Welche Fragen ein Betrieb klären sollte, bevor Mitarbeitende mit einer KI-Anwendung und echten Betriebsdaten arbeiten, entlang der Orientierungshilfe der Datenschutzkonferenz.
Die Datenschutzkonferenz rät, vor der Auswahl einer KI-Anwendung Einsatzfelder und Zwecke festzulegen. Daraus folgt fast alles Weitere: welche Daten nötig sind, wo sie verarbeitet werden und wer verantwortlich ist.
Die Datenschutzkonferenz rät, vor der Auswahl einer KI-Anwendung die Einsatzfelder und Zwecke festzulegen und zu prüfen, ob sie überhaupt personenbezogene Daten brauchen [2]. Viele Aufgaben im Betrieb kommen ohne sie aus: eine Arbeitsanweisung formulieren, eine technische Unterlage lesen, eine Norm zusammenfassen. Wo Personen vorkommen, braucht jede Verarbeitung eine Rechtsgrundlage nach Artikel 6 DSGVO [1].
Die Orientierungshilfe unterscheidet geschlossene Systeme, bei denen die Daten in einer abgegrenzten Umgebung bleiben und nicht zum Training des Anbieters verwendet werden, von offenen Systemen, die über das Internet für einen unbestimmten Kreis zugänglich sind. Ihr Ergebnis: „Technisch geschlossene Systeme sind daher aus datenschutzrechtlicher Sicht vorzugswürdig.“ [2]
Offene Systeme können außerdem auf das Internet zugreifen und dadurch Informationen zu einer Person erweitern [2]. Für eine Übermittlung in Drittländer gelten die Regeln aus Kapitel V der DSGVO, also die Artikel 44 bis 50 [1].
Verantwortlich bleibt der Betrieb, der über Zweck und Mittel entscheidet. Nutzt er eine Anwendung eines externen Anbieters, etwa als Cloud-Lösung, ist das häufig eine Auftragsverarbeitung; dann braucht es einen Vertrag nach Artikel 28 Absatz 3 DSGVO [1][2].
Vor der Verarbeitung ist das Risiko abzuschätzen. Ist es voraussichtlich hoch, ist eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO Pflicht. Die DSK schreibt dazu: „Beim Einsatz von KI-Anwendungen wird dies vielfach der Fall sein.“ Der Betrieb braucht dafür Informationen des Anbieters über die Funktionsweise, und er sollte schon bei der Auswahl darauf achten, dass er sie bekommt [2].
Entscheidungen mit Rechtswirkung dürfen nach Artikel 22 DSGVO grundsätzlich nur Menschen treffen [1]. Eine nur formelle Beteiligung eines Menschen reicht nach der DSK nicht; der Mensch braucht einen tatsächlichen Entscheidungsspielraum. Ihr Beispiel für einen Verstoß: eine KI, die Bewerbungen auswertet und selbstständig zu Vorstellungsgesprächen einlädt [2].
Die DSK empfiehlt betriebliche Geräte und Konten statt privater, weil sonst Profile einzelner Beschäftigter entstehen können. Voreinstellungen sollen nach Artikel 25 DSGVO so gewählt sein, dass keine Eingaben zum Training verwendet werden. Datenschutzbeauftragte sollen eingebunden, eine Beteiligung von Betriebs- oder Personalrat soll geprüft werden, und die Beschäftigten sollen geschult werden [2].
Die Oase verarbeitet in der EU: Datenbank in Frankfurt, Modelle auf EU-Regionen begrenzt, Server in Deutschland. Die Modellanbieter verwenden Eingaben über ihre Programmierschnittstellen nicht zum Training. Jede Abfrage ist in der Datenbank selbst auf den eigenen Betrieb beschränkt. Betriebswissen und Internet sind getrennt: Wer im Internet recherchiert, erreicht in diesem Modus das Betriebswissen nicht. Wissen hängt an Rollen, und keine Ansicht zählt Beiträge je Mitarbeiter. Einzelheiten stehen unter Sicherheit.
Dieser Leitfaden ordnet ein und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der verlinkten Rechtstexte.
25 von 25
Faktenfragen mit Quelle beantwortet (Modus Gründlich)
Gemessen am 18. September 2026
0
erfundene Angaben in 300 Prüffragen über sechs Modelle
Gemessen am 25. September 2026
5,4 s
bis zum ersten Wort einer Antwort mit Quelle (Median, Modus Gründlich)
Gemessen am 18. September 2026
Prüfsatz mit 50 Fragen gegen ein echtes Betriebsgedächtnis, gleich für jedes Modell.
Ohne Zahlungsdaten. Alle Bereiche außer dem Individualbereich. Nach 7 Tagen gesperrt, Ihre Daten bleiben 14 Tage für die Übernahme.