Datenschutz bei KI-Projekten: Rechtsgrundlage, DSFA, Auftragsverarbeitungsvertrag, Rolle der/des Datenschutzbeauftragten

Die meisten KI-Anwendungsfälle im Mittelstand berühren personenbezogene Daten: in Prompts, RAG-Indizes, Gesprächsaufzeichnungen, Lebensläufen. Die DSGVO erlaubt das, verlangt aber schriftlich festgehaltene Entscheidungen vor dem Produktivstart. Nach diesem Leitfaden haben Sie eine Datenübersicht für den Anwendungsfall, eine dokumentierte Rechtsgrundlage, eine Entscheidung darüber, ob eine DSFA nötig ist (und gegebenenfalls die DSFA selbst), einen unterzeichneten Auftragsverarbeitungsvertrag (AVV) mit jedem Anbieter und eine/n Datenschutzbeauftragte(n), die/der rechtzeitig und nicht erst im Nachhinein eingebunden wurde.

Warum es wichtig ist

• Die Pflichten gelten bereits. Die KI-Verordnung (AI Act) ergänzt die DSGVO, sie ersetzt sie nicht; für Hochrisiko-Systeme erwartet sie, dass Betreiber die Informationen des Anbieters für ihre DSFA nutzen (Art. 26 Abs. 9 KI-Verordnung). Die DSGVO gilt für jeden Anwendungsfall.
• Bußgelder und Anordnungen. Verstöße gegen Art. 5, 6, 9 oder 44 ff. DSGVO können mit bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes geahndet werden, Verstöße gegen Art. 28, 35 oder 38 mit bis zu 10 Mio. EUR oder 2 % (Art. 83 DSGVO) [1]. Für KMU ist die Anordnung, eine Verarbeitung einzustellen, von der Ihr Ablauf abhängt, oft das größere Risiko.
• Die deutschen Aufsichtsbehörden haben gesagt, was sie erwarten. Die Datenschutzkonferenz (DSK) hat Hinweise zur Auswahl und Nutzung von KI-Anwendungen (Mai 2024) [2] sowie zu technischen und organisatorischen Maßnahmen bei Entwicklung und Betrieb von KI-Systemen (Version 1.0, Juni 2025) [3] veröffentlicht. Ihre offizielle DSFA-Liste nennt KI ausdrücklich (siehe unten) [4].

Wann Sie es brauchen

Faustregel: keine echten personenbezogenen Daten im Pilotbetrieb, bevor Rechtsgrundlage und AVV vorliegen; bis dahin synthetische oder anonymisierte Daten verwenden (DATA-005, DOC-018).

Wer beteiligt ist

• Geschäftsleitung (Verantwortlicher): trägt die rechtliche Verantwortung, entscheidet über Restrisiken, unterzeichnet den AVV. Die/der Datenschutzbeauftragte berät; die Entscheidung bleibt bei der Geschäftsleitung.
• Datenschutzbeauftragte(r): muss "ordnungsgemäß und frühzeitig in alle mit dem Schutz personenbezogener Daten zusammenhängenden Fragen eingebunden werden" (Art. 38 Abs. 1 DSGVO) und bei der Durchführung einer DSFA zu Rate gezogen werden (Art. 35 Abs. 2). In Deutschland ist eine bzw. ein Datenschutzbeauftragte(r) Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder unabhängig von der Beschäftigtenzahl, wenn Sie Verarbeitungen durchführen, die eine DSFA erfordern (§ 38 Abs. 1 BDSG) [5]. Eine Abschaffung der 20-Personen-Schwelle wurde politisch angekündigt, die Vorschrift gilt aber im Oktober 2026 weiterhin; prüfen Sie den aktuellen Wortlaut, bevor Sie sich auf eine Änderung verlassen.
• Fachabteilungsleitung: Zweck, Datenflüsse, Nutzer der Ergebnisse. IT / IT-Sicherheit: Hosting, Zugriff, Protokollierung, Löschung (GUIDE-013). Personalabteilung und Betriebsrat: alle Beschäftigtendaten, wo die meisten DSFA-Auslöser liegen (GUIDE-004). Recht/Rechtsberatung: Verträge, Übermittlungen, Berufsgeheimnis.

Schritt für Schritt

1. Datenfluss erfassen (2-4 Stunden pro Anwendungsfall). Halten Sie schriftlich fest, welche personenbezogenen Daten hineingehen (Prompts, Dateien, indizierte Dokumente, Aufzeichnungen), über wen (Beschäftigte, Kundschaft, Bewerbende, Dritte), wo sie verarbeitet werden (Anbieter, Region, Unterauftragsverarbeiter), ob sie die Modelle des Anbieters trainieren, wer die Ergebnisse sieht und wie lange sie aufbewahrt werden. GUIDE-003 liefert das meiste davon. Achten Sie auf versteckte Daten: Ein RAG-Assistent über dem Dateiserver (KNOW-002) indiziert auch Personalordner, sofern Sie diese nicht ausschließen.

