KI und DSGVO: Rechtsgrundlagen, Trainingsdaten und automatisierte Entscheidungen

Künstliche Intelligenz ist ohne Daten nicht zu haben – und wo Daten verarbeitet werden, ist das Datenschutzrecht selten fern. Die Erfahrung lehrt: Kaum ein KI-Projekt im Mittelstand scheitert an der Technik; wenn es hakt, dann fast immer an ungeklärten Rechtsgrundlagen, lückenhafter Transparenz oder einer nie durchgeführten Folgenabschätzung. Dabei sind zwei Ebenen strikt zu unterscheiden, die in der öffentlichen Diskussion beständig vermengt werden: die datenschutzrechtliche Beurteilung des Trainings eines KI-Modells einerseits und die des späteren Einsatzes im Unternehmen andererseits. Dieser Beitrag geht beide Ebenen auf dem Rechtsstand des Jahres 2026 durch – von der EDSA-Stellungnahme 28/2024 über die Rechtsgrundlagen des betrieblichen Einsatzes und die Informationspflichten bis zu Art. 22 DSGVO im Licht des SCHUFA-Urteils, den Betroffenenrechten gegenüber Modellen, der Datenschutz-Folgenabschätzung und dem Verhältnis zur KI-Verordnung.

Zwei Ebenen: Das Training des Modells und der Einsatz im Unternehmen

Auf der ersten Ebene steht das Training: Die Anbieter großer Modelle haben ihre Systeme ganz überwiegend mit Daten aus dem offenen Internet trainiert – darunter unvermeidlich auch personenbezogene Daten von Millionen Betroffener, von Namen in Zeitungsartikeln bis zu Fotos und Forenbeiträgen. Die datenschutzrechtliche Verantwortung hierfür trifft primär die Anbieter. Für das anwendende Unternehmen ist diese Ebene dennoch nicht gleichgültig, denn die Rechtmäßigkeit des eingekauften Werkzeugs strahlt auf den eigenen Einsatz aus. Auf der zweiten Ebene steht der betriebliche Einsatz: Sobald Beschäftigte Kundendaten in Prompts eingeben, ein KI-System an das CRM angebunden wird oder Personalprozesse KI-gestützt ablaufen, ist das einsetzende Unternehmen Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO – mit allen Konsequenzen für Rechtsgrundlage, Transparenz, Betroffenenrechte und Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Wer diese beiden Ebenen sauber trennt, hat die halbe Prüfung bereits strukturiert.

Die EDSA-Stellungnahme 28/2024: Anonymität, berechtigtes Interesse, unrechtmäßiges Training

Für die Trainingsebene hat der Europäische Datenschutzausschuss mit seiner Stellungnahme 28/2024 die maßgebliche Orientierung geliefert. Drei Aussagen verdienen besondere Aufmerksamkeit. Erstens: Ein mit personenbezogenen Daten trainiertes Modell ist nicht automatisch anonym. Ob die DSGVO auf das Modell selbst anwendbar bleibt, ist im Einzelfall zu prüfen; Anonymität setzt voraus, dass sich personenbezogene Daten mit vernünftigerweise einsetzbaren Mitteln weder extrahieren noch durch Abfragen entlocken lassen. Zweitens: Das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO kommt als Rechtsgrundlage für das Training in Betracht – aber nur nach dem bekannten Drei-Stufen-Test: Es bedarf eines legitimen Interesses, die Verarbeitung muss zur Erreichung dieses Interesses erforderlich sein, und in der Abwägung dürfen die Interessen und Grundrechte der Betroffenen nicht überwiegen, wobei deren vernünftige Erwartungen, der Umfang des Web-Scrapings und risikomindernde Maßnahmen erheblich ins Gewicht fallen. Drittens: Wurde ein Modell unrechtmäßig trainiert, kann das auf den späteren Betrieb durchschlagen – die Aufsichtsbehörden prüfen die Folgen einzelfallbezogen. Für einkaufende Unternehmen folgt daraus eine handfeste Sorgfaltsanforderung: Wer ein KI-System beschafft, sollte sich die Rechtsgrundlagen des Trainings vom Anbieter erläutern lassen und diese Prüfung dokumentieren.

