DSGVO-Grundlagen im KI-Kontext

Lernziele

• Sie können die fünf Grundsätze der DSGVO nach Art. 5 (Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität) auf KI-Einsatzszenarien anwenden.
• Sie kennen die sechs Rechtsgrundlagen nach Art. 6 DSGVO und können für typische KI-Use-Cases die passende Rechtsgrundlage benennen.
• Sie verstehen, was ein Auftragsverarbeitungsvertrag (AVV nach Art. 28 DSGVO) ist und wann er beim Einsatz von KI-Tools erforderlich ist.
• Sie wissen, in welchen Situationen eine Datenschutz-Folgenabschätzung (DPIA nach Art. 35 DSGVO) durchgeführt werden muss.
• Sie können erläutern, was automatisierte Einzelentscheidungen nach Art. 22 DSGVO sind und welche Rechte Betroffene dabei haben.

Auf einen Blick

Worum geht es? — Der didaktische Einstieg

Eine Fachkraft in einem IT-Unternehmen möchte eine Kundenanfrage effizienter bearbeiten. Sie kopiert die Beschreibung des Problems — inklusive Name, E-Mail und Vertragsnummer des Kunden — in ein KI-Tool und lässt sich eine Antwort generieren. Was sie dabei nicht weiß: Sie hat möglicherweise gerade gegen die DSGVO verstoßen. Nicht böswillig, nicht fahrlässig im moralischen Sinne — sondern weil die Spielregeln unklar waren.

Genau diese Situation erleben täglich tausende Beschäftigte in europäischen Unternehmen. KI-Tools sind einfach zu bedienen, der Nutzen ist sofort sichtbar — und die datenschutzrechtlichen Anforderungen sind komplex und auf den ersten Blick nicht intuitiv. Das Ergebnis: strukturelle Compliance-Lücken, die nicht aus böser Absicht entstehen, sondern aus Unwissenheit.

In dieser Einheit lernen Sie die DSGVO-Grundlagen, die für den KI-Einsatz im Berufsalltag entscheidend sind. Nicht die gesamte DSGVO — die umfasst 99 Artikel. Aber die sechs Normen, die beim täglichen KI-Einsatz immer wieder relevant werden: Art. 5 (Grundsätze), Art. 6 (Rechtsgrundlagen), Art. 22 (automatisierte Entscheidungen), Art. 28 (Auftragsverarbeitung), Art. 32 (Sicherheit) und Art. 35 (Datenschutz-Folgenabschätzung). Mit diesem Wissen können Sie in konkreten Situationen fundiert beurteilen: Darf ich das, und wenn ja, wie?

Lerntext — Theorie und Konzepte

Art. 5 DSGVO — Die fünf Grundsätze als Prüfrahmen

Die fünf Grundsätze des Art. 5 DSGVO sind das Fundament des europäischen Datenschutzrechts. Sie gelten für jede Verarbeitung personenbezogener Daten — und damit auch für jede KI-Anwendung, die mit solchen Daten arbeitet.

Zweckbindung (Art. 5 Abs. 1 lit. b): Daten dürfen nur für den festgelegten, eindeutigen und legitimen Zweck verarbeitet werden, für den sie erhoben wurden. Für KI bedeutet das: Wenn Kundendaten für die Vertragserfüllung erhoben wurden, dürfen sie nicht einfach für das Training eines KI-Modells genutzt werden. Jede neue Nutzung bedarf einer eigenen Rechtsgrundlage.

Datenminimierung (Art. 5 Abs. 1 lit. c): Es dürfen nur die Daten verarbeitet werden, die für den konkreten Zweck tatsächlich erforderlich sind. Für KI-Prompts bedeutet das: Geben Sie nur die Informationen ein, die für die gewünschte Antwort notwendig sind. Überflüssige personenbezogene Informationen sollten vor der Eingabe entfernt werden.

Richtigkeit (Art. 5 Abs. 1 lit. d): Verarbeitete Daten müssen sachlich richtig sein. KI-generierte Daten oder Analysen, die auf falschen Eingangsdaten basieren, können gegen diesen Grundsatz verstoßen — insbesondere wenn die falschen Daten zu Entscheidungen über Personen führen.

Speicherbegrenzung (Art. 5 Abs. 1 lit. e): Daten dürfen nicht länger gespeichert werden, als für den Zweck notwendig. Beim KI-Einsatz relevant: Viele KI-Tools speichern Gesprächsverläufe (Conversation History) standardmäßig. Sofern personenbezogene Daten eingegeben wurden, müssen diese regelmäßig gelöscht werden.

Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f): Daten müssen durch geeignete technische und organisatorische Maßnahmen (TOMs) gesichert werden. Dies ist bei der Auswahl von KI-Tools zu berücksichtigen: Werden die Daten verschlüsselt übertragen? Wer hat Zugang zu den Eingaben (Prompts)?

Merksatz

Die fünf DSGVO-Grundsätze aus Art. 5 sind kein Checklisten-Formalismus — sie sind der rechtliche Rahmen, innerhalb dessen jede KI-Nutzung mit personenbezogenen Daten stattfinden muss. Wer sie kennt, kann im Alltag schnell beurteilen: Bewege ich mich noch im Rahmen?

Art. 6 DSGVO — Rechtsgrundlagen für die Datenverarbeitung

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Art. 6 DSGVO listet sechs mögliche Grundlagen auf:

1. Einwilligung (Art. 6 Abs. 1 lit. a): Die betroffene Person hat ausdrücklich eingewilligt. Für KI-Anwendungen oft problematisch: Einwilligungen müssen freiwillig, informiert und widerrufbar sein. Bei Beschäftigtendaten im Arbeitsverhältnis ist echte Freiwilligkeit oft fraglich.
2. Vertragserfüllung (Art. 6 Abs. 1 lit. b): Die Verarbeitung ist zur Erfüllung eines Vertrags notwendig. Dies ist die häufigste Grundlage für KI-gestützte Kundenserviceprozesse.
3. Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Die Verarbeitung ist zur Erfüllung einer gesetzlichen Pflicht erforderlich. Beispiel: steuerliche Aufbewahrungspflichten.
4. Schutz lebenswichtiger Interessen (Art. 6 Abs. 1 lit. d): Sehr enges Anwendungsfeld, z. B. medizinische Notfälle.
5. Wahrnehmung einer Aufgabe im öffentlichen Interesse (Art. 6 Abs. 1 lit. e): Relevant für Behörden und öffentliche Einrichtungen.
6. Berechtigte Interessen (Art. 6 Abs. 1 lit. f): Der Verantwortliche oder ein Dritter hat ein berechtigtes Interesse, das die Interessen der betroffenen Person überwiegt. Dies erfordert eine sorgfältige Abwägung und ist die flexibelste, aber auch anspruchsvollste Grundlage.

