Der AI Act bekommt die Aufmerksamkeit, aber in der Praxis kommen die meisten Probleme aus der DSGVO. Sie gilt seit 2018, sie wird aktiv durchgesetzt, und sie greift in dem Moment, in dem personenbezogene Daten in ein KI-Tool wandern. Diese vier Fragen klären den Großteil.
Bist du betroffen? Finde es in 3 Minuten heraus
Der kostenlose Selbstcheck stellt dir 12 kurze Ja/Nein-Fragen und zeigt dir sofort, welche AI-Act-Handlungsfelder auf deinen KI-Einsatz zutreffen – persönlich ausgewertet.
Kostenlosen Selbstcheck starten
Kostenlos · anonym · ohne Anmeldung · Ergebnis sofort · inkl. Badge für deine Website
Frage 1: Gehen überhaupt personenbezogene Daten hinein?
Wenn nein, ist die DSGVO nicht betroffen und vieles wird einfach. Wer sich nur Überschriften formulieren lässt, hat kein Datenschutzthema.
Der Personenbezug schleicht sich aber leicht ein: eine E-Mail, die zusammengefasst werden soll, ein Lebenslauf, eine Beschwerde mit Kundenname, ein Meeting-Transkript. Sobald ein Mensch identifizierbar ist, gilt die DSGVO vollständig.
Frage 2: Gibt es eine Rechtsgrundlage?
Jede Verarbeitung braucht eine Grundlage nach Artikel 6 DSGVO. Bei KI-Tools ist das meistens das berechtigte Interesse oder die Vertragserfüllung. Beides muss zum konkreten Zweck passen und sollte kurz dokumentiert sein.
Bei besonderen Kategorien nach Artikel 9 – Gesundheit, Religion, Gewerkschaft, biometrische Daten – reicht das nicht. Dort brauchst du eine ausdrückliche Einwilligung oder eine spezielle gesetzliche Erlaubnis.
Frage 3: Besteht ein AV-Vertrag?
Der Toolanbieter verarbeitet Daten in deinem Auftrag. Nach Artikel 28 DSGVO braucht das einen Vertrag zur Auftragsverarbeitung. Bei den meisten Anbietern ist er vorhanden, muss aber aktiv abgeschlossen oder im Konto aktiviert werden.
Wichtig: Kostenlose Privatkonten haben in der Regel keinen AV-Vertrag. Genau das macht die berufliche Nutzung von Gratistarifen so heikel.
Unsicher, was davon auf dich zutrifft?
Der Selbstcheck ordnet deinen konkreten KI-Einsatz ein – statt allgemeiner Regeln bekommst du die Handlungsfelder, die wirklich zu deinem Betrieb passen.
Selbstcheck starten – kostenlos
Kostenlos · anonym · ohne Anmeldung · Ergebnis sofort · inkl. Badge für deine Website
Frage 4: Wohin gehen die Daten?
Viele Anbieter sitzen in den USA. Der Transfer ist über das EU-US Data Privacy Framework möglich, wenn der Anbieter zertifiziert ist, oder über Standardvertragsklauseln.
Prüfbar ist das in wenigen Minuten: Steht der Anbieter auf der offiziellen DPF-Liste? Bietet er EU-Hosting an? Beides schriftlich festhalten – das ist der Nachweis, dass du geprüft hast.
Die Verarbeitungsverzeichnis-Pflicht
Fast jeder Betrieb muss ein Verzeichnis von Verarbeitungstätigkeiten führen. KI-Tools mit Personenbezug gehören dort hinein – als eigener Eintrag mit Zweck, Datenkategorien, Empfängern und Löschfristen.
Wenn du das KI-Inventar bereits angelegt hast, ist das eine Fleißarbeit von zwanzig Minuten.
Fristen im Überblick
| Pflicht | Gilt ab | Status |
|---|---|---|
| Art. 4 – KI-Kompetenz der Mitarbeiter | 2. Februar 2025 | gilt bereits |
| Art. 5 – Verbotene KI-Praktiken | 2. Februar 2025 | gilt bereits |
| Pflichten für GPAI-Modelle | 2. August 2025 | gilt bereits |
| Art. 50 – Transparenz und Kennzeichnung | 2. August 2026 | gilt bereits |
| Kennzeichnung von Bestandssystemen | 2. Dezember 2026 | Schonfrist läuft |
| Hochrisiko-Systeme nach Anhang III | 2. Dezember 2027 | verschoben, gilt ab |
| KI in regulierten Produkten (Anhang I) | 2. August 2028 | verschoben, gilt ab |
Häufige Fragen
Darf ich Kundennamen in ChatGPT eingeben?
Nur mit AV-Vertrag, passender Rechtsgrundlage und abgeschaltetem Training. Der einfachere Weg ist meistens, den Namen durch einen Platzhalter zu ersetzen – dann entfällt die ganze Prüfung.
Brauche ich eine Datenschutz-Folgenabschätzung?
Bei umfangreicher Verarbeitung sensibler Daten oder bei systematischer Bewertung von Personen ja. Für Textwerkzeuge im Alltag in der Regel nicht.
Muss ich Kunden über meinen KI-Einsatz informieren?
Wenn ihre Daten verarbeitet werden, gehört das in die Datenschutzerklärung. Bei direktem Kontakt mit einem Chatbot kommt zusätzlich der Hinweis nach Artikel 50 dazu.
Wie du jetzt konkret weitermachst
Der schnellste Weg zu einer belastbaren Einschätzung führt über den kostenlosen Selbstcheck. Du beantwortest 12 kurze Fragen zu deinem tatsächlichen KI-Einsatz und bekommst sofort eine persönliche Auswertung – mit den Handlungsfeldern, die wirklich zu dir passen, statt allgemeiner Hinweise.
In der Auswertung findest du außerdem die passenden Arbeitshefte zu deinen Handlungsfeldern, mit denen du die Umsetzung Schritt für Schritt erledigst. Und wenn du deine Punkte abgearbeitet hast, kannst du dir dort dein kostenloses Badge für die eigene Website holen.
Deine persönliche Auswertung in 3 Minuten
12 Fragen, sofortiges Ergebnis, bis zu neun passende Handlungsfelder – und im Anschluss dein kostenloses Badge.
Jetzt kostenlosen Selbstcheck machen
Kostenlos · anonym · ohne Anmeldung · Ergebnis sofort · inkl. Badge für deine Website
Passend dazu
- ChatGPT und der EU AI Act: Welche Pflichten gelten bei beruflicher Nutzung?
- Google Gemini Datenschutz 2026: Ist Gemini DSGVO-konform im Unternehmen?
- Claude und der EU AI Act: Welche Pflichten gelten bei beruflicher Nutzung?
- KI-Inventar erstellen: Die Liste, die der AI Act von dir verlangt
- Claude Datenschutz 2026: Ist Anthropic Claude im Unternehmen DSGVO-konform?
- AI Act Selbstcheck – in 12 Fragen zur Einschätzung
- KI-Kennzeichnungspflicht nach Artikel 50
- AI Act Risikoklassen: Ist deine KI Hochrisiko?
Stand: September 2026. Der Digital Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 unverändert. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.
Schreibe einen Kommentar