Die KI-Verordnung ersetzt die DSGVO nicht, beide gelten nebeneinander. Die DSGVO regelt, ob und wie personenbezogene Daten in KI verarbeitet werden dürfen; die KI-Verordnung regelt, wie sicher, transparent und kontrolliert ein KI-System sein muss. Wer KI mit Personenbezug einsetzt, braucht deshalb eine Rechtsgrundlage, oft eine Datenschutz-Folgenabschätzung und zusätzlich die Pflichten aus dem AI Act.
Das Wichtigste in Kürze
- Die DSGVO bleibt voll anwendbar, sobald ein KI-System personenbezogene Daten verarbeitet – beim Training wie bei jeder Eingabe.
- Die KI-Verordnung ist Produktsicherheitsrecht: Sie knüpft an das Risiko des Systems an, nicht an den Personenbezug.
- Datenschutz-Folgenabschätzung (DSFA) und Grundrechte-Folgenabschätzung lassen sich verbinden; Artikel 27 Abs. 4 erlaubt ausdrücklich, auf der DSFA aufzubauen.
- Die Datenschutzkonferenz (DSK) hat 2024 und 2025 Orientierungshilfen zu KI veröffentlicht – für Nutzer und für Entwickler.
- Seit dem Digital Omnibus erlaubt Artikel 4a die Verarbeitung sensibler Daten zur Bias-Erkennung unter engen Voraussetzungen, auch für Betreiber.
Warum sich die beiden Gesetze treffen
Die DSGVO schützt Menschen bei der Verarbeitung ihrer Daten. Die KI-Verordnung schützt Gesundheit, Sicherheit und Grundrechte vor riskanter KI. Fast jede praktische KI-Anwendung im Unternehmen berührt beides: Ein Chatbot im Kundenservice verarbeitet Namen und Vertragsnummern, ein Bewerber-Screening Lebensläufe, ein Copilot E-Mails mit Kundendaten.
Artikel 2 Abs. 7 der KI-Verordnung stellt klar, dass das Datenschutzrecht unberührt bleibt. Die Pflichten addieren sich also. Den Gesamtrahmen des AI Act beschreibt unser Leitfaden zur KI-Verordnung.
Brauchen Sie Hilfe mit cloud?
Buchen Sie ein kostenloses 30-Minuten-Gespräch mit einem unserer cloud-Spezialisten. Wir analysieren Ihren Bedarf und geben konkrete Empfehlungen — völlig unverbindlich.
KI-Verordnung und DSGVO im Vergleich
| Aspekt | DSGVO | KI-Verordnung |
|---|---|---|
| Schutzgut | personenbezogene Daten | Gesundheit, Sicherheit, Grundrechte |
| Anknüpfung | jede Verarbeitung personenbezogener Daten | Inverkehrbringen und Einsatz von KI-Systemen nach Risikoklasse |
| Rollen | Verantwortlicher, Auftragsverarbeiter | Anbieter, Betreiber, Einführer, Händler |
| Folgenabschätzung | DSFA (Art. 35) bei hohem Risiko | Grundrechte-Folgenabschätzung (Art. 27) für bestimmte Betreiber von Hochrisiko-KI |
| Automatisierte Entscheidungen | Art. 22: Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden | menschliche Aufsicht (Art. 14, 26), Recht auf Erläuterung (Art. 86) |
| Transparenz | Informationspflichten (Art. 13, 14) | Hinweis auf KI-Interaktion, Kennzeichnung (Art. 50) |
| Aufsicht in Deutschland | BfDI und Landesdatenschutzbehörden | Bundesnetzagentur und Fachaufsichten nach KI-MIG |
| Höchstbußgeld | 20 Mio. Euro oder 4 Prozent | 35 Mio. Euro oder 7 Prozent |
Wo sich KI und Datenschutz in der Praxis überschneiden
Rechtsgrundlage für Training und Nutzung
Für jede Verarbeitung braucht es eine Rechtsgrundlage nach Artikel 6 DSGVO – beim Training eines eigenen Modells ebenso wie bei der Eingabe von Kundendaten in ein Sprachmodell. Häufig kommt das berechtigte Interesse in Betracht, das eine dokumentierte Abwägung verlangt. Bei eingekauften KI-Diensten ist zu klären, ob der Anbieter Auftragsverarbeiter ist (dann Vertrag nach Artikel 28) und ob er Eingaben für eigene Zwecke wie Training nutzt. Bei US-Anbietern kommt die Drittlandübermittlung hinzu.
Sensible Daten und Bias-Erkennung
Besondere Kategorien personenbezogener Daten – Gesundheit, ethnische Herkunft, Religion – sind nach Artikel 9 DSGVO grundsätzlich verboten. Der neue Artikel 4a der KI-Verordnung, eingefügt durch den Digital Omnibus, schafft eine Erlaubnis, solche Daten zu verarbeiten, wenn es zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist. Sie gilt jetzt auch für Betreiber und nicht nur für Hochrisiko-Anbieter. Voraussetzungen sind strenge Schutzmaßnahmen: Pseudonymisierung, Zugriffsbeschränkung, Löschung nach Zweckerreichung, Dokumentation.
