Datenschutzbehörden nehmen KI ins Visier: Warum jetzt Systeme geprüft werden, nicht Ordner

Die DSGVO ist in ihr zehntes Jahr gegangen – und hat eine bemerkenswerte Marke gesetzt: Die Summe aller veröffentlichten Bußgelder hat Anfang 2026 erstmals sechs Milliarden Euro überschritten. Wichtiger als die Zahl ist jedoch ein Strategiewechsel der Aufsichtsbehörden, der gerade für kleinere und mittlere Unternehmen Folgen hat: Geprüft wird zunehmend proaktiv – und im Fokus steht der Einsatz von KI.

Vom Beschwerde-Bearbeiter zum System-Prüfer

Lange arbeiteten Datenschutzbehörden überwiegend reaktiv: Es brauchte eine Beschwerde oder eine gemeldete Panne, bevor geprüft wurde. Das ändert sich. Behörden setzen vermehrt auf routinemäßige Prüfungen – und sie schauen sich dabei seltener die Datenschutzerklärung an und häufiger das, was in den Systemen tatsächlich passiert: Wer greift wann auf welche Daten zu? Wohin fließen sie? Welche KI-Tools sind im Einsatz, und auf welcher Rechtsgrundlage?

Für Unternehmen bedeutet das: Papier-Compliance reicht nicht mehr. Ein schön formuliertes Verarbeitungsverzeichnis, das mit der gelebten Praxis nichts zu tun hat, fällt bei dieser Prüflogik schneller auf als je zuvor.

KI-Nutzung ist Datenverarbeitung – fast immer

Der häufigste Irrtum, dem wir in der Beratung begegnen: „Wir nutzen doch nur ein bisschen ChatGPT.“ Rechtlich gilt: Schon wer den Namen eines Kunden in ein frei zugängliches KI-Tool eingibt, um eine E-Mail formulieren zu lassen, verarbeitet personenbezogene Daten – und das Unternehmen trägt die Verantwortung. Bei kostenlosen Consumer-Versionen fließen diese Daten an den Anbieter, oft einschließlich der Nutzung für das Training der Modelle.

Dazu kommt seit 2026 die doppelte Sanktionslage: Neben den DSGVO-Bußgeldern (bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes) steht der Bußgeldrahmen des EU AI Act (bis zu 35 Millionen Euro oder 7 Prozent). DSGVO und KI-Verordnung müssen zusammen gedacht werden – wer beides getrennt bearbeitet, produziert Lücken und doppelte Arbeit.

Was eine belastbare Aufstellung ausmacht

Aus unserer Sicht gehören fünf Bausteine zusammen. Ein aktuelles Verarbeitungsverzeichnis, das die KI-Nutzung tatsächlich abbildet. Auftragsverarbeitungsverträge mit allen KI-Anbietern – was in der Regel die Business- oder Enterprise-Versionen der Tools voraussetzt, bei denen das Training mit eigenen Daten deaktiviert werden kann. Eine KI-Richtlinie, die regelt, welche Daten in welche Tools dürfen. Dokumentierte Schulungen der Mitarbeitenden. Und ein Datenpannen-Prozess, der auch KI-Vorfälle abdeckt – von der versehentlichen Eingabe sensibler Daten bis zum fehlerhaften KI-Output.

Der Aufwand ist überschaubarer, als viele befürchten – wenn er strukturiert angegangen wird. Und er zahlt sich doppelt aus: gegenüber der Aufsicht ebenso wie gegenüber Kunden und Geschäftspartnern, die zunehmend nachfragen, wie Dienstleister mit ihren Daten und mit KI umgehen.

Unser Angebot

Als zertifizierter Datenschutzbeauftragter (TÜV Süd) und zertifizierter KI-Manager (TÜV) decken wir beide Welten aus einer Hand ab. Mit dem Datenschutz-Quick-Check wissen Sie nach zwei Wochen, wo Sie stehen – mit Ampelbewertung und priorisiertem Maßnahmenplan. Und als externer Datenschutzbeauftragter übernehmen wir die laufende Verantwortung, inklusive KI-Themen. Mehr auf unseren Seiten Datenschutz und KI-Beratung.