Datenschutz und KI im Unternehmen: Was rechtlich zu beachten ist

Datenschutz und KI im Unternehmen: Was rechtlich zu beachten ist Praxisnahe Orientierung für KMU: Was beim Einsatz von KI datenschutzrechtlich zu beachten ist und wo die echten Risiken liegen. Die meisten KMU-KI-Anwendungen fallen unter begrenztes bis minimales Risiko. Die Pflichten sind überschaubar, aber sie existieren. Das größte Risiko ist unkontrollierter Datenfluss: Mitarbeiter, die Kundendaten in offene KI-Tools eingeben. Voice Agents unterliegen Transparenzpflichten: Anrufer müssen wissen, dass sie mit einer KI sprechen. Datenschutz bei KI ist keine Bremse, sondern eine Rahmenbedingung für nachhaltige Implementierung und Vertrauen. ## Worum geht es? KI im Unternehmen einzusetzen heißt zwangsläufig, mit Daten zu arbeiten: Kundendaten, Gesprächsinhalte, Verhaltensmuster, Geschäftszahlen. Das macht den Datenschutz zum zentralen Thema, nicht als Bremse, sondern als Rahmenbedingung

für nachhaltige Implementierung. Dieser Artikel gibt eine praxisnahe Orientierung: Was müssen mittelständische Unternehmen beim Einsatz von KI datenschutzrechtlich beachten, wo liegen die echten Risiken und was ist mit gesundem Menschenverstand lösbar? Warum Datenschutz bei KI anders ist Klassische Software arbeitet mit definierten Regeln: Eingabe, Verarbeitung, Ausgabe. KI-Systeme lernen aus Daten, erkennen Muster und treffen eigenständige Entscheidungen. Das wirft Fragen auf, die bei herkömmlicher Software nicht existieren: - Welche Daten fließen in das Training ein? Wenn ein Voice Agent aus echten Kundengesprächen lernt, werden personenbezogene Daten verarbeitet - Wo werden die Daten gespeichert? Cloud-basierte KI-Systeme übertragen Daten möglicherweise in Drittländer - Wer hat Zugriff? Bei SaaS-Lösungen liegen Ihre Unternehmensdaten auf fremden Servern - Welche Entscheidungen trifft

die KI? Automatisierte Entscheidungen mit Auswirkung auf Personen unterliegen besonderen Regeln Die wichtigsten rechtlichen Grundlagen DSGVO (Datenschutz-Grundverordnung) Die DSGVO ist der zentrale Rechtsrahmen für den Umgang mit personenbezogenen Daten in der EU. Relevante Prinzipien: - Zweckbindung : Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden - Datenminimierung : Nur die Daten erheben, die tatsächlich benötigt werden - Transparenz : Betroffene müssen wissen, dass und wie ihre Daten verarbeitet werden - Speicherbegrenzung : Daten dürfen nicht länger gespeichert werden als nötig AI Act (KI-Verordnung der EU) Der AI Act klassifiziert KI-Systeme nach Risikostufen: - Minimales Risiko : Spamfilter, Empfehlungssysteme, die meisten Business-Anwendungen - Begrenztes Risiko : Chatbots und Voice Agents, hier gelten Transparenzpflichten - Hohes Risiko : KI in

Personalauswahl, Kreditvergabe, kritischer Infrastruktur - Verbotene Anwendungen : Social Scoring, manipulative KI-Systeme Für die meisten KMU-Anwendungen gilt: begrenztes bis minimales Risiko. Die Pflichten sind überschaubar, aber sie existieren. Wo die echten Risiken liegen Risiko 1: Unkontrollierter Datenfluss Wenn Mitarbeiter ChatGPT oder ähnliche Tools nutzen und dabei Kundendaten, Verträge oder interne Informationen eingeben, verlassen diese Daten das Unternehmen. Das ist ein DSGVO-Verstoß. Lösung : Klare Richtlinien, welche Tools für welche Zwecke genutzt werden dürfen. Keine Kundendaten in offene KI-Tools. Risiko 2: Fehlende Auftragsverarbeitung Wenn Sie einen KI-Dienstleister beauftragen, der Kundendaten verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV). Ohne AVV sind Sie rechtlich verantwortlich für alles, was mit den Daten passiert. Lösung : Vor Beauftragung

