KI und DSGVO: Die Compliance-Checkliste (2026)

Ihre Teams nutzen KI bereits. Das ist eine Tatsache, keine Hypothese. Die eigentliche Frage lautet daher nicht mehr „Sollen wir sie erlauben?“, sondern „Wie machen wir sie DSGVO-konform?“. Hier ist eine konkrete 10-Punkte-Checkliste, gedacht für eine verantwortliche Person oder einen Datenschutzbeauftragten (DSB). Ein roter Faden zieht sich hindurch. Der Grundsatz der Datenminimierung verlangt, nur das offenzulegen, was unbedingt notwendig ist. In der Praxis: Anonymisieren Sie Identifikatoren, bevor Sie sie an die KI senden. Daten, die nie übermittelt werden, können nicht durchsickern.

Das Problem: KI verarbeitet bereits personenbezogene Daten

Ein Prompt ist nicht neutral. Ihre Mitarbeitenden fügen Kundennamen ein. E-Mails. Vertragsauszüge. HR-Tabellen. Sobald Daten eine Person identifizieren, sind es personenbezogene Daten. Und ihre Verarbeitung durch ein KI-Tool ist eine Verarbeitung im Sinne der DSGVO.

Es steht doppelt etwas auf dem Spiel. Erstens der Kern des Rechts: Jede Verarbeitung muss auf einer Rechtsgrundlage beruhen und die Grundsätze der Verordnung achten. Zweitens das konkrete Risiko: In ein Verbraucher-Tool eingefügte Daten können gespeichert, eingesehen oder wiederverwendet werden. Die CNIL, die französische Datenschutzbehörde, hat 2025 praktische Leitlinien für die Anwendung der DSGVO auf KI-Systeme veröffentlicht. Die Botschaft: Innovation und die Rechte der Menschen lassen sich vereinbaren, sofern Sie einen Rahmen setzen.

Sollten Sie KI intern also verbieten? Nein. Ein Verbot drängt die Nutzung ins Verborgene, außerhalb jeder Kontrolle. Besser, Sie geben ihr einen Rahmen. Genau das leistet die folgende Checkliste.

Die DSGVO-Checkliste in 10 Punkten

Arbeiten Sie diese zehn Schritte der Reihe nach ab. Jeder ist bereits diese Woche umsetzbar. Punkt 3 ist der zentrale Hebel: Er setzt die Datenminimierung konkret um.

1. 1Erfassen Sie die personenbezogenen Daten, die in die KI gelangen: Prompts, angehängte Dateien, Gesprächsverläufe.
2. 2Legen Sie eine Rechtsgrundlage (Artikel 6 der DSGVO) für diese Verarbeitung fest — oft die Vertragserfüllung oder das berechtigte Interesse, je nach Kontext.
3. 3Wenden Sie die Datenminimierung an: Anonymisieren Sie Identifikatoren VOR dem Prompt. Das ist Hebel Nummer eins. Nie gesendete Daten können nicht durchsickern.
4. 4Prüfen Sie den Vertrag des Tools: einen AVV (Auftragsverarbeitungsvertrag) und eine Klausel „kein Training mit Ihren Daten“.
5. 5Führen Sie eine DSFA (Datenschutz-Folgenabschätzung, Artikel 35) durch, wenn der Einsatz ein hohes Risiko birgt.
6. 6Informieren Sie die betroffenen Personen — Beschäftigte, Kundinnen und Kunden. Transparenz ist eine Pflicht, keine Option.
7. 7Halten Sie Ihr Verarbeitungsverzeichnis (Artikel 30) aktuell; ergänzen Sie es um Ihren neuen KI-Einsatz.
8. 8Behalten Sie bei Entscheidungen, die Personen betreffen, einen Menschen in der Schleife.
9. 9Regeln Sie Übermittlungen außerhalb der EU, wenn das Tool US-amerikanisch ist. Das EU-US Data Privacy Framework existiert, ist aber zu überprüfen.
10. 10Schulen Sie Ihre Teams: Die beste Regel scheitert, wenn niemand sie kennt.

Die DSFA: nur bei hohem Risiko verpflichtend

Eine häufige Verwechslung: „Wir nutzen KI, also ist eine DSFA verpflichtend.“ Das ist falsch. Artikel 35 der DSGVO löst eine DSFA aus, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Menschen zur Folge hat. Die DSFA beschreibt dann die Verarbeitung, bewertet ihre Notwendigkeit und Verhältnismäßigkeit und legt die Maßnahmen zur Beherrschung der Risiken fest.

Woran erkennen Sie, dass das Risiko hoch ist? Die CNIL hat neun Kriterien definiert. Hier sind die wichtigsten.

• Profiling oder Bewertung von Personen.
• Automatisierte Entscheidung mit rechtlicher Wirkung.
• Systematische Überwachung.
• Verarbeitung sensibler Daten oder in großem Umfang.
• Abgleich von Datensätzen oder schutzbedürftige Personen.

Die praktische Regel der CNIL: Eine Verarbeitung, die mindestens zwei dieser neun Kriterien erfüllt, gilt als hochriskant. Die DSFA wird dann verpflichtend. Eine weitere nützliche Nuance: Der Einsatz von KI erfordert für sich allein nicht die Benennung eines Datenschutzbeauftragten. Artikel 37 macht sie nur in drei genau bestimmten Fällen zur Pflicht. Erstens öffentliche Stellen. Zweitens solche, deren Kerntätigkeit eine umfangreiche, regelmäßige und systematische Überwachung umfasst. Drittens solche, die in großem Umfang besondere Kategorien von Daten oder Daten über strafrechtliche Verurteilungen verarbeiten.

Die Lösung: vor dem Prompt anonymisieren

Die gesamte Checkliste beruht auf einer einfachen Kontrolle. Wenn die KI Ihre Identifikatoren nie sieht, bricht das Risiko zusammen. Sie müssen der Speicherung eines Drittanbieter-Tools nicht mehr vertrauen. Die sensiblen Daten haben Ihren Rechner schlicht nie verlassen. Das ist Datenminimierung nach dem Buchstaben angewandt.

In der Praxis erfolgt die Handlung in vier Schritten. Sie behalten lokal die Kontrolle über die Zuordnung zwischen dem Token und dem echten Wert.

1. 1Erkennen Sie die personenbezogenen Daten in Ihrem Text: Namen, E-Mails, Identifikatoren, Beträge.
2. 2Ersetzen Sie sie durch umkehrbare Token, im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI.
4. 4Stellen Sie die echten Werte in der Antwort lokal wieder her.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten — Namen, E-Mails, Identifikatoren, Beträge — und ersetzt sie vor dem Senden durch umkehrbare Token. Erkennung und Zuordnung bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Sie haken das schwerste Kästchen Ihrer DSGVO-Checkliste ab — die Datenminimierung — ohne auf die Leistungsfähigkeit der KI zu verzichten.