Zum Inhalt springen
SimpleAct Logo

Datenschutz · KI-Verordnung

Stand Oktober 2026 – KI-VO in der Fassung der VO (EU) 2026/1744 (Digital Omnibus KI)

DSGVO & KI im Unternehmen: ChatGPT, Copilot & Co. datenschutzkonform einsetzen

Sobald Beschäftigte personenbezogene Daten in ein KI-Werkzeug eingeben oder die KI Entscheidungen über Menschen vorbereitet, gilt die DSGVO. Die KI-Verordnung kommt hinzu, ersetzt sie aber nicht. Hier steht, welche Pflichten aus beiden Regelwerken folgen und was Sie vor dem Einsatz prüfen.

Zum Verhältnis DSGVO und KI-VOEigenes KI-Tool prüfen

Kurzantwort

Generative KI wie ChatGPT oder Copilot dürfen Sie im Unternehmen datenschutzkonform nutzen, wenn Sie für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage haben (Art. 6 Abs. 1 DSGVO), mit dem Anbieter einen Auftragsverarbeitungsvertrag schließen, soweit er in Ihrem Auftrag verarbeitet (Art. 28 Abs. 3 DSGVO), Übermittlungen in Drittländer absichern (Art. 44 ff. DSGVO), Betroffene informieren (Art. 13 und 14 DSGVO) und bei voraussichtlich hohem Risiko vorab eine Datenschutz-Folgenabschätzung durchführen (Art. 35 DSGVO). Die KI-Verordnung gilt daneben: Sie verpflichtet Betreiber seit dem 2. Februar 2025 zu Maßnahmen für die KI-Kompetenz der Beschäftigten (Art. 4) und seit dem 2. August 2026 zu bestimmten Offenlegungen (Art. 50 Abs. 4). Die DSGVO bleibt unberührt (Art. 2 Abs. 7 KI-VO).

Grundlagen

DSGVO und KI-Verordnung gelten nebeneinander

Die beiden Verordnungen regeln unterschiedliche Dinge. Die DSGVO knüpft an die Verarbeitung personenbezogener Daten an, egal mit welcher Technik (Art. 2 Abs. 1 DSGVO). Die KI-Verordnung knüpft an das KI-System an und gilt für Betreiber mit Sitz in der Union auch dann, wenn keine personenbezogenen Daten im Spiel sind (Art. 2 Abs. 1 Buchst. b KI-VO).

Verarbeitet ein KI-System personenbezogene Daten, gelten beide Regelwerke kumulativ. Art. 2 Abs. 7 KI-VO (in der Fassung der Verordnung (EU) 2026/1744) stellt klar, dass das Datenschutzrecht der Union anwendbar bleibt und die KI-Verordnung die DSGVO nicht berührt. Eigene Verarbeitungsbefugnisse enthält die KI-VO nur in Art. 4a (Verarbeitung besonderer Kategorien zur Erkennung von Verzerrungen bei Hochrisiko-KI) und Art. 59 (KI-Reallabore); die DSGVO gilt auch dort. Für die alltägliche Nutzung von ChatGPT oder Copilot spielen beide keine Rolle.

Praktische Folge: Eine erfüllte KI-VO-Pflicht ersetzt keine DSGVO-Pflicht und umgekehrt. Ein Schulungsnachweis nach Art. 4 KI-VO ist keine Rechtsgrundlage, ein AVV ist kein Nachweis der KI-Kompetenz.

Rollen

Wer ist wer? Verantwortlicher, Auftragsverarbeiter, Betreiber

Beide Verordnungen haben eigene Rollenbegriffe. Ein Unternehmen, das ein KI-Werkzeug einkauft und einsetzt, hat meist zwei Rollen gleichzeitig.

  • Art. 4 Nr. 7 DSGVO

    Verantwortlicher

    Wer über Zwecke und Mittel der Verarbeitung entscheidet. Setzen Sie ChatGPT, Copilot oder ein anderes Werkzeug für eigene Zwecke ein, sind Sie für die Verarbeitung der eingegebenen personenbezogenen Daten in der Regel Verantwortlicher.

