Die DSGVO gilt für KI immer dann, wenn ein KI-System personenbezogene Daten verarbeitet, ganz gleich, ob Sie ein Modell trainieren, feinabstimmen oder Ihr Team einfach Kundendaten in einen Assistenten einfügt. Sie benötigen einen dokumentierten Zweck, eine Rechtsgrundlage für jede Phase, eine Datenschutz-Folgenabschätzung bei hohem Risiko und die Möglichkeit für Betroffene, eine menschliche Entscheidung zu erhalten, wenn eine automatisierte Entscheidung sie betrifft. Der EU AI Act kommt hinzu und schafft eigene Pflichten, darunter Transparenz. Dieser Leitfaden erklärt, wie beides für ein B2B-SaaS-Unternehmen zusammenspielt und womit Sie zuerst beginnen sollten.

Dies sind allgemeine Informationen und keine Rechtsberatung. Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung sollte bestätigen, wie sich das jeweils auf Ihr Unternehmen auswirkt.

Kurz gefasst

Inhaltsverzeichnis

Wie die DSGVO auf KI anwendbar ist

Die DSGVO reguliert personenbezogene Daten, nicht Technologie. Eine Analyse des Gesetzes weist darauf hin, dass KI nicht ausdrücklich erwähnt wird und dass Artikel 22 zu automatisierten Entscheidungen als indirekte Kontrolle von KI wirkt. Alles Weitere ergibt sich aus den allgemeinen Grundsätzen: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Sicherheit und Rechenschaftspflicht.

Für ein SaaS-Unternehmen ist die praktische Frage einfach: Sieht die KI Namen, E-Mail-Adressen, einem Nutzer zugeordnete Nutzungsprotokolle, Support-Tickets, Rechnungen oder irgendetwas anderes, das eine Person identifiziert? Wenn ja, gilt die DSGVO, selbst wenn die KI ein zugekauftes und kein selbst entwickeltes Tool ist.

Zweck und Rechtsgrundlage, Phase für Phase

Der Leitfaden der britischen Datenschutzbehörde besagt, dass Sie für jeden einzelnen Verarbeitungsvorgang bei Entwicklung und Einsatz von KI den Zweck und eine geeignete Rechtsgrundlage ermitteln und dokumentieren sollten, bevor Sie etwas verarbeiten. Außerdem heißt es dort, dass für besondere Kategorien personenbezogener Daten eine zusätzliche Bedingung erforderlich ist. Dieser Leitfaden betrifft die UK GDPR, die den EU-Regeln eng entspricht, und ist eine nützliche Referenz für die Logik.

Derselbe Leitfaden hält fest, dass Training und Einsatz unterschiedliche Phasen sind und auf unterschiedlichen Rechtsgrundlagen beruhen können. Eine Grundlage, die für den Aufbau eines Modells taugt, deckt nicht automatisch dessen Einsatz mit Live-Kundendaten ab.

Halten Sie in der Praxis für jeden KI-Anwendungsfall eine Zeile fest:

  1. Was ist der Zweck (zum Beispiel die Zusammenfassung von Support-Tickets)?
  2. Welche personenbezogenen Daten liest sie?
  3. Was ist die Rechtsgrundlage (Vertrag, berechtigtes Interesse, Einwilligung, rechtliche Verpflichtung)?
  4. Wer ist Verantwortlicher, und wer ist Auftragsverarbeiter?
  5. Wo werden die Daten gespeichert und verarbeitet?

Wenn Sie eine leicht verständliche Anleitung suchen, wie Sie eine Rechtsgrundlage auswählen und dokumentieren und die Kernprinzipien anwenden, zeigt dieser Beitrag zu den zentralen Datenschutzgrundsätzen der DSGVO dieselbe Argumentation am Beispiel eines Buchungssystems. Die Logik lässt sich auf KI-Projekte übertragen.

Zweckbindung, Datenminimierung und Richtigkeit

Die niederländische Datenschutzbehörde nennt Zweckbindung, Datenminimierung und Richtigkeit als zentrale DSGVO-Anforderungen für KI. Jede davon wirkt sich unmittelbar darauf aus, wie Sie bauen.

