Datenschutzbeauftragter bei KI-Projekten: Was Mittelständler 2026 vor dem Rollout klären müssen
Datenschutzbeauftragter KI-Projekte — das klingt nach einer Formalität, die man nach dem Rollout noch schnell abarbeitet. In der Praxis ist es umgekehrt: Wer den Datenschutzbeauftragten erst einschaltet, wenn das KI-System bereits im Einsatz ist, hat bereits Fakten geschaffen, die sich nur schwer korrigieren lassen. Hamburger Mittelständler, die 2026 KI-gestützte Prozesse einführen — ob Chatbot im Kundendienst, LLM-Assistenz in der Buchhaltung oder automatisierte Dokumentenanalyse — stehen vor einer überschaubaren, aber verbindlichen Checkliste, die vor dem ersten produktiven Request abgehakt sein muss.
Die rechtliche Lage ist inzwischen klarer als noch 2024: Die DSGVO galt schon immer, der EU-AI-Act greift seit August 2024 schrittweise und verpflichtet Betreiber bestimmter KI-Systeme zusätzlich zu technischen und organisatorischen Maßnahmen. Für den typischen Hamburger Mittelständler — Spedition in Billbrook, Kanzlei in der Innenstadt, Pflegedienst in Wandsbek — bedeutet das: Die Kombination aus Auftragsverarbeitung (AVV), Datenschutz-Folgenabschätzung (DSFA) und internem Verzeichnis ist kein optionaler Baustein, sondern der Pflichtrahmen.
In Kürze
DSB muss vor KI-Rollout eingebunden sein — nicht danach. DSFA, AVV mit LLM-Anbieter und Einwilligungskonzept sind Voraussetzung, kein Anhang.
Vor-Ort-Realität
Viele Hamburger KMU nutzen OpenAI, Microsoft Copilot oder Google Gemini über API — ohne zu prüfen, ob der AVV das tatsächlich deckt und ob Beschäftigtendaten übertragen werden.
EU-AI-Act-Bezug
General-Purpose-AI-Modelle (GPT-4o, Gemini etc.) fallen unter den Act. Betreiber müssen Nutzungsbedingungen dokumentieren und ggf. eigene Risikobewertungen erstellen.
Typische Fehlerquellen
Trainingsdaten aus dem eigenen CRM ohne Rechtsgrundlage, fehlende Transparenzpflicht gegenüber Betroffenen, keine Protokollierung der KI-Entscheidungen.
Was der Datenschutzbeauftragte vor dem KI-Rollout prüfen muss
Die Einbindung des DSB ist kein Formakt. Art. 35 DSGVO schreibt eine Datenschutz-Folgenabschätzung vor, sobald eine Verarbeitung „voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen“ mit sich bringt — KI-Systeme, die Mitarbeitende bewerten, Kunden segmentieren oder Entscheidungen automatisieren, erfüllen dieses Kriterium regelmäßig. Konkret bedeutet das für den Rollout-Prozess:
- DSFA durchführen: Zweck und Umfang der Verarbeitung dokumentieren, Risiken identifizieren (Profiling, automatisierte Entscheidungsfindung, besondere Kategorien personenbezogener Daten), Schutzmaßnahmen festlegen. Ergebnis: schriftliche DSFA, die der DSB vor Go-live zeichnet.
- Rechtsgrundlage klären: Für jede Datenkategorie, die in die KI fließt — Kundendaten, Personalakten, Gesundheitsdaten — braucht es eine saubere Grundlage: Einwilligung, berechtigtes Interesse oder Vertragserfüllung. Schwammige Formulierungen wie „für Verbesserungszwecke“ genügen nicht.
- Verzeichnis der Verarbeitungstätigkeiten (VVT) aktualisieren: Jede neue KI-Anwendung ist ein neuer Eintrag im VVT. Das ist keine Option.
- Transparenzpflichten umsetzen: Betroffene müssen wissen, dass ihre Daten von einem KI-System verarbeitet werden. Datenschutzerklärung und interne Mitarbeiterinformation anpassen.
- Beschäftigtendatenschutz separat prüfen: Nutzen Mitarbeitende KI-Tools (Copilot, ChatGPT Enterprise), die Eingaben protokollieren oder für Training verwenden, greift § 26 BDSG. Ohne Betriebsvereinbarung oder konkrete Rechtsgrundlage ist das problematisch.