  • Art. 4 Nr. 8, Art. 28 DSGVO

    Auftragsverarbeiter

    Ein Cloud-Anbieter, der Daten nur in Ihrem Auftrag und nach Ihren Weisungen verarbeitet, ist Auftragsverarbeiter. Dann ist ein Vertrag nach Art. 28 Abs. 3 DSGVO nötig (so auch DSK-Orientierungshilfe KI, Nr. 2.1).

  • Art. 26, Art. 28 Abs. 10 DSGVO

    Eigene Zwecke des Anbieters

    Nutzt der Anbieter Ihre Eingaben für eigene Zwecke, etwa zum Training, handelt er insoweit nicht mehr nur in Ihrem Auftrag. Je nach Gestaltung kommen eine eigene Verantwortlichkeit des Anbieters oder eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO in Betracht. Diese Übermittlung braucht dann eine eigene Rechtsgrundlage.

  • Art. 3 Nr. 4 KI-VO

    Betreiber

    Wer ein KI-System in eigener Verantwortung verwendet, außer im Rahmen einer persönlichen und nicht beruflichen Tätigkeit. Ein Unternehmen, das Copilot für seine Beschäftigten freischaltet, ist Betreiber.

  • Art. 3 Nr. 3 KI-VO

    Anbieter

    Wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Wer etwa einen Kunden-Chatbot auf Basis eines Sprachmodells baut und unter eigener Marke anbietet, kann selbst Anbieter sein.

DSGVO in der Praxis

Was die DSGVO beim Einsatz von KI-Werkzeugen verlangt

  • Art. 6 Abs. 1, Art. 9 DSGVO

    Rechtsgrundlage

    Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage, im Unternehmen häufig Vertragserfüllung (Buchst. b) oder berechtigte Interessen nach Abwägung (Buchst. f). Für besondere Kategorien wie Gesundheitsdaten gelten zusätzlich die engen Ausnahmen des Art. 9 Abs. 2.

  • Art. 28 Abs. 1 und 3 DSGVO

    Auftragsverarbeitungsvertrag

    Mit einem Anbieter, der in Ihrem Auftrag verarbeitet, schließen Sie einen AVV. Er muss unter anderem regeln, dass Daten nur auf dokumentierte Weisung verarbeitet werden (Art. 28 Abs. 3 Buchst. a). Prüfen Sie, ob das gewählte Produkt und der gewählte Tarif einen AVV vorsehen.

  • Art. 44 bis 46 DSGVO

    Drittlandübermittlung

    Werden Daten außerhalb des EWR verarbeitet, braucht es eine Grundlage nach Kapitel V: einen Angemessenheitsbeschluss (Art. 45), für die USA den Beschluss (EU) 2023/1795 für zertifizierte Organisationen, oder geeignete Garantien wie Standardvertragsklauseln (Art. 46 Abs. 2 Buchst. c). Prüfen Sie, ob der Anbieter zertifiziert ist und wo verarbeitet wird.

  • Art. 35 DSGVO

    Datenschutz-Folgenabschätzung

    Pflicht, wenn eine Verarbeitung, insbesondere mit neuen Technologien, voraussichtlich ein hohes Risiko zur Folge hat (Abs. 1), etwa bei Profiling als Entscheidungsgrundlage oder umfangreicher Verarbeitung besonderer Kategorien (Abs. 3). Die DSK erwartet dies beim KI-Einsatz „vielfach“ (Orientierungshilfe KI, Nr. 2.3); maßgeblich ist auch die Muss-Liste der Aufsichtsbehörden (Abs. 4).

  • Art. 13, 14 DSGVO

    Informationspflichten

    Betroffene erfahren Zwecke, Rechtsgrundlage, Empfänger und eine geplante Drittlandübermittlung (Art. 13 Abs. 1 Buchst. c, e, f). Bei automatisierten Entscheidungen nach Art. 22 kommen aussagekräftige Informationen über die involvierte Logik hinzu (Art. 13 Abs. 2 Buchst. f, Art. 14 Abs. 2 Buchst. g).

  • Art. 15 bis 21, Art. 28 Abs. 3 Buchst. e DSGVO

    Betroffenenrechte

    Auskunft, Berichtigung, Löschung und Widerspruch gelten auch für Daten in Prompts, Chatverläufen und Ausgaben. Der Auftragsverarbeiter muss Sie bei der Erfüllung unterstützen. Klären Sie vorab, wie Sie Chatverläufe finden und löschen können.

