# KI-Automatisierung und DSGVO: Leitfaden für den Mittelstand > DSGVO-Leitfaden zur KI-Automatisierung: Datenflüsse, Rechtsgrundlagen, DSFA, Rollen- und Zugriffskonzept sowie Zusammenspiel mit dem EU AI Act – verständlich erklärt. Quelle: https://www.ki-automatisierung-mittelstand.de/ki-automatisierung-dsgvo/ Zuletzt geprüft: 2026-08-05 - [Start](https://www.ki-automatisierung-mittelstand.de/) - KI-Automatisierung & DSGVO Leitfaden # KI-Automatisierung und DSGVO: Leitfaden für den Mittelstand Wer KI im Mittelstand einsetzen will, braucht Klarheit über Datenflüsse, Rechtsgrundlagen und Dokumentationspflichten. Dieser Leitfaden erklärt die zentralen DSGVO-Anforderungen an KI-Systeme, das Zusammenspiel mit dem EU AI Act und die typischen Stolperfallen – verständlich und an der gelebten Praxis orientiert. Wenn Sie die konkrete Umsetzung beauftragen möchten, finden Sie das passende Leistungspaket unter [DSGVO-konforme KI-Automatisierung](https://www.ki-automatisierung-mittelstand.de/dsgvo-konforme-ki-automatisierung/) . Von [Christoph Herting](https://www.ki-automatisierung-mittelstand.de/autoren/christoph-herting/), Geschäftsführer, KI-Beratung Deutschland · Veröffentlicht am 27. Mai 2026 · Zuletzt geprüft am 5. August 2026 [Erstgespräch vereinbaren](https://cal.com/ki-beratung-deutschland-7wpx1v/30min) ## Wie wird KI-Automatisierung DSGVO-konform umgesetzt? DSGVO-konforme KI-Automatisierung setzt voraus, dass Datenflüsse dokumentiert, Verarbeitungszwecke klar definiert, Rollen- und Zugriffsrechte sauber abgebildet und ein Auftragsverarbeitungsvertrag mit allen externen Dienstleistern abgeschlossen sind. Für Modelle und Hosting werden EU-Anbieter bevorzugt. Bei besonders sensiblen Daten oder Hochrisiko-Verarbeitungen kommt eine Datenschutz-Folgenabschätzung hinzu. Was rechtlich zählt ## Die wichtigsten Bausteine einer DSGVO-konformen KI-Architektur Rechtssichere KI bedeutet nicht, jedes Tool zu verbieten. Es bedeutet, bewusst zu entscheiden, welche Daten in welchem System verarbeitet werden, welche Modelle in welcher Region gehostet sind und wer Zugriff auf welche Informationen hat. Diese Entscheidungen werden dokumentiert und sind bei Audits oder Prüfungen vorzeigbar. - **Zweckbindung:** Klar dokumentierte Verarbeitungszwecke je Use Case - **Hosting:** EU-Cloud, Private Cloud oder On-Premise je nach Schutzbedarf - **AV-Verträge:** Auftragsverarbeitungsverträge mit Modell- und Plattformanbietern - **Rollen & Rechte:** Feingranulare Zugriffskonzepte, idealerweise rollenbasiert (RBAC) - **Protokollierung:** Nachvollziehbare Logs der KI-Nutzung und Datenzugriffe - **Löschung:** Klare Retention- und Löschkonzepte für Eingaben und Ausgaben - **Transparenz:** Information der betroffenen Personen über KI-Einsatz und Verarbeitungen Datenschutz-Folgenabschätzung ## Wann eine DSFA erforderlich wird Eine Datenschutz-Folgenabschätzung (DSFA) ist immer dann durchzuführen, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen birgt. Bei KI-Systemen ist das häufig der Fall – etwa bei umfangreicher Profilbildung, automatisierter Entscheidung oder besonderen Datenkategorien. - Systematische und umfangreiche Bewertung persönlicher Aspekte - Verarbeitung besonderer Kategorien personenbezogener Daten (z. B. Gesundheit, Religion) - Systematische Überwachung öffentlich zugänglicher Bereiche - Neue Technologien mit unklarer Risiko-Auswirkung – darunter viele KI-Anwendungen - Verarbeitungen mit Auswirkungen auf Beschäftigte (z. B. Bewerbungsauswahl) EU AI Act & DSGVO ## Zusammenspiel mit dem EU AI Act Der EU AI Act ergänzt die DSGVO um KI-spezifische Anforderungen: Risikoklassifikation, Transparenzpflichten und seit 2. Februar 2025 die verpflichtende KI-Kompetenz nach Art. 4 für alle Beteiligten, die KI-Systeme einsetzen oder betreuen. Beide Regelwerke greifen ineinander – DSGVO regelt die personenbezogene Datenverarbeitung, der AI Act die KI-Systeme selbst. - Klassifikation der KI-Systeme nach Risikostufe (gering, begrenzt, hoch) - Nachweisbare KI-Kompetenz im Unternehmen nach Art. 4 EU AI Act - Technische Dokumentation und Logging je KI-System - Transparenz gegenüber Nutzenden, dass KI im Einsatz ist - Menschliche