Abb. 13.1 — DSGVO-Entscheidungsbaum: Rechtsgrundlagen-Prüfung für KI-Prompts

Art. 22 DSGVO — Automatisierte Einzelentscheidungen

Art. 22 DSGVO ist besonders relevant für KI-Systeme, die Entscheidungen über Personen treffen oder vorbereiten. Eine automatisierte Einzelentscheidung liegt vor, wenn:

• Die Entscheidung ausschließlich auf automatisierter Verarbeitung beruht (kein sinnvoller menschlicher Einfluss),
• sie rechtliche oder ähnlich bedeutsame Wirkung für die betroffene Person hat (z. B. Kredit abgelehnt, Bewerbung aussortiert, Versicherungsprämie erhöht).

Die Regel: Solche Entscheidungen sind grundsätzlich verboten. Ausnahmen bestehen bei Einwilligung, Vertragsnotwendigkeit oder gesetzlicher Erlaubnis — und auch dann müssen geeignete Schutzmaßnahmen ergriffen werden, einschließlich des Rechts der betroffenen Person auf menschliche Überprüfung.

Für die Praxis bedeutet dies: KI-Systeme, die z. B. Bewerber automatisch ranken, Kreditanträge bewerten oder Mitarbeitende beurteilen, müssen sorgfältig gestaltet werden, damit die rechtlichen Anforderungen von Art. 22 eingehalten werden.

Art. 28 DSGVO — Auftragsverarbeitungsvertrag (AVV)

Wenn ein KI-Tool-Anbieter Daten im Auftrag Ihrer Organisation verarbeitet (z. B. ein KI-Tool verarbeitet Ihre Kundendaten auf seinen Servern), liegt Auftragsverarbeitung vor. In diesem Fall ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwingend erforderlich. Der AVV regelt insbesondere:

• Welche Daten verarbeitet werden
• Zu welchem Zweck
• Welche technischen und organisatorischen Maßnahmen der Auftragnehmer trifft
• Ob Subauftragnehmer eingesetzt werden dürfen
• Wie Datenpannen gemeldet werden

Für KI-Tools gilt: Fast alle SaaS-KI-Dienste (OpenAI API, Azure OpenAI, Google Vertex AI etc.) verarbeiten eingegebene Daten auf ihren Servern. Ein AVV ist daher in der Regel erforderlich, bevor personenbezogene Daten in solche Systeme eingegeben werden dürfen.

Merksatz

Kein AVV = kein Datenschutz-Compliance bei externen KI-Diensten. Prüfen Sie vor dem Einsatz eines KI-Tools: Liegt ein unterzeichneter AVV vor? Falls nein, dürfen keine personenbezogenen Daten eingegeben werden — egal wie praktisch das Tool wäre.

Art. 35 DSGVO — Datenschutz-Folgenabschätzung (DPIA)

Eine Datenschutz-Folgenabschätzung (DPIA) ist eine systematische Risikoanalyse für Verarbeitungsaktivitäten, die voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen aufweisen. Sie ist nach Art. 35 DSGVO verpflichtend, wenn mindestens zwei der folgenden Merkmale erfüllt sind:

• Systematische und umfassende Bewertung persönlicher Aspekte (inkl. Profiling)
• Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO) in großem Umfang
• Systematische Überwachung öffentlich zugänglicher Bereiche

Für KI-Systeme: Viele KI-Anwendungen im HR-Bereich (Recruiting, Leistungsbeurteilung), im Kundenbereich (Profiling, Scoring) oder in sensiblen Entscheidungskontexten (Kreditvergabe, Versicherung) erfüllen diese Kriterien. Eine DPIA ist dann Pflicht — und muss vor dem Start der Verarbeitung durchgeführt werden.

DSK-Orientierungshilfe und EDSA-Leitlinien

Die Datenschutzkonferenz (DSK) der deutschen Datenschutzbehörden hat eine Orientierungshilfe zum Einsatz von KI-Systemen herausgegeben, die konkrete Hinweise für Unternehmen enthält. Ebenso relevant sind die Leitlinien des Europäischen Datenschutzausschusses (EDSA), insbesondere zu automatisierter Entscheidungsfindung und Profiling. Diese Dokumente sind keine bindenden Gesetze, gelten aber als maßgebliche Auslegungshilfe für Behörden und Gerichte.

Vertiefung — DSGVO in der KI-Praxis: Typische Fallkonstellationen

Fallkonstellation 1: KI-gestützte E-Mail-Zusammenfassung

Eine Mitarbeiterin im Kundendienst nutzt ein KI-Tool, das eingehende E-Mails zusammenfasst. Die E-Mails enthalten Namen, Adressen und manchmal sensible persönliche Informationen der Kunden.

Rechtliche Analyse: Es liegt Verarbeitung personenbezogener Daten vor. Rechtsgrundlage: Je nach Kontext Vertragserfüllung (Art. 6 Abs. 1 lit. b) oder berechtigtes Interesse (Art. 6 Abs. 1 lit. f). AVV erforderlich, wenn das KI-Tool ein externer Dienst ist. Datenminimierung: Das Tool sollte idealerweise nur auf den relevanten Teil der E-Mail zugreifen. Speicherbegrenzung: Verlauf-Funktion des Tools prüfen und ggf. deaktivieren.

Ergebnis: Zulässig, wenn AVV vorliegt, Rechtsgrundlage geklärt ist und TOMs (Verschlüsselung, Zugriffsbeschränkung) implementiert sind.

Fallkonstellation 2: KI-gestütztes Bewerber-Screening

Ein Unternehmen nutzt ein KI-System, das eingehende Bewerbungen analysiert und einen Ranking-Score erstellt. Bewerber mit einem Score unter einem Schwellenwert werden automatisch abgelehnt.

Rechtliche Analyse: Art. 22 DSGVO: automatisierte Einzelentscheidung mit erheblicher Wirkung (Ablehnung einer Bewerbung). Ohne ausdrückliche Einwilligung oder gesetzliche Grundlage grundsätzlich unzulässig. Art. 9 DSGVO: Bewerberunterlagen können besondere Datenkategorien enthalten (Gesundheit, Behinderung, Religionszugehörigkeit). DPIA nach Art. 35 wahrscheinlich erforderlich. AGG: Risiko diskriminierender Ergebnisse (UE 22).

Ergebnis: Sehr hohes rechtliches Risiko. Empfehlung: Menschliche Überprüfung aller KI-Empfehlungen als Pflichtschritt, explizite Einwilligung der Bewerber, DPIA durchführen.

Fallkonstellation 3: KI-Chatbot für Mitarbeitende

Ein Unternehmen führt einen internen KI-Chatbot ein, den Mitarbeitende für HR-Anfragen nutzen können. Der Chatbot hat Zugriff auf Mitarbeiterdaten aus dem HR-System.