Eingaben und Training

Personendaten in Prompts vermeiden, Trainingsnutzung prüfen

Der sicherste Weg ist, personenbezogene Daten gar nicht erst einzugeben. Das folgt aus dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 Buchst. c DSGVO) und aus Datenschutz durch Technikgestaltung und Voreinstellungen (Art. 25 DSGVO). Die DSK weist darauf hin, dass es oft nicht reicht, Namen und Anschriften zu entfernen, weil sich der Personenbezug aus dem Zusammenhang ergeben kann (Orientierungshilfe KI, Nr. 3.1).

Prüfen Sie, ob der Anbieter Ein- und Ausgaben zum Training verwendet, ob er darüber informiert und ob sich das ausschließen lässt. Ist ein Ausschluss nicht möglich und sind personenbezogene Daten betroffen, braucht auch dieser Zweck eine Rechtsgrundlage; datenschutzrechtlich vorzugswürdig sind Anwendungen ohne Trainingsnutzung (DSK-Orientierungshilfe KI, Nr. 1.9). Die Bedingungen unterscheiden sich je nach Produkt, Tarif und Einstellung und ändern sich. Halten Sie die geprüfte Fassung fest.

Die DSK empfiehlt außerdem, Beschäftigten betriebliche Geräte und Accounts bereitzustellen statt privater Konten (Orientierungshilfe KI, Nr. 2.4). Private Konten von Beschäftigten fallen zudem regelmäßig nicht unter den Vertrag, den Ihr Unternehmen mit dem Anbieter geschlossen hat.

Entscheidungen

Keine automatisierte Letztentscheidung (Art. 22 DSGVO)

Betroffene haben das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 Abs. 1 DSGVO). Ausnahmen gibt es nur für Vertragsabschluss oder -erfüllung, gesetzliche Erlaubnis oder ausdrückliche Einwilligung (Art. 22 Abs. 2). In den Fällen von Vertrag und Einwilligung gilt mindestens das Recht auf Eingreifen einer Person (Art. 22 Abs. 3); bei gesetzlicher Erlaubnis muss das Gesetz selbst angemessene Schutzmaßnahmen vorsehen. Entscheidungen auf Grundlage besonderer Kategorien personenbezogener Daten sind nur mit ausdrücklicher Einwilligung oder aus erheblichem öffentlichem Interesse und mit angemessenen Schutzmaßnahmen zulässig (Art. 22 Abs. 4).

Bereitet eine KI Entscheidungen vor, muss der Mensch einen tatsächlichen Entscheidungsspielraum haben; eine nur formale Beteiligung reicht nicht. Die DSK nennt als Beispiel eine KI, die Bewerbungen auswertet und selbstständig zu Gesprächen einlädt, und wertet das als Verstoß gegen Art. 22 Abs. 1 (Orientierungshilfe KI, Nr. 1.6).

KI-Verordnung

Was die KI-Verordnung zusätzlich verlangt

  • Art. 4 KI-VO

    KI-Kompetenz

    Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Ein bestimmtes Niveau für jede Person muss nicht garantiert werden (Fassung der Verordnung (EU) 2026/1744, in dieser Fassung seit 27. Juli 2026). Die Pflicht gilt seit dem 2. Februar 2025 (Art. 113 Abs. 3 Buchst. a); bis zum 26. Juli 2026 verlangte Art. 4, nach besten Kräften ein ausreichendes Maß an KI-Kompetenz sicherzustellen.

  • Art. 50 Abs. 4 KI-VO

    Offenlegung durch Betreiber

    Wer mit KI Deepfakes (Bild, Ton, Video) erzeugt, legt das offen. Wer KI-Text veröffentlicht, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, legt das ebenfalls offen, außer der Text wurde menschlich geprüft oder redaktionell kontrolliert und jemand trägt die redaktionelle Verantwortung. Gilt seit dem 2. August 2026 (Art. 113).

  • Art. 50 Abs. 1 KI-VO

    Chatbots

    Dass Menschen erfahren, mit einer KI zu interagieren, muss der Anbieter des Systems sicherstellen. Bauen Sie einen eigenen Chatbot und bieten ihn unter eigenem Namen an, kann diese Pflicht Sie als Anbieter treffen.

