Automatisierung, eigene Software und KI bringen viele Vorteile – aber auch Verantwortung. Denn fast immer werden dabei Daten verarbeitet, oft auch personenbezogene. Wer die Vorgaben von Anfang an mitdenkt, spart sich später Ärger und schafft Vertrauen bei Kunden und Mitarbeitern.
In diesem Beitrag bekommst du einen verständlichen Überblick über die wichtigsten Regeln – und erfährst, wie wir sie in unseren Projekten umsetzen.
Die DSGVO: die Grundregeln
Die Datenschutz-Grundverordnung gilt immer, wenn personenbezogene Daten verarbeitet werden – also zum Beispiel Namen, E-Mail-Adressen oder Kundennummern. Die wichtigsten Grundsätze:
- Rechtsgrundlage: Jede Verarbeitung braucht eine Grundlage, etwa einen Vertrag, eine Einwilligung oder ein berechtigtes Interesse.
- Zweckbindung: Daten dürfen nur für den festgelegten Zweck genutzt werden.
- Datensparsamkeit: Es werden nur die Daten verarbeitet, die wirklich nötig sind.
- Transparenz: Betroffene müssen wissen, was mit ihren Daten passiert.
- Sicherheit: Daten müssen technisch und organisatorisch geschützt werden.
Auftragsverarbeitung: der AVV
Sobald ein Dienstleister Daten in deinem Auftrag verarbeitet – Hosting-Anbieter, Software-Entwickler mit Zugriff, KI-Dienste –, brauchst du einen Auftragsverarbeitungsvertrag (AVV). Er regelt, was der Dienstleister mit den Daten tun darf und wie er sie schützt.
Hosting in der EU
Werden Daten außerhalb der EU verarbeitet, gelten zusätzliche Anforderungen. Am einfachsten ist es, Daten in der EU zu speichern – auf Wunsch in Deutschland oder auf eigenen Servern. Bei KI-Diensten lohnt sich ein genauer Blick: Viele Anbieter haben inzwischen Rechenzentren in der EU und passende Verträge für Geschäftskunden.
Besonderheiten bei KI
- Keine personenbezogenen Daten in KI-Tools ohne geeigneten Vertrag eingeben.
- Geschäftskunden-Angebote nutzen, bei denen Eingaben nicht zum Training verwendet werden.
- Daten vor der Verarbeitung so weit wie möglich reduzieren oder pseudonymisieren.
- KI-Ergebnisse prüfen, bevor sie Entscheidungen über Menschen beeinflussen.
- Bei hohem Risiko für Betroffene eine Datenschutz-Folgenabschätzung durchführen.
Der EU AI Act in Kürze
Der EU AI Act ist die europäische KI-Verordnung. Er teilt KI-Anwendungen nach Risiko ein: Einige Praktiken sind verboten, für Hochrisiko-Anwendungen – etwa in der Personalauswahl oder Kreditvergabe – gelten strenge Pflichten. Für die meisten Anwendungen im Büroalltag sind vor allem zwei Punkte wichtig:
- KI-Kompetenz: Seit Februar 2025 müssen Unternehmen, die KI einsetzen, dafür sorgen, dass ihre Mitarbeiter ausreichend geschult sind.
- Transparenz: Wenn Menschen mit einer KI interagieren, etwa mit einem Chatbot, müssen sie das erkennen können.
Technische Sicherheit
Datenschutz ist auch Technik. Dazu gehören Verschlüsselung bei Übertragung und Speicherung, Rollen und Rechte nach dem Prinzip „so wenig wie nötig“, Protokolle über Zugriffe und Änderungen sowie regelmäßige Backups.
So setzen wir Datenschutz und EU-Vorgaben um
Bei prozessbutler kennen wir diese Anforderungen aus der Praxis und setzen sie in jedem Projekt um – nicht als Pflichtübung am Ende, sondern von Anfang an:
| Punkt | So machen wir es |
|---|---|
| Hosting | in der EU, auf Wunsch in Deutschland oder auf deinen Servern |
| Verträge | Auftragsverarbeitungsverträge mit allen beteiligten Dienstleistern |
| Datensparsamkeit | nur die Daten, die der Prozess wirklich braucht |
| Zugriffe | Rollen und Rechte, Verschlüsselung, Protokollierung |
| KI-Dienste | Geschäftskunden-Angebote ohne Training mit deinen Daten |
| EU AI Act | Einordnung der KI-Funktionen, Transparenz, Schulung deines Teams |
Wichtig: Dieser Beitrag ersetzt keine Rechtsberatung. Für die rechtliche Bewertung deines konkreten Falls arbeiten wir gern mit deinem Datenschutzbeauftragten zusammen.
Checkliste für dein nächstes Projekt
- Welche Daten werden verarbeitet – und sind personenbezogene dabei?
- Auf welcher Rechtsgrundlage?
- Wo werden die Daten gespeichert und verarbeitet?
- Gibt es Auftragsverarbeitungsverträge mit allen Dienstleistern?
- Wer hat Zugriff – und wird das protokolliert?
- Werden KI-Funktionen eingesetzt und sind die Mitarbeiter geschult?
Fazit
Datenschutz und EU-Vorgaben sind kein Hindernis für Automatisierung und KI – wenn man sie von Anfang an mitdenkt. Mit EU-Hosting, sauberen Verträgen, klaren Rechten und geschulten Mitarbeitern sind moderne Lösungen sicher und rechtskonform umsetzbar.
