KI & Recht Datenschutz DSGVO EU AI Act Compliance

KI und Datenschutz: Was Mittelständler wirklich beachten müssen

DSGVO, EU AI Act, Cloud-Bedenken – Datenschutz ist die häufigste Bremse für KI-Projekte. Was Sie wirklich beachten müssen und was übertriebene Angst ist.

Can Tewes

22. März 2026 · 7 min Lesezeit

Auf einen Blick

KI-Projekte im Mittelstand sind DSGVO-konform umsetzbar – wenn man es von Anfang an richtig plant. Die meisten Prozessautomatisierungen verarbeiten keine personenbezogenen Daten oder lassen sich mit Standardmaßnahmen absichern. Der EU AI Act betrifft die wenigsten Mittelstandsprojekte direkt.

Die größte Bremse ist keine technische

In Gesprächen mit Geschäftsführern und IT-Leitern höre ich eine Sorge häufiger als jede andere: “Was ist mit dem Datenschutz?”

Die Sorge ist verständlich. DSGVO-Bußgelder, der neue EU AI Act, Cloud-Skepsis – das Thema ist komplex und die Berichterstattung oft alarmistisch. Das Ergebnis: Viele Unternehmen tun gar nichts, weil sie Angst haben, etwas falsch zu machen.

Das ist die eigentliche Gefahr – nicht der Datenschutz selbst.

Was die DSGVO für KI-Projekte bedeutet

Die DSGVO ist kein KI-Verbot. Sie regelt den Umgang mit personenbezogenen Daten. Und hier liegt der erste wichtige Punkt:

Viele KI-Projekte im Mittelstand verarbeiten gar keine personenbezogenen Daten.

Keine personenbezogenen Daten betroffen bei:

Reporting-Automatisierung mit aggregierten Kennzahlen
Qualitätsprüfung in der Produktion (Sensordaten)
Bestandsprognosen auf Basis von Verkaufszahlen
Rechnungsverarbeitung (Firmendaten, keine Personendaten)

Personenbezogene Daten betroffen bei:

CRM-Datenbereinigung (Kundennamen, Adressen)
HR-Analysen (Mitarbeiterdaten)
Kundenkommunikation (E-Mails, Chat-Verläufe)

Für die zweite Kategorie gelten die bewährten DSGVO-Grundsätze – die Ihr Unternehmen ohnehin einhalten muss, mit oder ohne KI.

Die DSGVO-Checkliste für KI-Projekte

Zweckbindung – Wofür werden die Daten verwendet? Dokumentieren Sie es
Datenminimierung – Nur die Daten verarbeiten, die wirklich nötig sind
Rechtsgrundlage – Berechtigtes Interesse, Vertrag oder Einwilligung?
Transparenz – Betroffene informieren (Datenschutzerklärung aktualisieren)
Technische Maßnahmen – Verschlüsselung, Zugriffskontrollen, Pseudonymisierung
Auftragsverarbeitung – AVV mit externen Dienstleistern abschließen

Ein Praxisbeispiel: Bei der CRM-Datenbereinigung wurden personenbezogene Daten verarbeitet – DSGVO-konform, mit AVV, Pseudonymisierung wo möglich und klarer Zweckbindung.

Der EU AI Act: Was Mittelständler wissen müssen

Seit 2024 ist der EU AI Act in Kraft. Er klingt bedrohlich, betrifft aber die meisten Mittelstandsprojekte kaum.

Die Risikostufen

Risikostufe	Beispiele	Auflagen	Mittelstand-Relevanz
Inakzeptabel	Social Scoring, Massenüberwachung	Verboten	Nicht relevant
Hoch	Kredit-Scoring, Personalauswahl per KI	Strenge Dokumentationspflichten	Selten relevant
Begrenzt	Chatbots, Empfehlungssysteme	Transparenzpflichten	Manchmal relevant
Minimal	Reporting, Prozessautomatisierung, Datenbereinigung	Keine besonderen Auflagen	Typisch für Mittelstand

Die gute Nachricht: Reporting-Automatisierung, Datenbereinigung, Rechnungsverarbeitung, Bestandsprognosen – all das fällt unter “minimales Risiko”. Keine zusätzlichen Auflagen nötig.

Wann es relevant wird

Wenn Sie KI einsetzen für:

Personalentscheidungen (Bewerber-Screening, Leistungsbewertung)
Kreditentscheidungen (automatisierte Bonitätsprüfung)
Sicherheitskritische Anwendungen (Qualitätskontrolle in regulierten Branchen)

In diesen Fällen: Dokumentation, Risikobewertung und menschliche Aufsicht sind Pflicht.

