DSGVO und KI-Verordnung: Pflichten im Überblick

Ein Bewerber-Screening-Tool, ein Kundenservice-Chatbot oder ein Modell zur Bonitätsprüfung wird in den wenigsten Unternehmen sauber getrennt nach "DSGVO-Fall" oder "KI-Verordnung-Fall" behandelt. Sobald personenbezogene Daten im Spiel sind, ist es meistens beides gleichzeitig, und zwar mit zwei Prüfschritten, die nicht deckungsgleich sind. Wer die beiden Regelwerke nacheinander abarbeitet, riskiert nicht nur doppelte Arbeit, sondern übersieht ausgerechnet die Stellen, an denen sie sich reiben oder in unterschiedliche Richtungen zeigen. Dieser Beitrag konzentriert sich genau auf diese Schnittstelle, nicht auf eine erneute Einführung in die KI-Verordnung selbst.

Zwei Prüfungen für dasselbe System: Art. 22 DSGVO und die Hochrisiko-Einstufung

Art. 22 DSGVO greift nur, wenn eine Entscheidung ausschließlich automatisiert getroffen wird und rechtliche oder ähnlich erhebliche Wirkung für eine Person entfaltet, etwa eine automatisierte Kreditablehnung ohne menschliche Beteiligung. Die Einstufung als Hochrisiko-KI-System nach Anhang III der KI-Verordnung folgt einer anderen Logik: Sie knüpft an den Einsatzbereich an, unter anderem Personalauswahl, Kreditwürdigkeitsprüfung oder bestimmte Bereiche der öffentlichen Verwaltung, und greift unabhängig davon, ob am Ende ein Mensch die letzte Entscheidung trifft. Ein System, bei dem eine Personalabteilung die KI-Vorauswahl am Ende noch bestätigt, fällt damit häufig aus Art. 22 DSGVO heraus, bleibt aber im Anwendungsbereich der KI-Verordnung.

Für die Praxis heißt das: Die Frage "Entscheidet am Ende ein Mensch?" beantwortet nur die DSGVO-Seite. Die AI-Act-Frage nach Einsatzbereich und Risikostufe muss separat gestellt werden. Beide Ergebnisse können auseinanderfallen: ein Hochrisiko-System ohne Art.-22-Fall, oder umgekehrt ein Art.-22-Fall, dessen Einsatzbereich gar nicht in Anhang III gelistet ist und der deshalb keine Hochrisiko-Pflichten auslöst. Ein Unternehmen, das nur eine der beiden Fragen stellt, hat im Zweifel nur die halbe Antwort.

Zwei Folgenabschätzungen für dasselbe Projekt: DSFA und Grundrechte-Folgenabschätzung

Die Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) ist bei voraussichtlich hohem Risiko für die Rechte und Freiheiten betroffener Personen durch eine Verarbeitung personenbezogener Daten Pflicht. Die Grundrechte-Folgenabschätzung (FRIA, Art. 27 KI-Verordnung) trifft eine engere Gruppe von Betreibern, unter anderem Behörden und bestimmte private Anbieter wesentlicher Dienstleistungen wie Banken oder Versicherer, wenn sie ein Hochrisiko-System einsetzen. Die beiden Instrumente schützen unterschiedliche Dinge: Die DSFA bewertet Risiken aus der konkreten Datenverarbeitung, die FRIA bewertet Auswirkungen auf Grundrechte im konkreten Einsatzkontext, etwa Diskriminierungsrisiken oder Zugang zu wesentlichen Leistungen, die über reinen Datenschutz hinausgehen.

Die KI-Verordnung sieht in Art. 27 Abs. 4 ausdrücklich vor, dass eine bereits durchgeführte DSFA die FRIA ergänzt, statt sie komplett zu ersetzen. Der Gesetzgeber rechnet also mit Wiederverwendung, nicht mit zwei unabhängigen Dokumenten. In der Praxis bedeutet das: Wer beide Pflichten treffen können, sollte den Risikobewertungsprozess von Anfang an als ein gemeinsames Vorgehen aufsetzen, das um die grundrechtsspezifischen Aspekte ergänzt wird, die eine reine DSFA typischerweise nicht abdeckt. Eine DSFA nachträglich zu einer FRIA aufzublasen, kostet in aller Regel mehr Aufwand, als von vornherein einen gemeinsamen Rahmen zu entwerfen.

