Seit dem 2. August 2026 gelten die Transparenzpflichten des EU AI Act. Die schweren Pflichten für Hochrisiko-Systeme sind kurz vorher verschoben worden — auf Dezember 2027 und August 2028. Die DSGVO gilt unverändert weiter, und genau dort liegt die Arbeit, die jetzt ansteht.
Diese Checkliste zeigt, welche acht Fragen Sie stellen müssen, bevor Sie KI-Tools im Unternehmen einsetzen. Sie ersetzt keine Beratung durch einen Datenschutzexperten, gibt aber eine ehrliche Orientierung, wo die echten Fallstricke liegen.
Bevor Sie irgendetwas prüfen können, brauchen Sie eine Liste. Oft ist der Stand überraschend: Der Vertrieb nutzt ChatGPT für Angebote, die Assistenz Google Gemini für Protokolle, das Marketing Midjourney für Bilder — jede Einzelanwendung hat eigene Datenschutzpflichten.
Erstellen Sie ein KI-Inventar mit vier Spalten: - Welches Tool? (Anbieter, Version) - Wer nutzt es? (Abteilung, Rolle) - Welche Daten fließen ein? (personenbezogen, vertraulich, öffentlich) - Zu welchem Zweck?
Erst mit dieser Übersicht können Sie die folgenden Schritte durchlaufen.
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Für den KI-Einsatz kommt in der Regel Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) oder lit. b (Vertragserfüllung) in Betracht. Fehlt die Rechtsgrundlage, ist die Verarbeitung rechtswidrig — unabhängig davon, wie nützlich das Tool ist.
Prüfen Sie für jede KI-Anwendung: Auf welcher Rechtsgrundlage werden personenbezogene Daten verarbeitet?
Wenn ein KI-Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) Pflicht. Die meisten großen Anbieter stellen standardisierte AVVs bereit — aber Sie müssen sie aktiv abschließen und prüfen, ob der Inhalt Ihren Anforderungen genügt.
Wichtig: Ein AVV ist Voraussetzung, keine Garantie. Ob die tatsächliche Verarbeitung DSGVO-konform ist, hängt vom Inhalt des Vertrags und der Umsetzung beim Anbieter ab.
Viele populäre KI-Tools laufen auf Servern in den USA. Ein Transfer personenbezogener Daten außerhalb der EU/EWR ist nur unter bestimmten Bedingungen zulässig — z. B. bei Vorliegen eines Angemessenheitsbeschlusses oder Standardvertragsklauseln.
Das EU-US Data Privacy Framework (DPF) hat die Situation für zertifizierte US-Anbieter verbessert, aber ein Restrisiko bleibt. Wer auf der sicheren Seite sein will, wählt EU-gehostete Alternativen oder On-Premise-Lösungen.
Prüfen Sie: Wo werden Ihre Daten tatsächlich verarbeitet? Gibt es einen Angemessenheitsbeschluss oder Standardvertragsklauseln?
Eine DSFA ist Pflicht, wenn die Verarbeitung „voraussichtlich ein hohes Risiko" für Rechte und Freiheiten natürlicher Personen mit sich bringt. Die Datenschutzkonferenz (DSK) listet KI-Einsatz zur Verarbeitung personenbezogener Daten, zur Steuerung der Interaktion mit Betroffenen oder zur Bewertung persönlicher Aspekte explizit als DSFA-pflichtig auf.
In der Praxis: Wenn Ihr KI-System Mitarbeiterdaten auswertet, Kundenprofile erstellt oder automatisierte Entscheidungen trifft, ist eine DSFA wahrscheinlich erforderlich.
KI-Tools verändern, welche Daten wohin fließen — und damit auch, welche TOMs erforderlich sind. Typische Fragen: - Werden Eingaben beim Anbieter für Trainingszwecke gespeichert? (Opt-out prüfen) - Wer im Unternehmen hat Zugang zum Tool? - Werden vertrauliche Daten vor der Eingabe anonymisiert oder pseudonymisiert?
