Wenn ich einen Erstgespräch mit einem Mittelständler mache, ist Frage Nummer drei (nach Preis und Förderung) immer die gleiche:
„Aber wir können das doch wegen DSGVO eh nicht machen, oder?"
Die kurze Antwort: Doch. Können Sie. Und Sie müssen sogar, wenn Sie wettbewerbsfähig bleiben wollen.
Die längere Antwort braucht 4 Minuten. Hier sind sie.
Mythos 1: „KI ist DSGVO-rechtlich unmöglich"
Das ist falsch. KI ist DSGVO-rechtlich regulierbar — und das ist ein riesiger Unterschied.
Die DSGVO sagt: Du darfst personenbezogene Daten verarbeiten, wenn:
- Du eine Rechtsgrundlage hast (Einwilligung, Vertrag, berechtigtes Interesse, gesetzliche Pflicht)
- Du den Zweck dokumentierst
- Du technische und organisatorische Maßnahmen (TOM) ergreifst
Bei KI sind alle drei Punkte erfüllbar. Sie brauchen:
- Ein Verarbeitungsverzeichnis (haben Sie eh)
- Eine Datenschutz-Folgenabschätzung (DSFA) für die KI-Komponente
- Einen AVV (Auftragsverarbeitungsvertrag) mit Ihrem KI-Dienstleister
- Die richtige Server-Location
Ihre Mitarbeiter dürfen mit ChatGPT, Claude und Co. nur dann arbeiten, wenn diese vier Dinge stimmen.
Mythos 2: „US-Cloud ist verboten"
Auch falsch — aber gefährlich nah an der Wahrheit.
Was wirklich gilt seit dem Trans-Atlantic Data Privacy Framework (TDPF) Juli 2023:
- US-Server sind erlaubt, wenn der Anbieter TDPF-zertifiziert ist
- OpenAI, Anthropic, Microsoft (Azure) sind alle zertifiziert
- Aber: Auf dem Papier reicht das nicht. Die EU-Kommission hat das TDPF wieder mehrfach geprüft, und es kann jederzeit fallen (wie der Vorgänger „Privacy Shield" 2020)
Die sichere Variante für Mittelständler:
- Server-Location in der EU (Frankfurt, Amsterdam, Dublin)
- Anbieter mit deutschem Vertretungsbüro für Auskunftspflichten
- AVV explizit nach DSGVO Art. 28
Wir nutzen für Kunden-Projekte fast immer Microsoft Azure OpenAI Service (Frankfurt) oder Anthropic via AWS (Frankfurt). Beide bieten EU-Region-Locks und AVV nach EU-Standard. Keine Datenexporte in die USA.
Mythos 3: „Wir müssen Mitarbeiter informieren — das wollen wir nicht"
Das ist die schwierigste Frage. Und die ehrlichste Antwort lautet: Ja, müssen Sie. Aber das ist Ihre Chance, nicht Ihr Problem.
Wenn Sie KI im Unternehmen einführen, müssen Sie:
- Den Betriebsrat einbinden (falls vorhanden, ab 5 Mitarbeitern Pflicht-Mitbestimmungsrecht)
- Mitarbeiter transparent informieren, welche KI-Systeme welche Daten verarbeiten
- Eine schriftliche KI-Richtlinie verfassen (formlos reicht, 2 Seiten genug)
Warum das eine Chance ist: 70 % Ihrer Mitarbeiter nutzen ChatGPT bereits — heimlich. Mit privaten Accounts. Mit Firmen-Daten. Sie haben aktuell ein riesiges Schatten-IT-Problem.
Indem Sie KI offen einführen, mit einer klaren Richtlinie („Diese Tools dürfen Sie nutzen. Diese Daten dürfen rein. Diese nicht."), holen Sie diese Schatten-IT zurück in den geregelten Bereich.
Das ist nicht nur DSGVO-konform — das ist besser für Ihre Datensicherheit als der Status quo.
Was ist mit dem EU AI Act?
Der EU AI Act tritt 2026 in Stufen in Kraft. Für 95 % der Mittelstand-KI-Anwendungen (Mail-Triage, Buchhaltung, Wissens-Suche, Reklamations-Routing) sind die Anforderungen gering:
- Transparenz-Pflicht: Mitarbeiter müssen wissen, dass sie mit KI interagieren
- Logging-Pflicht: Sie müssen nachweisen können, was die KI gemacht hat (für 1 Jahr)
- Human-Oversight: Bei wichtigen Entscheidungen (z.B. Personal, Kredit) muss ein Mensch das letzte Wort haben
Hochrisiko-KI (HR-Bewerbungs-Filter, Kreditscoring, biometrische Identifikation) hat deutlich strengere Auflagen. Für 95 % der hier diskutierten Anwendungen ist das irrelevant.
Was Sie konkret tun
Wenn Sie KI im Mittelstand einsetzen wollen, brauchen Sie folgende Unterlagen — am besten von Ihrem Dienstleister mitgeliefert:
- AVV nach DSGVO Art. 28 (Auftragsverarbeitungsvertrag)
- DSFA (Datenschutz-Folgenabschätzung) für jedes KI-System
- KI-Richtlinie für Mitarbeiter (2 Seiten reichen)
- Logging-Konzept (was wird wie lange gespeichert)
- Server-Location-Nachweis (EU-Region-Confirmation)
Wir liefern das standardmäßig bei jedem unserer Sprints mit. Wenn Ihr aktueller Dienstleister diese 5 Dokumente nicht anbietet — wechseln Sie.
Fazit
DSGVO ist kein Verhinderer von KI im Mittelstand. DSGVO ist ein Filter für seriöse Anbieter. Wenn jemand Ihnen sagt „Das geht alles, kein Problem mit DSGVO" — vorsichtig. Wenn jemand sagt „Das geht gar nicht wegen DSGVO" — auch vorsichtig.
Die Wahrheit liegt in der Mitte: Es geht, aber mit den richtigen Schutzmaßnahmen. Und die richtigen Schutzmaßnahmen sind kein Hexenwerk. Sie sind dokumentierbar und beim BAFA prüfbar.
Wenn Sie unsicher sind, ob Ihr Projekt DSGVO-tauglich ist — wir machen in 30 Minuten kostenlos eine Erst-Einschätzung. Sie schildern uns Ihren Anwendungsfall, wir sagen Ihnen: geht, geht mit Anpassung, geht nicht.