Derselbe niederländische Leitfaden verweist auf Artikel 32: Sie benötigen geeignete technische und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik, des Verarbeitungskontexts und der Risiken für natürliche Personen.

Was der EDSA zu KI-Modellen gesagt hat

Im Dezember 2024 veröffentlichte der Europäische Datenschutzausschuss die Stellungnahme 28/2024 zu KI-Modellen. Ein wissenschaftlicher Überblick zur Stellungnahme erläutert, dass Modelle, die mit personenbezogenen Daten trainiert wurden, Informationen über identifizierbare Personen speichern oder ableiten können und daher nicht einfach als anonym gelten dürfen. Er behandelt auch, wie sich ein berechtigtes Interesse nach Abschluss des Trainings begründen lässt. Die Erkenntnis für Käufer: Akzeptieren Sie von einem Anbieter nicht die Aussage „Das Modell ist anonym“, ohne nachzufragen, wie dies bewertet wurde.

Wo der EU AI Act über die DSGVO hinausgeht

Die beiden Gesetze haben unterschiedliche Wurzeln. Laut einer Studie des Europäischen Parlaments stützt sich der AI Act auf ein Produktsicherheitsmodell, während die DSGVO personenbezogene Daten durch Rechte und Grundsätze schützt. Dieselbe Studie hält fest, dass sich Pflichten überschneiden können: Eine Grundrechte-Folgenabschätzung (FRIA) und eine Datenschutz-Folgenabschätzung (DSFA) können sich doppeln, und Transparenz- und Protokollierungspflichten können redundant sein.

Auch die Rollen unterscheiden sich. Die DSGVO kennt Verantwortliche und Auftragsverarbeiter. Der AI Act kennt Anbieter, Einführer, Händler und Betreiber. Ein SaaS-Unternehmen kann zugleich Anbieter seiner eigenen KI-Funktionen und Betreiber eines fremden Modells sein sowie Verantwortlicher oder Auftragsverarbeiter für die betroffenen personenbezogenen Daten. Ordnen Sie jedem Anwendungsfall die jeweilige Rolle zu.

DSGVO EU AI Act
Ausgangspunkt Personenbezogene Daten und die Rechte der Betroffenen Das KI-System und seine Risikostufe
Zentrale Rollen Verantwortlicher, Auftragsverarbeiter Anbieter, Betreiber, Einführer, Händler
Typische Dokumente Verzeichnis von Verarbeitungstätigkeiten, DSFA Technische Dokumentation, Protokolle, FRIA für einige Hochrisiko-Anwendungen
Menschliche Beteiligung Recht, keiner ausschließlich automatisierten Entscheidung mit rechtlicher Wirkung unterworfen zu werden Menschliche Aufsicht bei Hochrisiko-Systemen

Einige nationale Behörden haben darauf hingewiesen, dass ein System das eine Gesetz einhalten und dennoch gegen das andere verstoßen kann. Deshalb ist eine Einzelfallbetrachtung nötig. Die belgische Behörde ergänzt, dass der AI Act auf der Rechenschaftspflicht der DSGVO aufbaut, mit formeller Meldung von Vorfällen und Human-in-the-Loop-Governance.

NIS2 ist ein dritter Baustein. Sie betrifft Cybersicherheit und Risikomanagement für Einrichtungen im Anwendungsbereich, nicht speziell KI. Fällt Ihr Unternehmen in ihren Anwendungsbereich, gehören die Sicherheitsmaßnahmen rund um KI-Systeme in denselben Risikoprozess. Ob Sie im Anwendungsbereich liegen, ist eine Frage für Ihre Rechtsberatung.

Transparenzpflichten, wenn KI auf Menschen trifft

Transparenz kommt in beiden Gesetzen vor, und man verwechselt sie leicht.

