Datenschutz-Grundverordnung (DSGVO)

Was bedeutet Datenschutz-Grundverordnung (DSGVO)?

Die DSGVO ist eine EU-Verordnung und kein Gesetz, das erst in deutsches Recht übertragen werden musste: Sie gilt seit dem 25. Mai 2018 unmittelbar in jedem Mitgliedstaat. Sie schützt natürliche Personen, wenn Daten über sie verarbeitet werden – Kunden, Bewerber, Beschäftigte, aber auch Ansprechpartner bei Geschäftskunden. Personenbezogen ist jede Information, die sich auf eine identifizierte oder identifizierbare Person bezieht: Name, E-Mail-Adresse, Telefonnummer, eine Stimme in einer Aufzeichnung, ein Foto, eine Kundennummer oder eine IP-Adresse. Und „Verarbeitung“ meint fast jeden Umgang mit diesen Daten – erheben, speichern, auslesen, abgleichen, übermitteln, löschen. Wer eine Kundenmail in ein KI-Werkzeug kopiert, verarbeitet also personenbezogene Daten.

Den Kern bilden die Grundsätze aus Art. 5 DSGVO: Rechtmäßigkeit und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Dazu kommt die Rechenschaftspflicht – das Unternehmen muss nachweisen können, dass es diese Grundsätze einhält. Jede Verarbeitung braucht eine der Rechtsgrundlagen aus Art. 6, etwa die Erfüllung eines Vertrags, eine rechtliche Pflicht, ein berechtigtes Interesse oder eine Einwilligung. Weitere Bausteine sind die Informationspflichten (Art. 13 und 14), Betroffenenrechte wie Auskunft und Löschung, das Verzeichnis der Verarbeitungstätigkeiten (Art. 30), technische und organisatorische Maßnahmen (Art. 32) und die Meldung von Datenpannen an die Aufsichtsbehörde binnen 72 Stunden (Art. 33). In Deutschland ergänzt das Bundesdatenschutzgesetz (BDSG) die Verordnung, zum Beispiel bei der Frage, wann ein Datenschutzbeauftragter benannt werden muss.

Viele Begriffe rund um Datenschutz sind Bausteine innerhalb der DSGVO und keine eigenen Regelwerke. Der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 regelt, was ein Dienstleister mit den Daten tun darf. Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 ist die Risikoprüfung für Verarbeitungen mit voraussichtlich hohem Risiko. Die KI-Verordnung (AI Act) dagegen ist ein eigenes EU-Gesetz, das KI-Systeme nach Risikoklassen reguliert; sie ersetzt die DSGVO nicht. Sobald ein KI-System personenbezogene Daten verarbeitet, gelten beide nebeneinander. Datensouveränität wiederum ist kein Rechtsbegriff, sondern beschreibt, ob ein Unternehmen die Kontrolle über seine Daten und Systeme behält – auch über Betriebsgeheimnisse ohne Personenbezug, die die DSGVO gar nicht erfasst.

Für den Mittelstand ist die DSGVO durch KI wieder aktuell geworden. Daten fließen plötzlich in neue Systeme, oft über Konten, die Mitarbeitende privat angelegt haben – die sogenannte Schatten-KI. Wer KI geordnet einführt, kommt deshalb an den Grundfragen der DSGVO nicht vorbei: Welche Daten, zu welchem Zweck, auf welcher Grundlage, bei welchem Anbieter? Dieser Eintrag ist eine praktische Einordnung, keine Rechtsberatung.

Datenschutz-Grundverordnung (DSGVO) kurz erklärt: die wichtigsten Punkte

• Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet, unabhängig von der Größe; die Ausnahme vom Verarbeitungsverzeichnis für Betriebe unter 250 Beschäftigten greift kaum, weil sie nicht für regelmäßige Verarbeitungen gilt.
• Ohne Rechtsgrundlage keine Verarbeitung: Beim KI-Einsatz tragen meist Vertragserfüllung oder berechtigtes Interesse; eine Einwilligung taugt nur, wenn sie wirklich freiwillig ist – gegenüber Beschäftigten ist das selten der Fall.
• Transparenz ist Pflicht: Betroffene müssen erfahren, wer ihre Daten wofür verarbeitet und an wen sie gehen – auch dann, wenn ein KI-Dienst eingebunden wird. Datenschutzinformationen wachsen mit jedem neuen Werkzeug mit.
• Dienstleister brauchen Regeln: Wer Daten im Auftrag verarbeitet, etwa ein Cloud- oder KI-Anbieter, braucht einen AVV; Übermittlungen in Drittländer wie die USA sind nur mit Garantien zulässig, etwa einem Angemessenheitsbeschluss wie dem EU-US Data Privacy Framework oder Standardvertragsklauseln.
• Dokumentation schützt: Die Rechenschaftspflicht verlangt Nachweise; bei Verstößen drohen Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 5) und Schadensersatzansprüche Betroffener (Art. 82).

