Ist KI im Mittelstand überhaupt DSGVO-konform möglich?

Ja. Der Schlüssel ist die Trennung: In der öffentlichen Schicht (Website, Info, Standardfragen) fallen nur wenige personenbezogene Daten an, das Risiko ist dort gering. Sobald personenbezogene oder besondere Daten ins Spiel kommen, braucht es EU-Hosting, einen Auftragsverarbeitungsvertrag und je nach Fall eine Datenschutz-Folgenabschätzung.

Wann brauchen wir einen Auftragsverarbeitungsvertrag (AVV)?

Sobald ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet. Der AVV nach Art. 28 DSGVO regelt, wer was mit den Daten darf. Für uns gehört er bei personenbezogenen Daten selbstverständlich dazu.

Müssen wir eine Datenschutz-Folgenabschätzung machen?

Nur wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen bedeutet (Art. 35 DSGVO), etwa bei umfangreicher Verarbeitung besonderer Daten. Für die meisten Website- und Automatisierungs-Projekte in der öffentlichen Schicht ist sie nicht nötig; wir sagen Ihnen ehrlich, wann doch.

Dürfen wir US-KI-Tools wie ChatGPT nutzen?

Für nicht-personenbezogene Aufgaben oft ja. Für personenbezogene oder sensible Daten setzen wir auf EU-gehostete oder self-hosted Lösungen (z. B. n8n, EU-Modelle), damit die Daten die EU nicht verlassen.

DSGVO-konforme KI im Mittelstand

Sobald ein KI-Werkzeug personenbezogene Daten verarbeitet, braucht es für DSGVO-konforme KI im Mittelstand einen Auftragsverarbeitungsvertrag und je nach Fall eine Datenschutz-Folgenabschätzung. EU-Hosting macht vieles einfacher. Hier steht ohne Jura-Nebel, was das im Alltag heißt und wo die Grenze zu Ihrem sensiblen Kern verläuft.

Die zwei Zonen

Der wichtigste Gedanke zuerst: Teilen Sie jedes KI-Vorhaben in zwei Zonen. Die öffentliche Schicht umfasst Website, Info, FAQ, Standard-Kommunikation. Hier fallen nur wenige personenbezogene Daten an, etwa Verbindungsdaten oder Eingaben in einen Chat. Das Risiko ist dort gering und gut zu begrenzen. Die sensible Schicht umfasst alles Personenbezogene und besonders Geschützte: Kundendaten, Gesundheitsdaten, interne Akten. Fast alles, was schnell und risikoarm geht, passiert in der öffentlichen Schicht. Alles Sensible braucht den sauberen Weg oder gehört gar nicht erst in unsere Hand.

EU-Hosting statt US-Cloud

Wo personenbezogene Daten verarbeitet werden, zählt, wo sie liegen. Wir setzen dann auf EU-Hosting, auf Wunsch komplett in Deutschland, und auf self-hosted Werkzeuge wie n8n oder EU-gehostete KI-Modelle. So verlassen die Daten die EU nicht. Für rein nicht-personenbezogene Aufgaben können auch gängige US-Tools sinnvoll sein. Die Frage ist immer, welche Daten wirklich fließen.

Der Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Sobald ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, braucht es einen Auftragsverarbeitungsvertrag. Er regelt, wer was mit den Daten darf, wie sie geschützt werden und was am Ende damit passiert. Für uns gehört der AVV bei personenbezogenen Daten selbstverständlich dazu, nicht als Extra, sondern als Standard.

Die Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Eine Folgenabschätzung ist nur dann Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen bedeutet, etwa umfangreiche Verarbeitung besonderer Datenkategorien. Für die meisten Website- und Automatisierungs-Projekte in der öffentlichen Schicht ist sie nicht nötig. Wir sagen Ihnen ehrlich, wann sie doch fällig wird, statt sie pauschal zu verkaufen oder zu verschweigen.

Kennzeichnung nach dem AI Act (Art. 50)

Wenn Menschen mit einer KI interagieren, etwa mit einem Chat-Assistenten, müssen sie das erkennen können. Diese Transparenzpflicht aus Art. 50 EU AI Act ist einfach umzusetzen: Ein klarer Hinweis „Sie chatten mit einem KI-Assistenten" genügt. Wir bauen das von vornherein ein. Dazu kommt Art. 4 zur KI-Kompetenz: Wer KI beruflich einsetzt, ergreift Maßnahmen, um die KI-Kompetenz im Team zu fördern.

Besondere Daten, besonderer Schutz

Gesundheitsdaten und andere besondere Kategorien (Art. 9 DSGVO) verlangen mehr. Gerade in Praxen gilt: die Telematikinfrastruktur, das Praxisverwaltungssystem und die Patientenakten sind der regulierte Kern. Den fassen wir nicht an. Für alles Sensible binden wir zertifizierte Fachanbieter mit eigenem AVV an. So bekommen Sie Modernität, ohne den regulierten Kern anzufassen.

Der Mensch bleibt an der Freigabe

Egal wie gut die KI vorarbeitet: Nach außen geht nichts ungeprüft, was über Standardantworten aus freigegebenen Texten hinausgeht. Die KI recherchiert, sortiert und formuliert vor, ein Mensch prüft und gibt frei. Das ist nicht nur sauberer Datenschutz, sondern auch der Grund, warum die Ergebnisse verlässlich sind.

Für Ihre Branche konkret

Wie das in der Praxis aussieht, hängt von Ihrem Geschäft ab. Konkrete Lösungen mit dem passenden Datenschutz-Weg:

KI in der Arztpraxis: die öffentliche Schicht entlasten, ohne TI und Patientendaten anzufassen.
KI für Hausverwaltungen: Mieter- und Eigentümerdaten mit AVV und EU-Hosting.
KI für Immobilienmakler: eigentümer- und interessenten-initiierte Tools, kein Daten-Mining.
KI für Handwerk & SHK: Anfragen und Angebote automatisieren, EU-self-hosted.
KI für den Getränkegroßhandel: eine Schicht über Ihrem System, ohne es zu ersetzen.
Service-App für Techniker: Berichte, Fotos und Unterschriften der Kunden mit Rollen, Löschfristen und EU-Hosting.
Einsatzplanung: Mitarbeiterdaten nur so weit wie nötig, keine zweite Personalakte, Zugriff nach Rolle.
Kundenportal: Ihre Geschäftskunden sehen nur ihre eigenen Aufträge und Dokumente, angebunden an Ihr ERP.
Angebotserstellung automatisieren: Anfragen aus Mail und PDF werden vorerfasst, Ihr Team gibt jedes Angebot frei.
Excel durch Web-App ersetzen: aus verstreuten Listen eine Anwendung mit Rechten und Protokoll, wer was geändert hat.
Change Management bei der Softwareeinführung: die Regeln zur Nutzung gemeinsam mit dem Team festlegen. Dafür arbeiten wir mit Psychologen zusammen.

Stand Oktober 2026. Keine Rechtsberatung. Die konkrete Bewertung hängt vom Einzelfall ab; im Zweifel mit Datenschutzbeauftragtem oder Fachanwalt prüfen. Wir bleiben in der IT-/Software-Spur und sagen offen, wo etwas nicht in unsere Hand gehört.