Automatisierte Entscheidungen
Artikel 22 DSGVO gibt Betroffenen das Recht, keiner ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden. Der EuGH hat im SCHUFA-Urteil 2023 entschieden, dass schon ein maßgeblicher Score eine solche Entscheidung sein kann. Die KI-Verordnung ergänzt: Hochrisiko-Systeme brauchen wirksame menschliche Aufsicht, und Betroffene haben nach Artikel 86 ein Recht auf Erläuterung der Rolle der KI bei Entscheidungen. Eine Unterschrift unter ein KI-Ergebnis ohne echte Prüfung erfüllt beides nicht.
Transparenz
Die Datenschutzhinweise müssen erklären, dass und wie KI personenbezogene Daten verarbeitet, einschließlich aussagekräftiger Informationen über die Logik bei automatisierten Entscheidungen. Artikel 50 der KI-Verordnung verlangt zusätzlich etwa den Hinweis, dass man mit einem Chatbot spricht – Details im Beitrag zur KI-Kennzeichnungspflicht.
DSFA und Grundrechte-Folgenabschätzung
Die DSFA nach Artikel 35 DSGVO ist bei KI mit hohem Risiko für Betroffene oft verpflichtend; die deutschen Aufsichtsbehörden führen den Einsatz neuer Technologien und KI-gestützte Bewertungen auf ihren Listen. Die Grundrechte-Folgenabschätzung nach Artikel 27 KI-Verordnung betrifft dagegen nur bestimmte Betreiber von Hochrisiko-KI: öffentliche Stellen, private Erbringer öffentlicher Dienstleistungen sowie Betreiber von Systemen zur Kreditwürdigkeitsprüfung und zur Risikobewertung in der Lebens- und Krankenversicherung.
Artikel 27 Abs. 4 erlaubt, eine bereits durchgeführte DSFA als Grundlage zu nutzen und um die übrigen Grundrechte – Gleichbehandlung, Meinungsfreiheit, Zugang zu Leistungen – zu ergänzen. Sinnvoll ist ein gemeinsames Formular mit Datenschutzteil und KI-Teil. Unsere Vorlage zur KI-Risikobewertung zeigt, wie das aussehen kann.
Was die deutschen Datenschutzbehörden sagen
Die Datenschutzkonferenz, das Gremium der deutschen Datenschutzaufsichtsbehörden, hat am 6. Mai 2024 die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ veröffentlicht. Sie richtet sich an Unternehmen und Behörden, die KI-Anwendungen auswählen und einsetzen, und behandelt unter anderem Zweckbindung, Rechtsgrundlage, Transparenz, Betroffenenrechte, Richtigkeit der Ergebnisse und die Frage, ob Eingaben zum Training verwendet werden. Im Juni 2025 folgte eine Orientierungshilfe zu technischen und organisatorischen Maßnahmen bei Entwicklung und Betrieb von KI-Systemen, die sich vor allem an Hersteller und Entwickler wendet. Beide finden Sie bei den Orientierungshilfen der DSK. Sie sind nicht rechtsverbindlich, zeigen aber, worauf die Aufsichtsbehörden achten.
Das KI-MIG verpflichtet die Bundesnetzagentur und die übrigen Marktüberwachungsbehörden, die Datenschutzaufsicht einzubeziehen; das geplante KI-Reallabor arbeitet ebenfalls mit den Datenschutzbehörden zusammen. Wer zuständig ist, erklärt der Beitrag zur KI-Aufsicht in Deutschland.
Ein Prozess für beide Gesetze
- Ein gemeinsames Verzeichnis: KI-Inventar und Verzeichnis der Verarbeitungstätigkeiten verknüpfen, damit jedes KI-System seine Verarbeitungen kennt.
- Ein Prüfschritt vor dem Einsatz: Risikoklasse nach KI-Verordnung und DSFA-Schwelle nach DSGVO in einem Formular abfragen.
- Eine Anbieterprüfung: Auftragsverarbeitung, Training mit Kundendaten, Speicherort, Konformitätsnachweise.
- Eine Richtlinie: klare Regeln, welche Daten in welches Tool dürfen.
- Ein Vorfallprozess: Datenpannen und KI-Vorfälle über denselben Meldeweg.
Datenschutzbeauftragte und KI-Verantwortliche sollten dafür zusammenarbeiten statt nacheinander. Die Grundlagen – Richtlinie, Risikobewertung und Anbieterprüfung – liefert der kostenlose KI-Governance-Check von Opsio, der auch den Bereich Datenschutz bewertet. Wer Unterstützung bei der Umsetzung sucht, findet sie bei unserer DSGVO-Beratung.