Rechtliche Analyse: Es werden besondere Datenkategorien (Gehalt, Krankheitstage, Leistungsbeurteilungen) verarbeitet — Art. 9 DSGVO relevant. Betriebsrat: Mitbestimmungsrecht nach BetrVG §87 Abs. 1 Nr. 6 (Überwachungstechnologien). AVV mit KI-Tool-Anbieter und ggf. HR-System-Anbieter. DPIA erforderlich.

Ergebnis: Zulässig, aber nur nach sorgfältiger Planung, Betriebsrats-Einbeziehung, AVV und DPIA.

Branchen-Anwendungen

IT-Dienstleistung & Beratung

IT-Beratungsunternehmen arbeiten regelmäßig mit Kundendaten — Systemkonfigurationen, Nutzerlisten, Log-Dateien. Wenn diese Daten in KI-Tools zur Fehleranalyse oder Code-Generierung eingegeben werden, entsteht sofort DSGVO-Relevanz. Eine gute Praxis: Erstellen Sie eine Klassifikationstabelle aller Datenkategorien, die Ihre Berater in KI-Tools eingeben, und definieren Sie für jede Kategorie: (a) Ist ein AVV vorhanden? (b) Welche Rechtsgrundlage gilt? (c) Sind Anonymisierungsschritte vorgeschrieben? Diese Tabelle reduziert individuelle Entscheidungslast und schafft Rechtssicherheit.

Industrie & Fertigung

In der Industrie werden häufig Sensordaten, Produktionsdaten und Qualitätsdaten in KI-Systeme eingespeist. Diese sind oft keine personenbezogenen Daten — aber Vorsicht: Sobald aus diesen Daten auf einzelne Mitarbeitende rückgeschlossen werden kann (z. B. Fehlerquote pro Schichtmitarbeiter), wird DSGVO-Relevanz ausgelöst. Besonders in mitbestimmungspflichtigen Betrieben (BetrVG §87) muss die Einführung solcher Systeme mit dem Betriebsrat abgestimmt werden. Die DSGVO und das Betriebsverfassungsrecht greifen hier ineinander.

Finanzdienstleistung & Versicherung

Finanzdienstleister verarbeiten regelmäßig hochsensible personenbezogene Daten: Kontonummern, Bonitätsscores, Transaktionshistorien. Bei der Einführung von KI-Systemen für Kreditentscheidungen oder Betrugserkennung ist Art. 22 DSGVO besonders relevant — automatisierte Kreditentscheidungen müssen dem Kunden gegenüber erklärbar sein, und es muss ein Recht auf menschliche Überprüfung gewährleistet werden. Zusätzlich gelten branchenspezifische Anforderungen aus der MaRisk (Mindestanforderungen an das Risikomanagement) und der BaFin-Guidance zu algorithmischen Systemen.

Öffentliche Verwaltung

Behörden verarbeiten eine besonders breite Palette personenbezogener Daten — oft unter gesetzlichem Auftrag (Art. 6 Abs. 1 lit. e DSGVO). Wenn KI-Systeme in der Verwaltung eingesetzt werden, z. B. für die automatisierte Bearbeitung von Anträgen, entstehen besondere Anforderungen: Art. 22 DSGVO ist zu beachten, wenn Verwaltungsentscheidungen (z. B. Antragsablehnung) automatisiert werden. In Deutschland gilt zusätzlich § 35a VwVfG (Verwaltungsverfahrensgesetz), der die automatisierte Bearbeitung von Verwaltungsakten unter bestimmten Bedingungen erlaubt — aber ausdrückliche gesetzliche Grundlage erfordert.

Die DSGVO im internationalen Kontext: Vergleich und Bedeutung

Die DSGVO gilt als weltweit strengstes Datenschutzgesetz und hat erheblichen Einfluss auf internationale Datenschutzstandards ausgeübt — ein Phänomen, das als „Brüssel-Effekt” bekannt ist. Länder wie Brasilien (LGPD), Japan (APPI-Reform) und Südkorea (PIPA-Reform) haben sich an der DSGVO orientiert. Selbst in den USA diskutieren mehrere Bundesstaaten Regelungen, die DSGVO-ähnliche Elemente enthalten (z. B. California Consumer Privacy Act — CCPA).

Für Unternehmen, die international tätig sind, bedeutet dies: DSGVO-Compliance ist oft der common denominator, der gleichzeitig viele andere nationale Datenschutzgesetze abdeckt. Ein KI-System, das DSGVO-konform ist, ist in der Regel auch in den meisten anderen Rechtssystemen compliant — aber nicht automatisch, da es Abweichungen gibt.

Im KI-Kontext besonders relevant: Das DSGVO-Prinzip der Zweckbindung (Art. 5 Abs. 1 lit. b) kollidiert häufig mit der Art und Weise, wie LLMs trainiert wurden. Diese Modelle wurden auf riesigen Textmengen trainiert, die zu verschiedensten Zwecken erhoben wurden. Die Frage, ob ein bestimmter Datensatz für das Training eines LLMs rechtmäßig verwendet wurde, ist eine der drängendsten aktuellen Rechtsfragen — mit laufenden Verfahren vor mehreren europäischen Datenschutzbehörden.

Territorialer Anwendungsbereich — Marktortprinzip

Art. 3 DSGVO regelt den territorialen Anwendungsbereich und enthält das sogenannte Marktortprinzip: Die DSGVO gilt nicht nur für in der EU ansässige Unternehmen, sondern für jedes Unternehmen weltweit, das:

• personenbezogene Daten von EU-Bürgern verarbeitet, um ihnen Waren oder Dienstleistungen anzubieten (auch kostenlos), oder
• das Verhalten von EU-Bürgern beobachtet (z. B. Tracking, Profiling).

Für KI-Anwendungen bedeutet das: Ein US-amerikanisches KI-Unternehmen, das einen KI-Assistenten für europäische Unternehmen anbietet und dabei personenbezogene Daten der Mitarbeitenden verarbeitet, ist an die DSGVO gebunden. Dies ist der Grund, warum OpenAI, Microsoft, Google und andere große KI-Anbieter DSGVO-konforme Datenverarbeitungsaddenden und AVVs anbieten — sie müssen.

Merksatz

Der territoriale Anwendungsbereich der DSGVO folgt dem Marktortprinzip — nicht dem Sitzprinzip. Wo immer EU-Bürger betroffen sind, gilt die DSGVO. Dies schließt alle großen KI-Anbieter ein, unabhängig davon, wo sie ihren Sitz haben.