Datenminimierung gegen Datenhunger: ein eingebauter Zielkonflikt

Der DSGVO-Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c) verlangt, nicht mehr personenbezogene Daten zu verarbeiten als für den Zweck erforderlich. Das Training und Finetuning von KI-Modellen funktioniert in die entgegengesetzte Richtung: Mehr und vielfältigere Daten verbessern in der Regel Genauigkeit und verringern Verzerrungen. Das ist kein Missverständnis, das sich durch bessere Dokumentation auflösen lässt, sondern ein echter Zielkonflikt zwischen zwei legitimen Anliegen.

Der Europäische Datenschutzausschuss hat sich in seiner Stellungnahme 28/2024 vom Dezember 2024 mit genau diesem Spannungsfeld befasst. Zwei Kernaussagen sind für Unternehmen relevant: Erstens kann berechtigtes Interesse als Rechtsgrundlage für Entwicklung und Betrieb von KI-Modellen dienen, geprüft anhand eines dreistufigen Tests aus Zweckbestimmung, Erforderlichkeit und einer Abwägung gegen die Interessen und berechtigten Erwartungen der betroffenen Personen. Zweitens ist die Anonymität eines trainierten Modells keine automatische Eigenschaft, sondern muss im Einzelfall geprüft werden, unter anderem danach, wie unwahrscheinlich eine Re-Identifizierung oder ein Extrahieren personenbezogener Daten aus dem Modell ist. Wurden die Trainingsdaten unrechtmäßig verarbeitet, kann das laut der Stellungnahme auch die spätere Nutzung des daraus entstandenen Modells belasten, sofern keine Abhilfemaßnahmen erfolgen.

Interessant ist, wie der Gesetzgeber selbst mit dem Zielkonflikt umgeht: Das Digital-Omnibus-Paket sieht eine neue, eng gefasste Ausnahme in Art. 9 DSGVO vor, die es erlaubt, besondere Kategorien personenbezogener Daten gezielt zur Erkennung und Korrektur von Verzerrungen in KI-Systemen zu verarbeiten. Das ist bemerkenswert: Die Fairness-Pflichten der KI-Verordnung drängen in eine Richtung, die dem DSGVO-Grundprinzip der Minimierung eigentlich widerspricht, nämlich mehr sensible Daten gezielt zu verarbeiten, um Diskriminierung zu vermeiden. Die im Digital-Omnibus-Paket vorgesehene Antwort ist keine allgemeine Lockerung, sondern eine schmale, zweckgebundene Ausnahme mit eigenen Schutzvorkehrungen. Für Unternehmen folgt daraus: "Wir nutzen nur, was nötig ist" beantwortet nicht automatisch beide Fragen. Erforderlichkeit für die Modellqualität und Erforderlichkeit als Rechtsgrundlage sind zwei getrennte Prüfungen, die auch getrennt dokumentiert werden sollten.

Fragmentierte Durchsetzung: mehrere Behörden für ein und dasselbe System

Die DSGVO wird in Deutschland von den Landesdatenschutzbehörden und dem BfDI durchgesetzt. Für die KI-Verordnung hat der Bundestag mit dem Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG), das im Juli 2026 in Kraft getreten ist, die Bundesnetzagentur als zentrale Marktüberwachungsbehörde bestimmt, insbesondere als Auffangzuständigkeit für die in Anhang III gelisteten Bereiche, während etablierte Fachaufsichten wie die BaFin in bereits harmonisierten Produktbereichen zuständig bleiben. Für allgemeine KI-Modelle mit systemischem Risiko ist zusätzlich das europäische AI Office zuständig, das seine Aufsicht unter anderem über den freiwilligen GPAI Code of Practice organisiert, der seit August 2025 zur Zeichnung offensteht und dessen Durchsetzung ab August 2026 beginnt.