2. Zweck festlegen und Rechtsgrundlage wählen (1-2 Stunden mit der/dem Datenschutzbeauftragten). Jeder Zweck braucht eine eigene Grundlage nach Art. 6 DSGVO: - Vertrag (Art. 6 Abs. 1 lit. b), z. B. die Bearbeitung einer Bestell-E-Mail eines Kunden in AGENT-004 oder die Beantwortung seiner Serviceanfrage in CONV-001. - Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) ist die typische Grundlage für interne Produktivitätsanwendungen wie Zusammenfassen, Entwerfen oder Suchen. Sie erfordert eine dokumentierte dreistufige Prüfung: berechtigtes Interesse, Erforderlichkeit, Abwägung mit den Interessen und vernünftigen Erwartungen der betroffenen Personen. Der EDSA hat in der Stellungnahme 28/2024 bestätigt, dass diese Grundlage für KI genutzt werden kann, aber erst nach dieser Einzelfallprüfung, und dass mit personenbezogenen Daten trainierte KI-Modelle nicht automatisch anonym sind [6]. - Einwilligung (Art. 6 Abs. 1 lit. a) eignet sich für optionale Funktionen für Kunden. Für Beschäftigte nur selten (Abhängigkeitsverhältnis).

Beschäftigtendaten: Nach dem EuGH-Urteil C-34/21 (30. März 2023) gilt die Generalklausel in § 26 Abs. 1 Satz 1 BDSG weithin nicht mehr als eigenständige Grundlage [7]. Stützen Sie die Verarbeitung von Beschäftigtendaten in der Praxis auf Art. 6 Abs. 1 lit. b, c oder f DSGVO oder auf eine Betriebsvereinbarung mit spezifischen, schützenden Regelungen (Art. 88 DSGVO).

Besondere Kategorien (Art. 9 DSGVO), etwa Gesundheitsdaten, biometrische Daten zur Identifizierung (VIS-016) oder Daten, aus denen die Gewerkschaftszugehörigkeit hervorgeht, brauchen zusätzlich eine Ausnahme nach Art. 9 Abs. 2. Andernfalls halten Sie sie fern.

Automatisierte Entscheidungen (Art. 22 DSGVO): Entscheidet das KI-Ergebnis faktisch über eine Person mit rechtlicher oder ähnlich erheblicher Wirkung, zum Beispiel bei der Ablehnung von Bewerbenden im Lebenslauf-Screening (AGENT-008, CONV-019), greift Art. 22. Setzen Sie einen Menschen ein, der wirklich prüft und widersprechen kann.

Hinweis: Der Vorschlag der Kommission zum "Digital Omnibus" vom November 2025 würde Teile der DSGVO ändern, darunter Regeln zur Verarbeitung für KI. Im Oktober 2026 befinden sich diese DSGVO-Änderungen noch im Gesetzgebungsverfahren, anders als die Änderungen am AI Act in der Verordnung (EU) 2026/1744. Planen Sie mit der geltenden DSGVO.

3. Entscheiden, ob eine DSFA erforderlich ist (30 Minuten; Ergebnis in jedem Fall dokumentieren). Eine DSFA ist erforderlich, wenn die Verarbeitung "voraussichtlich ein hohes Risiko zur Folge hat" (Art. 35 Abs. 1), insbesondere bei systematischer und umfassender Bewertung von Personen, umfangreicher Verarbeitung besonderer Kategorien oder systematischer Überwachung (Art. 35 Abs. 3). Die deutsche DSFA-Liste für den nicht-öffentlichen Bereich ("Muss-Liste", Version 1.1) nennt unter anderem [4]: - Nr. 11: Einsatz von KI zur Verarbeitung personenbezogener Daten, um die Interaktion mit den betroffenen Personen zu steuern oder persönliche Aspekte zu bewerten, mit Beispielen wie KI-gestütztem Kundensupport und einem Callcenter, das die Stimmung der Anrufenden automatisch analysiert; - Nr. 8: umfangreiche Verarbeitung von Daten zum Verhalten von Beschäftigten, die zur Bewertung ihrer Arbeit mit rechtlichen oder sonstigen erheblichen Folgen genutzt werden kann; - Nr. 13: automatisierte Auswertung von Video- oder Audioaufnahmen zur Bewertung der Persönlichkeit.