Aufsichtsbehörden und Durchsetzung

Die DSGVO wird von nationalen Datenschutzbehörden (DSBs) durchgesetzt. In Deutschland ist dies auf Landesebene organisiert (z. B. LfDI Baden-Württemberg, Berliner Beauftragte für Datenschutz). Auf EU-Ebene koordiniert der Europäische Datenschutzausschuss (EDSA) die Zusammenarbeit der nationalen DSBs.

Besonders relevant für KI: Der EDSA hat 2024 eine Taskforce zu KI-Systemen eingerichtet und mehrere Stellungnahmen zu LLMs und Chatbots veröffentlicht. Die irische Datenschutzbehörde (DPC) — zuständig für viele US-Technologiekonzerne mit EU-Sitz in Irland — hat bereits Untersuchungen gegen mehrere KI-Anbieter eingeleitet.

Die Bußgeldsystematik: Art. 83 DSGVO unterscheidet zwischen zwei Bußgeld-Schwellen: - Schwere Verstöße (z. B. Verletzung von Art. 5, 6, 7, 9): bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes - Leichtere Verstöße (z. B. Verletzung von Informationspflichten): bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes

In der Praxis wurden bereits Bußgelder im dreistelligen Millionenbereich verhängt — Meta erhielt 2023 ein Bußgeld von 1,2 Mrd. € für unrechtmäßige Datentransfers in die USA.

DSGVO-Compliance im KI-Projekt: Schritt-für-Schritt-Leitfaden

Die Integration von DSGVO-Anforderungen in KI-Projekte erfordert eine strukturierte Vorgehensweise. Folgender Leitfaden hilft, von der Projektidee bis zum Go-Live alle relevanten Datenschutzanforderungen zu erfüllen:

Schritt 1 — Datenschutzrechtliche Einordnung (vor Projektbeginn): Klären Sie: Werden personenbezogene Daten verarbeitet? Wenn nein: DSGVO weitgehend nicht anwendbar, Dokumentation trotzdem empfehlenswert. Wenn ja: Weiter zu Schritt 2.

Schritt 2 — Rechtsgrundlagenprüfung (Art. 6 DSGVO): Welche Rechtsgrundlage soll die Verarbeitung tragen? Einwilligung (Art. 6 Abs. 1 lit. a), Vertragserfüllung (lit. b), rechtliche Verpflichtung (lit. c), lebenswichtige Interessen (lit. d), öffentliche Aufgabe (lit. e) oder berechtigtes Interesse (lit. f)? Für betriebliche KI-Systeme ist lit. f (berechtigtes Interesse) oft einschlägig — erfordert aber eine Interessenabwägung.

Schritt 3 — DPIA-Screening (Art. 35 DSGVO): Ist eine Datenschutz-Folgenabschätzung erforderlich? Indikatoren: Systematische und umfassende Bewertung von Personen (z. B. Scoring, Profiling), Verarbeitung besonderer Kategorien in großem Maßstab (Art. 9), systematische Überwachung öffentlich zugänglicher Bereiche. Bei Hochrisiko-KI nach AI Act: DPIA fast immer erforderlich und sinnvoll.

Schritt 4 — AVV mit KI-Anbieter abschließen (Art. 28 DSGVO): Vor Inbetriebnahme des KI-Systems muss ein DSGVO-konformer AVV mit dem Anbieter bestehen. Prüfen Sie: Opt-Out von Training mit Kundendaten, Unterauftragsverarbeiter-Liste, Löschfristen.

Schritt 5 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Dokumentieren Sie die Maßnahmen zum Schutz der Daten: Verschlüsselung, Zugriffskontrollen, Protokollierung, Pseudonymisierung. Die KI-Anbieter stellen hierfür häufig Security-Whitepapers zur Verfügung.

Schritt 6 — Informationspflichten erfüllen (Art. 13/14 DSGVO): Betroffene Personen müssen über die Datenverarbeitung durch KI informiert werden. Für Mitarbeitende: Aktualisierung der Datenschutzhinweise für Beschäftigte. Für Kunden: Aktualisierung der Datenschutzerklärung.

Schritt 7 — Betroffenenrechte sicherstellen (Art. 15–22 DSGVO): Stellen Sie sicher, dass Auskunfts-, Berichtigungs-, Löschungs- und Widerspruchsrechte technisch umgesetzt werden können. Bei KI-Systemen, die automatisierte Entscheidungen treffen (Art. 22): Implementierung des Rechts auf menschliche Überprüfung.

Schritt 8 — Laufende Überwachung und Review: DSGVO-Compliance ist kein einmaliges Projekt — es ist ein kontinuierlicher Prozess. Planen Sie regelmäßige Reviews der Datenschutzmaßnahmen (mindestens jährlich) sowie anlassbezogene Reviews bei wesentlichen Systemänderungen.

Merksatz

Datenschutz-Compliance für KI-Systeme ist kein einmaliger Checkbox-Prozess — sie muss in den gesamten Lebenszyklus des Systems integriert sein: von der Anforderungsanalyse über die Implementierung bis zum Betrieb und schließlich zur Außerbetriebnahme.

Besondere Herausforderungen bei KI und DSGVO

Herausforderung 1 — Zweckbindung und LLM-Training: LLMs werden auf Basis riesiger Datensätze trainiert, die für unterschiedlichste Zwecke erhoben wurden. Dies ist grundsätzlich problematisch aus DSGVO-Perspektive. Die Frage, ob das LLM-Training mit personenbezogenen Daten DSGVO-konform durchgeführt wurde, betrifft primär die KI-Anbieter — nicht die Deployer. Deployer können jedoch über die Wahl des Anbieters indirekt Einfluss nehmen.

Herausforderung 2 — Löschrecht vs. KI-Modell: Art. 17 DSGVO gibt Betroffenen das Recht auf Löschung. Was passiert, wenn personenbezogene Daten in das Training eines KI-Modells eingeflossen sind? Das Modell selbst kann nicht „vergessen” — eine technische Lösung gibt es derzeit nicht. Machine-Unlearning-Forschung arbeitet an Ansätzen, ist aber noch nicht praxisreif. Die EU-Aufsichtsbehörden arbeiten an Guidance dazu.

Herausforderung 3 — Erklärbarkeit und Art. 22 DSGVO: Art. 22 gibt Betroffenen das Recht auf eine Erklärung zu einer vollautomatisierten Entscheidung. LLMs (und andere komplexe KI-Modelle) sind oft nur eingeschränkt erklärbar. Der Einsatz von Explainable AI (XAI)-Methoden kann helfen, ist aber bei LLMs schwieriger als bei strukturierten Modellen.

