DSGVO-Prüfung von Zweck und Rechtsgrundlage für die Weiterverwendung von Daten in KI

Viele KI-Projekte im Mittelstand geraten erst spät ins Stocken, nämlich dann, wenn jemand fragt: „Dürfen wir unsere Kunden-E-Mails, Personalakten oder Lieferantendaten überhaupt in dieses Werkzeug geben?“ Eine schlanke, wiederholbare Prüfung klärt vor dem Pilotstart Zweck, Rechtsgrundlage, DSFA-Pflicht, Auftragsverarbeitungsverträge und Informationspflichten. KI kann beim Vorbereiten der Unterlagen helfen, aber die Entscheidung bleibt bei Menschen und der bzw. dem Datenschutzbeauftragten.

Problem & Nutzen

• Heute: Daten wurden für Verträge, Lohnabrechnung oder Support erhoben. Niemand hat dokumentiert, ob das Zusammenfassen mit einem LLM, der Aufbau eines Suchindex oder das Training eines Klassifikators ein vereinbarer neuer Zweck ist. Projekte starten entweder ohne Prüfung (Risiko) oder warten monatelang auf eine Antwort (Kosten).
• Nutzen: eine einseitige Entscheidung je Datenquelle und Anwendungsfall; weniger blockierte Piloten; eine dokumentierte Rechenschaftskette (Art. 5 Abs. 2 DSGVO), die Prüfer, Kunden und Betriebsräte nachvollziehen können.
• Warum es bei KI wichtig ist: Der Europäische Datenschutzausschuss (EDSA) behandelt in seiner Stellungnahme von 2024 zu KI-Modellen ausdrücklich das berechtigte Interesse, die vereinbare Weiterverwendung und unrechtmäßig trainierte Modelle [1]. Deutsche Aufsichtsbehörden veröffentlichen praxisnahe Hinweise für Anwender [2].

Varianten

• Kundendaten (CRM, Tickets, E-Mails): meist Art. 6 Abs. 1 Buchst. b oder f; Informationspflichten und Widerspruchsrecht sind am wichtigsten.
• Beschäftigtendaten (Personalakten, Zeiterfassung, Chat): Eine Einwilligung ist im Beschäftigungsverhältnis selten freiwillig; § 26 BDSG und Betriebsvereinbarungen bestimmen das Bild.
• Öffentlicher Sektor: Die Rechtsgrundlage ergibt sich aus Gesetz (Art. 6 Abs. 1 Buchst. e); Zweckbindung und Vergaberegeln sind strenger.

So funktioniert es

1. use-case description + data fields
2. map to VVT entries (original purpose, legal basis, retention)
3. compatibility test (Art. 6(4) GDPR) or new legal basis
4. DPIA screening (Art. 35) + special categories (Art. 9)
5. processor check (AVV, sub-processors, third-country transfer)
6. information duties and objection/opt-out design
7. decision memo, signed by DPO and process owner

• Wo KI hilft: Ein LLM kann den Fragebogen aus dem VVT vorausfüllen, den Entscheidungsvermerk entwerfen, Lieferantenbedingungen mit einer Checkliste abgleichen und Texte für Datenschutzhinweise vorschlagen. Es entscheidet nicht über die Rechtmäßigkeit und kann Artikelnummern erfinden; jedes Ergebnis wird am Gesetzestext geprüft.
• Mensch-in-der-Schleife (Human-in-the-Loop): Die bzw. der Datenschutzbeauftragte (intern oder extern) zeichnet ab; die Abteilungsleitung bestätigt den tatsächlichen Zweck und die Datenfelder.

Datenaufbereitung

Welche Daten: das VVT (Art. 30), bestehende Datenschutzhinweise, Einwilligungsnachweise, Lieferantenverträge und AVV sowie eine feldgenaue Beschreibung der Daten, die für den KI-Anwendungsfall vorgesehen sind.

Wo sie liegen: VVT in Excel oder Word, ein Datenschutzwerkzeug, SharePoint- oder Nextcloud-Ordner, Vertragsablagen, Personalsystem, CRM.

Typische Lücken: veraltetes VVT, keine Aufbewahrungsfristen, unklare Datenherkunft, fehlende AVV für neue SaaS-Funktionen (z. B. standardmäßig eingeschaltete KI-Zusatzfunktionen), Datenschutzhinweise ohne Erwähnung von KI.

Schritte der Aufbereitung: 1. Das VVT für die Systeme aktualisieren, die die KI berührt (etwa 1-3 Tage je Abteilung; PREP-001, PREP-003). 2. Datenfelder je Anwendungsfall auflisten und Nicht-Erforderliches streichen (Datenminimierung; PREP-002). 3. Wo möglich vor der Nutzung pseudonymisieren oder anonymisieren (PREP-022). 4. Zugriffsrechte prüfen, damit die KI nicht mehr offenlegen kann, als Nutzer sehen dürfen (PREP-023). 5. Klassifizieren, welche Daten in welches Werkzeug gelangen dürfen (PREP-024).

