Drei offizielle Leitwerke erschienen 2025: Die Datenschutzkonferenz, der Bitkom (Praxisleitfaden 2.0) und die Bundesdatenschutzbeauftragte Prof. Dr. Louisa Specht-Riemenschneider haben unabhängig voneinander Leitfäden für den DSGVO-konformen Einsatz von LLMs herausgegeben. Für mittelständische Unternehmen, die generative KI oder RAG-Systeme einführen wollen, ist die Rechtslage komplex: DSGVO und EU-KI-Verordnung greifen gleichzeitig. Die drei Leitwerke bündeln erstmals praxisnahe Checklisten, rechtliche Grundlagen und konkrete Hinweise zu Zweckbindung, Datentransparenz und memorisierten Daten in LLMs. Compliance-Verantwortliche erhalten damit eine belastbare Grundlage, bevor sie Systeme in Betrieb nehmen.

KI-Datenschutz im Mittelstand: DSGVO-konforme Nutzung von LLMs und RAG-Systemen 2025

Drei unabhängige Stellen haben innerhalb kurzer Zeit Orientierungshilfen für den datenschutzkonformen Einsatz von KI-Sprachmodellen veröffentlicht: die deutsche Datenschutzkonferenz (DSK), die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) sowie der Bitkom-Verband. Das signalisiert, wie dringend der Regelungsbedarf in der Praxis geworden ist.

Leitfakt: Drei Behörden und Verbände adressieren gleichzeitig denselben Compliance-Engpass

Der parallele Veröffentlichungsschub ist kein Zufall. Generative KI auf Basis großer Sprachmodelle (LLMs) ist in deutschen Unternehmen und Behörden angekommen, doch der rechtliche Rahmen war bislang unübersichtlich. Die DSK hat einen Leitfaden speziell für LLMs herausgegeben, der drei Bereiche gliedert: Einsatzfelder und Zwecke, Implementierung und laufende Nutzung. Parallel dazu hat die BfDI die Handreichung “KI in Behörden: Datenschutz von Anfang an mitdenken” vorgelegt, die sich ausdrücklich an öffentliche Stellen des Bundes richtet. Bitkom wiederum hat seinen Praxisleitfaden “KI & Datenschutz” in einer zweiten, aktualisierten Auflage (Version 2.0, 2025) veröffentlicht, der Checklisten, Definitionen und Umsetzungshinweise für Datenschutzbeauftragte, IT- und Compliance-Verantwortliche sowie Entwickler enthält.

Die KI-Verordnung (EU AI Act) und die DSGVO greifen dabei ineinander: Die BfDI beschreibt beide Regelwerke als Instrumente, die sich “zu einem kohärenten” Rahmen ergänzen. Die DSK signalisiert zudem, die Aufgabe der nationalen Marktüberwachung für KI-Systeme übernehmen zu wollen.

Praktische Implikationen für Unternehmen im Mittelstand

1. Zweckfestlegung vor dem Einsatz ist Pflicht, nicht Option

Die DSK stellt klar: Vor der Auswahl einer KI-Anwendung muss der Verarbeitungszweck verbindlich festgelegt werden. Anwendungen, die ohne definierten Zweck eingeführt werden, verstoßen bereits in der Planungsphase gegen DSGVO-Grundsätze. Für den Mittelstand bedeutet das, dass ein kurzes Pilotprojekt oder ein informeller ChatGPT-Test im Unternehmensnetz keine rechtlich tragfähige Grundlage darstellt, sobald personenbezogene Daten verarbeitet werden. Wer RAG-Systeme im Eigenbau einsetzt, muss diesen Schritt besonders sorgfältig dokumentieren, da dabei unternehmenseigene Daten als Retrievalquelle dienen.

2. Memorisierte Daten in LLMs sind ein konkretes Haftungsrisiko

Die BfDI hebt einen technischen Sachverhalt hervor, der in der Praxis oft unterschätzt wird: LLMs können während des Trainings Daten “memorisieren” und diese bei Abfragen reproduzieren. Das betrifft potenziell personenbezogene Informationen, die im Trainingskorpus enthalten waren. Für Unternehmen, die externe LLM-APIs nutzen, ist daher die vertragliche Ausgestaltung der Auftragsverarbeitung entscheidend. Wer dies noch nicht geprüft hat, findet einen Einstieg in den Anforderungen rund um DSGVO und LLM-Auftragsverarbeitung. Ergänzend sind die EDPB-Leitlinien 2025 zur Datenverarbeitung durch generative KI zu beachten.

