Bei jedem Ablauf, den ich einrichte, kläre ich diese Fragen vor dem Start und dokumentiere die Antworten. Sie wissen danach, welche Daten wohin gehen, und haben die Angaben für Ihre Datenschutzerklärung.
KI und Datenschutz im Unternehmen: was Sie vor dem Start klären sollten
ChatGPT im Büro, ein KI-Chat auf der Website, automatische Antworten auf Anfragen: Sobald personenbezogene Daten im Spiel sind, gelten die DSGVO und die europäische KI-Verordnung. Hier steht, worauf ich als Betrieblicher Datenschutzbeauftragter (IHK) bei KI-Projekten achte.
HINWEIS
Dieser Ratgeber gibt Orientierung und ersetzt keine Rechtsberatung. Stand: Oktober 2026.
Von Patrick Wenck, Betrieblicher Datenschutzbeauftragter (IHK)
Fünf Fragen, bevor Sie ein KI-Werkzeug einsetzen
- 1
Welche Daten gehen an die KI?
Schreiben Sie auf, welche Daten der Dienst sieht: Namen, E-Mail-Adressen, Inhalte von Anfragen, Chatverläufe. Oft reicht weniger, als man denkt.
- 2
Wo werden die Daten verarbeitet?
Fragen Sie nach dem Ort der Verarbeitung und Speicherung. Bei Anbietern außerhalb der EU braucht es eine Grundlage für die Übermittlung, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln.
- 3
Gibt es einen Vertrag zur Auftragsverarbeitung?
Verarbeitet ein Anbieter Daten in Ihrem Auftrag, brauchen Sie einen solchen Vertrag. Viele KI-Anbieter stellen ihn für ihre Geschäftskunden bereit, für private Konten meist nicht.
- 4
Werden Ihre Daten zum Training genutzt?
Prüfen Sie in den Bedingungen, ob der Anbieter Eingaben zum Verbessern seiner Modelle verwenden darf, und schalten Sie das, wo möglich, ab.
- 5
Wie erfahren Ihre Kunden davon?
Ihre Datenschutzerklärung muss den Dienst nennen. Spricht oder schreibt eine KI mit Kunden, sollte sie sich zu erkennen geben. Die KI-Verordnung sieht dafür Transparenzpflichten vor.
ChatGPT im Büro: worauf Sie achten sollten
Viele Mitarbeiter nutzen ChatGPT längst, oft mit privaten Konten. Dann landen Kundendaten bei einem Anbieter, mit dem Ihr Unternehmen keinen Vertrag hat. Besser: eine Geschäftsversion mit Vertrag zur Auftragsverarbeitung, eine kurze Regel, welche Daten hineindürfen, und eine Einweisung für alle, die damit arbeiten.
Was die KI-Verordnung von kleinen Unternehmen verlangt
Die europäische KI-Verordnung gilt auch für Unternehmen, die KI nur nutzen. Für die meisten kleinen Betriebe sind zwei Punkte wichtig. Erstens: Wer KI im Betrieb einsetzt, soll dafür sorgen, dass die Mitarbeiter, die damit arbeiten, mit KI umgehen können. Diese Pflicht zur KI-Kompetenz gibt es seit Februar 2025. Zweitens: Wenn Menschen mit einer KI sprechen oder schreiben, sollen sie das erkennen können. Dafür sieht die KI-Verordnung seit August 2026 Transparenzpflichten vor.
Typische Fehler
- Kundendaten in private KI-Konten kopieren.
- Einen KI-Chat auf der Website einbinden, der beim Laden Daten an Dritte schickt, bevor der Besucher etwas getan hat.
- Einen KI-Chat einsetzen, ohne dass Besucher erfahren, dass sie mit einer KI schreiben.
- Den Dienst nicht in die Datenschutzerklärung aufnehmen.
- Keine Regel, wer KI wofür nutzen darf.