DSGVO-konforme KI im Mittelstand, ehrlich erklärt
Datenschutz ist bei fast jedem KI-Projekt die erste Frage — und oft die größte Bremse. Hier steht ohne Jura-Nebel, was DSGVO-konforme KI wirklich heißt: wann Sie einen AVV brauchen, wann eine Folgenabschätzung, warum EU-Hosting zählt, und wo die Grenze zu Ihrem sensiblen Kern verläuft.
Die zwei Zonen
Der wichtigste Gedanke zuerst: Teilen Sie jedes KI-Vorhaben in zwei Zonen. Die öffentliche Schicht umfasst Website, Info, FAQ, Standard-Kommunikation — hier gibt es keine personenbezogenen Daten und kaum Risiko. Die sensible Schicht umfasst alles Personenbezogene und besonders Geschützte: Kundendaten, Gesundheitsdaten, interne Akten. Fast alles, was schnell und risikoarm geht, passiert in der öffentlichen Schicht. Alles Sensible braucht den sauberen Weg — oder gehört gar nicht erst in unsere Hand.
EU-Hosting statt US-Cloud
Wo personenbezogene Daten verarbeitet werden, zählt, wo sie liegen. Wir setzen dann auf EU-Hosting, auf Wunsch komplett in Deutschland, und auf self-hosted Werkzeuge wie n8n oder EU-gehostete KI-Modelle. So verlassen die Daten die EU nicht. Für rein nicht-personenbezogene Aufgaben können auch gängige US-Tools sinnvoll sein — die Frage ist immer, welche Daten wirklich fließen.
Der Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
Sobald ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, braucht es einen Auftragsverarbeitungsvertrag. Er regelt, wer was mit den Daten darf, wie sie geschützt werden und was am Ende damit passiert. Für uns gehört der AVV bei personenbezogenen Daten selbstverständlich dazu, nicht als Extra, sondern als Standard.
Die Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
Eine Folgenabschätzung ist nur dann Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen bedeutet — etwa umfangreiche Verarbeitung besonderer Datenkategorien. Für die meisten Website- und Automatisierungs-Projekte in der öffentlichen Schicht ist sie nicht nötig. Wir sagen Ihnen ehrlich, wann sie doch fällig wird, statt sie pauschal zu verkaufen oder zu verschweigen.
Kennzeichnung nach dem AI Act (Art. 50)
Wenn Menschen mit einer KI interagieren — etwa mit einem Chat-Assistenten — müssen sie das erkennen können. Diese Transparenzpflicht aus Art. 50 EU AI Act ist einfach umzusetzen: Ein klarer Hinweis „Sie chatten mit einem KI-Assistenten" genügt. Wir bauen das von vornherein ein. Dazu kommt die KI-Schulungspflicht nach Art. 4, die für jeden gilt, der KI beruflich einsetzt.
Besondere Daten, besonderer Schutz
Gesundheitsdaten und andere besondere Kategorien (Art. 9 DSGVO) verlangen mehr. Gerade in Praxen gilt: die Telematikinfrastruktur, das Praxisverwaltungssystem und die Patientenakten sind der regulierte Kern — den fassen wir nicht an. Für alles Sensible binden wir zertifizierte Fachanbieter mit eigenem AVV an. So bekommen Sie Modernität ohne neues Risiko.
Der Mensch bleibt an der Freigabe
Egal wie gut die KI vorarbeitet: Nach außen geht nichts ungeprüft. Die KI recherchiert, sortiert und formuliert vor, ein Mensch prüft und gibt frei. Das ist nicht nur sauberer Datenschutz, sondern auch der Grund, warum die Ergebnisse verlässlich sind.
Für Ihre Branche konkret
Wie das in der Praxis aussieht, hängt von Ihrem Geschäft ab. Konkrete Lösungen mit dem passenden Datenschutz-Weg:
- KI in der Arztpraxis — die öffentliche Schicht entlasten, ohne TI und Patientendaten anzufassen.
- KI für Hausverwaltungen — Mieter- und Eigentümerdaten mit AVV und EU-Hosting.
- KI für Immobilienmakler — eigentümer- und interessenten-initiierte Tools, kein Daten-Mining.
- KI für Handwerk & SHK — Anfragen und Angebote automatisieren, EU-self-hosted.
- KI für den Getränkegroßhandel — eine Schicht über Ihrem System, ohne es zu ersetzen.
Stand September 2026. Keine Rechtsberatung — die konkrete Bewertung hängt vom Einzelfall ab; im Zweifel mit Datenschutzbeauftragtem oder Fachanwalt prüfen. Wir bleiben in der IT-/Software-Spur und sagen offen, wo etwas nicht in unsere Hand gehört.