Ist Ihr Datenschutz
fit für KI?

Ein Datenschutzbeauftragter ist in Deutschland Pflicht, sobald in der Regel mindestens 20 Personen ständig automatisiert mit personenbezogenen Daten arbeiten. Unabhängig von der Zahl der Mitarbeiter besteht die Pflicht außerdem bei umfangreicher Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO, etwa Gesundheitsdaten) oder systematischer Überwachung. Wer pflichtig ist und keinen DSB bestellt, riskiert selbst ein Bußgeld.

Ein externer Datenschutzbeauftragter bringt sofort einsetzbare Fachkenntnis, ohne dass interne Mitarbeiter geschult werden müssen oder Sonderkündigungsschutz entsteht. Für die meisten KMU ist die externe Lösung planbarer und meist günstiger als eine interne Stelle. Wichtig: Behörden verlangen eine namentlich benannte natürliche Person als DSB, nicht nur eine Firma.

Ja. Als verantwortliches Unternehmen bleiben Sie für die DSGVO-Konformität verantwortlich, auch wenn Sie ein KI-Tool eines Dienstleisters einsetzen. In der Regel benötigen Sie dafür einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und müssen prüfen, wohin die Daten fließen. Die Verantwortung lässt sich vertraglich regeln, aber nicht vollständig abgeben.

Der Einstieg ist ein 45-minütiges Beratungsgespräch per Video-Call für 150 €, in dem Sie eine Risikoeinschätzung und eine priorisierte Maßnahmenliste erhalten. Vorab können Sie kostenlos den KI-Compliance-Check ausfüllen. Laufende Betreuung als externer Datenschutzbeauftragter wird individuell nach Umfang vereinbart.

Die Beratung richtet sich an Unternehmen und Selbstständige im deutschsprachigen Raum (Deutschland, Österreich, Schweiz) und findet auf Deutsch statt. Die Gespräche laufen remote per Video-Call, sodass Sie ortsunabhängig teilnehmen können.

Der EU AI Act ist die KI-Verordnung der Europäischen Union. Er ist seit August 2024 in Kraft und gilt gestaffelt: Verbotene KI-Praktiken und die Pflicht zur KI-Kompetenz (Art. 4) gelten seit Februar 2025, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025, der Großteil der Hochrisiko-Pflichten folgt ab August 2026. Betroffen ist praktisch jedes Unternehmen, das KI einsetzt oder anbietet — der Umfang der Pflichten richtet sich nach dem Risiko des jeweiligen Einsatzes.

Ja. Seit Februar 2025 verlangt Art. 4 des EU AI Act, dass Unternehmen für ein ausreichendes Maß an KI-Kompetenz ihrer Mitarbeiter sorgen, soweit diese KI-Systeme einsetzen. Eine bestimmte Form ist nicht vorgeschrieben; die Schulung muss zu den eingesetzten Systemen und den Aufgaben der Mitarbeiter passen. Eine dokumentierte Schulung hilft zugleich, Datenschutzverstöße durch unsachgemäße Nutzung zu vermeiden.

Grundsätzlich ja — aber mit klaren Regeln. Sie brauchen eine Rechtsgrundlage für die Verarbeitung, in der Regel einen Auftragsverarbeitungsvertrag mit dem Anbieter (Art. 28 DSGVO) und Klarheit darüber, ob Daten in Drittländer fließen. Personenbezogene oder vertrauliche Daten gehören nur dann in ein KI-Tool, wenn das datenschutzrechtlich abgesichert ist. Eine interne KI-Richtlinie und geschulte Mitarbeiter sind der praktikabelste Weg, KI rechtssicher zu nutzen.

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist eine vorab durchzuführende Risikoanalyse für Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen bergen — etwa bei umfangreichem Profiling, systematischer Überwachung oder dem Einsatz neuer Technologien wie KI. Sie dokumentiert Risiken und Gegenmaßnahmen und ist häufig genau dort Pflicht, wo KI auf personenbezogene Daten trifft.

Die DSGVO sieht in Art. 83 zwei Stufen vor: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, bei schweren Verstößen bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Maßgeblich ist immer der Einzelfall. Schon eine fehlende Rechtsgrundlage oder ein pflichtiger, aber nicht bestellter Datenschutzbeauftragter kann sanktioniert werden.