Auftragsverarbeitung bei LLM-Anbietern: Was der AVV leisten muss
Die meisten KI-Dienste — OpenAI, Microsoft Azure OpenAI, Google Vertex AI, Anthropic — bieten Auftragsverarbeitungsverträge an. Aber ein vorliegender AVV bedeutet nicht automatisch, dass er für den konkreten Anwendungsfall ausreicht. Der DSB muss folgende Punkte aktiv prüfen:
| Prüfpunkt | Was zu klären ist | Typisches Problem |
|---|---|---|
| Datenstandort | Werden Daten in der EU verarbeitet oder in Drittstaaten übertragen? | Viele US-Anbieter verarbeiten standardmäßig in den USA; EU-Regions-Option muss explizit aktiviert werden. |
| Trainingsdatennutzung | Werden Prompts und Eingaben für Modell-Training verwendet? | Consumer-APIs (z.B. ChatGPT Free/Plus) trainieren auf Eingaben — für Unternehmensdaten unzulässig ohne Opt-out. |
| Sub-Auftragsverarbeiter | Welche Unterauftragnehmer des KI-Anbieters erhalten Zugriff? | Kette oft unklar; Anbieter muss vollständige Sub-AV-Liste bereitstellen. |
| Löschfristen | Wie lange speichert der Anbieter Eingaben/Ausgaben? | Logs werden teils 30–90 Tage gehalten; für Gesundheits- oder Finanzdaten kritisch. |
| Drittlandtransfer-Basis | Auf welcher Grundlage erfolgt ggf. Übertragung in Nicht-EU-Länder? | EU-Standardvertragsklauseln allein reichen oft nicht; Transfer Impact Assessment erforderlich. |
Wichtig: Enterprise-Verträge (z.B. Azure OpenAI Service, OpenAI API mit Data Processing Agreement) unterscheiden sich erheblich von Consumer-Zugängen. Wer KI über den persönlichen ChatGPT-Account im Büro nutzt, hat faktisch keinen AVV — das ist ein Datenschutzmangel, den der DSB sofort abstellen muss.
EU-AI-Act: Was Mittelständler als Betreiber wissen müssen
Der EU-AI-Act ist kein reines Entwickler-Gesetz. Unternehmen, die KI-Systeme einsetzen, gelten als „Betreiber“ und haben eigene Pflichten — auch wenn sie das Modell nicht selbst trainiert haben. Für den Hamburger Mittelstand relevant:
- Hochrisiko-KI-Systeme (Personalentscheidungen, Kreditwürdigkeit, biometrische Identifikation): Vor dem Einsatz muss eine Konformitätsprüfung stattfinden, eine technische Dokumentation vorliegen und ein Risikomanagement-System betrieben werden. Der DSB ist hier zwingend einzubinden.
- General-Purpose AI (GPAI): Modelle wie GPT-4o oder Gemini 1.5 fallen unter den Act als GPAI-Modelle. Betreiber müssen sicherstellen, dass sie diese Modelle nur für Zwecke einsetzen, die den Nutzungsbedingungen des Anbieters entsprechen, und eigene Risikoabwägungen dokumentieren.
- Transparenzpflichten: KI-generierte Inhalte (z.B. automatisierte E-Mails, Chatbot-Antworten) müssen als solche erkennbar sein, wenn eine natürliche Person davon ausgehen könnte, mit einem Menschen zu kommunizieren.
- Verbotene Praktiken (seit Februar 2025 gültig): Subliminal-Manipulation, Social Scoring, bestimmte biometrische Massenüberwachung — wer diese Systeme auch unbeabsichtigt einsetzt, hat ein Problem.
Realitätscheck: Die meisten Hamburger Mittelständler sind keine Hochrisiko-Betreiber im AI-Act-Sinne. Wer aber KI im HR-Bereich (Bewerberselektion, Leistungsbewertung) einsetzt oder automatisierte Kreditentscheidungen trifft, ist es — und hat 2026 konkrete Dokumentationspflichten, die ohne DSB kaum handhabbar sind.
„Die häufigste Frage, die wir kurz vor dem KI-Rollout hören, ist: Müssen wir das wirklich alles dokumentieren? Die Antwort ist ja — aber der Aufwand ist überschaubar, wenn man früh anfängt. Wer uns erst ruft, wenn das System läuft und die erste Beschwerde reinkommt, zahlt das Mehrfache an Nacharbeit.“
— Nils Oehmichen, zertifizierter Datenschutzbeauftragter, Externer Datenschutzbeauftragter Hamburg
Kosten und Modelle: Was ein externer DSB für KI-Projekte kostet
Die Frage nach den Kosten ist legitim. Ein externer Datenschutzbeauftragter mit KI-Erfahrung arbeitet in der Regel auf Monatspauschalen-Basis, die je nach Unternehmensgröße und Komplexität variieren. Marktüblich sind für KMU folgende Strukturen:
- Kleine Unternehmen bis 25 Mitarbeitende: Monatliche Pauschalen im unteren dreistelligen Bereich, die laufende Beratung, VVT-Pflege und Erreichbarkeit bei Vorfällen abdecken.
