KI & DSGVO: Die 10-Punkte-Checkliste für den Mittelstand
KI & DSGVO: Was KMUs beachten müssen
Jede KI-Anwendung die personenbezogene Daten verarbeitet unterliegt der DSGVO. Diese Checkliste hilft bei der praktischen Umsetzung.
Die 10-Punkte-Checkliste
1. Verarbeitungsverzeichnis aktuell? Jede KI-Anwendung muss im VVT dokumentiert sein — Zweck, Rechtsgrundlage, Speicherdauer, Empfänger.
2. Rechtsgrundlage geklärt? Art. 6 DSGVO: Einwilligung, Vertrag, berechtigtes Interesse oder gesetzliche Pflicht — welche gilt?
3. Datenprinzip: Lokal vor Cloud Personenbezogene Daten sollten bevorzugt auf EU-Servern verarbeitet werden. Drittlandtransfer = SCCs erforderlich.
4. Löschkonzept definiert? KI-Modelle können Daten “memorieren”. Wie werden Trainingsdaten und Inferenz-Logs gelöscht?
5. DPIA durchgeführt? Datenschutz-Folgeabschätzung ist Pflicht bei hochriskanter Verarbeitung (Art. 35).
6. Auskunftsrecht technisch umsetzbar? Betroffene können Auskunft, Löschung, Portierung verlangen — ist das in Ihrem System möglich?
7. Auftragsverarbeitungsvertrag abgeschlossen? Mit jedem KI-Dienstleister (auch EU-intern) ist ein AVV erforderlich.
8. Automatisierte Entscheidungen dokumentiert? Art. 22 DSGVO: Vollautomatische Entscheidungen mit rechtlicher Wirkung erfordern menschliche Überprüfungsmöglichkeit.
9. AI Literacy Schulungen nachweisbar? Seit Feb. 2026: EU AI Act Art. 4 Schulungspflicht. Muss dokumentiert sein.
10. Incident-Response-Plan vorhanden? Datenpanne = 72h Meldepflicht. Ist der Prozess definiert und getestet?
Wie IIO die Checkliste automatisch erfüllt
IIO-Kunden erhalten alle 10 Punkte als automatisierte Workflows — kein manueller Aufwand.
Datenschutz-Paket konfigurieren →
Die 7-Punkte-Checkliste für DSGVO-konforme KI
1. Rechtsgrundlage dokumentieren Jede KI-Verarbeitung braucht eine Rechtsgrundlage (Art. 6 DSGVO). Für Mitarbeiterdaten: Einwilligung oder berechtigtes Interesse mit Interessenabwägung.
2. Zweckbindung einhalten KI darf Daten nur für den angegebenen Zweck verwenden. Kein “wir trainieren nebenbei unser Modell” ohne explizite Einwilligung.
3. Datenminimierung Nur die für die KI-Funktion notwendigen Daten verarbeiten. Personenbezogene Merkmale, die nicht benötigt werden → nicht einbeziehen.
4. Automatisierte Entscheidungen kennzeichnen (Art. 22) Vollautomatisierte Entscheidungen mit rechtlicher Wirkung sind grundsätzlich verboten — außer bei expliziter Einwilligung oder Vertragserfüllung.
5. Betroffenenrechte technisch umsetzen Auskunft, Löschung, Portabilität: Diese Rechte müssen auch für KI-verarbeitete Daten technisch umsetzbar sein — nicht nur per E-Mail.
6. Datenschutz-Folgenabschätzung (DSFA) Bei hochriskanter Verarbeitung (z.B. Profiling von Mitarbeitern) ist eine DSFA Pflicht.
7. Auftragsverarbeitervertrag (AVV) Für jeden KI-Dienst eines externen Anbieters wird ein AVV benötigt. Prüfen Sie: Wo werden die Daten verarbeitet? EU-Server oder Drittland?
Lokale KI als DSGVO-Lösung
Lokale Sprachmodelle (Ollama, llama.cpp) auf EU-Servern eliminieren das Drittland-Problem komplett. Keine Daten verlassen das Unternehmen. IIO AI Hub →
Mehr zu DSGVO-konformer KI-Infrastruktur →
Nächster Schritt: Konfigurieren Sie Ihr Paket oder sprechen Sie mit uns.