Der Zeitpunkt ist wichtig. Der AI Act Service Desk der Kommission erklärt, dass die Pflichten nach Artikel 50 seit dem 2. August 2026 durchsetzbar sind und dass Anbieter von Systemen, die vor diesem Datum in Verkehr gebracht wurden, bis zum 2. Dezember 2026 Zeit haben, bestimmte Anforderungen an Kennzeichnung und Erkennung zu erfüllen.

Für ein SaaS-Unternehmen sind die häufigsten Fälle ein Chatbot in Ihrem Produkt oder Support-Widget sowie generierte Texte oder Bilder, die Sie veröffentlichen. Kennzeichnen Sie den Chatbot als KI und prüfen Sie, wie Ihre Tools generierte Inhalte markieren. Einen tieferen Einblick in die Artikel 4 und 50 finden Sie in unserem Leitfaden EU AI Act, Artikel 4 und 50 für SaaS.

Support-Mitarbeiter testet einen Produkt-Chatbot

Datenschutz-Folgenabschätzungen, menschliche Aufsicht und automatisierte Entscheidungen

Drei Schutzmaßnahmen kommen am häufigsten zur Sprache.

DSFA. Die belgische Behörde erläutert, dass eine DSFA in bestimmten Fällen erforderlich ist, darunter bei Verarbeitungen mit hohem Risiko und beim Einsatz neuer Technologien. Die niederländische Behörde sagt ähnlich, dass eine erforderlich ist, wenn algorithmische Systeme personenbezogene Daten verarbeiten und die Risiken für die Privatsphäre hoch sind. Im Zweifel führen Sie eine durch. Das ist günstiger, als später erklären zu müssen, warum Sie darauf verzichtet haben.

Menschliche Aufsicht. Der AI Act verlangt für Hochrisiko-Systeme menschliche Aufsicht über Entwicklung, Einsatz und Nutzung hinweg, und dieselbe belgische Quelle nennt sie zusammen mit der FRIA-Pflicht.

Automatisierte Entscheidungen. Nach der DSGVO haben Menschen das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung beruht und ihnen gegenüber rechtliche Wirkung entfaltet. Könnte ein KI-Agent entscheiden, wer einen Vertrag, ein Kreditlimit oder Zugang zu einem Dienst erhält, bauen Sie einen menschlichen Freigabeschritt in den Prozess ein.

Eine AI-Act-Checkliste für SaaS-Teams

Die Übersicht der Kommission zum AI Act besagt, dass Hochrisiko-Systeme Risikobewertung und Risikominderung, Qualität der Datensätze, Protokollierung, technische Dokumentation, Informationen für Betreiber, menschliche Aufsicht, Robustheit, Cybersicherheit und Genauigkeit abdecken müssen. Die meisten SaaS-Produkte sind nicht hochriskant, doch die Liste ist ein guter Maßstab für jede KI, die mit Daten von Personen in Berührung kommt.

Die Fristen für Hochrisiko-Systeme liegen später, als viele erwarten. Laut FAQ des Service Desk müssen Systeme in sensiblen Bereichen wie Beschäftigung (Anhang III) bis zum 2. Dezember 2027 konform sein, solche in regulierten Produkten (Anhang I) bis zum 2. August 2028. Prüfen Sie die offizielle Seite auf den aktuellen Stand, da sich Zeitpläne ändern können.

Eine praxistaugliche Checkliste:

  1. Erfassen Sie jede KI-Nutzung. Beziehen Sie Tools ein, die Einzelne auf eigene Faust eingeführt haben.
  2. Klassifizieren Sie jede Nutzung. Ist es ein Chatbot, ein interner Assistent, ein Scoring-Modell oder etwas, das Entscheidungen über Menschen trifft? Fragen Sie Ihre Rechtsberatung, ob eine Nutzung hochriskant ist.
  3. Ordnen Sie Rollen zu. Anbieter, Betreiber, Verantwortlicher, Auftragsverarbeiter.
  4. Dokumentieren Sie Zweck und Rechtsgrundlage für jede Phase.
  5. Führen Sie eine DSFA durch, wo das Risiko hoch ist.
  6. Legen Sie Berechtigungen fest. Die KI sollte nur lesen und ändern, was auch der Nutzer dürfte.
  7. Fügen Sie Freigabeschritte hinzu für Aktionen mit realen Folgen.
  8. Führen Sie Protokolle darüber, was die KI gelesen, geschrieben und ausgelöst hat.
  9. Kennzeichnen Sie KI-Interaktionen und generierte Inhalte.
  10. Schulen Sie Ihre Mitarbeitenden. Artikel 4 verlangt KI-Kompetenz.
  11. Prüfen Sie Anbieter. Wo werden Daten verarbeitet, und werden sie zum Training der Modelle genutzt?
  12. Benennen Sie eine verantwortliche Person. Eine namentlich benannte Person sollte rechenschaftspflichtig sein.

Unser AI-Governance-Framework für B2B-SaaS-Unternehmen macht daraus eine funktionierende Struktur.

Wo KI nicht hingehört

Gute Compliance bedeutet auch zu entscheiden, was KI nicht tun sollte. Aus diesen Bereichen würden wir KI heraushalten:

Zuerst das Datenfundament schaffen

Die meisten DSGVO-Probleme mit KI beginnen bei den Daten, nicht beim Modell. Wenn Sie nicht sagen können, wo die Daten eines Kunden liegen, welches System korrekt ist und wer sie lesen darf, können Sie weder Auskunfts- noch Löschanfragen erfüllen, noch kontrollieren, was eine KI liest.

Deshalb arbeiten wir in einer festen Reihenfolge:

  1. Datengrundlage. Ihre CRM- und Finanzdaten werden zur maßgeblichen Datenquelle, und die umliegenden Systeme werden zu einer abgestimmten Version abgeglichen.
  2. KI-Schicht. Der Assistent, den Ihr Team bereits nutzt, wird über MCP und im Rahmen der Berechtigungen mit diesen Daten verbunden.
  3. Abteilungs-Agenten. Speziell entwickelte Agenten für Finance, Sales und Customer Success, damit Mitarbeitende systemübergreifend fragen, berichten und nachschlagen sowie Datensätze aktualisieren oder Prozesse auslösen können, bei Bedarf mit Freigabe und mit Audit-Trail.

Aufbau, Pilotphase und Tests laufen auf selbst gehosteter europäischer Infrastruktur in Deutschland, und DSGVO, NIS2 und der EU AI Act werden von Anfang an als Designanforderungen behandelt. Kein Design garantiert Compliance, und diese Beurteilung bleibt bei Ihnen und Ihrer Rechtsberatung. Doch ein System mit Berechtigungen, Freigaben und Protokollen macht die Fragen der Aufsichtsbehörden deutlich leichter beantwortbar. Wie das in der Praxis aussieht, sehen Sie auf unserer Seite zu AI-Agenten für Finance, Sales und Customer Success, und das Admin Portal zeigt, wie Zugriffe und Freigaben an einem Ort verwaltet werden.

Unsere Sichtweise

Wir sehen in wachsenden SaaS-Unternehmen immer dasselbe Muster. Mitarbeitende nutzen bereits KI, im CRM, im Support, in der Finanzabteilung, und niemand ist dafür verantwortlich. Niemand hat entschieden, welche Daten sie lesen darf, niemand dokumentiert, was sie getan hat, und die Datenschutzerklärung wurde geschrieben, bevor es all das gab.

Unserer Ansicht nach ist Compliance überwiegend ein operatives Problem. Eine Datenschutzrichtlinie hindert einen Assistenten nicht daran, einen Datensatz zu lesen, den er nicht lesen sollte. Berechtigungen, Freigaben und Protokolle tun das. Deshalb beginnen wir mit der Datengrundlage, verbinden dann die KI-Schicht und bauen anschließend Abteilungs-Agenten, und deshalb führen wir KI Prozess für Prozess ein, beginnend mit dem teuersten.