  • Art. 26, Art. 25 Abs. 1 Buchst. c KI-VO

    Hochrisiko-Einsatz

    Nutzen Sie ein KI-Werkzeug für einen Zweck aus Anhang III, etwa zur Auswahl von Bewerbern, gelten ab dem 2. Dezember 2027 die Betreiberpflichten nach Art. 26 (Art. 113 Abs. 3 Buchst. c n. F.). Wer die Zweckbestimmung eines allgemeinen KI-Systems so ändert, dass es hochriskant wird, gilt als Anbieter.

Art. 26 Abs. 9 KI-VO verbindet beide Welten: Betreiber von Hochrisiko-KI nutzen die Informationen des Anbieters für ihre Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Betreiber von Anhang-III-Systemen, die Entscheidungen über Personen treffen oder unterstützen, informieren diese Personen zusätzlich (Art. 26 Abs. 11).

Checkliste

Vor dem Einsatz von ChatGPT, Copilot & Co.

Diese Punkte sollten geklärt und dokumentiert sein, bevor ein KI-Werkzeug im Unternehmen freigegeben wird:

  • Einsatzzwecke festlegen und klären, ob dabei personenbezogene Daten anfallen (DSK-OH KI, Nr. 1.1 bis 1.3).
  • Rechtsgrundlage je Zweck bestimmen und im Verzeichnis von Verarbeitungstätigkeiten eintragen (Art. 6, Art. 30 DSGVO).
  • Rolle des Anbieters klären und AVV abschließen, soweit er in Ihrem Auftrag verarbeitet (Art. 28 Abs. 3 DSGVO).
  • Verarbeitungsort und Drittlandgrundlage prüfen, z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln (Art. 44 bis 46 DSGVO).
  • Trainingsnutzung der Eingaben prüfen und, wo möglich, ausschließen; Speicherung der Chatverläufe festlegen (DSK-OH KI, Nr. 1.9 und 1.10).
  • Schwellwertanalyse durchführen und bei voraussichtlich hohem Risiko eine DSFA erstellen (Art. 35 DSGVO).
  • Interne KI-Richtlinie mit Regeln zu Personendaten in Prompts, betrieblichen Accounts und Prüfung der Ergebnisse (Art. 5 Abs. 1 Buchst. c, Art. 25 DSGVO; DSK-OH KI, Nr. 2.2 und 2.4).
  • Datenschutzhinweise ergänzen und Betroffenenrechte organisatorisch abdecken (Art. 13 bis 21 DSGVO).
  • Maßnahmen zur KI-Kompetenz ergreifen, z. B. Schulungen (Art. 4 KI-VO), und zum Nachweis dokumentieren (empfohlen); Offenlegungspflichten nach Art. 50 Abs. 4 KI-VO in die Richtlinie aufnehmen.
  • Datenschutzbeauftragten und, wo vorhanden, Betriebsrat einbinden (DSK-OH KI, Nr. 1.12).

Die Checkliste ersetzt keine Einzelfallprüfung. Bei Hochrisiko-Zwecken nach Anhang III kommen die Betreiberpflichten nach Art. 26 KI-VO hinzu.

Fristen

Was seit wann gilt

DSGVO, alle hier genannten Pflichten
DatumSeit 25. Mai 2018
QuelleArt. 99 Abs. 2 DSGVO
KI-Kompetenz (Art. 4 KI-VO)
DatumSeit 2. Februar 2025
QuelleArt. 113 Abs. 3 Buchst. a KI-VO
Transparenzpflichten (Art. 50 KI-VO)
DatumSeit 2. August 2026
QuelleArt. 113 KI-VO
Maschinenlesbare Kennzeichnung für vor dem 2. August 2026 in Verkehr gebrachte Systeme (Anbieterpflicht)
Datum2. Dezember 2026
QuelleArt. 111 Abs. 4 KI-VO n. F.
Betreiberpflichten für Hochrisiko-KI nach Anhang III
Datum2. Dezember 2027
QuelleArt. 113 Abs. 3 Buchst. c Ziff. i KI-VO n. F.

Umsetzung

Wie SimpleAct Datenschutz und KI-Verordnung zusammenführt

  • KI-Register

    Werkzeuge erfassen

    ChatGPT, Copilot und weitere Werkzeuge mit Zweck, Rolle, Datenarten, Anbieter und Risikoklasse in einem Register.