AVV abschließen. Seriöse Anbieter haben diesen standardmäßig. Risiko 3: Automatisierte Entscheidungen Wenn ein KI-System eigenständig Entscheidungen trifft, die Personen betreffen, z. B. Bewerber-Vorauswahl oder Bonitätsbewertung, haben Betroffene das Recht auf menschliche Überprüfung. Lösung : KI als Entscheidungsunterstützung, nicht als Entscheidungsersatz. Immer einen menschlichen Review-Schritt einbauen. Risiko 4: Serverstandort und Datentransfer Viele KI-Dienste laufen auf US-amerikanischen Servern. Seit dem Schrems-II-Urteil ist der Datentransfer in die USA nur unter bestimmten Bedingungen zulässig. Lösung : Anbieter bevorzugen, die EU-basiertes Hosting anbieten, oder sicherstellen, dass ein gültiger Angemessenheitsbeschluss vorliegt. Praktische Checkliste für KMU - Bestandsaufnahme : Welche KI-Tools werden bereits genutzt, auch informell? - Datenkategorien klären : Welche Daten

fließen in die KI-Systeme? - Anbieter prüfen : Wo werden Daten gespeichert? Gibt es einen AVV? - Mitarbeiter schulen : Klare Regeln, welche Daten in welche Tools eingegeben werden dürfen - Dokumentation : Verarbeitungsverzeichnis aktualisieren, KI-Systeme aufnehmen - Transparenz sicherstellen : Kunden informieren, wenn KI in der Kommunikation eingesetzt wird - Menschliche Kontrolle : Bei automatisierten Entscheidungen immer einen Review-Mechanismus vorsehen Was das für Voice Agents bedeutet Voice Agents sind eine der häufigsten KI-Anwendungen im Mittelstand. Datenschutzrechtlich relevante Punkte: - Hinweispflicht : Anrufer müssen wissen, dass sie mit einer KI sprechen - Aufzeichnung : Wenn Gespräche gespeichert werden, brauchen Sie eine Einwilligung oder eine rechtliche Grundlage - Datenverarbeitung : Der Gesprächsinhalt wird verarbeitet, das muss dokumentiert und gesichert werden -

Löschfristen : Gesprächsdaten dürfen nicht unbegrenzt gespeichert werden Besonderheiten für die Region Für Unternehmen in Aachen, Düren oder dem Köln-Bonner Raum gibt es regionale Anlaufstellen: - IHK Aachen : Beratung zu Digitalisierung und Datenschutz - Handwerkskammer Aachen : Spezifische Angebote für Handwerksbetriebe - Datenschutzbeauftragte NRW : Kostenlose Informationsmaterialien und Orientierungshilfen Fazit Datenschutz und KI sind kein Widerspruch. Die meisten KMU-Anwendungen bewegen sich im Bereich überschaubarer Risiken mit klaren Lösungen. Entscheidend ist nicht, ob Sie KI einsetzen, sondern wie: mit Transparenz, klaren Prozessen und einem seriösen Anbieter. Wer Datenschutz von Anfang an mitdenkt, vermeidet nicht nur Bußgelder, sondern baut Vertrauen bei Kunden und Mitarbeitern auf. Muss ich Kunden informieren, wenn sie mit einem Voice Agent sprechen? Ja. Die DSGVO und der AI

Act verlangen Transparenz: Anrufer müssen zu Beginn des Gesprächs darauf hingewiesen werden, dass sie mit einem KI-System kommunizieren. Dürfen Mitarbeiter ChatGPT für Kundendaten nutzen? Grundsätzlich nicht ohne klare Richtlinien und Prüfung. Wenn personenbezogene Daten in externe KI-Tools eingegeben werden, kann das ein DSGVO-Verstoß sein. Brauche ich einen Auftragsverarbeitungsvertrag für KI-Tools? Ja, wenn der KI-Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Seriöse Anbieter stellen diesen standardmäßig bereit. Welche KI-Anwendungen sind datenschutzrechtlich unproblematisch? Interne Tools ohne personenbezogene Daten: Textgenerierung, Code-Unterstützung, Recherche. Sobald Kundendaten, Gesprächsinhalte oder personenbezogene Informationen verarbeitet werden, greifen DSGVO-Pflichten. Was ist der AI Act und betrifft er mein Unternehmen? Der AI Act ist die KI-Verordnung der

EU, die KI-Systeme nach Risikostufen klassifiziert. Für die meisten KMU-Anwendungen wie Chatbots und Voice Agents gelten Transparenzpflichten, aber keine schweren Auflagen.