Datenschutz als Ausrede? Warum Digitalisierung trotzdem möglich ist

Neulich wollte ich den Akku meines Smartphones tauschen lassen. Beim Hersteller lief das komplett digital: einloggen, Gerät war hinterlegt, Termin im Kalender, alle Daten schon da. Kein Zettel, keine Rückfrage, keine Wiederholung. Wenige Klicks – fertig.

Beim Vor-Ort-Termin in einem großen Elektronikmarkt sah die Welt dann anders aus. Ich bekam einen Papierzettel, der Preis wurde mit der Hand eingetragen, und ich sollte Name, Telefonnummer und E-Mail-Adresse noch einmal mit Kugelschreiber aufschreiben – obwohl der Termin längst gebucht und meine Daten bekannt waren.

Ich habe dann gefragt, warum meine bereits gebuchten Daten nicht einfach übernommen werden – und warum das Ganze überhaupt handschriftlich läuft. Die Antwort kam prompt und in einem Wort: „Datenschutz.“

Halb im Scherz habe ich nachgehakt, ob der Zettel dann anschließend in einen Tresor komme. Der Mitarbeiter musste selbst schmunzeln – und in diesem Moment war klar: Papier ist nicht automatisch datenschutzfreundlicher. Es fühlt sich nur oft so an.

„Datenschutz“ ist selten die eigentliche Antwort

Mir geht es hier nicht um diesen einen Markt oder diesen einen Mitarbeiter. Die Szene ist deshalb interessant, weil sie ein Muster sichtbar macht, das mir in Unternehmen immer wieder begegnet: „Datenschutz“ wird zum Argument, sobald es um Digitalisierung geht – und beendet die Diskussion, bevor sie überhaupt begonnen hat.

Das Wort funktioniert wie ein Totschlagargument. Es klingt verantwortungsvoll, niemand möchte dagegen sprechen, und es verschafft sofort Ruhe. Nur: In den meisten Fällen ist es keine rechtliche Bewertung, sondern eine bequeme Erklärung für einen Prozess, den niemand geändert hat. Der Zettel existiert nicht, weil der Datenschutz ihn verlangt, sondern weil es ihn schon immer gab.

Was die DSGVO wirklich verlangt

Wichtig ist mir dabei eine klare Unterscheidung, damit hier kein falscher Eindruck entsteht: Datenschutz ist richtig und wichtig. Personenbezogene Daten gehören geschützt. Aber die Datenschutz-Grundverordnung ist kein Digitalisierungsverbot – im Gegenteil.

Die DSGVO verlangt im Kern, dass personenbezogene Daten nur auf einer Rechtsgrundlage und für einen klaren Zweck verarbeitet werden, dass nicht mehr Daten erhoben werden als nötig (Datenminimierung) und dass sie durch geeignete technische und organisatorische Maßnahmen geschützt werden. Ob das digital oder auf Papier passiert, schreibt sie nicht vor. Ein durchdachter digitaler Prozess kann diese Anforderungen genauso erfüllen – häufig sogar besser, weil sich Zugriffe, Verschlüsselung und Löschfristen sauber steuern lassen.

Genau hier kippt das vermeintliche Sicherheitsgefühl von Papier. Ein Zettel, der offen auf dem Tresen liegt, von Hand ausgefüllt und irgendwo abgeheftet wird, ist nicht per se sicher. Wer hat Zugriff? Wo wird er gelagert? Wann wird er vernichtet? Meist gibt es darauf keine Antwort. Ein verschlüsselter, zugriffsbeschränkter digitaler Prozess ist in vielen Fällen nachvollziehbarer und sicherer als ein Stapel handbeschriebener Formulare.

DSGVO ist nicht das Ende der Digitalisierung. Der EU AI Act auch nicht.