Datenschutz-Grundverordnung (DSGVO) in der Praxis

• KI-gestütztes Postfach im Kundenservice: Ein Handwerksbetrieb lässt eingehende E-Mails von einer KI sortieren und Antwortentwürfe vorbereiten. Grundlage ist die Anbahnung und Erfüllung von Verträgen. Der Betrieb nutzt einen Geschäftstarif mit AVV, schließt das Training auf seinen Daten aus, ergänzt die Datenschutzinformation und trägt die Verarbeitung ins Verzeichnis ein. Jede Antwort gibt ein Mensch frei, bevor sie das Haus verlässt.
• KI-Telefonassistent für Terminanfragen: Ein Dienstleister lässt Anrufe außerhalb der Bürozeiten von einem KI-Telefonassistenten annehmen, der Anliegen und Rückrufnummer aufnimmt und als Text ablegt. Anrufer werden zu Beginn des Gesprächs informiert, dass sie mit einer KI sprechen und das Gespräch verschriftlicht wird. Serverstandort, AVV und Löschfrist für Audio und Transkript werden vorab festgelegt; eine kurze Schwellwertanalyse klärt, ob eine DSFA nötig ist.
• Unternehmens-GPT mit Firmenwissen: Ein Produktionsbetrieb baut einen internen Assistenten auf Basis von Handbüchern, Angeboten und Prüfprotokollen. Vor dem Befüllen werden Personalakten, Gehaltslisten und Gesundheitsdaten konsequent ausgeschlossen. Rollen und Zugriffsrechte sorgen dafür, dass nicht jede Abfrage jedes Dokument erreicht, und das Löschkonzept erfasst auch den Suchindex des Systems.

Woran Sie erkennen, dass die Datenschutz-Grundverordnung (DSGVO) Ihr Vorhaben betrifft

1. In das System fließen Namen, Kontaktdaten, Stimmen, Fotos oder Kennungen von Menschen – dazu zählen auch E-Mail-Signaturen von Ansprechpartnern bei Geschäftskunden.
2. Ein externer Anbieter speichert oder verarbeitet die Daten, etwa ein Cloud-Dienst, ein KI-Modell über eine Schnittstelle oder ein Software-Werkzeug im Browser.
3. Die Daten verlassen die EU, oder der Anbieter hat seinen Sitz bzw. Unterauftragnehmer außerhalb der EU.
4. Vorhandene Daten sollen für einen neuen Zweck genutzt werden – zum Beispiel alte Kundenkorrespondenz als Wissensbasis für einen KI-Assistenten.
5. Das Ergebnis betrifft Menschen unmittelbar: Ein System bewertet, sortiert oder entscheidet über Bewerber, Kunden oder Beschäftigte; ausschließlich automatisierte Entscheidungen mit erheblicher Wirkung sind nach Art. 22 DSGVO nur eingeschränkt zulässig.

Typische Fehler

• Private Gratis-Konten für Kundendaten: Mitarbeitende kopieren Anfragen und Verträge in kostenlose KI-Dienste – ohne AVV, ohne Kontrolle, ob die Eingaben zum Training verwendet werden.
• Datenschutzinformation von 2018: Die Datenschutzerklärung wurde zum Start der DSGVO geschrieben und nie angepasst; neue Werkzeuge, Anbieter und Zwecke tauchen darin nicht auf.
• DSGVO als Stoppschild: Ein sinnvolles Projekt bleibt liegen, weil „Datenschutz“ als Totschlagargument fällt – obwohl sich das Ziel häufig mit weniger, pseudonymisierten oder gar keinen personenbezogenen Daten erreichen ließe.
• Keine Löschregeln: Transkripte, Exporte, Testdaten und Zwischenstände aus KI-Projekten bleiben unbegrenzt liegen und werden zum Risiko, das niemand mehr im Blick hat.

Mein Bezug

Ich bin selbst Unternehmer und arbeite in unseren eigenen Firmen mit rund 50 KI-Mitarbeitern – geführt von Menschen, und was nach außen geht, gibt ein Mensch frei. Bevor ein neuer KI-Mitarbeiter mit Kunden- oder Mitarbeiterdaten arbeitet, beantworten wir dieselben Fragen, die die DSGVO stellt: Welche Daten braucht er wirklich, bei welchem Anbieter laufen sie, gibt es einen AVV, wo wird gespeichert und wann gelöscht. Als zertifizierter KI-Manager und BAFA-akkreditierter Berater begleite ich Betriebe in Rostock, Mecklenburg-Vorpommern und Norddeutschland genau bei dieser Vorbereitung: Prozessanalyse, Beschreibung der Datenflüsse, Auswahl der Anbieter und eine KI-Nutzungsrichtlinie für das Team. Die rechtliche Bewertung und Freigabe gehört zum Datenschutzbeauftragten oder Anwalt – ich sorge dafür, dass dort ein vollständig beschriebenes Vorhaben ankommt.