Beispiel: ein KI-Chatbot im Kundenservice
Ein Energieversorger setzt einen Chatbot ein, der Fragen zu Abschlägen und Zählerständen beantwortet und dafür auf Kundendaten zugreift. Nach der KI-Verordnung ist das kein Hochrisiko-System; der Versorger muss als Anbieter des Bots aber nach Artikel 50 darauf hinweisen, dass Kunden mit einer KI sprechen. Nach der DSGVO braucht er eine Rechtsgrundlage (meist Vertragserfüllung), einen Auftragsverarbeitungsvertrag mit dem Modellanbieter, Regeln zur Speicherdauer der Chatverläufe und angepasste Datenschutzhinweise.
Entscheidet der Bot zusätzlich selbstständig über Ratenzahlungen oder Sperrungen, wird Artikel 22 DSGVO relevant, und es braucht eine menschliche Prüfung auf Wunsch der Betroffenen. Prüft er die Zahlungsfähigkeit, kann je nach Ausgestaltung sogar Hochrisiko-KI vorliegen. Ein Fall, viele Fragen – deshalb lohnt der gemeinsame Prozess.
Häufig gestellte Fragen
Ersetzt die KI-Verordnung die DSGVO bei KI?
Nein. Die DSGVO gilt für jede Verarbeitung personenbezogener Daten unverändert weiter, auch wenn ein KI-System beteiligt ist. Die KI-Verordnung kommt hinzu und regelt Sicherheit, Transparenz und Kontrolle von KI-Systemen. Beide Pflichtenkataloge müssen Sie erfüllen; Widersprüche sind selten, Überschneidungen häufig.
Ist eine DSFA dasselbe wie eine Grundrechte-Folgenabschätzung?
Nein. Die DSFA betrachtet Risiken für die Rechte Betroffener durch die Datenverarbeitung. Die Grundrechte-Folgenabschätzung nach Artikel 27 betrachtet alle Grundrechte, die ein Hochrisiko-System berühren kann, und betrifft nur bestimmte Betreiber. Die KI-Verordnung erlaubt ausdrücklich, auf einer vorhandenen DSFA aufzubauen.
Dürfen Mitarbeitende Kundendaten in ChatGPT eingeben?
Nur, wenn es dafür eine Rechtsgrundlage gibt, ein Vertrag zur Auftragsverarbeitung besteht, Eingaben nicht zum Training genutzt werden und die Drittlandübermittlung abgesichert ist. Bei Consumer-Konten ist das in der Regel nicht der Fall. Regeln Sie das ausdrücklich in Ihrer KI-Richtlinie und stellen Sie eine freigegebene Unternehmensversion bereit.
Wer ist in Deutschland für KI und Datenschutz zuständig?
Für den Datenschutz die Landesdatenschutzbehörden bzw. für Bundesbehörden und Telekommunikation die oder der Bundesbeauftragte (BfDI). Für die KI-Verordnung grundsätzlich die Bundesnetzagentur, für Finanzunternehmen die BaFin und für Produkte die jeweiligen Fachbehörden. Die Behörden sind nach dem KI-MIG zur Zusammenarbeit verpflichtet.
Welche Bußgelder sind höher – DSGVO oder AI Act?
Die Höchstbeträge der KI-Verordnung liegen höher: bis 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken, gegenüber 20 Mio. Euro oder 4 Prozent nach der DSGVO. Für ein und denselben Vorfall können beide Regelwerke greifen, wobei Behörden Doppelsanktionen bei der Bemessung berücksichtigen müssen.
Ein Blick auf KI- und Datenschutzrisiken zugleich
Mit dem KI-Governance & Readiness-Check beantworten Sie in etwa 40 Minuten Fragen zu KI-Tools, Daten, Anbietern und Prozessen. Sie erhalten vier Dokumente, darunter eine Vorlage zur KI-Risikobewertung mit Bezug zur DSFA und eine KI-Richtlinie für Mitarbeitende mit Regeln zu personenbezogenen Daten, sowie eine Bewertung von zehn Governance-Bereichen. Die Fragen sind auf Deutsch, die Word-Dokumente auf Englisch. Kostenlos und unverbindlich.
Dieser Beitrag ist allgemeine Information und keine Rechtsberatung. Prüfen Sie die konsolidierte Fassung der Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung sowie die DSGVO. Stand: Oktober 2026.
Verfasst von
Country Manager, Schweden
Johan leitet die Schweden-Operationen von Opsio und treibt KI-Adoption, DevOps-Transformation, Sicherheitsstrategie und Cloud-Lösungen für nordische Unternehmen voran. Mit über 12 Jahren Erfahrung in der Cloud-Infrastruktur hat er mehr als 200 Projekte auf AWS, Azure und GCP geliefert — mit Schwerpunkt auf Well-Architected-Reviews, Landing-Zone-Design und Multi-Cloud-Strategie.
Redaktionelle Standards: Dieser Artikel wurde von Cloud-Praktikern verfasst und von unserem Engineering-Team geprüft. Wir überarbeiten ihn, wenn sich die behandelte Technologie oder Regulierung ändert; die Daten auf dieser Seite zeigen die letzte Aktualisierung. Opsio ist redaktionell unabhängig.