Die Liste ist nicht abschließend. Planen Sie in der Praxis eine DSFA ein für: Kunden-Chatbots und -Voicebots, die personenbezogene Daten verarbeiten (CONV-001, CONV-002), Gesprächsanalyse (SPEECH-002), Lebenslauf-Screening und KI-Interviews (AGENT-008, CONV-019), Leistungs- und Fluktuationsanalysen (LANG-036, PRED-012), Biometrie (VIS-016). Ein Schreibassistent ohne personenbezogene Daten in seinen Quellen braucht meist keine; halten Sie fest, warum.

4. Die DSFA durchführen (2-5 Tage für einen typischen KMU-Anwendungsfall). Mindestinhalt nach Art. 35 Abs. 7: Beschreibung der Verarbeitung und der Zwecke, Notwendigkeit und Verhältnismäßigkeit, Risiken für die betroffenen Personen und Abhilfemaßnahmen. KI-spezifische Risiken: erfundene Aussagen über reale Personen, Verzerrungen (Bias), Datenabfluss zwischen Nutzern, Training des Anbieters mit Eingaben, Löschung aus Indizes und Protokollen, schleichende Zweckänderung hin zur Leistungsüberwachung. Nutzen Sie [2][3] als Checkliste für Maßnahmen. Wo angemessen, holen Sie den Standpunkt der betroffenen Personen oder ihrer Vertreter ein (Art. 35 Abs. 9); in der Praxis ist das häufig der Betriebsrat. Bleibt ein hohes Restrisiko, müssen Sie vor Beginn die Aufsichtsbehörde konsultieren (Art. 36).

5. Den Auftragsverarbeitungsvertrag (AVV) mit jedem Auftragsverarbeiter abschließen (1-3 Stunden pro Anbieter). Jeder Cloud-KI-Dienst, jedes Transkriptionswerkzeug und jeder Integrator, der in Ihrem Auftrag personenbezogene Daten verarbeitet, braucht einen AVV nach Art. 28 DSGVO [1]. Prüfen Sie insbesondere: - Verarbeitung nur auf Ihre dokumentierte Weisung; keine Nutzung Ihrer Eingaben und Ausgaben zum Training der Modelle des Anbieters (oder ein klares Opt-out, das Sie tatsächlich gesetzt haben); - Liste der Unterauftragsverarbeiter (Modellanbieter, Hosting) und Widerspruchsrecht bei Änderungen; - Datenstandort und, bei Übermittlungen außerhalb der EU/des EWR, der Mechanismus (Angemessenheitsbeschluss wie das EU-US Data Privacy Framework für zertifizierte Unternehmen, oder Standardvertragsklauseln); - Löschung und Rückgabe bei Vertragsende, Aufbewahrung von Protokollen und Prompts; - Unterstützung bei Betroffenenanfragen, Meldung von Datenpannen, Audits und DSFA.

Die Standardvertragsklauseln der Kommission für Auftragsverarbeiter (Durchführungsbeschluss (EU) 2021/915) sind ein nützlicher Maßstab [8]. Große Anbieter bieten nur ihre eigenen Bedingungen an; vergleichen Sie und dokumentieren Sie Abweichungen. Verbraucherkonten von KI-Werkzeugen haben meist keinen AVV, ein Grund, sie für Geschäftsdaten zu untersagen (GUIDE-007).

Nutzt der Anbieter Ihre Daten für eigene Zwecke (z. B. Training), ist er kein reiner Auftragsverarbeiter, und Sie brauchen für die Weitergabe der Daten eine eigene Rechtsgrundlage, die schwer zu begründen ist. Schließen Sie das aus.

6. Maßnahmen und Transparenz umsetzen (Teil des Projektplans). Aktualisieren Sie das Verzeichnis von Verarbeitungstätigkeiten (Art. 30) und die Datenschutzhinweise (Art. 13/14). Legen Sie Aufbewahrungsfristen für Prompts, Transkripte und Protokolle fest (auch sie sind personenbezogene Daten). Beschränken Sie indizierte Quellen, nutzen Sie rollenbasierte Zugriffe und Pseudonymisierung. Sorgen Sie dafür, dass Auskunfts- und Löschersuchen auch Indizes und Protokolle erfassen (SEC-018 hilft bei größeren Mengen).

7. Bei Änderungen überprüfen. Wiederholen Sie die Schritte 1-3 bei einem neuen Modell oder Anbieter, neuen Quellen, Zwecken oder Personengruppen; überprüfen Sie mindestens jährlich.