Übung 1 — DSGVO-Entscheidungsbaum anwenden

Aufgabe: Analysieren Sie den folgenden Fall mit dem DSGVO-Entscheidungsbaum (Abb. 13.1): Eine Sachbearbeiterin im Vertrieb möchte ein KI-Tool nutzen, um aus einem Kundengespräch (Gesprächsnotiz: Name, Firma, besprochene Produkte, Einwände) eine Nachfass-E-Mail zu generieren. Beantworten Sie folgende Fragen: (1) Liegen personenbezogene Daten vor? (2) Welche Rechtsgrundlage kommt in Frage? (3) Ist ein AVV erforderlich? (4) Welche DSGVO-Grundsätze müssen beim Prompt beachtet werden?

Zeitrahmen: 10 Minuten Einzelarbeit, 5 Minuten Diskussion

Musterlösung Übung 1: (1) Ja, personenbezogene Daten liegen vor: Name der Kundin/des Kunden, Firmenname (ggf. juristische Person + dahinterstehende natürliche Person), besprochene Themen. (2) Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b) oder berechtigtes Interesse (lit. f), je nach Stadium der Geschäftsbeziehung. (3) Ja, ein AVV ist erforderlich, wenn das KI-Tool ein externer Dienst ist, der auf den eingegebenen Text zugreift. (4) Zu beachten: Datenminimierung (nur notwendige Informationen eingeben, keine überflüssigen Angaben), Zweckbindung (Nutzung nur für diese E-Mail, nicht für andere Zwecke), Speicherbegrenzung (Gesprächsverlauf im Tool regelmäßig löschen).

Übung 2 — AVV-Checkliste anwenden

Aufgabe: Ihre Organisation plant, ein neues KI-Tool für die Vertragsanalyse einzuführen (Vertragstext wird in das Tool eingegeben, das Tool extrahiert Schlüsselklauseln). Erstellen Sie eine kurze Checkliste (5–7 Punkte), welche Datenschutzfragen vor der Einführung geklärt werden müssen.

Zeitrahmen: 10 Minuten Einzelarbeit oder Partnerarbeit

Musterlösung Übung 2: (1) Enthalten die Verträge personenbezogene Daten? Falls ja: Welche Kategorien? (2) Liegt ein AVV mit dem KI-Tool-Anbieter vor? Falls nein: Vor Einführung abschließen. (3) Welche Rechtsgrundlage gilt für die Verarbeitung? (4) Ist die Datenverarbeitung auf den Zweck „Vertragsanalyse” beschränkt (Zweckbindung)? (5) Werden die eingegebenen Daten vom Anbieter für Training genutzt? Falls ja: Opt-out prüfen oder Anbieter wechseln. (6) Ist eine DPIA erforderlich (systematische Verarbeitung sensibler Vertragsbeziehungen)? (7) Werden Mitarbeitende über die Nutzung informiert, und ist der Betriebsrat (sofern vorhanden) einbezogen?

Auftragsverarbeitungsvertrag (AVV) — Was muss geregelt sein?

Art. 28 DSGVO definiert die Mindestanforderungen an einen AVV. Für KI-Anbieter sind folgende Punkte besonders relevant:

1. Gegenstand und Dauer der Verarbeitung: Klare Beschreibung, welche Daten der Auftragsverarbeiter (KI-Anbieter) verarbeitet, für welchen Zweck und wie lange.

2. Art und Zweck der Verarbeitung: Welche Operationen führt der KI-Anbieter mit den Daten durch? Nur Verarbeitung für den definierten Zweck, kein Training des Modells mit Kundendaten (soweit nicht explizit zugestimmt).

3. Weisungsgebundenheit: Der Auftragsverarbeiter handelt nur auf Weisung des Verantwortlichen. Für KI-Anbieter: Keine eigenständige Nutzung der Daten für andere Zwecke.

4. Vertraulichkeit: Mitarbeitende des Auftragsverarbeiters, die auf die Daten zugreifen, müssen zur Vertraulichkeit verpflichtet sein.

5. Technische und organisatorische Maßnahmen (TOM): Beschreibung der Sicherheitsmaßnahmen nach Art. 32 DSGVO.

6. Unterauftragsverarbeiter: Der KI-Anbieter muss offenlegen, welche Unterauftragsverarbeiter er nutzt (z. B. Cloud-Infrastruktur). Der Auftraggeber hat ein Widerspruchsrecht.

7. Unterstützungspflichten: Der KI-Anbieter unterstützt bei der Beantwortung von Betroffenenanfragen und bei DPIAs.

8. Löschung oder Rückgabe nach Vertragsende: Was passiert mit den Daten nach Beendigung des AVV?

Praktischer Tipp: Die meisten großen KI-Anbieter (OpenAI, Microsoft, Google, Anthropic) bieten standardisierte AVVs an. Diese können in aller Regel nicht individuell verhandelt werden. Prüfen Sie, ob der Standardvertrag DSGVO-konform ist — insbesondere in Bezug auf Datentransfers in Drittländer (USA) nach dem EU-US Data Privacy Framework (seit Juli 2023).

DSGVO und KI im Arbeitsverhältnis — § 26 BDSG

Zusätzlich zur DSGVO gilt in Deutschland § 26 BDSG (Bundesdatenschutzgesetz) für die Verarbeitung personenbezogener Daten im Arbeitsverhältnis. Die wichtigsten Regeln:

Zweck: Daten von Beschäftigten dürfen verarbeitet werden, wenn dies für die Begründung, Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich ist.

Einwilligung: Eine Einwilligung von Beschäftigten ist nur in seltenen Fällen als Rechtsgrundlage geeignet, da das Machtverhältnis im Arbeitsverhältnis die Freiwilligkeit in Frage stellt.

Besondere Sensitivität: Leistungsüberwachung durch KI-Systeme erfordert besonders hohe Rechtfertigungsanforderungen und fast immer eine Betriebsvereinbarung (→ UE 23).

Warnung — Compliance-Risiko

DSGVO-Verstöße beim KI-Einsatz: Reale Rechtsfolgen

DSGVO-Verstöße sind keine theoretischen Risiken. Die europäischen Datenschutzbehörden haben seit 2018 Bußgelder in Milliardenhöhe verhängt. Für KI-spezifische Verstöße sind besonders relevant:

Kein AVV (Art. 28 DSGVO): Fehlt der erforderliche Auftragsverarbeitungsvertrag, liegt bereits ein Verstoß vor — unabhängig davon, ob Daten tatsächlich missbraucht wurden. Bußgeld nach Art. 83 Abs. 4 DSGVO: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.

Keine Rechtsgrundlage (Art. 6 DSGVO): Wird personenbezogene Daten ohne gültige Rechtsgrundlage in ein KI-Tool eingegeben, liegt ein schwerwiegender Verstoß vor. Bußgeld nach Art. 83 Abs. 5 DSGVO: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.

