KI und Datenschutz: Was deutsche Unternehmen 2026 wissen müssen
KI einsetzen und trotzdem DSGVO-konform bleiben — geht das? Ja, aber nur wenn Sie die Regeln kennen. Mit dem EU AI Act (seit August 2024 in Kraft) kommen neue Pflichten dazu. Dieser Artikel erklärt, was deutsche Unternehmen 2026 beachten müssen.
Die 3 Säulen des KI-Datenschutzes
1. DSGVO (gilt seit 2018)
- Rechtsgrundlage für jede Datenverarbeitung (Art. 6)
- Datensparsamkeit: Nur Daten erheben, die wirklich gebraucht werden
- Auftragsverarbeitungsvertrag (AVV) mit jedem KI-Anbieter
- Informationspflicht: Nutzer müssen wissen, dass KI im Einsatz ist
2. EU AI Act (seit 2024, Übergangsfrist bis 2026)
- Risikokategorien: Minimal, Begrenzt, Hoch, Inakzeptabel
- Kennzeichnungspflicht für KI-generierte Inhalte
- Transparenzpflicht bei Chatbots und Sprachassistenten
- Dokumentationspflicht für Hochrisiko-KI
3. Branchenspezifische Regeln
- Ärzte: Ärztliche Schweigepflicht (StGB §203) + Patientendaten (BDSG)
- Anwälte: Berufsgeheimnis + besondere Sorgfaltspflichten
- Finanzbranche: BaFin-Anforderungen an KI-Modelle
5 Goldene Regeln für DSGVO-konformen KI-Einsatz
Regel 1: Server in der EU. Idealerweise in Deutschland. Kein US-Cloud-Dienst ohne angemessenen Datenschutz. Azure Germany (Frankfurt), Hetzner (Nürnberg/Falkenstein) oder OVH (Strassburg) sind gute Optionen.
Regel 2: AVV abschliessen. Jeder KI-Anbieter, der Ihre Daten verarbeitet, braucht einen Auftragsverarbeitungsvertrag. Ohne AVV = Bussgeld.
Regel 3: Kein Training mit Kundendaten. Stellen Sie sicher, dass der KI-Anbieter Ihre Daten NICHT zum Training seiner Modelle nutzt. Bei OpenAI muss dies explizit deaktiviert werden.
Regel 4: Transparenz. Informieren Sie Nutzer, wenn sie mit einer KI kommunizieren. Ein einfacher Hinweis genügt: „Dieser Anruf wird von einem KI-Assistenten bearbeitet.“
Regel 5: Datenschutzerklärung aktualisieren. Ergänzen Sie einen Abschnitt „Einsatz von Künstlicher Intelligenz“ mit Anbieter, Zweck und Serverstandort.
So machen wir es bei MantheyAI
- Alle Server in Deutschland (Hetzner Nürnberg + Azure Frankfurt)
- Kein Training mit Kundendaten — Ihre Daten gehören Ihnen
- Audio-Daten werden nach Verarbeitung sofort gelöscht
- AVV inklusive bei jedem Vertrag
- DSGVO-Audit für jeden Kunden als Teil des Onboardings
Nutzen Sie unsere kostenlose DSGVO-KI-Checkliste mit 24 Prüfpunkten, um Ihren aktuellen Stand zu ermitteln.