Rechtsgrundlagen beim betrieblichen Einsatz: Art. 6 DSGVO und § 26 BDSG

Beim Einsatz im Unternehmen benötigt jede Verarbeitung personenbezogener Daten eine eigene Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Die Vertragserfüllung nach lit. b trägt nur, soweit die KI-Nutzung für die Leistungserbringung tatsächlich erforderlich ist – das ist seltener der Fall, als es Anbieterpräsentationen suggerieren. In der Praxis am wichtigsten ist das berechtigte Interesse nach lit. f: Effizienzgewinne, Qualitätssicherung und Automatisierung interner Abläufe sind legitime Interessen, verlangen aber eine dokumentierte Abwägung, die Streubreite, Sensibilität der Daten und Erwartungen der Betroffenen ernst nimmt. Die Einwilligung nach lit. a ist entgegen verbreiteter Intuition oft die schwächste Grundlage: Sie ist jederzeit widerruflich, und im Beschäftigungskontext steht ihre Freiwilligkeit strukturell in Zweifel. Für Beschäftigtendaten tritt § 26 BDSG hinzu, der die Verarbeitung für Zwecke des Beschäftigungsverhältnisses gestattet; die Diskussion um seine unionsrechtliche Tragfähigkeit mahnt zusätzlich zur sorgfältigen Einzelfallprüfung. Wer KI-Werkzeuge auf Beschäftigtendaten richtet, sollte zudem die Mitbestimmung im Blick behalten – technische Einrichtungen, die zur Verhaltens- oder Leistungskontrolle geeignet sind, unterliegen nach § 87 Abs. 1 Nr. 6 BetrVG regelmäßig der Mitbestimmung des Betriebsrats.

Informationspflichten und Transparenz: Art. 13 und 14 DSGVO

Transparenz ist beim KI-Einsatz keine Kür, sondern harte Pflicht. Nach Art. 13 DSGVO sind Betroffene bei der Direkterhebung über Zwecke, Rechtsgrundlagen, Empfänger – also auch über eingebundene KI-Dienstleister – sowie über etwaige Drittlandübermittlungen zu informieren; besteht eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO, sind zusätzlich aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen der Verarbeitung geschuldet. Art. 14 DSGVO greift, wenn Daten nicht bei der betroffenen Person erhoben werden – etwa bei angereicherten Datenbeständen oder zugekauften Datenquellen –, und seine Ausnahmen sind enger, als viele annehmen. Praktisch bedeutet das: Datenschutzhinweise müssen den KI-Einsatz ausdrücklich abbilden, interne Verarbeitungsverzeichnisse nach Art. 30 DSGVO sind zu aktualisieren, und ein zentrales Register der eingesetzten KI-Systeme erleichtert es, Auskunftsersuchen und Behördenanfragen konsistent zu beantworten. Verschämtes Verschweigen des KI-Einsatzes ist keine Strategie – es verwandelt ein beherrschbares Compliance-Thema in ein Bußgeldrisiko.

Automatisierte Entscheidungen: Art. 22 DSGVO und das SCHUFA-Urteil

Art. 22 Abs. 1 DSGVO gibt Betroffenen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Was das für KI bedeutet, hat der EuGH mit Urteil vom 7.12.2023 – C-634/21 („SCHUFA") geschärft: Bereits die automatisierte Bildung eines Score-Werts kann eine automatisierte Einzelentscheidung sein, wenn das Ergebnis die nachfolgende Entscheidung eines Dritten maßgeblich bestimmt. Übertragen auf KI-gestützte Prozesse heißt das: Wer eine KI Bewerbungen vorsortieren, Kreditwürdigkeit bewerten oder Vertragskonditionen berechnen lässt und dem Ergebnis faktisch folgt, kann sich nicht darauf zurückziehen, dass formal ein Mensch die letzte Unterschrift leistet. Die menschliche Letztentscheidung muss substanziell sein: Der Entscheider braucht die Kompetenz und die tatsächliche Möglichkeit, vom KI-Votum abzuweichen, er muss zusätzliche Gesichtspunkte einbeziehen können, und Abweichungen müssen real vorkommen – ein bloßes Abnicken genügt nicht. Greift Art. 22 DSGVO, ist die Verarbeitung nur in den Ausnahmefällen des Abs. 2 zulässig – Erforderlichkeit für den Vertrag, unionale oder mitgliedstaatliche Rechtsvorschrift, ausdrückliche Einwilligung – und stets flankiert von den Garantien des Abs. 3: Anspruch auf menschliches Eingreifen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung.