3. Rechtmäßigkeit und Transparenz müssen von Beginn an eingebaut werden

Sowohl die BfDI-Handreichung als auch der Bitkom-Leitfaden 2.0 betonen, dass Datenschutz kein nachgelagerter Prüfschritt ist, sondern von Projektbeginn an in die Systemarchitektur einfließen muss. Das umfasst die Rechtsgrundlage der Datenverarbeitung, die Information betroffener Personen und die Dokumentation technischer und organisatorischer Maßnahmen. Kleine und mittlere Unternehmen, die KI-Implementierungsrisiken im Mittelstand minimieren wollen, sollten diese Anforderungen bereits im Anforderungsheft für KI-Projekte verankern.

4. Auf-premise-Modelle als datenschutzrechtliche Alternative prüfen

Wer personenbezogene Daten nicht an externe Anbieter übermitteln möchte, kann auf lokal betriebene, kleinere Sprachmodelle ausweichen. Kleine Modelle on-premise bieten zwar geringere Leistungsfähigkeit als kommerzielle Frontier-Modelle, reduzieren aber die datenschutzrechtlichen Risiken erheblich, da keine Datenübertragung an Drittanbieter stattfindet. Die BSI-Richtlinien für sichere KI-Systeme geben dabei zusätzliche Orientierung für die technische Absicherung: BSI-Richtlinien für sichere KI-Systeme.

Einordnung

Die parallele Veröffentlichung der drei Leitwerke zeigt, dass der regulatorische Druck auf Unternehmen in Deutschland 2025 spürbar zunimmt. Mit dem EU AI Act kommen weitere Anforderungen, insbesondere für Hochrisiko-KI-Systeme. Die EU-AI-Act-Compliance-Roadmap mit ihren Fristen und Phasen bis 2026 gibt Unternehmen eine zeitliche Orientierung, bis wann welche Anforderungen umgesetzt sein müssen. Wer jetzt strukturiert vorgeht, vermeidet kostspielige Nachbesserungen.

Quellen

• Datenschutzkonferenz gibt Leitfaden für DSGVO-konforme KI-Anwendungen (heise.de)
• KI & Datenschutz – Praxisleitfaden 2.0, Bitkom e.V. (bitkom.org)
• Bundesdatenschutzbeauftragte veröffentlicht Handreichung für KI und Datenschutz (heise.de)

Häufige Fragen

Welche rechtlichen Grundlagen müssen Unternehmen beim Einsatz von LLMs beachten?

Zwei Regelwerke sind maßgeblich: die DSGVO und die EU-KI-Verordnung. Die DSGVO regelt die Rechtmäßigkeit und die Grenzen der Verarbeitung personenbezogener Daten. Die KI-Verordnung regelt das Inverkehrbringen, die Inbetriebnahme und die Verwendung von KI-Systemen. Beide Regelwerke ergänzen sich laut der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) zu einem kohärenten Rahmen.

Was empfiehlt die deutsche Datenschutzkonferenz konkret für den Einsatz von KI im Unternehmen?

Die Datenschutzkonferenz empfiehlt, vor dem Einsatz einer KI-Anwendung zwingend einen klaren Verwendungszweck festzulegen. Ihr Leitfaden gliedert sich in drei Bereiche: Auswahl von Einsatzfeldern und Zwecken, Implementierung sowie Nutzung. Das Dokument richtet sich explizit an LLMs, ist aber auch auf andere KI-Modelle anwendbar.

Gibt es praxistaugliche Orientierungshilfen für Datenschutzbeauftragte und Compliance-Verantwortliche?

Ja. Bitkom hat 2025 die zweite Auflage seines Praxisleitfadens ‘KI & Datenschutz’ veröffentlicht. Er enthält Checklisten, Definitionen und konkrete Umsetzungstipps. Die Publikation richtet sich an Datenschutzbeauftragte, IT- und Compliance-Verantwortliche, Entwickler sowie Entscheidungsträger und deckt sowohl rechtliche Grundlagen als auch ethische Fragestellungen ab.

Welche besonderen Risiken entstehen durch in LLMs memorisierte Daten?

Ein zentrales Problem ist, dass LLMs während des Trainings personenbezogene Daten aufnehmen und diese später bei der Nutzung reproduzieren können. Die BfDI benennt diesen Umstand als eine der Hauptursachen für rechtliche Unsicherheiten. Ihre Handreichung ‘KI in Behörden – Datenschutz von Anfang an mitdenken’ zielt darauf ab, eine strukturierte und lösungsorientierte Herangehensweise an genau dieses Problem zu entwickeln.

Wer überwacht künftig die Einhaltung der EU-KI-Verordnung in Deutschland?

Die deutschen Datenschutzaufsichtsbehörden haben signalisiert, die Aufgabe der nationalen Marktüberwachung für KI-Systeme im Rahmen des AI Acts übernehmen zu wollen. Sie begründen dies mit ihrer bestehenden Expertise im digitalen Grundrechtsschutz, die sich auf die KI-Aufsicht ausweiten lasse.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.