Unterlassene DPIA (Art. 35 DSGVO): Wird eine erforderliche Datenschutz-Folgenabschätzung nicht durchgeführt, kann dies eigenständig mit Bußgeldern belegt werden (bis zu 10 Mio. € / 2 % Umsatz).

Praxisbeispiel: Die irische Datenschutzbehörde verhängte 2023 gegen ChatGPT-Anbieter OpenAI eine Untersuchung wegen möglicher DSGVO-Verstöße bei der Datenverarbeitung. Die italienische Behörde (Garante) sperrte ChatGPT vorübergehend. Das Risiko ist real, unmittelbar und wächst mit zunehmender KI-Nutzung.

Empfehlung: Klären Sie vor jedem KI-Tool-Einsatz: (1) AVV vorhanden? (2) Rechtsgrundlage geklärt? (3) DPIA erforderlich? Dokumentieren Sie die Prüfung. Diese Dokumentation ist im Schadensfall entscheidend.

Cheatsheet — DSGVO im KI-Kontext

Faustregel vor jedem KI-Prompt mit Personendaten: AVV ✓ → Rechtsgrundlage ✓ → Minimierung ✓ → Speicherbegrenzung ✓ → Los

DSGVO-Prüfschema für KI-Projekte — Kurzversion

Für die schnelle Ersteinschätzung neuer KI-Projekte eignet sich folgendes Kurzschema (Ampel-Logik):

Schritt A: Werden personenbezogene Daten verarbeitet? → Nein: Ampel Grün (DSGVO nicht anwendbar) → Ja: Weiter zu Schritt B

Schritt B: Gibt es eine klare Rechtsgrundlage (Art. 6)? → Nein: Ampel Rot (Stopp bis Rechtsgrundlage geklärt) → Ja: Weiter zu Schritt C

Schritt C: Werden Art.-9-Daten (besonders sensible Kategorien) verarbeitet? → Ja: Ampel Gelb (erhöhte Anforderungen, Art. 9 Abs. 2 prüfen) → Nein: Weiter zu Schritt D

Schritt D: Gibt es vollautomatisierte Einzelentscheidungen (Art. 22)? → Ja: Ampel Gelb (Human-in-the-Loop oder explizite Rechtsgrundlage) → Nein: Weiter zu Schritt E

Schritt E: Ist ein AVV mit dem KI-Anbieter vorhanden? → Nein: Ampel Rot (AVV sofort abschließen) → Ja: Ampel Grün (Basis-Compliance erfüllt)

Dieses Kurzschema ersetzt keine vollständige DSGVO-Prüfung, gibt aber eine schnelle Ersteinschätzung, die über Ampel-Signale kommunizierbar ist.

Prompt-Beispiel: DSGVO-Compliance-Prüfung eines KI-Einsatzszenarios

Rolle: Sie sind eine erfahrene Datenschutzbeauftragte mit Spezialisierung auf KI-Systeme und DSGVO-Compliance in Unternehmen. Sie beraten praxisnah, ohne Rechtsberatung im Sinne des RDG zu leisten.

Aufgabe: Prüfen Sie das folgende KI-Einsatzszenario strukturiert auf DSGVO-Konformität. Gehen Sie dabei auf folgende Prüfpunkte ein: (1) Liegt Verarbeitung personenbezogener Daten vor? (2) Welche Rechtsgrundlage nach Art. 6 DSGVO ist einschlägig? (3) Ist ein AVV nach Art. 28 DSGVO erforderlich? (4) Welche der fünf Grundsätze aus Art. 5 DSGVO sind besonders relevant? (5) Ist eine DPIA nach Art. 35 DSGVO erforderlich?

Kontext: Szenario: [Beschreiben Sie hier Ihr konkretes KI-Einsatzszenario: welches Tool, welche Daten, welcher Zweck, welche Nutzergruppe, welcher Anbieter]

Format: Strukturierter Prüfbericht mit: (1) Tabellarischer Überblick (Prüfpunkt | Ergebnis | Handlungsbedarf), (2) Zusammenfassung des Ampel-Status (Grün/Gelb/Rot) mit Begründung, (3) Drei priorisierte Handlungsempfehlungen. Nicht als Rechtsberatung formulieren — als Orientierungshilfe für interne Prüfung.

Prompt-Beispiel: Datenschutz-Folgenabschätzung (DPIA) strukturieren

Rolle: Sie sind ein erfahrener Datenschutzberater und unterstützen Organisationen bei der Erstellung von Datenschutz-Folgenabschätzungen gemäß Art. 35 DSGVO.

Aufgabe: Erstellen Sie eine strukturierte Gliederung für eine Datenschutz-Folgenabschätzung (DPIA) für das folgende KI-System. Die Gliederung soll alle Pflichtbestandteile nach Art. 35 Abs. 7 DSGVO abdecken und praxistaugliche Formulierungsvorschläge für jeden Abschnitt enthalten.

Kontext: KI-System: [Beschreiben Sie das KI-System: Zweck, verarbeitete Datenkategorien, Adressatenkreis, Entscheidungstiefe (beratend/empfehlend/autonom), Anbieter, geplanter Einsatzzeitraum]

Format: Gegliederte Vorlage mit 8 Abschnitten gemäß Art. 35 Abs. 7 DSGVO. Jeder Abschnitt enthält: (a) die Bezeichnung des Pflichtinhalts, (b) einen beispielhaften Fülltext in [eckigen Klammern] als Platzhalter, (c) einen Hinweis auf häufige Fehler oder Fallstricke. Format: Markdown mit nummerierten Abschnitten.

Branchen-Vignette — DSGVO im Krankenhaus-Kontext

Ein Krankenhaus in Baden-Württemberg führt ein KI-gestütztes System zur Vorhersage von Bettenbelegungen ein. Das System analysiert historische Aufnahmedaten, Diagnosecodes und Patientenverläufe, um den Bettenbedarf für die nächsten 72 Stunden vorherzusagen. Die Daten sind in einem pseudonymisierten Datensatz enthalten, aber ein erfahrener Klinikarzt könnte Patienten in bestimmten Fällen re-identifizieren.

Rechtliche Einordnung: Pseudonymisierte Gesundheitsdaten sind weiterhin personenbezogene Daten im Sinne der DSGVO (Art. 4 Nr. 1), sofern eine Re-Identifizierung möglich ist. Gesundheitsdaten nach Art. 9 DSGVO genießen besonderen Schutz — die Verarbeitung ist nur unter engen Voraussetzungen zulässig. Eine DPIA nach Art. 35 DSGVO ist zwingend erforderlich (Verarbeitung besonderer Datenkategorien in großem Umfang). Zusätzlich greifen Landesdatenschutzrecht und das Krankenhausrecht des Landes.

