DSGVO-konforme KI für kleine Unternehmen: der ehrliche Leitfaden

DSGVO-konforme KI verarbeitet personenbezogene Daten rechtssicher: mit einer klaren Rechtsgrundlage, so wenig Daten wie möglich und idealerweise einer Verarbeitung innerhalb der EU. Für kleine Unternehmen ist das machbar. Du brauchst dafür keine Rechtsabteilung, nur ein paar Grundregeln und einen Anbieter, der Datenschutz ernst nimmt.

Key Takeaways

• KI-Einsatz ist erlaubt, wenn Rechtsgrundlage, Datensparsamkeit und Verträge stimmen.
• Europäische Verarbeitung senkt das Risiko und den Aufwand deutlich.
• "Datenschutz by design" ist besser als nachträgliches Absichern.
• Der EU AI Act bringt auch für kleine Betriebe zwei Pflichten: KI-Kompetenz (seit 02.02.2025) und Kennzeichnung (ab 02.08.2026).

Die vier Grundregeln

Damit KI in deinem Betrieb datenschutzkonform läuft, brauchst du vier Dinge. Erstens eine Rechtsgrundlage nach Art. 6 DSGVO, meist die Vertragserfüllung oder ein berechtigtes Interesse. Zweitens Datensparsamkeit: Es werden nur die Daten verarbeitet, die für den Zweck nötig sind. Drittens einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter. Viertens Transparenz gegenüber den betroffenen Personen.

Klingt nach viel, ist es aber nicht, weil ein guter Anbieter die meisten dieser Punkte bereits abdeckt.

Warum europäische Verarbeitung den Unterschied macht

Viele KI-Tools verarbeiten Daten standardmäßig in den USA. Das ist nicht automatisch unzulässig, erzeugt aber Aufwand: Du brauchst zusätzliche Garantien für den Datentransfer und musst dich auf wechselnde Rechtslagen verlassen.

Ein System, das Daten innerhalb der EU verarbeitet, umgeht dieses Problem weitgehend. Deshalb ist "Made in the EU" bei KI ein handfester Vorteil für die Rechtssicherheit (und kein bloßes Marketing-Etikett). Genau darauf setzt ein europäisches AI Operating System.

Was der EU AI Act für kleine Betriebe bedeutet

Der EU AI Act stuft KI nach Risiko ein. Die alltäglichen Anwendungen kleiner Betriebe wie E-Mails, Angebote oder Terminplanung fallen in die niedrigste Kategorie. Zwei Pflichten gelten trotzdem auch für reine Anwender: Seit dem 2. Februar 2025 musst du für ausreichende KI-Kompetenz im Team sorgen (Art. 4), und ab dem 2. August 2026 müssen KI-generierte Inhalte und Chatbots gekennzeichnet sein (Art. 50). Wichtig ist außerdem, dass du weißt, welches Tool welche Daten verarbeitet. Ein System mit Datenschutz by design und einem eingebauten Gedächtnis macht diese Übersicht leichter. (Keine Rechtsberatung.)