Wonach gesucht wird
Quelle: SE Ranking, Deutschland, Oktober 2026 (Keyword Difficulty, KD, Skala 0 bis 100; CPC = geschätzter Klickpreis). Es sind Schätzwerte eines Keyword-Tools.
| Suchbegriff | Suchen pro Monat | KD | CPC |
|---|---|---|---|
| ki datenschutz | 590 | 63 | 2,12 € |
| ki compliance | 260 | 17 | 2,57 € |
Mit 590 Suchen ist „ki datenschutz“ größer als „ki compliance“, mit KD 63 aber deutlich schwerer. Der geschätzte Klickpreis ist mit 2,12 € niedrig, vermutlich suchen viele eine Auskunft und keinen Anbieter (Deutung, die Daten sagen es nicht). Zu „chatgpt datenschutz“ und „dsgvo ki“ enthält unsere Abfrage keinen Eintrag.
Die Bausteine in der Reihenfolge einer Prüfung
| Baustein | Frage | Quelle |
|---|---|---|
| Zweck und Rechtsgrundlage | Wofür setzen Sie das Werkzeug ein, und auf welcher Grundlage verarbeiten Sie die Daten, zum Beispiel Vertrag, berechtigtes Interesse oder Einwilligung? | Art. 6 Abs. 1 DSGVO; DSK: für jeden Verarbeitungsschritt eine Rechtsgrundlage |
| Auftragsverarbeitung | Verarbeitet der Anbieter in Ihrem Auftrag? Dann braucht es einen Vertrag, weitere Auftragsverarbeiter nur mit Genehmigung | Art. 28 Abs. 1 bis 3 DSGVO; DSK: bei Cloud-Lösungen häufig der Fall |
| Drittland | Werden Daten außerhalb der EU verarbeitet, auch durch Support? Welche Grundlage gilt? | Art. 44 bis 46 DSGVO: Angemessenheitsbeschluss oder geeignete Garantien |
| Training und Eingabe-Historie | Werden Eingaben zum Training genutzt? Lässt sich die Historie abschalten? | DSK: Ausschluss des Trainings ist vorzuziehen |
| Löschung und Rechte | Können Sie Verläufe löschen sowie Berichtigung und Löschung umsetzen? | Art. 17 DSGVO; DSK, Abschnitt 1.11 |
| Folgenabschätzung | Voraussichtlich hohes Risiko? Dann vorab eine Folgenabschätzung | Art. 35 Abs. 1 DSGVO; DSK: bei KI vielfach der Fall |
| Verzeichnis | Ist der Einsatz im Verzeichnis der Verarbeitungstätigkeiten erfasst? | Art. 30 DSGVO; die Ausnahme für Betriebe mit weniger als 250 Beschäftigten greift nicht bei nicht nur gelegentlicher Verarbeitung |
Die DSK hat außerdem Orientierungshilfen zu technischen und organisatorischen Maßnahmen bei KI-Systemen (Juni 2025) und zu generativer KI mit RAG (Oktober 2025) veröffentlicht, die wir hier nicht ausgewertet haben. Zu RAG: KI-Wissensdatenbank.
Eingaben: was nicht in ein KI-Werkzeug gehört
- Namen und Anschriften zu entfernen genügt oft nicht: Ein Personenbezug kann sich aus dem Zusammenhang ergeben
- Besondere Kategorien, etwa Gesundheitsangaben oder Gewerkschaftszugehörigkeit, nur, wenn eine Ausnahme nach Art. 9 Abs. 2 DSGVO greift
- Nur Firmenkonten und Firmengeräte nutzen, keine privaten Konten
- Ergebnisse mit Personenbezug vor der Weiterverwendung auf Richtigkeit prüfen
- Training und Eingabe-Historie so einstellen, dass keine Eingaben zum Training dienen und keine Historie über die Sitzung hinaus bleibt, soweit das Werkzeug es erlaubt (Empfehlung der DSK)
Beispiel für einen Hinweis an Beschäftigte: „Geben Sie in KI-Werkzeuge keine Namen, Kundendaten, Gesundheitsangaben oder Bewerbungsunterlagen ein, solange dafür keine Freigabe vorliegt. Nutzen Sie nur die Firmenkonten. Prüfen Sie jedes Ergebnis, bevor Sie es weitergeben.“ Passen Sie den Text an Ihre Richtlinie an.
Besondere Fälle und Grenzen
- Bewerbungen und Personal: Entscheidungen mit Rechtswirkung dürfen grundsätzlich nur von Menschen getroffen werden (Art. 22 Abs. 1 DSGVO), eine bloß formelle Beteiligung genügt laut DSK nicht
- Gesundheitsdaten: Art. 9 DSGVO, siehe Automatisierung in der Arztpraxis
- Telefon und Chat: Informationspflichten und KI-Hinweis, siehe KI-Telefonassistent: Datenschutz und KI-Hinweis
- Die Datenschutzbeauftragte einbinden, wenn über KI-Anwendungen entschieden wird (DSK)
Die Bausteine für Automatisierungen beschreibt die Seite Automatisierung und Datenschutz. Aus diesem Bereich liegt uns keine veröffentlichte Referenz vor. Die DSGVO-Texte stammen aus der Textfassung der Berliner Datenschutzbeauftragten, Änderungsvorschläge der EU-Kommission im Rahmen des Digital Omnibus haben wir nicht geprüft. Rechtsberatung leisten wir nicht, dafür gehören Datenschutzbeauftragte oder Anwälte an den Tisch.
Häufige Fragen
Darf ich Kundendaten in ein KI-Werkzeug eingeben?›
Brauche ich eine Datenschutz-Folgenabschätzung?›
Darf ich einen Anbieter außerhalb der EU nutzen?›
Muss ich Betroffene über den KI-Einsatz informieren?›
Stand: 14. Oktober 2026