Grober Aufwandsanteil: gering; meist wenige Tage Zeit der bzw. des Datenschutzbeauftragten und der Prozessverantwortlichen je Anwendungsfall.

Umsetzungswege

Welcher Weg für wen

• KMU - Weg A: Der Prozess ist Standard, und in der EU gehostete Datenschutz-Management-Werkzeuge sowie DSB-Dienste gibt es zu KMU-Preisen; der KI-Anteil ist eine kleine Ergänzung.
• Großunternehmen - Weg B: Viele Anwendungsfälle und Systeme rechtfertigen einen Antragsablauf auf der bestehenden Plattform, der zum Vorausfüllen und Entwerfen eine Cloud-LLM-Schnittstelle aufruft.
• Entwickler - Weg C: Ein selbst betriebener n8n-Ablauf mit lokalem Modell hält Vertrags- und Personaltexte im eigenen Haus.
• Öffentlicher Sektor - Weg C: Gesetzliche Rechtsgrundlagen, sensible Bürgerdaten und Vergaberegeln sprechen für souveränes oder selbst betriebenes Hosting.

Weg A - Kaufen (für die meisten KMU empfohlen)

• Datenschutz-Management-Suiten mit VVT-, DSFA- und AVV-Modulen: DataGuard, Proliance 360, 2B Advice PrivacyManager, Privacy Office (deutsche Anbieter, Hosting in der EU; je Vertrag prüfen).
• Office-KI: Microsoft 365 Copilot (EU Data Boundary) oder Gemini in Workspace, um Lieferantenbedingungen zusammenzufassen und Vermerke zu entwerfen; Mitbestimmungspflichten des Betriebsrats beachten, da die Nutzung protokolliert wird.
• Externer DSB-Dienst als Alternative zu einem Werkzeug; oft 0,5-1 Tag je Anwendungsfall.
• A wählen, wenn: weniger als etwa 10 KI-Anwendungsfälle und keine eigene Rechtsabteilung.

Weg B - Auf Cloud-KI-Diensten aufbauen

• Ein Antragsformular (Microsoft Forms, Power Automate oder n8n) speist einen Prompt mit VVT-Auszügen; Endpunkte in EU-Regionen (Azure OpenAI in EU-Regionen, Mistral AI Studio (früher La Plateforme) als EU-Anbieter, Google Vertex EU) liefern einen Vermerkentwurf und eine Checkliste.
• B wählen, wenn: die Prüfung in den eigenen Projektannahmeprozess eingebettet werden soll.

Weg C - Selbst betreiben (Open Source)

• n8n (selbst betrieben) plus Ollama oder vLLM mit einem Open-Weight-Modell wie Mistral Small, Llama oder Qwen; Paperless-ngx oder Nextcloud als Dokumentenablage.
• Hardware HW1 für einfache Checklisten, HW2 für lange Verträge; Einrichtung 2-5 Tage für jemanden mit n8n-Erfahrung.
• Lohnt sich, wenn Vertrags- und Personalinhalte das Unternehmen nicht verlassen dürfen.

Weg D - Eigenes Training

Nicht sinnvoll. Retrieval über Ihr VVT und Ihre Checklisten genügt; juristisches Schließen braucht kein Feintuning.

Stand der Technik (2026)

• Die EDSA-Stellungnahme 28/2024 legt einen dreistufigen Test des berechtigten Interesses für KI-Modelle fest und stellt fest, dass unrechtmäßig verarbeitete Trainingsdaten den späteren Einsatz beeinflussen können [1]. Nationale Behörden, etwa die DSK in ihrer Orientierungshilfe zu KI und Datenschutz, geben Anwendern Checklisten an die Hand [2].
• Der Digital Omnibus (Verordnung (EU) 2026/1744) ändert Fristen der KI-Verordnung, nicht die Grundlagen der DSGVO; die DSGVO-Prüfung [3] bleibt eine eigene Pflicht (KI-Verordnung [4]).
• LLM-Assistenten entwerfen Vermerke gut, verwechseln aber Artikel, nationale Regeln und Ausnahmen. Nutzen Sie sie für Entwürfe, nicht für Schlussfolgerungen.

Gemeinsame Bausteine & Kombinationen

• Lässt sich kombinieren mit: PREP-022 (Pseudonymisierung), PREP-023 (Bereinigung von Überfreigaben), PREP-024 (Klassifizierungsregeln), PREP-002 (Datenlandkarte), SEC-022 (Einstufung nach KI-Verordnung), PERS-016 (Betroffenenanfragen).

