Hat KI etwas mit Datenschutz zu tun?
Ja, und zwar an fünf Stellen im Betriebsalltag. Sobald ein KI-Werkzeug Daten über Menschen verarbeitet, gilt das Datenschutzrecht unverändert weiter. Dafür braucht es keine neuen Regeln.
Ein Aber bleibt: Ein Personenbezug entsteht auch ohne Namen. Oft reicht schon der Zusammenhang, aus dem eine Eingabe stammt.
Bild: KI-generiert (OpenAI)
Autor: Peer Casper · Veröffentlicht am 15. September 2026 · Aktualisiert am 15. September 2026
Die Antwort auf die Titelfrage ist kurz: ja. Wer im Betrieb ein KI-Werkzeug einsetzt, verarbeitet damit fast immer auch Daten über Menschen.
Eigene Datenschutzregeln gelten dafür nicht, es sind dieselben, die im Unternehmen ohnehin schon greifen.
Zählt eine Eingabe in ein KI-Werkzeug überhaupt als Datenverarbeitung?
In vielen Betrieben gilt die Faustregel: Solange kein Name in der Eingabe steht, ist nichts passiert. Diese Faustregel trägt nicht.
Ein Personenbezug entsteht auch aus dem Zusammenhang. Firma, Zeitpunkt und Anlass genügen oft schon, um eine Aussage einer einzelnen Person zuzuordnen.
„Um die Eingabe personenbezogener Daten zu vermeiden, reicht es regelmäßig nicht, Namen und Anschriften einer Eingabe zu entfernen.“
Eine Eingabe bleibt nicht im Haus, sondern nimmt einen Weg über mehrere Stationen. An jeder davon entsteht eine Frage, die vorher geklärt sein sollte.
Wo liegen die Daten, wer darf sie lesen, wie lange bleiben sie dort?
KI verändert die Datenschutzregeln nicht, sie bringt sie nur an mehr Stellen ins Spiel.
Die fünf Stellen, an denen KI den Datenschutz berührt
Jeder Punkt zeigt zunächst nur die Regel. Wer die Einzelheiten und ein Beispiel dazu sehen möchte, klappt ihn auf.
1Was in ein KI-Werkzeug eingegeben wird, ist eine Datenverarbeitung.+
Der eingegebene Text landet nicht im Nichts. Er wird an den Anbieter übertragen, dort gespeichert und ausgewertet.
Damit gelten dieselben Pflichten wie bei jeder anderen Verarbeitung im Betrieb.
Das trifft zum Beispiel auf eine Kundenbeschwerde zu, die jemand einfügt, um die Antwort formulieren zu lassen.
2Für jede Eingabe braucht es einen Zweck und eine Erlaubnis.+
Daten über Menschen dürfen nicht allein deshalb verarbeitet werden, weil es gerade praktisch ist.
Es braucht einen klaren Zweck und eine rechtliche Grundlage. Beides steht vor der ersten Eingabe fest, nicht danach.
Typisch dafür sind Bewerbungsunterlagen, die eine KI vorsortieren soll.
3Der Anbieter des KI-Werkzeugs wird zum Dienstleister – mit Vertrag.+
Wer Daten an einen Anbieter gibt, braucht mit ihm einen Vertrag über die Verarbeitung.
Zu klären ist außerdem, wo die Daten liegen und ob sie in das Training des Modells einfließen.
Man denke an ein kostenloses Konto, das ohne Vertrag läuft und mit den Eingaben weitertrainiert.
4Die Beschäftigten müssen wissen, was sie eingeben dürfen und was nicht.+
Ohne Regel entscheidet das jede Person für sich. Das geht meistens gut und manchmal schief.
Eine kurze schriftliche Vorgabe und eine Einweisung genügen für den Anfang.
Das trifft zum Beispiel auf den Vertrieb zu, der die komplette Kundenliste zur Auswertung hochlädt.
5Entscheidet die KI über Menschen, gelten strengere Regeln.+
Eine Entscheidung allein durch die Maschine ist nur in engen Ausnahmen erlaubt.
Betroffene können außerdem verlangen, dass ein Mensch die Sache prüft. Vorher ist meist eine Risikoabschätzung nötig.
Betroffen sind etwa die Vorauswahl von Bewerbungen, eine Bonitätsbewertung oder die automatische Schichtplanung.
Was ist mit dem neuen europäischen KI-Gesetz?
Seit 2024 gibt es in Europa ein eigenes Gesetz für künstliche Intelligenz. Es beantwortet eine andere Frage als der Datenschutz: wie gefährlich ein KI-System für Menschen werden kann.
Im Sommer 2026 hat die Europäische Union einen Teil davon entschärft.
Die strengen Pflichten für besonders riskante Systeme gelten jetzt erst ab Dezember 2027. Steckt die KI in einem Produkt, das ohnehin geprüft wird, bleibt sogar bis August 2028 Zeit.
Andere Pflichten gelten dagegen schon. Seit August 2026 muss offenliegen, wenn ein Text oder ein Bild von einer Maschine stammt.
Auch die Anforderung an KI-Kompetenz wurde gelockert: Verlangt werden Maßnahmen zur Förderung, kein geprüfter Wissensstand einzelner Personen.
Für den Datenschutz ändert diese Verschiebung nichts. Beide Regelwerke gelten nebeneinander: Das eine schützt die einzelne Person, das andere schützt vor riskanter Technik.
Und was bedeutet das im eigenen Betrieb?
Die fünf Stellen oben sind der Prüfrahmen, bevor ein neues KI-Werkzeug bei Ihnen in den Alltag einzieht.
In der Praxis genügt am Anfang wenig: eine Liste der erlaubten Werkzeuge, eine Regel für die Eingabe, ein Vertrag mit dem Anbieter.
Wer das einmal festlegt, wendet es bei jedem weiteren Werkzeug wieder an. Dabei hilft eine Datenschutzberatung, die den Betrieb kennt.
Eine eigene KI-Abteilung braucht dafür niemand.
Wird KI ohne Regel eingesetzt, treffen zwei Risiken zusammen: Daten verlassen unbemerkt das Unternehmen, und niemand kann später erklären, wohin sie gegangen sind.
Das kann ein Bußgeld auslösen und zusätzlich das Vertrauen von Kundinnen und Kunden kosten.
Ein eigenes Team dafür braucht niemand. Die fünf Stellen lassen sich in wenigen Terminen klären, und danach trägt der Rahmen bei jedem weiteren Werkzeug.
Teuer wird das ebenfalls nicht. Ein externer Datenschutzbeauftragter übernimmt die Prüfung neuer Werkzeuge als feste Aufgabe.
Weiterlesen: Wie hängen Datenschutz und Cybersicherheit zusammen?