Lösung: Das Krankenhaus führt eine DPIA durch, schließt einen AVV mit dem KI-Anbieter ab, anonymisiert die Trainingsdaten so weit wie möglich (echter Anonymisierungsstandard, nicht nur Pseudonymisierung) und holt die Zustimmung des Krankenhausträgers sowie der Datenschutzaufsicht ein. Die Rechtsgrundlage stützt sich auf Art. 9 Abs. 2 lit. h DSGVO (Gesundheitsversorgung) in Verbindung mit § 22 BDSG.

Vertiefung II — Aktuelle DSGVO-Entwicklungen im KI-Bereich (2024–2026)

Die DSGVO entwickelt sich im KI-Kontext dynamisch weiter. Drei aktuelle Entwicklungen sind besonders praxisrelevant:

EDSA Opinion on AI and Data Protection (2024): Der Europäische Datenschutzausschuss hat in einer wegweisenden Stellungnahme klargestellt, dass personenbezogene Daten, die unzulässig in LLMs eingeflossen sind, nicht durch nachträgliche Einwilligung legalisiert werden können. Dies betrifft die Frage, ob ChatGPT und ähnliche Systeme DSGVO-konform trainiert wurden.

Interplay DSGVO & EU AI Act: Die Europäische Datenschutz-Aufsichtsbehörde (EDSB) hat Leitlinien zur Koordination beider Regelwerke veröffentlicht. Wichtigste Aussage: Eine DPIA nach Art. 35 DSGVO und eine Grundrechtebewertung nach Art. 26 Abs. 9 AI Act können und sollen als integrierter Prozess durchgeführt werden — nicht als zwei getrennte Verfahren.

Löschrecht und Machine Unlearning: Das Recht auf Löschung nach Art. 17 DSGVO stößt bei LLMs auf technische Grenzen. Erste Gerichte in Europa haben begonnen, diesen Konflikt zu entscheiden. Bis eine konsistente Rechtsprechung vorliegt, empfiehlt sich für Deployer: Opt-out-Mechanismen bei Anbietern vertraglich sichern, keine Daten eingeben, die später gelöscht werden müssten (Prevention before Cure).

Merksatz

DSGVO-Compliance bei KI ist kein statischer Zustand — sie muss regelmäßig an neue Aufsichtspraxis und Rechtsprechung angepasst werden. Ein jährlicher DSGVO-Review aller KI-Systemdokumentationen ist praxisempfohlen.

Zusammenfassung UE 13

Die DSGVO ist das Fundament aller datenschutzrechtlichen Überlegungen im KI-Kontext. Art. 5 definiert fünf Grundsätze (Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität/Vertraulichkeit). Art. 6 listet sechs Rechtsgrundlagen; für KI-Anwendungen im Unternehmenskontext sind lit. b (Vertragserfüllung) und lit. f (berechtigtes Interesse) am häufigsten einschlägig. Art. 22 schränkt automatisierte Einzelentscheidungen ein und schreibt menschliche Überprüfung vor. Art. 28 macht einen AVV mit dem KI-Anbieter zur Pflicht. Art. 35 löst bei Hochrisiko-Verarbeitungen eine Datenschutz-Folgenabschätzung aus. Das territoriale Marktortprinzip stellt sicher, dass alle großen KI-Anbieter weltweit an die DSGVO gebunden sind. Bußgelder bis 20 Mio. € oder 4 % Umsatz unterstreichen die rechtliche Schwere der Verpflichtungen.

Querverweise zu anderen UEs

DSGVO-Grundlagen (UE 13) sind die Voraussetzung für alle weiteren rechtlichen UEs in Modul 2. Ohne Kenntnis der Rechtsgrundlagen, des AVV-Erfordernisses und der DPIA-Pflicht können die konkreten Maßnahmen in UE 14 (Prompt-Hygiene), UE 17 (Deployer-Pflichten) und UE 24 (Fallstudie) nicht vollständig verstanden werden. Die DSGVO-Kenntnisse aus UE 13 und 14 bilden die Datenschutz-Ebene des Fünf-Blöcke-Schemas (Block A).

Reflexionsfragen

1. Haben Sie in den letzten Wochen personenbezogene Daten in ein KI-Tool eingegeben? War für dieses Tool ein AVV vorhanden?
2. Welcher der fünf DSGVO-Grundsätze ist in Ihrer täglichen KI-Nutzung am schwersten einzuhalten — und warum?
3. In welchen Situationen könnte in Ihrer Organisation Art. 22 DSGVO (automatisierte Einzelentscheidungen) relevant werden?
4. Was sollte Ihre Organisation konkret tun, um sicherzustellen, dass alle Mitarbeitenden vor dem Einsatz eines neuen KI-Tools die DSGVO-Anforderungen kennen?
5. Wo liegen die größten DSGVO-Risiken in Ihrer Branche beim KI-Einsatz?

Merksatz zu UE 13: 6. Stellen Sie sich vor, Ihre Organisation wird von einer Datenschutzbehörde geprüft. Welche drei Dokumente würden Sie zuerst vorlegen — und welches fehlt derzeit noch? 7. Wie würden Sie einem Kollegen, der kein Jurist ist, in zwei Sätzen erklären, warum ein AVV auch dann notwendig ist, wenn der KI-Anbieter „sicher und zuverlässig” klingt?

Die DSGVO ist kein KI-spezifisches Gesetz — aber sie ist das datenschutzrechtliche Fundament für alle KI-Anwendungen, die personenbezogene Daten berühren. Ohne DSGVO-Compliance ist keine KI-Compliance vollständig.

Quellen & Weiterlesen

Ergänzung: DSGVO-Prüfliste für KI-Projekte — Vollversion

Die folgende Prüfliste fasst die wichtigsten DSGVO-Prüfpunkte für KI-Projekte zusammen und kann als Arbeitsblatt für die interne Dokumentation genutzt werden.

Gesamtbewertung: ☐ Grün — alle Pflichtpunkte erfüllt ☐ Gelb — Maßnahmen ergriffen ☐ Rot — wesentliche Lücken

Aktuelle DSGVO-Entwicklungen im KI-Bereich (2024–2026)

Die DSGVO entwickelt sich im KI-Kontext dynamisch weiter. Drei aktuelle Entwicklungen sind besonders praxisrelevant:

EDSA-Stellungnahmen zu LLMs: Der Europäische Datenschutzausschuss hat festgestellt, dass personenbezogene Daten, die unzulässig in LLMs eingeflossen sind, nicht durch nachträgliche Maßnahmen legalisiert werden können. Dies betrifft primär KI-Anbieter, aber Deployer sollten bei der Anbieterauswahl auf konforme Trainingsgrundlagen achten.