Cloud vs. On-Premise: Die Datenfrage

Eine häufige Sorge: “Müssen unsere Daten dafür in die Cloud?”

Die Antwort: Es kommt darauf an – und es gibt Optionen.

On-Premise – Alles bleibt in Ihrem Netzwerk. Maximale Kontrolle, höherer Aufwand bei Wartung
Europäische Cloud – Azure Deutschland, AWS Frankfurt, Hetzner. Daten bleiben in der EU, DSGVO-konform
Hybrid – Sensible Daten on-premise, Verarbeitung in der Cloud mit anonymisierten/pseudonymisierten Daten

Für die meisten Mittelstandsprojekte ist eine europäische Cloud-Lösung der pragmatischste Ansatz: DSGVO-konform, skalierbar und wartungsarm.

Wie ein seriöser KI-Partner mit Datenschutz umgeht

Ein wichtiger Indikator für die Qualität eines KI-Anbieters ist, wie er mit dem Thema Datenschutz umgeht. Mehr dazu in KI-Anbieter auswählen: Woran Sie seriöse Beratung erkennen.

Gute Zeichen:

Datenschutz wird proaktiv angesprochen, nicht erst auf Nachfrage
AVV wird standardmäßig angeboten
Datenverarbeitung wird dokumentiert und transparent gemacht
Es gibt eine klare Empfehlung zu Cloud vs. On-Premise

Schlechte Zeichen:

“Das regeln wir später”
Keine Aussage zu Datenverarbeitungsstandorten
Kein AVV im Angebot

Fazit

Datenschutz ist kein Grund, KI-Projekte aufzuschieben. Die DSGVO gibt klare Regeln vor, der EU AI Act betrifft typische Mittelstandsprojekte kaum, und technische Lösungen für Datensicherheit sind etabliert.

Die größte Gefahr ist nicht, etwas falsch zu machen – sondern aus Angst gar nichts zu machen.

Verwandte Themen: Können wir mit imperfekten Daten starten?, Vertrauen, Kontrolle und die Blackbox-Frage und Die 5 KI-Risiken, die Sie kennen müssen. Für den organisatorischen Rahmen empfiehlt sich eine KI-Richtlinie.

Im KI-Potenzial-Audit prüfen wir auch regulatorische Anforderungen für Ihre konkreten Prozesse – damit Sie sicher starten können.

Häufig gestellte Fragen

Ist KI im Unternehmen DSGVO-konform?

Ja, wenn die Grundprinzipien beachtet werden: Zweckbindung, Datenminimierung, Transparenz und technische Schutzmaßnahmen. Viele KI-Projekte im Mittelstand (Reporting, Prozessautomatisierung) verarbeiten gar keine personenbezogenen Daten.

Muss ich für KI-Projekte meine Daten in die Cloud geben?

Nicht zwingend. Viele Lösungen laufen on-premise oder in europäischen Rechenzentren. Bei Cloud-Nutzung gelten die üblichen Auftragsverarbeitungsverträge (AVV). Entscheidend ist, wo die Daten verarbeitet und gespeichert werden.

Was bedeutet der EU AI Act für Mittelständler?

Der EU AI Act klassifiziert KI-Systeme nach Risikostufen. Die meisten Mittelstandsprojekte (Reporting, Datenbereinigung, Prozessautomatisierung) fallen in die Kategorie 'minimales Risiko' und sind von den strengen Auflagen nicht betroffen.

Dürfen Mitarbeiterdaten für KI verwendet werden?

Nur mit Rechtsgrundlage – etwa berechtigtem Interesse oder Einwilligung. Für die meisten Prozessautomatisierungen (Reporting, Rechnungsverarbeitung) werden keine Mitarbeiterdaten benötigt. Wenn doch, müssen Betriebsrat und Datenschutzbeauftragter einbezogen werden.

Wer haftet, wenn eine KI falsche Entscheidungen trifft?

Die Verantwortung liegt beim Unternehmen, das die KI einsetzt – nicht beim Technologieanbieter. Deshalb ist der Ansatz 'Human-in-the-Loop' (Mensch prüft KI-Entscheidungen) im Mittelstand Standard und auch rechtlich die sicherste Variante.

Can Tewes

KI-Berater mit Fokus auf pragmatische Automatisierung im Mittelstand. Strategie-Background, Tech-Verständnis, Umsetzungsfokus.

Mehr erfahren →

Weiterlesen

KI & Sicherheit

KI-Richtlinie für den Mittelstand: So regeln Sie den sicheren Umgang

Mitarbeiter nutzen KI – ob Sie es wollen oder nicht. Eine interne KI-Richtlinie schafft Klarheit, verhindert Risiken und gibt Ihrem Team einen sicheren Rahmen.