- Mittlere Unternehmen bis 100 Mitarbeitende: Pauschalen im mittleren dreistelligen Bereich, inklusive Mitarbeiterschulungen und DSFA-Begleitung.
- Größere Mittelständler ab 100 Mitarbeitende: Umfangspakete, die komplexe KI-Projekte, Behördenkommunikation und Auditbegleitung einschließen.
Der Externer Datenschutzbeauftragter Hamburg (edsb-hamburg) bietet Festpreis-Pakete ohne Einrichtungsgebühr: Starter für 149 €/Monat (bis 25 Mitarbeitende), Professional für 299 €/Monat (bis 100 Mitarbeitende) und Enterprise für 499 €/Monat (100+ Mitarbeitende). Alle Pakete sind monatlich kündbar und beinhalten die Hugo-DSB-Plattform mit digitaler VVT-Verwaltung, AVV-Generierung und Vorfallmeldung — was bei KI-Projekten direkt relevant ist, weil sich Dokumentationspflichten dort häufen.
Zum Vergleich: Ein einmaliger DSFA-Auftrag an eine Kanzlei kostet marktüblich 2.000–5.000 €, deckt aber keine laufende Betreuung ab. Für Unternehmen, die regelmäßig neue digitale Prozesse einführen, rechnet sich die Pauschale schneller als erwartet.
Ab wann muss der Datenschutzbeauftragte bei einem KI-Projekt eingeschaltet werden?
Spätestens in der Konzeptionsphase — bevor Testdaten mit echten Personenbezügen verarbeitet werden. Idealerweise bereits bei der Anbieterauswahl, weil AVV-Verhandlungen und Drittlandtransfer-Prüfungen Zeit brauchen. Wer erst nach der Implementierung kommt, riskiert, das System abschalten zu müssen.
Braucht jedes Unternehmen zwingend einen Datenschutzbeauftragten für KI-Projekte?
Nicht automatisch — die gesetzliche Pflicht zur Benennung gilt ab 20 Personen, die regelmäßig personenbezogene Daten verarbeiten, oder bei bestimmten Verarbeitungsarten (Gesundheitsdaten, Scoring, Videoüberwachung). KI-Systeme erfüllen diese Schwelle häufig. Auch ohne gesetzliche Pflicht ist ein DSB bei KI sinnvoll, weil die DSFA-Verpflichtung unabhängig davon gilt.
Dürfen Mitarbeiterdaten für das Training eigener KI-Modelle verwendet werden?
Nur mit ausdrücklicher Rechtsgrundlage. § 26 BDSG erlaubt Beschäftigtendatenverarbeitung nur zur Begründung, Durchführung oder Beendigung des Arbeitsverhältnisses. KI-Training fällt nicht darunter. Einwilligungen sind im Arbeitsverhältnis problematisch (Freiwilligkeit fraglich). Praxis: Trainingsdaten anonymisieren oder synthetisch generieren lassen.
Wie lange dauert eine DSFA für ein KI-Projekt typischerweise?
Bei guter Vorbereitung (Systemdokumentation, Datenflüsse bekannt, AVV liegt vor) zwei bis vier Wochen. Ohne Vorarbeit deutlich länger. Der DSB braucht technische Details vom Anbieter, die dieser manchmal erst auf Anfrage herausgibt — das ist ein realer Zeitfaktor bei der Rollout-Planung.
Was passiert, wenn ein KI-Datenschutzverstoß gemeldet wird?
Datenschutzverletzungen müssen der Aufsichtsbehörde (in Hamburg: HmbBfDI) innerhalb von 72 Stunden gemeldet werden, wenn ein Risiko für Betroffene besteht. Der DSB koordiniert diese Meldung, bewertet den Vorfall und dokumentiert die Reaktion. Ohne DSB läuft diese Frist oft ab, bevor überhaupt klar ist, wer zuständig ist — das ist der häufigste Fehler bei KI-Vorfällen.
Für Hamburger Mittelständler, die 2026 KI-Projekte ernsthaft umsetzen wollen, ist die Einbindung eines erfahrenen Datenschutzbeauftragten kein bürokratischer Overhead, sondern der kürzeste Weg zur rechtssicheren Produktivnutzung. Wer Dokumentation, DSFA und AVV-Prüfung nicht intern stemmen kann oder will, lohnt der Blick auf den externer Datenschutzbeauftragter Hamburg, der mit Festpreispaketen, TÜV-zertifizierten Beratern und digitaler DSB-Plattform auch komplexe KI-Rollouts strukturiert begleitet — ohne dass beim ersten Behördenbrief die Orientierung fehlt.