Betroffenenrechte gegenüber Modellen: Auskunft, Berichtigung, Löschung

Die Betroffenenrechte der Art. 15 bis 17 DSGVO gelten auch beim KI-Einsatz uneingeschränkt – ihre Erfüllung stößt bei Modellen jedoch an praktische Grenzen. Auskunft über Ein- und Ausgabedaten, Protokolle und angebundene Datenbanken lässt sich organisieren; was dagegen in den Gewichtungen eines trainierten Modells „gespeichert" ist, entzieht sich der klassischen Auskunftslogik. Ähnlich liegt es bei Berichtigung und Löschung: Ein einzelnes Datum lässt sich aus einem fertig trainierten Modell nicht chirurgisch entfernen; ein vollständiges Neutraining ist unverhältnismäßig aufwendig, und Verfahren des gezielten „Verlernens" sind technisch noch nicht ausgereift. Die Praxis behilft sich mit Ausgabefiltern, die bestimmte personenbezogene Inhalte unterdrücken, und mit turnusmäßigen Trainingszyklen, in denen Korrekturen nachgezogen werden. Unternehmen, die fremde Modelle einsetzen, sollten Betroffenenanfragen strukturiert an den Anbieter weiterleiten können – der Auftragsverarbeitungsvertrag muss die Unterstützungspflichten des Anbieters nach Art. 28 Abs. 3 DSGVO entsprechend konkret fassen. Entscheidend ist auch hier die Dokumentation: Wer zeigen kann, dass er das technisch Mögliche organisiert hat, steht gegenüber Aufsichtsbehörden erheblich besser da.

DSFA, Auftragsverarbeitung und das Verhältnis zur KI-Verordnung

Beim Einsatz von KI ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO regelmäßig erforderlich: Es handelt sich um den Einsatz neuer Technologien, häufig verbunden mit systematischer Bewertung persönlicher Aspekte oder umfangreicher Verarbeitung – genau die Konstellationen, die die Norm im Blick hat. Die DSFA gehört an den Anfang des Projekts, nicht an sein Ende, und der Datenschutzbeauftragte ist frühzeitig einzubinden. Wird ein externer KI-Dienst genutzt, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zu schließen; besondere Aufmerksamkeit verdienen die Frage, ob der Anbieter Kundendaten für eigene Trainingszwecke nutzen darf – das sollte vertraglich ausgeschlossen oder abgeschaltet werden –, die Subunternehmerkette und der Drittlandtransfer nach Kapitel V DSGVO samt erforderlicher Garantien und Transferfolgenabschätzung. Schließlich das Verhältnis zur KI-Verordnung (Verordnung (EU) 2024/1689): Beide Rechtsakte gelten kumulativ. Die KI-VO ersetzt die DSGVO nicht, sondern tritt mit eigenen Pflichten neben sie; auch der Digital Omnibus vom 29.6.2026, der die Hochrisiko-Pflichten zeitlich verschoben hat, ändert an den datenschutzrechtlichen Anforderungen nichts. Wer heute ein KI-Projekt aufsetzt, prüft daher beide Regelwerke parallel – und wird feststellen, dass eine saubere DSGVO-Dokumentation die spätere KI-VO-Compliance erheblich erleichtert.

Häufige Fragen

Brauchen wir für jeden KI-Einsatz eine Einwilligung der Betroffenen? Nein. In vielen Konstellationen trägt das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO, sofern die Abwägung dokumentiert wird. Die Einwilligung ist wegen ihrer Widerruflichkeit und der Zweifel an der Freiwilligkeit – gerade im Beschäftigungsverhältnis – häufig sogar die unsicherste Grundlage.

Wann ist eine Datenschutz-Folgenabschätzung Pflicht? Beim KI-Einsatz regelmäßig: Art. 35 DSGVO verlangt sie bei voraussichtlich hohem Risiko, insbesondere beim Einsatz neuer Technologien, bei systematischer Bewertung persönlicher Aspekte und bei umfangreicher Verarbeitung. Führen Sie die DSFA vor der Inbetriebnahme durch und halten Sie die Abhilfemaßnahmen schriftlich fest.

Dürfen wir Bewerbungen vollständig von einer KI vorsortieren lassen? Nur mit großer Vorsicht: Nach der Linie des SCHUFA-Urteils des EuGH kann schon die vorbereitende Bewertung eine automatisierte Einzelentscheidung nach Art. 22 DSGVO sein, wenn sie das Ergebnis faktisch vorwegnimmt. Die menschliche Letztentscheidung muss substanziell sein – mit echter Abweichungskompetenz und dokumentierter Prüfung, nicht als bloße Formalie.

Dieser Beitrag gibt einen allgemeinen Überblick auf dem Rechtsstand 2026 und ersetzt keine Rechtsberatung im Einzelfall. Für eine Einschätzung Ihres konkreten Anliegens vereinbaren Sie gern ein Erstgespräch mit KALER.