Passen Sie Ihre bestehenden TOMs an den neuen Kontext an und dokumentieren Sie das.
Hier hat sich 2026 etwas Wesentliches geändert, das viele Übersichten im Netz noch nicht abbilden: Die Verordnung (EU) 2026/1744 — der „Digital Omnibus" — hat die Pflichten für Hochrisiko-Systeme nach hinten geschoben. Die Einstufung als hochriskant bleibt, nur der Stichtag rückt.
Was heute gilt und was wann kommt:
Für die meisten KMU-Anwendungen (Textentwürfe, Zusammenfassungen, Übersetzungen) fällt die Einstufung ohnehin in den niedrigen Risikobereich. Überprüfen Sie trotzdem, ob Ihr Anwendungsfall in Anhang III gelistet ist.
Der Aufschub ist kein Freibrief, sondern Zeit. Wer erst Ende 2027 anfängt zu prüfen, welche Systeme im Haus überhaupt betroffen sind, hat die Inventur aus Schritt 1 dann noch vor sich — und die Pflichten aus Risikomanagement, technischer Dokumentation, Protokollierung und menschlicher Aufsicht baut man nicht in ein fertiges System nach. Die DSGVO-Schritte 1 bis 6 gelten unabhängig davon schon heute.
Diese Pflicht gilt seit dem 2. August 2026 und wurde nicht verschoben: KI-generierte Inhalte müssen in bestimmten Fällen gekennzeichnet werden — konkret dann, wenn sie „für echte oder menschlich erstellte Inhalte gehalten werden könnten". Betroffen sind Texte über Angelegenheiten von öffentlichem Interesse, Deepfakes und KI-Sprachanrufe im Kundenservice.
Für viele Betriebe bedeutet das konkret: Chatbots im Kundenservice müssen sich als KI ausweisen.
Eine Frist ist hier noch offen: Generative Systeme, die schon vor dem 2. August 2026 im Einsatz waren, müssen ihre Ausgaben erst ab dem 2. Dezember 2026 maschinenlesbar kennzeichnen.
Für Anwaltskanzleien, Steuerberatungen, Ärzte und andere Berufsgeheimnisträger gelten verschärfte Regeln. Mandantendaten, Gesundheitsinformationen und andere geschützte Inhalte dürfen grundsätzlich nicht in Cloud-KI-Systeme eingespeist werden, bei denen der Anbieter Zugriff auf die Daten hat — unabhängig davon, ob ein AVV vorliegt.
Die einzigen praxistauglichen Optionen: EU-gehostete Lösungen mit strikter Zugangstrennung oder On-Premise-Modelle, die lokal laufen und keine Daten nach außen senden. Ein Standard-AVV mit einem US-Anbieter genügt hier nicht.
Mehr zu DSGVO-konformen KI-Agenten für sensible Branchen lesen Sie hier: DSGVO und KI-Agenten
Diese Checkliste ist ein Einstieg — kein Abschluss. Wo Sie stehen, hängt von Ihrer Branche, Ihren Tools und dem konkreten Einsatzzweck ab. Eine KI-Potenzialanalyse gibt Ihnen Klarheit darüber, welche Prozesse sich für KI eignen und welche datenschutzrechtlich heikel sind, bevor Sie investieren. Für den ersten Überblick über Ihren Betrieb gibt es den KI-Readiness-Check.
Dieser Artikel stellt keine Rechtsberatung dar und ersetzt keine individuelle Beratung durch einen auf Datenschutz spezialisierten Rechtsanwalt oder Datenschutzbeauftragten.
Im kostenlosen Erstgespräch klären wir, wo du stehst, was deine Ziele sind und ob Coaching der richtige nächste Schritt ist. Kein Verkaufsdruck.
Kostenloses Erstgespräch anfragen Erst den KI-Guide lesen