Es hilft außerdem, eine Person zu haben, die sowohl entscheidet, wo sich KI auszahlt, als auch sie baut, damit Strategie und funktionierendes System nicht auseinanderdriften. Das ist der Gedanke hinter einem Fractional Chief AI Officer mit 25 Jahren Erfahrung in der Führung operativer Bereiche. Wir gestalten vom ersten Tag an nach DSGVO, NIS2 und dem EU AI Act, und bei der Übergabe gehören Ihnen Quellcode, Dokumentation und Infrastruktur.

Wir geben keine Rechtsberatung, und nichts, was wir bauen, garantiert Compliance. Wir machen die Systeme leichter steuerbar und arbeiten an der Seite Ihrer Rechtsberatung.

Claus Nielsen

Wo Sie anfangen

Wenn KI bereits im Einsatz ist und niemand dafür verantwortlich ist, besteht der erste Schritt in einem ehrlichen Bild dessen, was Sie haben. Unser AI Readiness Assessment beginnt ab €4,500 und betrachtet Ihre Daten, Ihre Prozesse und Ihr regulatorisches Risiko, damit Sie wissen, wo sich KI auszahlt und wo nicht. Für die dauerhafte Verantwortung gibt es das Fractional-Chief-AI-Officer-Retainer in drei Stufen: Advisor ab €3,000 pro Monat, Operating ab €6,500 pro Monat und Embedded ab €11,000 pro Monat.

Builds werden entweder mit 30% der Einsparung im ersten Jahr berechnet, sobald diese gemessen und nachgewiesen ist, oder zu einem vor Arbeitsbeginn vereinbarten Festpreis. Über unsere Hauptseite können Sie außerdem ein kostenloses 30-minütiges Discovery-Gespräch buchen.

FAQ

Gilt die DSGVO, wenn wir nur ein KI-Tool eines Drittanbieters nutzen?

Ja, sofern personenbezogene Daten eingegeben werden. In der Regel sind Sie der Verantwortliche und der Tool-Anbieter ein Auftragsverarbeiter. Sie benötigen also eine Vereinbarung, einen Zweck und eine Rechtsgrundlage und sollten wissen, wo die Daten verarbeitet werden. Prüfen Sie, ob der Anbieter Ihre Eingaben zum Training seiner Modelle verwendet.

Ersetzt der EU AI Act die DSGVO?

Nein. Beide gelten nebeneinander. Die DSGVO schützt personenbezogene Daten, während der AI Act KI-Systeme nach Risikostufe reguliert. Ein einzelner KI-Anwendungsfall kann Pflichten aus beiden auslösen, und manche Dokumente, etwa Folgenabschätzungen, können sich überschneiden.

Brauchen wir für jedes KI-Projekt eine DSFA?

Nicht unbedingt. Nach Angaben der belgischen Behörde ist eine DSFA in bestimmten Fällen erforderlich, unter anderem bei Verarbeitungen mit hohem Risiko und bei neuen Technologien. Verarbeitet ein KI-System personenbezogene Daten in einer Weise, die Menschen erheblich beeinträchtigen könnte, führen Sie eine durch. Fragen Sie Ihren Datenschutzbeauftragten, wenn es unklar ist.

Was müssen wir Nutzern über KI mitteilen?

Nach der DSGVO erklären Sie, welche personenbezogenen Daten Sie verarbeiten und warum. Nach Artikel 50 des AI Act, der seit dem 2 August 2026 durchsetzbar ist, müssen Personen informiert werden, wenn sie direkt mit einem KI-System interagieren, und KI-generierte Inhalte müssen in maschinenlesbarer Form gekennzeichnet werden. Ihre Rechtsberatung kann bestätigen, welche Teile auf Ihre Produkte zutreffen.

Kann ein KI-Agent eigenständig Entscheidungen über Kunden treffen?

Bei Routineaufgaben mit geringer Auswirkung ja, im Rahmen der Berechtigungen und mit Protokollen. Bei Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung auf eine Person gibt die DSGVO den Betroffenen das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden. Sehen Sie dafür eine menschliche Prüfung vor.

Quellen