  • DSGVO-Modul (ab Professional)

    VVT, AVV, DSFA verknüpfen

    Ab Professional lässt sich jeder KI-Eintrag mit Verarbeitungstätigkeit, Auftragsverarbeitung und Folgenabschätzung verbinden.

  • Nachweise

    Maßnahmen und Nachweise ablegen

    Maßnahmen und Nachweise am KI-System ablegen; Vorlagen für KI-Richtlinie und Schulungsnachweis gibt es kostenlos. Schulungen über die Academy bietet der Enterprise-Plan.

FAQ

Häufige Fragen zu DSGVO und KI

Ja, wenn die DSGVO-Pflichten erfüllt sind: Rechtsgrundlage für jede Verarbeitung personenbezogener Daten (Art. 6 DSGVO), AVV mit dem Anbieter, soweit er in Ihrem Auftrag verarbeitet (Art. 28), abgesicherte Drittlandübermittlung (Art. 44 ff.), Information der Betroffenen (Art. 13 und 14) und bei hohem Risiko eine DSFA (Art. 35). Ob ein konkretes Produkt das ermöglicht, hängt von Vertrag, Tarif und Einstellungen ab.
Wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, ja (Art. 28 Abs. 3 DSGVO). Die DSK geht beim Einsatz als Cloud-Lösung häufig von Auftragsverarbeitung aus (Orientierungshilfe KI, Nr. 2.1). Nutzt der Anbieter die Daten auch für eigene Zwecke, reicht der AVV allein nicht.
Nur wenn dafür eine Rechtsgrundlage besteht und die übrigen Voraussetzungen erfüllt sind. Besser ist es, Personendaten wegzulassen (Art. 5 Abs. 1 Buchst. c DSGVO). Das Entfernen von Namen reicht oft nicht, wenn sich die Person aus dem Zusammenhang erkennen lässt (DSK-Orientierungshilfe KI, Nr. 3.1). Regeln Sie das in einer KI-Richtlinie.
Nicht automatisch. Eine DSFA ist nötig, wenn die konkrete Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat (Art. 35 Abs. 1 DSGVO), etwa bei Profiling als Entscheidungsgrundlage oder umfangreicher Verarbeitung von Gesundheitsdaten (Abs. 3). Laut DSK wird das beim KI-Einsatz vielfach der Fall sein (Orientierungshilfe KI, Nr. 2.3).
Nein. Beide gelten nebeneinander; die KI-Verordnung berührt die DSGVO nicht (Art. 2 Abs. 7 KI-VO in der Fassung der Verordnung (EU) 2026/1744). Die KI-Verordnung bringt eigene Pflichten hinzu, etwa KI-Kompetenz (Art. 4) und Transparenz (Art. 50).
Nach Art. 50 Abs. 4 KI-VO nur in bestimmten Fällen: bei Deepfakes und bei Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Die Pflicht entfällt bei Texten, wenn sie menschlich geprüft oder redaktionell kontrolliert wurden und jemand die redaktionelle Verantwortung trägt.
Ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung sind nur in den Ausnahmen des Art. 22 Abs. 2 DSGVO zulässig. Ein Mensch muss tatsächlich entscheiden können (DSK-Orientierungshilfe KI, Nr. 1.6). Für die Bewerberauswahl kommen ab dem 2. Dezember 2027 die Hochrisiko-Pflichten nach Art. 26 KI-VO hinzu.

Noch Fragen? Wir helfen gerne weiter. E-Mail schreiben · 7 Tage testen (Kreditkarte nötig)

Quellen und Stand

Stand: · Redaktion SimpleAct

Redaktionelle Information, keine Rechtsberatung. Maßgeblich ist der im Amtsblatt veröffentlichte Verordnungstext; Auslegung und nationale Umsetzung können im Einzelfall abweichen. Bei konkreten Fragen holen Sie rechtlichen Rat ein.

Weiterlesen

KI-Einsatz und Datenschutz an einem Ort

Wir zeigen Ihnen, wie Sie KI-Werkzeuge erfassen, ab Professional mit VVT, AVV und DSFA verknüpfen und Maßnahmen und Nachweise am KI-System ablegen.

Demo buchen7 Tage testen (Kreditkarte nötig)