Nach dieser Lektion können Sie …

• DSGVO und KI-Verordnung voneinander abgrenzen,
• erklären, warum es keine eigene „KI-Einwilligung" gibt,
• das Prinzip der Datenminimierung im KI-Einsatz anwenden,
• die wichtigsten Betroffenenrechte benennen.

Ein hartnäckiges Missverständnis

Wer diesen Irrtum glaubt, sucht Regeln an der falschen Stelle — und übersieht die, die tatsächlich gelten. Klären wir das.

Zwei Gesetze, zwei Aufgaben

DSGVO und KI-Verordnung sind wie zwei Geschwister mit verschiedenen Aufgaben.

Beide gelten parallel — die KI-Verordnung ersetzt die DSGVO nicht, sie ergänzt sie.

Es gibt keine eigene „KI-Einwilligung"

Sobald ein KI-System personenbezogene Daten verarbeitet, richtet sich die Rechtsgrundlage nach der DSGVO — nicht nach dem AI Act.

Der AI Act verlangt Transparenz und Aufsicht (Lektion 4) — aber die Frage „Dürfen diese Daten überhaupt verarbeitet werden?" beantwortet die DSGVO.

Ob oder Wie: Welches Gesetz beantwortet die Frage?

Wer ist verantwortlich?

Wenn Ihr Unternehmen ein KI-Tool nutzt, das personenbezogene Daten verarbeitet, verteilen sich die Rollen in aller Regel so:

Zwischen beiden muss ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO bestehen. Ohne diesen Vertrag ist der Einsatz datenschutzrechtlich angreifbar — ein Grund mehr, nur freigegebene Werkzeuge zu nutzen (dazu ausführlich Lektion 6 und 7).

Datenminimierung: die wichtigste Alltagsregel

Die praktisch bedeutsamste DSGVO-Regel für den KI-Einsatz ist die Datenminimierung (Art. 5 DSGVO): Geben Sie einer KI nur so viele personenbezogene Daten, wie unbedingt nötig. Oft lässt sich ein Fall anonymisiert oder mit Platzhaltern schildern.

Konkret heißt das: Namen, Kundennummern, Gesundheits- oder Personaldaten gehören nur dann in ein KI-Werkzeug, wenn es zwingend erforderlich und das Werkzeug dafür freigegeben ist.

Vergleichen Sie: dieselbe Bitte an die KI, zweimal formuliert

Beispiel frei erfunden.

Die weiteren Grundsätze — und Ihre eigenen Daten

Datenminimierung ist der wichtigste, aber nicht der einzige Grundsatz des Artikels 5 DSGVO. Die kurze Präsentation stellt die vier weiteren vor.

Prüfungen vor dem Einsatz

Die beiden Prüfungen bauen aufeinander auf: Ist eine Pflicht schon durch die DSFA erfüllt, ergänzt die Grundrechte-Folgenabschätzung sie nur — so stand es bereits in der Fassung von 2024 (Art. 27 Abs. 4). Die durch den Digital Omnibus geänderte Fassung stellt zusätzlich ausdrücklich klar, dass Betreiber auf die einschlägigen Abschnitte der DSFA verweisen oder Teile davon übernehmen dürfen.

Diese Prüfungen sind Aufgabe der Verantwortlichen im Unternehmen, nicht der einzelnen Beschäftigten — Sie sollten aber wissen, dass es sie gibt.

Betroffenenrechte bleiben bestehen

Menschen, deren Daten verarbeitet werden, behalten ihre DSGVO-Rechte auch gegenüber KI. Welche das sind, zeigt die Präsentation.

Das nehmen Sie mit

• DSGVO und KI-Verordnung gelten parallel: die DSGVO regelt das Ob der Datenverarbeitung, der AI Act das Wie des KI-Einsatzes.
• Es gibt keine eigene „KI-Einwilligung" — die Rechtsgrundlage folgt aus Art. 6/9 DSGVO.
• Ihr Unternehmen ist meist Verantwortlicher; mit dem Anbieter braucht es einen Auftragsverarbeitungsvertrag (Art. 28).
• Datenminimierung ist die zentrale Alltagsregel: nur so viele personenbezogene Daten in KI geben wie unbedingt nötig.
• Es gelten alle Art.-5-Grundsätze (Zweckbindung, Speicherbegrenzung, Richtigkeit, Vertraulichkeit); Ihre eigenen Daten schützt der Beschäftigtendatenschutz (Art. 88 DSGVO; § 26 BDSG nach EuGH C-34/21 nur eingeschränkt anwendbar, Beschäftigtendatengesetz in Vorbereitung).
• Betroffenenrechte (Auskunft, Berichtigung, Löschung, Widerspruch, Art. 22) gelten weiter; DSGVO-Bußgelder bis 20 Mio. € / 4 %.

Sitzt das Wichtigste?

Der Wissenscheck ist freiwillig und nur für Sie gedacht. Ihre Antworten werden weder gespeichert noch bewertet, und niemand sonst bekommt sie zu sehen. Wenn Sie ein paar Minuten übrig haben, prüfen Sie hier, ob die Kernpunkte der Lektion angekommen sind.