Checkliste

• [ ] Datenübersicht für den Anwendungsfall: Daten, Personen, Systeme, Standorte, Aufbewahrung, Trainingsnutzung
• [ ] Zweck und Rechtsgrundlage je Zweck dokumentiert; Abwägung für Art. 6 Abs. 1 lit. f schriftlich festgehalten
• [ ] Beschäftigtendaten: Grundlage nach EuGH C-34/21 geprüft, mit Betriebsrat / Betriebsvereinbarung abgestimmt
• [ ] Art. 9 und Art. 22 geprüft (besondere Kategorien, menschliche Prüfung)
• [ ] DSFA-Entscheidung dokumentiert (DSK-Muss-Liste Nr. 8, 11, 13 geprüft); DSFA durchgeführt, falls erforderlich
• [ ] Datenschutzbeauftragte(r) eingebunden und Stellungnahme dokumentiert; Benennungspflicht nach § 38 BDSG geprüft
• [ ] AVV mit jedem Auftragsverarbeiter unterzeichnet; Training mit Ihren Daten ausgeschlossen; Unterauftragsverarbeiter und Übermittlungen geprüft
• [ ] Verzeichnis von Verarbeitungstätigkeiten, Datenschutzhinweise, Aufbewahrung und Löschung (inkl. Indizes, Protokolle) erledigt
• [ ] Überprüfungstermin und Auslöser für Änderungen festgelegt

Vorlagen & Werkzeuge

• DSK "Künstliche Intelligenz und Datenschutz" (Mai 2024): Checkliste zu Auswahl und Nutzung [2]; DSK-Hinweise zu TOM für KI-Systeme (Juni 2025): Maßnahmen nach Lebenszyklusphase [3].
• DSK-DSFA-Liste für den nicht-öffentlichen Bereich (Version 1.1) [4] und die DSK-Kurzpapiere zu DSFA und Auftragsverarbeitung, abrufbar auf der DSK-Website [9].
• EDSA-Stellungnahme 28/2024 [6]; EU-Auftragsverarbeiterklauseln 2021/915 als AVV-Maßstab [8].

Typische Fehler

• Datenschutzbeauftragte(r) wird nach Vertragsunterzeichnung informiert. Machen Sie die Freigabe durch die/den Datenschutzbeauftragten zu einem Pilot-Gate (GUIDE-009).
• "Der Anbieter ist DSGVO-konform" gilt als ausreichend. Sie bleiben der Verantwortliche.
• Training mit Eingaben bleibt eingeschaltet. In kostenlosen Tarifen oft standardmäßig aktiv; prüfen Sie Einstellung und Vertrag.
• RAG-Index über alles. Quellen begrenzen und Berechtigungen vererben.
• Keine DSFA, "weil es nur ein Pilot ist". Echte Daten im Pilotbetrieb sind echte Verarbeitung.
• Datenschutz und Mitbestimmung getrennt behandeln. Führen Sie bei KI mit Beschäftigtenbezug DSFA und Betriebsratsbeteiligung parallel durch; dieselben Fakten fließen in beide ein.

Quellen

1. Regulation (EU) 2016/679 (GDPR), consolidated text, EUR-Lex: https://eur-lex.europa.eu/eli/reg/2016/679/oj
2. Datenschutzkonferenz (DSK): Orientierungshilfe "Künstliche Intelligenz und Datenschutz", version 1.0, 6 May 2024 (press release): https://datenschutzkonferenz-online.de/media/pm/2024_05_06_DSK_PM_OH_KI_und_Datenschutz.pdf
3. DSK: Orientierungshilfe zu empfohlenen technischen und organisatorischen Maßnahmen bei der Entwicklung und beim Betrieb von KI-Systemen, version 1.0 (June 2025), referenced in DSK resolution: https://datenschutzkonferenz-online.de/media/en/DSK_Entschliessung_DSGVO_KI_Anpassungen.pdf
4. DSK: Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist, nicht-öffentlicher Bereich, version 1.1 (17 Oct 2018), published by HmbBfDI: https://datenschutz-hamburg.de/fileadmin/user_upload/HmbBfDI/Datenschutz/Informationen/DSFA_Muss-Liste_fuer_den_nicht-oeffentlicher_Bereich_-_Stand_17.10.2018.pdf
5. Bundesdatenschutzgesetz (BDSG), § 38: https://www.gesetze-im-internet.de/bdsg_2018/__38.html
6. EDPB: Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models (17 Dec 2024): https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-282024-certain-data-protection-aspects_en
7. CJEU, judgment of 30 March 2023, C-34/21 (Hauptpersonalrat): https://curia.europa.eu/juris/liste.jsf?num=C-34/21 ; guidance by the Hessian DPA: https://www.datenschutz.hessen.de/sites/datenschutz.hessen.de/files/2023-05/handreichung_beschaeftigtendatenschutz_eugh-urteil.pdf
8. Commission Implementing Decision (EU) 2021/915 on standard contractual clauses between controllers and processors: https://eur-lex.europa.eu/eli/dec_impl/2021/915/oj
9. Datenschutzkonferenz, guidance and short papers overview: https://www.datenschutzkonferenz-online.de/

Accessed 2026-10.