Seit die DSGVO nicht mehr die einzige Regel im Raum ist, taucht ein zweites Stichwort auf, das denselben Reflex auslöst: der EU AI Act. Sobald „künstliche Intelligenz“ ins Spiel kommt, wird aus „Datenschutz“ schnell „Datenschutz – und jetzt auch noch dieser AI Act“, und der Prozess bleibt beim Zettel. Dabei gilt hier dasselbe Prinzip: Der AI Act ist kein Verbot, sondern ein Rahmen.

Der EU AI Act (Verordnung (EU) 2024/1689) ist der erste umfassende Rechtsrahmen für künstliche Intelligenz. Sein Ziel ist vertrauenswürdige KI, und er arbeitet risikobasiert: Anwendungen werden nach ihrem Risiko eingeordnet – von inakzeptabel (verboten) über hochriskant und Anwendungen mit Transparenzpflichten bis hin zu minimalem oder keinem Risiko. Erste Regeln greifen bereits: Verbote bestimmter Praktiken und die Pflicht zur KI-Kompetenz gelten seit dem 2. Februar 2025, Vorgaben für allgemeine KI-Modelle (GPAI) sind 2025 relevant geworden, weitere Transparenz- und Anwendungspflichten folgen 2026, bestimmte Regeln für Hochrisiko-Anwendungen 2027.

Für die meisten Unternehmen wird der AI Act vor allem an einer Stelle konkret: bei der Transparenz. Die Leitlinien der EU-Kommission zu den Transparenzpflichten nach Artikel 50 zielen genau darauf: Wer KI-Systeme anbietet oder einsetzt, muss – anwendbar ab dem 2. August 2026 – offenlegen, wenn Menschen mit einer KI interagieren oder wenn Inhalte künstlich erzeugt oder bearbeitet wurden. Übersetzt in den Alltag heißt das schlicht: dazu sagen, wo KI im Spiel ist, statt es zu verstecken. Kein Stoppschild, sondern eine Frage der Ehrlichkeit gegenüber Kundinnen, Kunden und Mitarbeitenden.

Für den Mittelstand heißt das vor allem eins: Datenschutz und AI Act gehören zusammen gedacht, nicht getrennt gefürchtet. Die meisten alltäglichen Automatisierungen – ein digitales Formular, eine automatische Terminbestätigung, ein Textentwurf aus einem KI-Assistenten – sind nicht automatisch „hochriskant“. Entscheidend ist, dass Sie den Einsatz sauber einordnen, bevor das nächste Tool angeschafft wird:

• Datenfluss klären: Welche Daten gehen wohin?
• Zweck und Rechtsgrundlage prüfen: Wofür, auf welcher Basis?
• Risiko und KI-Einsatz einordnen: Einfache Automatisierung oder Entscheidung mit Folgen?
• Transparenz herstellen: Wissen Kundinnen, Kunden und Mitarbeitende, wo KI im Spiel ist?
• Menschliche Kontrolle sichern: Wer prüft die Ergebnisse und kann eingreifen?
• Lösch- und Berechtigungskonzept festlegen: Wer darf was – und wann wird gelöscht?
• Dokumentation führen: Kurz festhalten, was entschieden wurde.

Das ist keine Rechtsberatung, sondern gesunder Menschenverstand in Struktur gebracht. Weder die DSGVO noch der EU AI Act bremsen die Digitalisierung – beide verlangen dasselbe: saubere Prozesse, klare Verantwortlichkeiten, Transparenz und eine ehrliche Einordnung des Risikos. Wer diese Fragen je Anwendungsfall einmal beantwortet, hat beide Rahmen für die meisten Prozesse im Griff – und einen deutlich klareren Blick darauf, wo sich Digitalisierung wirklich lohnt.