Aufwand, Kosten & Kennzahlen

• Weg A: 1-3 Tage je Anwendungsfall inkl. Zeit der bzw. des Datenschutzbeauftragten; Werkzeuglizenzen je nach Anbieter unterschiedlich.
• Weg B: 3-8 Tage für den Aufbau des Antragsablaufs, danach Stunden je Anwendungsfall.
• Weg C: 1-2 Wochen einschließlich Serveraufbau.
• Kennzahlen: Durchlaufzeit von der Anfrage bis zur Entscheidung, Anteil der KI-Anwendungsfälle mit dokumentierter Rechtsgrundlage vor dem Pilot, Anzahl fehlender AVV bei Produktivstart (Ziel null), Abdeckung des aktualisierten VVT.

Menschen & Veränderung

Früh einbinden: Geschäftsführung (akzeptiert das Restrisiko), Prozessverantwortliche, IT, Datenschutzbeauftragte(r) und Datenverantwortliche. Recht/Compliance für Lieferantenbedingungen, Personalabteilung, wenn Beschäftigtendaten betroffen sind (GUIDE-005, GUIDE-010).

Betriebsrat: hängt vom Fall ab. Betrifft die Prüfung Beschäftigtendaten oder Werkzeuge, die das Nutzerverhalten protokollieren, gilt § 87 Abs. 1 Nr. 6 BetrVG, weil die objektive Eignung zur Überwachung genügt; § 90 Abs. 1 Nr. 3 verlangt die rechtzeitige Unterrichtung über KI-gestützte Arbeitsabläufe, und § 80 Abs. 3 erlaubt die Hinzuziehung eines KI-Sachverständigen. Öffentliche Stellen beteiligen den Personalrat. Betroffen sind nur Unternehmen mit gewähltem Betriebsrat (GUIDE-004).

Datenschutzbeauftragte(r) und DSFA: Eine DSFA (Art. 35 DSGVO) ist wahrscheinlich bei systematischer Bewertung von Personen, besonderen Kategorien oder neuer Technologie in großem Umfang; jeder Auftragsverarbeiter braucht einen AVV (Art. 28 DSGVO).

KI-Kompetenz: Art. 4 KI-Verordnung in der Fassung der Verordnung (EU) 2026/1744 verpflichtet Anbieter und Betreiber, Maßnahmen zur KI-Kompetenz ihres Personals zu ergreifen; ergänzen Sie ein kurzes Modul dazu, welche Daten in welches Werkzeug gelangen dürfen (GUIDE-006, GUIDE-007).

Kommunikation und Pilot: Stellen Sie die Prüfung als Ermöglicher dar („schnelle Freigabe“), nicht als Bremse. Pilotieren Sie mit einer Abteilung und zwei Datenquellen; benennen Sie die bzw. den Datenschutzbeauftragte(n) als Partner und eine KI-Botschafterin oder einen KI-Botschafter der Abteilung (GUIDE-008, GUIDE-009).

Menschen behalten die Kontrolle: Datenschutzbeauftragte(r) und Prozessverantwortliche zeichnen ab; die KI entwirft nur.

Risiken, Regulierung & Compliance

• DSGVO: Zweckbindung (Art. 5 Abs. 1 Buchst. b, Art. 6 Abs. 4), Transparenz (Art. 13/14), Datenminimierung, besondere Kategorien nach Art. 9, Drittlandübermittlungen (Kapitel V). Beschäftigtendaten: § 26 BDSG.
• KI-Verordnung (AI Act): minimal für die Prüfung selbst; Transparenzpflichten nach Art. 50 gelten seit dem 2. Aug. 2026, wo Nutzer mit KI interagieren; Hochrisiko-Pflichten nach Anhang III (z. B. Personalauswahl) gelten ab dem 2. Dez. 2027 (GUIDE-014).
• Dieser Text ist eine praktische Orientierung, keine Rechtsberatung.

Erste Schritte

1. Einen geplanten KI-Anwendungsfall auswählen und Datenfelder und Quellen auflisten.
2. Die passenden VVT-Einträge heraussuchen und ursprünglichen Zweck und Rechtsgrundlage notieren.
3. Vereinbarkeits- und DSFA-Vorprüfung mit der bzw. dem Datenschutzbeauftragten in einer 90-minütigen Sitzung durchführen.
4. AVV anfordern oder prüfen und Datenschutzhinweise aktualisieren.
5. Die Entscheidung festhalten und bei der nächsten größeren Änderung beim Anbieter oder an Funktionen erneut prüfen.

Quellen

1. EDPB - Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models - https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-282024-certain-data-protection-aspects_en
2. DSK - Orientierungshilfe "Künstliche Intelligenz und Datenschutz" (2024) - https://www.datenschutzkonferenz-online.de/orientierungshilfen.html
3. Regulation (EU) 2016/679 (GDPR) - https://eur-lex.europa.eu/eli/reg/2016/679/oj
4. Regulation (EU) 2024/1689 (AI Act) - https://eur-lex.europa.eu/eli/reg/2024/1689/oj
5. Microsoft - EU Data Boundary - https://learn.microsoft.com/privacy/eudb/eu-data-boundary-learn
6. n8n - self-hosting documentation - https://docs.n8n.io/hosting/