DSGVO-AI Act-Koordination: Die Europäische Datenschutz-Aufsichtsbehörde (EDSB) empfiehlt, DPIA (Art. 35 DSGVO) und Grundrechtebewertung (Art. 26 Abs. 9 AI Act) als integrierten Prozess durchzuführen — nicht als zwei separate Verfahren.

Datenlöschrecht und Machine Unlearning: Das Recht auf Löschung nach Art. 17 DSGVO stößt bei LLMs auf technische Grenzen. Bis zu einer Lösung empfiehlt sich: Opt-out-Mechanismen bei Anbietern vertraglich sichern und keine Daten eingeben, die später gelöscht werden müssten.

Merksatz

DSGVO-Compliance bei KI ist kein statischer Zustand. Ein jährlicher Review aller KI-System-Dokumentationen ist praxisempfohlen, um neue Aufsichtspraxis und Rechtsprechung einzubeziehen.

DSGVO-Kontrollen durch Aufsichtsbehörden — Was kann passieren?

Die DSGVO-Aufsichtsbehörden (Datenschutzbehörden der Länder) haben umfangreiche Untersuchungsbefugnisse. Im KI-Kontext können folgende Kontrollen auftreten:

Anlassbezogene Kontrolle: Eine Beschwerde eines Mitarbeitenden, Kunden oder Konkurrenten führt zu einer Untersuchung durch die Datenschutzbehörde. Beispiel: Ein Mitarbeitender beschwert sich, dass sein Verhalten durch ein KI-System überwacht wird, ohne dass er informiert wurde.

Anlasslose Kontrolle: Datenschutzbehörden können auch ohne konkrete Beschwerde Unternehmen prüfen — insbesondere in Bereichen mit hohem Datenschutz-Risikopotenzial (HR-KI, Kundenprofilierung, etc.).

Was wird geprüft? - Vorhandensein und Inhalt des Verarbeitungsverzeichnisses - Vorhandensein und Inhalt von AVVs mit KI-Anbietern - Dokumentation von DPIAs - Umsetzung von Betroffenenrechten - Technische und organisatorische Maßnahmen

Empfehlung: Halten Sie alle DSGVO-relevanten Dokumente (Verarbeitungsverzeichnis, AVVs, DPIAs, Einwilligungsdokumente) stets aktuell und schnell zugreifbar. Eine Datenschutzbehörde kann eine 72-Stunden-Frist für bestimmte Auskünfte setzen.

Praxishinweis: Erstellen Sie fuer Ihre Organisation eine einzige A4-Seite ‘DSGVO und KI: Das Wichtigste auf einen Blick’. Diese Seite enthaelt die sechs Rechtsgrundlagen, die Pflicht zum AVV, die DPIA-Kriterien und die Bussgeld-Schwellen. Diese Seite kann in Besprechungen gezeigt werden, wenn DSGVO-Fragen auftauchen.

Trainerhinweise

Timing: 45 Minuten. Empfohlen: 15 Minuten Inputphase (Art. 5, 6, 22, 28, 35), 10 Minuten Fallbearbeitung Übung 1 (inkl. Besprechung), 10 Minuten Übung 2 (inkl. Besprechung), 10 Minuten Abschluss (WarnungBox, Cheatsheet, Reflexionsfragen).

Methodik: Beginnen Sie mit dem Einstiegs-Fallbeispiel (Fachkraft, die Kundendaten in KI eingibt) — das schafft sofortige Relevanz. Arbeiten Sie dann die DSGVO-Normen anhand dieses einen Falls durch: Welche Artikel wären verletzt? Wie hätte die Fachkraft handeln sollen? Dieser induktive Ansatz ist für erwachsene Lernende deutlich wirksamer als deduktive Theoriepräsentation.

Stolpersteine: (1) DSGVO ist ein komplexes Thema — vermeiden Sie den Fehler, alles abdecken zu wollen. Konzentrieren Sie sich auf die sechs genannten Artikel. (2) Manche Teilnehmenden überreagieren: „Dann dürfen wir KI ja gar nicht nutzen.” Dem aktiv begegnen: Die DSGVO erlaubt KI-Einsatz — sie stellt nur Bedingungen. (3) Die Unterscheidung AVV vs. gemeinsame Verantwortlichkeit (Art. 26 DSGVO — Achtung: anderer Artikel als Art. 26 EU AI Act) kann verwirren — klarstellen, dass es hier um Auftragsverarbeitung geht.

Diskussionsfragen: „Welche KI-Tools nutzen Sie aktuell in Ihrer Arbeit? Haben Sie je geprüft, ob ein AVV vorliegt?” „Was würde passieren, wenn eine Datenpanne bei einem KI-Tool-Anbieter Ihre Kundendaten betreffen würde?”

Tafelbild: DSGVO-Prüfkette: Personenbezogene Daten? → Rechtsgrundlage? → AVV? → DPIA? → Grundsätze einhalten → Protokollieren

Materialliste: Handout mit DSGVO-Artikel-Übersicht, Übungsblätter für Fallanalyse.

Übergang zu UE 14: „In UE 13 haben Sie gelernt, wann DSGVO-Anforderungen gelten. In UE 14 werden wir sehr konkret: Was tun Sie, wenn Sie merken, dass Ihr Prompt personenbezogene Daten enthält? Wie anonymisieren Sie — und was ist der Unterschied zwischen Anonymisierung und Pseudonymisierung?”

Branchenauswahl-Tipp: Finanzdienstleister und Versicherungen: Art. 22 DSGVO besonders vertiefen — hier sind automatisierte Kreditentscheidungen Alltag. Öffentliche Verwaltung: § 35a VwVfG ergänzend erwähnen.

DSGVO-Sensibilisierung — Häufige Missverständnisse

In Schulungen tauchen regelmäßig bestimmte Missverständnisse zu DSGVO und KI auf:

Missverständnis 1: „Wir anonymisieren die Daten — also gilt die DSGVO nicht.” Richtig: Echte Anonymisierung ist schwer zu erreichen. Pseudonymisierung ist nicht dasselbe wie Anonymisierung. Im Zweifel: DSGVO gilt.

Missverständnis 2: „Unser KI-Anbieter ist in der EU ansässig — also ist automatisch alles DSGVO-konform.” Richtig: Der Sitz des Anbieters allein reicht nicht. Es kommt auf die Orte an, an denen Daten verarbeitet werden und wo die Server stehen.

Missverständnis 3: „Wir haben eine Einwilligung — also ist die Verarbeitung legal.” Richtig: Einwilligung ist nur eine von sechs Rechtsgrundlagen und oft nicht die stärkste. Im Arbeitsverhältnis ist Einwilligung problematisch (fehlende Freiwilligkeit).

Quelle: KI-Wissensbasis von MindsMachines, Edition Juni 2026. Vollständige Fassung mit Anhängen und Musterlösungen: als PDF anfordern.