Warum die Ausrede so bequem ist

Wenn „Datenschutz“ nicht der wahre Grund ist – was steht dann dahinter? Nach meiner Erfahrung meistens eine Mischung aus drei Dingen:

• Unsicherheit. Niemand will einen Fehler machen. Solange man beim Papier bleibt, fühlt man sich auf der sicheren Seite – auch wenn das ein Trugschluss ist.
• Fehlende Zuständigkeit. Für den bestehenden Zettel ist niemand verantwortlich, für einen neuen digitalen Prozess müsste es jemand sein. Diese Verantwortung übernimmt selten jemand freiwillig.
• Gewohnheit. Der Prozess läuft „schon immer so“. Ihn zu ändern kostet Energie, und der Alltag bietet immer einen guten Grund, es zu verschieben.

„Datenschutz“ ist dann das Wort, das all das zudeckt. Es ist einfacher zu sagen als „Wir haben uns damit nie beschäftigt“ oder „Dafür fühlt sich bei uns niemand zuständig“.

Gerade inhabergeführte Unternehmen bremsen sich selbst

Besonders häufig erlebe ich das in inhabergeführten Unternehmen. Das ist nicht als Vorwurf gemeint – im Gegenteil, hier sitzen oft die Menschen mit dem größten Verantwortungsgefühl. Aber genau dieses Verantwortungsgefühl wird manchmal zur Bremse: Man möchte alles richtig machen, hat wenig Zeit, kennt sich beim Thema Datenschutz nicht im Detail aus und entscheidet sich im Zweifel für den Weg, der sich am wenigsten nach Risiko anfühlt. Und das ist – gefühlt – das Papier.

Das Ergebnis ist ein leiser Rückstand. Kundinnen und Kunden erleben moderne, digitale Abläufe bei großen Anbietern und treffen dann im Mittelstand auf handschriftliche Zettel. Der Kontrast fällt auf. Und er kostet nicht nur Effizienz, sondern auch Vertrauen. Denn wer im Kleinen umständlich wirkt, dem trauen Kunden im Großen oft weniger zu.

Der eigentliche Punkt ist nicht der Zettel selbst, sondern das, was dahinter fehlt: eine Entscheidung, wie das Unternehmen mit Daten und Prozessen umgehen will. Wer diese Entscheidung nicht trifft, überlässt sie der Gewohnheit. Ich habe an anderer Stelle schon beschrieben, warum was heute nur auf Papier steht, morgen keine KI nutzen kann – der Datenschutz-Reflex ist dafür ein sehr konkretes Alltagsbeispiel.

Wie sich Papierprozesse DSGVO-konform digitalisieren lassen

Die gute Nachricht: Man muss dafür kein Großprojekt starten. Datenschutzkonforme Digitalisierung beginnt mit ein paar sauberen Grundfragen, die sich auf fast jeden Papierprozess anwenden lassen:

1. Zweck und Rechtsgrundlage klären. Wofür brauchen Sie die Daten, und worauf stützt sich die Verarbeitung – zum Beispiel Vertragserfüllung oder Einwilligung? Wer das beantworten kann, hat den größten Teil der Datenschutzfrage bereits geklärt.
2. Nur erheben, was nötig ist. Jedes Feld auf dem alten Formular auf den Prüfstand stellen: Brauchen wir das wirklich? Datenminimierung ist nicht nur Pflicht, sie macht den Prozess auch schlanker.
3. Bestehende Daten wiederverwenden. Wenn ein Termin gebucht und der Kunde bekannt ist, sollten die Daten übernommen werden – nicht ein zweites Mal abgefragt. Das ist komfortabler und reduziert Fehlerquellen.
4. Übertragung und Speicherung absichern. Verschlüsselte Übertragung, geregelte Zugriffsrechte und definierte Löschfristen sind heute Standard und mit gängigen Werkzeugen umsetzbar.
5. Verantwortlichkeiten und Verträge regeln. Wer ist zuständig? Und wenn externe Tools im Spiel sind: Ist ein Auftragsverarbeitungsvertrag geschlossen? Das gehört einmalig geklärt, dann trägt es dauerhaft.

