Datenschutz & Souveränität
DSGVO-konforme KI für Unternehmen: Der vollständige Leitfaden
Alles, was Unternehmen zum datenschutzkonformen KI-Einsatz wissen müssen: Rechtsgrundlagen, das Souveränitäts-Problem, die richtige Plattformauswahl und das Zusammenspiel mit dem EU AI Act — mit Verweisen auf die Details.
Künstliche Intelligenz ist im Mittelstand angekommen — aber der Datenschutz hält oft nicht Schritt. Laut Bitkom nennen 48 % der Unternehmen Datenschutzanforderungen als zentrale Hürde beim KI-Einsatz. Dieser Leitfaden bündelt, worauf es ankommt — und verlinkt für jedes Thema die vertiefenden Beiträge.
Was DSGVO-konforme KI wirklich bedeutet
DSGVO-konform ist keine Eigenschaft, die man auf eine Website schreibt, sondern eine Architektur-Entscheidung. Sie umfasst drei Ebenen: eine saubere Rechtsgrundlage für jede Verarbeitung, technische und organisatorische Schutzmaßnahmen — und die Frage, welcher Rechtsordnung der Anbieter überhaupt unterliegt.
Die Rechtsgrundlagen im Überblick
Jede Eingabe personenbezogener Daten in ein KI-System ist eine eigene Verarbeitung und braucht eine Rechtsgrundlage nach Art. 6 DSGVO (bei Beschäftigtendaten meist § 26 BDSG), für besondere Kategorien zusätzlich Art. 9. Nutzt ein Unternehmen eine Cloud-KI, liegt eine Auftragsverarbeitung vor — ein AVV nach Art. 28 DSGVO ist Pflicht. Werden Daten in Drittländer übermittelt, greifen zusätzlich die Art. 44 ff.
Das Kernproblem: Datensouveränität
Der häufigste Fehler ist die Gleichsetzung von Serverstandort und Rechtssicherheit. Ein US-Anbieter mit EU-Rechenzentrum unterliegt trotzdem dem US CLOUD Act. Warum eine „EU-Region“ allein nicht schützt, welche Rolle Schrems II und der Data Privacy Framework spielen, lesen Sie im Beitrag „EU-Region ≠ DSGVO-sicher: der US CLOUD Act erklärt“.
KI im Team richtig einsetzen
Die größte Lücke entsteht dort, wo Beschäftigte KI ohne Freigabe nutzen. Wie Sie ChatGPT und Co. datenschutzkonform bereitstellen — mit KI-Richtlinie, dem richtigen Tarif und Trainings-Opt-out — zeigt der Beitrag ChatGPT und Datenschutz im Unternehmen.
Die richtige Plattform auswählen
Ob eine Lösung wirklich datenschutzkonform ist, entscheidet sich an sieben konkreten Kriterien — vom Hosting-Standort über den Auftragsverarbeitungsvertrag bis zu Zertifikaten wie ISO 42001, BSI C5 und AIC4. Die vollständige Prüfliste finden Sie unter DSGVO-konforme KI: die 7 Auswahlkriterien.
Der regulatorische Rahmen: der EU AI Act
Zur DSGVO kommt seit 2024 der EU AI Act. Beide Regelwerke gelten parallel: Wer KI mit personenbezogenen Daten einsetzt, muss beides erfüllen. Einen verständlichen Überblick über Risikoklassen, Fristen und Pflichten gibt unser Leitfaden zum EU AI Act.
Kasimir läuft auf eigener Infrastruktur in Deutschland — deutsches Rechenzentrum, deutsche Rechtsträgerschaft, kein Training auf Kundendaten. Datenresidenz und Datensouveränität aus einer Hand.
Ihre Kurz-Checkliste
Rechtsgrundlage je Verarbeitung geklärt (Art. 6/9 DSGVO)?
AVV nach Art. 28 vollständig abgeschlossen?
Anbieter unterliegt EU-Recht (kein CLOUD-Act-Risiko)?
Kein Training auf Ihren Daten — vertraglich und technisch?
TOMs, Mandantentrennung, Löschkonzept vorhanden?
KI-Kompetenz der Beschäftigten und Nutzungsregeln (EU AI Act, Art. 4)?
Fazit
DSGVO-konforme KI ist machbar — sie beginnt bei der Wahl des richtigen Anbieters und der richtigen Infrastruktur, nicht bei nachträglicher Absicherung. Wer Datensouveränität von Anfang an mitdenkt, erfüllt die meisten Anforderungen automatisch.
Quellen
DSGVO-konforme KI aus einem echten deutschen Rechenzentrum
Kasimir läuft auf eigener Infrastruktur in Deutschland — kein Umweg über US-Anbieter, keine CLOUD-Act-Reichweite.
