflicht. Der Hersteller des KI-Tools muss dir dabei helfen.

Schritt 2: Rechtsgrundlage klären

Für die Verarbeitung personenbezogener Daten brauchst du eine Rechtsgrundlage:

• Einwilligung: Ist der Betroffene informiert und hat aktiv zugestimmt?
• Vertragserfüllung: Ist die Verarbeitung nötig, um den Vertrag zu erfüllen?
• Berechtigtes Interesse: Wiegt das Interesse des Unternehmens höher als die Rechte der Betroffenen?

Wichtig: KI-Tools, die Daten in die USA senden, benötigen zusätzlich Garantien nach Art. 46 DSGVO (AVV oder Angemessenheitsbeschluss).

Schritt 3: Auftragsverarbeitungsvertrag (AVV)

Wenn der KI-Anbieter personenbezogene Daten im Auftrag verarbeitet, brauchst du einen AVV nach Art. 28 DSGVO:

• Ist ein AVV mit dem KI-Anbieter abschließbar?
• Deckt alle Verarbeitungstätigkeiten ab?
• Enthält die Pflichten zur Löschung und Rückgabe der Daten bei Vertragsende?
• Erlaubt Kontrollrechte (Audits) beim Anbieter?

Praxistipp: Die meisten großen KI-Anbieter bieten einen Standard-AVV an. Fordere ihn aktiv an — er ist oft auf der Website nicht gut sichtbar.

Schritt 4: Technische und organisatorische Maßnahmen (TOMs)

Art. 32 DSGVO verlangt angemessene Sicherheitsmaßnahmen:

• Verschlüsselung: Sind Daten bei der Übertragung verschlüsselt (TLS 1.3)?
• Zugriffskontrolle: Wer darf das KI-Tool nutzen? (2FA aktiviert?)
• Pseudonymisierung: Können Daten anonymisiert oder pseudonymisiert werden?
• Verfügbarkeit: Gibt es Backups? Wie lange ist der Ausfall?
• Resilienz: Wie reagiert der Anbieter auf Vorfälle?

Schritt 5: Betroffenenrechte sicherstellen

Die DSGVO garantiert Betroffenen Rechte, die du bei KI-Einsatz besonders beachten musst:

• Auskunft (Art. 15): Kannst du sagen, welche Daten das KI-Tool verarbeitet?
• Recht auf Vergessenwerden (Art. 17): Können Daten vollständig gelöscht werden?
• Datenportabilität (Art. 20): Können Daten exportiert werden?
• Widerspruch gegen Profiling (Art. 21): Kann der Betroffene widersprechen?
• Automatisierte Entscheidungen (Art. 22): Fällt das KI-Tool Entscheidungen, die rechtlich wirken?

Achtung: Wenn KI-basierte Entscheidungen getroffen werden (z. B. Kreditwübersicht, Mietvertrag), braucht es eine menschliche Überprüfung.

Schritt 6: Dokumentation

Art. 30 DSGVO verlangt ein Verzeichnis der Verarbeitungstätigkeiten:

• Name des KI-Tools und des Anbieters
• Zweck der Verarbeitung
• Kategorien personenbezogener Daten
• Kategorien von Betroffenen
• Empfänger der Daten
• Übermittlung in Drittländer (mit Garantien)
• Löschfristen
• Beschreibung der TOMs

Schritt 7: Schulung der Mitarbeiter

Die besten Vorbereitungen helfen nichts, wenn Mitarbeiter unsicher sind:

• Was darf in KI-Tools eingegeben werden? (Alles? Nur anonyme Daten?)
• Was darf NICHT eingegeben werden? (Personenbezogene Daten, Geschäftsgeheimnisse)
• Wie wird die Opt-Out-Option für Trainingsdaten aktiviert?
• Wer ist Ansprechpartner bei Fragen?

Schritt 8: Regelmäßige Überprüfung

DSGVO-Compliance ist kein einmaliges Projekt:

• Wird die DSFA bei Änderungen aktualisiert?
• Werden die AVV regelmäßig überprüft?
• Gibt es einen Prozess für neue KI-Tools?
• Wer führt regelmäßig Audits durch?