Für ein Unternehmen bedeutet das praktisch: Dieselbe KI-Anwendung kann von der zuständigen Datenschutzbehörde wegen der Rechtsgrundlage der Datenverarbeitung geprüft werden und unabhängig davon von der Bundesnetzagentur wegen der AI-Act-Konformität, mit unterschiedlichen Ansprechstellen, Verfahren und Fristen, ohne Garantie, dass beide Behörden dieselbe Situation gleich einordnen. Dass diese Aufteilung nicht selbstverständlich war, zeigt ein Positionspapier der Datenschutzkonferenz von Mai 2024, das dafür plädierte, den Datenschutzbehörden auch über die DSGVO hinaus Zuständigkeiten für die KI-Verordnung zu übertragen. Der Gesetzgeber hat sich stattdessen für die Bundesnetzagentur entschieden. Selbst innerhalb Deutschlands war also nicht von vornherein klar, wie die Zuständigkeiten am sinnvollsten organisiert werden sollten, und die Abstimmung zwischen den beteiligten Stellen entwickelt sich weiter, statt bereits vollständig eingespielt zu sein.

Internationale Datenübermittlung: eine Frage, zu der die KI-Verordnung schweigt

Viele in Unternehmen genutzte KI-Werkzeuge stammen von Anbietern außerhalb der EU, häufig aus den USA. Ob personenbezogene Daten dorthin übermittelt werden dürfen, regelt ausschließlich die DSGVO, über einen Angemessenheitsbeschluss nach Art. 45 oder über Standardvertragsklauseln. Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework von Juli 2023 gilt weiterhin, wurde aber vor dem Europäischen Gericht angefochten. Die Klage wurde im September 2025 in erster Instanz abgewiesen, ein Rechtsmittel ist inzwischen beim Europäischen Gerichtshof anhängig. Das erinnert an das Muster früherer Angemessenheitsbeschlüsse, die nach Jahren gerichtlich zu Fall gebracht wurden, ohne dass daraus schon ein bestimmtes Ergebnis für dieses Verfahren folgt.

Die KI-Verordnung selbst enthält zu dieser Übermittlungsfrage keine eigenen Regeln. Ein KI-System kann sämtliche Transparenz- und Dokumentationspflichten der KI-Verordnung erfüllen, während die DSGVO-Übermittlungsgrundlage für dieselbe Datenverarbeitung offen oder rechtlich angreifbar bleibt. Eine Anbieterprüfung, die nur die AI-Act-Dokumentation abfragt, aber nicht die Übermittlungsgrundlage, prüft entsprechend nur eine der beiden relevanten Fragen.

In der Praxis: beide Regelwerke zusammen statt nacheinander prüfen

• Für jeden KI-Anwendungsfall beide Fragen getrennt und explizit beantworten: Liegt eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO vor, und fällt der Einsatzbereich unter Anhang III der KI-Verordnung? Beide Antworten können unabhängig voneinander ja oder nein lauten.
• Die Risikobewertung als einen gemeinsamen Prozess konzipieren, der DSFA und, wo einschlägig, FRIA von Anfang an zusammendenkt, statt zwei getrennte Dokumente am Ende zusammenzufügen.
• Die Rechtsgrundlage für Trainings- und Finetuning-Daten dokumentieren, bevor über die benötigte Datenmenge oder -vielfalt entschieden wird, und Erforderlichkeit für die Modellqualität von Erforderlichkeit als Rechtsgrundlage begrifflich auseinanderhalten.
• Anbieter-Due-Diligence so aufsetzen, dass AI-Act-Dokumentation und DSGVO-Übermittlungsgrundlage gemeinsam geprüft werden, insbesondere bei Anbietern außerhalb der EU.
• Fristverschiebungen und Vereinfachungen auf der AI-Act-Seite, etwa durch das Digital-Omnibus-Paket, nicht mit einer Lockerung der parallel geltenden DSGVO-Pflichten verwechseln.

Dieser Beitrag bietet eine allgemeine Orientierung zum Zusammenspiel beider Regelwerke und ersetzt keine Rechtsberatung für Ihre konkrete Situation. Wie sich DSGVO und KI-Verordnung im Einzelfall zueinander verhalten, hängt von Details des jeweiligen Systems, seines Einsatzbereichs und der beteiligten Akteure ab, die ein Überblicksartikel nicht abbilden kann. Komplya legt bei eigenen Inhalten offen, welche Ebenen bereits rechtlich geprüft sind und welche noch als Entwurf gelten, damit Sie das entsprechend einordnen können.

Der schnellste Weg von dieser allgemeinen Einordnung zu einer konkreten Antwort für Ihr Unternehmen ist ein strukturierter Blick auf Ihre tatsächlichen KI-Anwendungsfälle und die damit verarbeiteten personenbezogenen Daten. Beantworten Sie dazu einen kurzen Fragebogen zu Ihrer Situation.