Keiner dieser Schritte verlangt Spezialwissen auf Juristenniveau. Sie verlangen vor allem die Entscheidung, sich das Thema einmal in Ruhe anzuschauen – statt es reflexhaft mit „Datenschutz“ zu beenden. Der digitale Prozess ist dabei kein Selbstzweck: Er schafft erst die saubere Datengrundlage, auf der später Automatisierung und KI sinnvoll ansetzen können.

Vom Reflex zur Entscheidung

Zurück zum Elektronikmarkt: Der Mitarbeiter hat mit dem Schmunzeln selbst erkannt, dass der handschriftliche Zettel weder besonders modern noch besonders sicher ist. Er war nur nie in Frage gestellt worden. Und genau das ist der entscheidende Schritt – in großen Ketten wie in kleinen Betrieben: die Bereitschaft, den eigenen Prozess einmal ehrlich anzusehen.

Datenschutz ist kein Grund, nicht zu digitalisieren. Er ist der Rahmen, in dem gute Digitalisierung stattfindet. Wer ihn ernst nimmt, kommt fast automatisch zu besseren, klareren und sichereren Prozessen – nicht zu weniger, sondern zu durchdachterer Technik.

Papier ist nicht automatisch datenschutzfreundlicher. Es fühlt sich nur so an.

Die eigentliche Frage lautet deshalb nicht „Dürfen wir das digitalisieren?“, sondern „Warum tun wir es noch nicht?“. Wenn Sie bei ehrlicher Betrachtung feststellen, dass „Datenschutz“ bei Ihnen manchmal eher Argument als Analyse ist, lohnt sich ein zweiter Blick auf Ihre Abläufe – lassen Sie uns das in einem kurzen Gespräch durchgehen.

Häufige Fragen zu Datenschutz und Digitalisierung

Verhindert Datenschutz die Automatisierung von Prozessen?

Nein. Die DSGVO ist kein Digitalisierungsverbot. Sie verlangt, dass personenbezogene Daten auf einer Rechtsgrundlage verarbeitet und durch geeignete technische und organisatorische Maßnahmen geschützt werden. Digitale, automatisierte Prozesse sind ausdrücklich erlaubt, solange sie datenschutzkonform gestaltet sind.

Sind Papierformulare datenschutzfreundlicher als digitale Prozesse?

Nicht automatisch. Auch Papier enthält personenbezogene Daten und muss geschützt, zugriffsbeschränkt und nach Ablauf gelöscht werden. Ein offen ausgefüllter Zettel auf einem Tresen kann sogar ein höheres Risiko darstellen als ein verschlüsselter, zugriffsgeschützter digitaler Prozess.

Wie digitalisiert man Kundendaten DSGVO-konform?

Klären Sie zuerst Zweck und Rechtsgrundlage, erheben Sie nur die wirklich nötigen Daten, sichern Sie Übertragung und Speicherung technisch ab, regeln Sie Zugriffsrechte und Löschfristen und schließen Sie mit Dienstleistern Auftragsverarbeitungsverträge. So entsteht ein Prozess, der komfortabler und meist auch sicherer ist als Papier.

Warum wird Datenschutz häufig als Argument gegen Digitalisierung genutzt?

Weil „Datenschutz“ ein schwer widerlegbares Argument ist: Es klingt verantwortungsvoll und beendet die Diskussion. Oft steht dahinter aber keine rechtliche Prüfung, sondern Unsicherheit, fehlende Zuständigkeit oder die Scheu, einen eingespielten Ablauf zu verändern.

Muss ich beim Einsatz von KI zusätzlich den EU AI Act beachten?

Ja, je nach Anwendungsfall. Der EU AI Act ergänzt den Datenschutz, ersetzt ihn aber nicht. Viele einfache Automatisierungen gelten nicht automatisch als hochriskant – trotzdem sollten Sie den Einsatz einordnen: Klassifizierung nach Risiko, Transparenz gegenüber Betroffenen, KI-Kompetenz im Team und klare Verantwortlichkeiten. Das ist keine Rechtsberatung, sondern die Grundlage, um KI verantwortungsvoll zu nutzen.