Zur Förderung bleibe ich ehrlich: Für die Umsetzung der DSGVO selbst gibt es kein eigenes Förderprogramm. Ist die Vorbereitung Teil einer Beratung, in der Prozesse analysiert und ein KI-Konzept erarbeitet werden, kann der beratende Anteil über die BAFA-Beratungsförderung bezuschusst werden – in Mecklenburg-Vorpommern und den übrigen neuen Bundesländern mit 80 Prozent, höchstens 2.800 Euro je Beratung. Die Umsetzung ist nicht gefördert. Die Richtlinie wurde bis zum 31. Dezember 2028 verlängert; für Anträge ab dem 1. Januar 2027 gelten geänderte Bedingungen. Details stehen im Beitrag BAFA verlängert die Förderung von Unternehmensberatungen.

Verwandte Begriffe

• Auftragsverarbeitungsvertrag (AVV)
• Datenschutz-Folgenabschätzung (DSFA)
• KI-Verordnung (AI Act)
• KI-Nutzungsrichtlinie
• Schatten-KI (Shadow AI)
• Datensouveränität
• Unternehmens-GPT
• Human in the Loop (HITL)

Weiterführende Beiträge

• ChatGPT und Co. datenschutzkonform nutzen: Was Unternehmen bei KI und DSGVO wirklich beachten müssen
• ChatGPT im Betrieb: erlaubt oder Datenschutz-Falle?
• Datenschutz als Ausrede? Warum Digitalisierung trotzdem möglich ist
• Datenschutzaufsicht bündeln: Was das Einer-für-Alle-Prinzip für Unternehmen bedeutet
• Digital Omnibus: Cookie-Banner bleiben, KI-Training soll erleichtert werden

Häufige Fragen zu Datenschutz-Grundverordnung (DSGVO)

Was ist die Datenschutz-Grundverordnung (DSGVO)?

Die DSGVO ist die Verordnung (EU) 2016/679, die seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten gilt und regelt, wann und wie personenbezogene Daten verarbeitet werden dürfen. Sie verpflichtet Unternehmen auf Grundsätze wie Zweckbindung und Datenminimierung, verlangt für jede Verarbeitung eine Rechtsgrundlage und gibt betroffenen Personen Rechte wie Auskunft, Berichtigung und Löschung.

Gilt die DSGVO auch für kleine Unternehmen?

Ja, die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet – vom Ein-Personen-Betrieb bis zum Konzern. Erleichterungen nach Größe gibt es kaum: Die Ausnahme vom Verarbeitungsverzeichnis für Unternehmen mit weniger als 250 Beschäftigten greift nicht für regelmäßige Verarbeitungen wie Kunden- oder Lohndaten und spielt in der Praxis deshalb selten eine Rolle.

Darf ich ChatGPT im Unternehmen DSGVO-konform nutzen?

Ja, wenn die Rahmenbedingungen stimmen. Dazu gehören ein Geschäftstarif mit Auftragsverarbeitungsvertrag, Einstellungen, die eine Nutzung Ihrer Eingaben zum Training ausschließen, klare Regeln im Team, welche Daten eingegeben werden dürfen, und ein Hinweis in Ihren Datenschutzinformationen; personenbezogene Daten über private Gratis-Konten zu verarbeiten, ist dagegen nicht vertretbar.

Brauche ich einen Datenschutzbeauftragten?

In Deutschland brauchen Sie einen Datenschutzbeauftragten, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Unabhängig von dieser Zahl ist er Pflicht, wenn Ihre Kerntätigkeit in einer umfangreichen Überwachung von Personen oder der umfangreichen Verarbeitung besonderer Datenkategorien besteht (Art. 37 DSGVO) oder wenn Sie Verarbeitungen durchführen, die eine Datenschutz-Folgenabschätzung erfordern.

Was passiert bei Verstößen gegen die DSGVO?

Bei Verstößen kann die Aufsichtsbehörde Bußgelder verhängen, die nach Art. 83 DSGVO je nach Verstoß bis zu 10 Millionen Euro oder 2 Prozent beziehungsweise bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes reichen. Hinzu kommen Schadensersatzansprüche Betroffener nach Art. 82 DSGVO und Anordnungen der Behörde, die bis zur Untersagung einer Verarbeitung gehen können.