Hinweis: Dieser Artikel dient zur allgemeinen Information und ersetzt keine individuelle Rechtsberatung.
DSGVO und Künstliche Intelligenz — klingt nach Albtraum, Bußgeldern und Formularen ohne Ende. Viele Inhaber kleinerer Betriebe zögern genau deswegen: nicht weil Automatisierung sie nicht interessiert, sondern weil sie Angst haben, dabei versehentlich etwas falsch zu machen.
Diese Angst ist verständlich, aber meistens größer als das tatsächliche Problem. In unserer Arbeit mit kleinen Betrieben lässt sich DSGVO-konformes Arbeiten mit KI-Tools auf drei Grundregeln herunterbrechen.
Die drei Grundregeln für DSGVO-konformen KI-Einsatz
Personenbezogene Daten Ihrer Kunden gehören auf Server in der EU.
Seriöse KI-Dienste nutzen Ihre Daten nicht für Modell-Training. Prüfen Sie die AGBs.
Ein Auftragsverarbeitungsvertrag (AVV) ist Pflicht bei externer Datenverarbeitung.
Was Sie konkret tun müssen
Verarbeitungsverzeichnis führen
Für einen Betrieb mit 5-15 Mitarbeitern ist das oft eine einzige Tabelle mit 10-20 Zeilen:
- Welche Daten Sie verarbeiten (Kundenadressen, Anfragen, Rechnungsdaten)
- Warum (Vertragserfüllung, gesetzliche Pflicht, berechtigtes Interesse)
- Wer Zugang hat (intern und externe Dienstleister)
- Wie lange die Daten gespeichert werden
Datenschutzerklärung aktualisieren
Ein zusätzlicher Abschnitt, der erklärt, dass Sie bestimmte Prozesse automatisiert abwickeln. Wenn Sie mit uns arbeiten, erhalten Sie dafür eine fertige Textvorlage.
Recht auf Löschung technisch unterstützen
Wir bauen Automatisierungen so, dass eine Löschung zentral ausgelöst werden kann und sich auf alle betroffenen Systeme auswirkt.
Datensparsamkeit
Sammeln Sie nur, was Sie tatsächlich brauchen. Protokolldaten regelmäßig löschen, nicht auf Vorrat speichern.
Häufige Fehlvorstellungen
„Die KI liest alle meine Kunden-E-Mails“
Nein. Eine Automatisierung verarbeitet genau das, was Sie ihr geben. Im Unternehmenseinsatz nutzen Sie präzise definierte Datensätze — nicht Ihr gesamtes Postfach.
„Meine Daten landen in Amerika“
Das hängt vom Tool ab. Viele Anbieter bieten EU-Datenverarbeitung an. Für viele Automatisierungen braucht man gar keine großen Sprachmodelle — oft reicht eine regelbasierte Automatisierung auf EU-Servern.
„Ich brauche erst einen Anwalt“
Für einfache Automatisierungen nicht. Unser Prozess-Check schließt eine DSGVO-Einschätzung ein.
Wann Sie einen Datenschutzbeauftragten brauchen
Für die meisten Kleinbetriebe mit 1-20 Mitarbeitern ist ein DSB nicht verpflichtend. Verpflichtend wird es wenn:
- Mehr als 20 Personen regelmäßig automatisiert personenbezogene Daten verarbeiten
- Sie sensible Datenkategorien verarbeiten (Gesundheitsdaten, biometrische Daten)
- Sie Daten zur Profilerstellung oder systematischen Überwachung nutzen
Wie wir bei MB SmartSystems damit umgehen
- EU-Server als Standard — unsere Infrastruktur läuft auf europäischen Servern
- AVV in jedem Projekt inklusive — Standardbestandteil, kein Zusatz auf Anfrage
- Datenschutzerklärungs-Vorlage inklusive — fertige Textpassage wenn Automatisierung live geht
Häufige Fehler in der Praxis
- AVV fehlt — der häufigste Fehler. Tool eingerichtet, nie einen AVV abgeschlossen.
- Datenschutzerklärung nicht aktualisiert — Automatisierung läuft, Website erwähnt sie nicht.
- Keine Datenlöschung eingeplant — Daten häufen sich an, niemand hat Löschfristen definiert.
- Consumer-Tool statt Business-Zugang — ChatGPT im Browser mit Kundendaten. Persönliche Accounts nutzen Eingaben für Training.
- Keine Dokumentation — niemand weiß mehr, welche Daten an welchen Dienst gehen.
Ihr DSGVO-Starter-Paket
- EU-konforme Tools auswählen
- AVV mit jedem Dienstleister abschließen
- Automatisierungen im Verarbeitungsverzeichnis erwähnen
- Datenschutzerklärung anpassen
- Löschprozess technisch vorbereiten
Klingt nach einem Nachmittag Arbeit? Ist es meistens. Unser Prozess-Check (490 EUR) schließt die DSGVO-Einschätzung ein.
Häufige Fragen
Darf ich Kundendaten in ein KI-System eingeben?
Ja — mit AVV, ohne Training auf Ihre Daten, und mit legitimem Zweck (z.B. Vertragserfüllung).
Was passiert bei einem DSGVO-Verstoß?
Im Erstfall meistens eine Abmahnung mit Aufforderung zur Nachbesserung. Die hohen Bußgelder betreffen große Unternehmen mit systematischen Verstößen.
Muss ich Kunden informieren?
In der Datenschutzerklärung ja. Aktiv bei jeder Interaktion: nur wenn vollautomatisierte rechtlich relevante Entscheidungen getroffen werden — was im Handwerk selten der Fall ist.
Kann ich ChatGPT für meinen Betrieb nutzen?
Mit dem persönlichen Account: Nein, nicht mit Kundendaten. Mit Enterprise-Zugang oder API (mit AVV): Ja.
Wir haben keine IT-Abteilung. Wie setzen wir das um?
Unser Prozess-Check deckt die DSGVO-Einschätzung ab. Wir bauen Automatisierungen DSGVO-konform und liefern AVVs und Textvorlagen mit.
Dieser Artikel ersetzt keine Rechtsberatung. Für Ihren konkreten Fall empfehlen wir eine individuelle Prüfung.