Aufsicht bei Hochrisiko-Systemen Vorgehen ## So gehen wir vor - **Datenflussanalyse** Welche Daten werden wo verarbeitet? Welche Schnittstellen sind beteiligt? - **Rechtsgrundlagenprüfung** Welche Rechtsgrundlage trägt den Use Case? Welche Verträge sind nötig? - **DSFA bei hohem Risiko** Strukturierte Folgenabschätzung mit dokumentierten Schutzmaßnahmen. - **Technische Umsetzung** EU-Hosting, Verschlüsselung, Rollenmodell, Logging, Löschkonzept. - **Dokumentation & Schulung** Verfahrensverzeichnis, AI-Act-Dokumentation, KI-Kompetenz nach Art. 4. Nutzen ## Was Sie konkret davon haben ### Rechtssicherheit von Anfang an Datenschutz und EU-AI-Act-Anforderungen werden Teil des Lösungsdesigns – nicht ein nachgelagertes Problem. ### Belastbare Dokumentation Verfahrensverzeichnis, AV-Verträge, DSFA und KI-Systembeschreibung liegen vor – bereit für Prüfungen und Audits. ### EU-Hosting standardmäßig Modelle, Daten und Backups bleiben in der EU – nachweisbar, vertraglich abgesichert und technisch durchsetzbar. ### Klare Verantwortlichkeiten Wer entscheidet, wer freigibt, wer protokolliert – das Rollenmodell ist transparent und prüfbar. Weiterführend ## Passend dazu [DSGVO-konforme KI EU-Hosting, AVV, DSFA](https://www.ki-automatisierung-mittelstand.de/dsgvo-konforme-ki-automatisierung/) [KI-Kompetenz (AI Act) Schulung nach Art. 4 EU AI Act](https://www.ki-automatisierung-mittelstand.de/ki-kompetenz-ai-act-mittelstand/) [KI-Beratung Mittelstand Strategie und Compliance](https://www.ki-automatisierung-mittelstand.de/ki-beratung-mittelstand/) Häufige Fragen ## Antworten auf die wichtigsten Fragen **Dürfen wir ChatGPT im Unternehmen einsetzen?** Das hängt von der Konfiguration ab. Für sensible Unternehmensdaten sind Enterprise-Varianten mit AV-Vertrag, EU-Verarbeitung und ausgeschalteter Modelltrainingsnutzung üblich – oder ein dediziertes Unternehmens-GPT auf eigener Infrastruktur. **Brauchen wir für jedes KI-Projekt eine DSFA?** Nicht für jedes – aber für viele. Sobald personenbezogene Daten in größerem Umfang, in besonders sensibler Form oder mit Entscheidungsrelevanz verarbeitet werden, ist eine DSFA zu prüfen. Wir bewerten das im Rahmen des Lösungsdesigns. **Was bedeutet KI-Kompetenz nach Art. 4 EU AI Act für uns?** Seit Februar 2025 müssen alle Personen, die KI-Systeme einsetzen oder betreiben, über ausreichendes KI-Verständnis verfügen. Wir bieten dazu praxisorientierte Schulungen für Mitarbeitende und Führungskräfte. **Können wir interne Dokumente in einem Unternehmens-GPT nutzen?** Ja, wenn die Architektur stimmt: EU-Hosting, klare Zugriffsrechte, kein Training mit Ihren Inhalten, AV-Vertrag mit dem Modellanbieter und ein dokumentiertes Löschkonzept. **Was ist mit US-Anbietern wie OpenAI oder Anthropic?** Wir bevorzugen standardmäßig EU-Hosting und EU-Anbieter. Ein Einsatz von US-Modellen ist nur dann möglich, wenn die rechtlichen Voraussetzungen erfüllt sind (z. B. Standardvertragsklauseln, EU-Verarbeitungsregionen, AV-Vertrag, technische Schutzmaßnahmen) – wir bewerten die Eignung je Use Case ausdrücklich und schlagen passende EU-Alternativen vor. **Wer haftet, wenn die KI Fehler macht?** Die Verantwortung liegt beim Betreiber des KI-Systems – also bei Ihrem Unternehmen. Deshalb sind menschliche Freigabepunkte, Logging und klare Eskalationsregeln Teil jeder DSGVO-konformen KI-Lösung. Quellen ## Quellen & weiterführende Informationen - [Bundesbeauftragter für den Datenschutz (BfDI)](https://www.bfdi.bund.de/) BfDI - [Bundesamt für Sicherheit in der Informationstechnik (BSI)](https://www.bsi.bund.de/) BSI - [EU AI Act – Digital Strategy](https://digital-strategy.ec.europa.eu/de/policies/regulatory-framework-ai) Europäische Kommission - [Bitkom – Datenschutz & KI](https://www.bitkom.org/Themen/Datenschutz-Sicherheit) Bitkom e. V. ## Bereit für KI-Automatisierung mit klarem ROI? Im 30-minütigen Erstgespräch identifizieren wir die zwei bis drei Prozesse mit dem größten Hebel in Ihrem Unternehmen – inklusive Aufwand, Nutzen und konkretem Fahrplan. [Erstgespräch vereinbaren](https://cal.com/ki-beratung-deutschland-7wpx1v/30min) [Schreiben Sie uns](https://www.ki-automatisierung-mittelstand.de/kontakt/)