Stellen Sie sich vor, Ihre Kollegin kommt begeistert aus der Mittagspause: „Ich habe die Patientenanfragen von gestern in so ein KI-Programm kopiert, und es hat mir in zwei Minuten alle Antworten geschrieben!“ Das klingt praktisch. Aber in diesem Moment sind Namen, Telefonnummern und vielleicht Beschwerden auf einem Server gelandet, von dem niemand weiß, wo er steht.
Datenschutz ist kein Grund, auf KI zu verzichten. Er ist aber ein guter Grund, sie richtig aufzusetzen. Diese fünf Fragen helfen dabei.
1. Wo werden die Daten verarbeitet?
Die wichtigste Frage zuerst: Auf welchen Servern laufen die Daten, und in welchem Land? Innerhalb der EU gilt überall dasselbe Datenschutzrecht. Bei Anbietern außerhalb der EU braucht es zusätzliche Absicherungen.
Praktisch heißt das: Fragen Sie jeden Anbieter schriftlich, wo verarbeitet und gespeichert wird und ob Ihre Daten zum Training der KI genutzt werden. Für sensible Daten gibt es auch Modelle, die direkt bei Ihnen im Haus laufen.
2. Welche Daten braucht die KI wirklich?
Eine KI, die Termine sortiert, braucht keine Diagnose. Eine KI, die Angebote vorbereitet, braucht keine Kontonummer. Je weniger personenbezogene Daten verarbeitet werden, desto geringer ist das Risiko.
Oft lassen sich Namen durch Kürzel oder Vorgangsnummern ersetzen. Das nennt sich Pseudonymisierung und ist einer der wirksamsten Schritte überhaupt.
3. Gibt es einen Vertrag mit jedem Dienstleister?
Wenn ein externer Anbieter in Ihrem Auftrag Daten verarbeitet, brauchen Sie einen Vertrag zur Auftragsverarbeitung (nach Artikel 28 DSGVO). Darin steht, was der Anbieter mit den Daten tun darf und was nicht.
Für Berufe mit Schweigepflicht, etwa Praxen, Gutachterinnen oder Steuerberater, kommt noch etwas dazu: Dienstleister müssen schriftlich zur Verschwiegenheit verpflichtet werden.
4. Wer entscheidet am Ende?
Hier liegt eine klare Linie: Entscheidungen, die Menschen erheblich betreffen, dürfen nicht allein von einer Maschine getroffen werden. Die Datenschutzkonferenz, also die gemeinsame Runde der deutschen Datenschutzbehörden, betont das in ihrer Orientierungshilfe zu KI ausdrücklich.
Für den Alltag heißt das: Die KI bereitet vor, ein Mensch prüft und gibt frei. Bei Rechnungen, Kündigungen, Bewerbungen oder medizinischen Angaben gilt das immer.
5. Ist alles festgehalten?
Jede Verarbeitung personenbezogener Daten gehört in Ihr Verzeichnis der Verarbeitungstätigkeiten. Bei besonders sensiblen Daten kann zusätzlich eine Datenschutz-Folgenabschätzung nötig sein. Das klingt aufwendig, ist aber oft eine Seite: Was wird verarbeitet, warum, wie lange, und wer hat Zugriff?
Halten Sie außerdem fest, wie lange Daten gespeichert und wann sie gelöscht werden. Und wer im Zweifel nachvollziehen kann, was die KI getan hat.
Neu seit 2026: Was der EU AI Act verlangt
Zum Datenschutz kommt inzwischen die europäische KI-Verordnung. Für die meisten Praxen und kleinen Unternehmen sind zwei Punkte wichtig:
Offen sagen, wenn eine KI spricht. Seit dem 2. August 2026 müssen Menschen erfahren, dass sie mit einer KI sprechen oder schreiben, etwa mit einem Chatbot auf der Website oder einem Telefonassistenten. Und zwar gleich zu Beginn, nicht erst im Kleingedruckten.
Das Team befähigen. Unternehmen, die KI einsetzen, sollen ihre Mitarbeitenden im Umgang damit unterstützen. Seit einer Änderung im Juli 2026 ist das ausdrücklich eine Pflicht, sich zu bemühen. Ein bestimmtes Kompetenzniveau müssen Sie nicht garantieren. Am besten halten Sie kurz fest, wer wann wozu geschult wurde.
Unser Tipp
Beantworten Sie die fünf Fragen schriftlich, bevor das erste KI-Werkzeug live geht. Eine Seite reicht. Sie hilft bei Rückfragen der Aufsichtsbehörde, und sie zwingt dazu, die Dinge einmal in Ruhe zu durchdenken.
Dieser Artikel gibt einen Überblick und ersetzt keine Rechtsberatung. Wenn Sie Ihre konkreten Abläufe durchgehen möchten, tun wir das gern im kostenlosen Erstgespräch (30 Minuten).
Quellen
- Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der Datenschutzkonferenz (Mai 2024): DSK, Pressemitteilung
- Offenlegungspflicht für Chatbots seit 2. August 2026: Börse Express
- KI-Kompetenz nach Artikel 4 und Änderung durch den Digital Omnibus: IHK Hagen, Schulungspflicht, KI-Syndikat, KI-Kompetenz-Pflicht