Zwei Regelwerke, nicht eines statt des anderen
Die KI-Verordnung tritt neben die DSGVO. Ein System kann nach der einen völlig unproblematisch und nach der anderen unzulässig sein. Die teuerste Verwechslung an dieser Schnittstelle ist die der Rollen: Verantwortlicher und Betreiber werden nach verschiedenen Kriterien bestimmt und fallen nicht immer zusammen.
Wo liegt der Unterschied?
| Frage | DSGVO | KI-Verordnung |
|---|---|---|
| Was wird geschützt | die Person und ihre Daten | Sicherheit und Grundrechte, über das Produkt geregelt |
| Wann anwendbar | sobald personenbezogene Daten verarbeitet werden | sobald ein KI-System in Verkehr gebracht oder betrieben wird — auch ohne Personenbezug |
| Rollen | Verantwortlicher, Auftragsverarbeiter | Anbieter, Betreiber, Einführer, Händler |
| Folgenabschätzung | DSFA nach Artikel 35, wenn hohes Risiko für Betroffene | Grundrechte-Folgenabschätzung nach Artikel 27, nur bei bestimmten Hochrisiko-Fällen |
| Rechtsgrundlage für die Verarbeitung | zwingend, Artikel 6 — ohne sie geht nichts | liefert keine; die Verordnung ersetzt die Rechtsgrundlage nicht |
| Zuständige Stelle | Datenschutzaufsicht | Marktüberwachungsbehörde |
| Bußgeldrahmen | bis 20 Mio. € oder 4 % des Umsatzes | bis 35 Mio. € oder 7 % bei verbotenen Praktiken, sonst niedriger |
Die Gegenüberstellung ist verkürzt und ersetzt keine rechtliche Prüfung im Einzelfall.
Wo treffen sich beide am schärfsten?
Bei der automatisierten Entscheidung über Menschen. Artikel 22 DSGVO verbietet im Grundsatz Entscheidungen, die ausschließlich automatisiert ergehen und rechtliche Wirkung entfalten oder die Person erheblich beeinträchtigen — die Ablehnung eines Kredits, die Aussortierung einer Bewerbung, eine Maßnahme im Arbeitsverhältnis.
Genau diese Anwendungen führt Anhang III der KI-Verordnung als Hochrisiko. Und die beiden Regelwerke fordern dort Verschiedenes, was regelmäßig übersehen wird:Artikel 22 DSGVO gibt der betroffenen Person ein Recht — auf Eingreifen eines Menschen, auf Darlegung des eigenen Standpunkts, auf Anfechtung. Artikel 14 der KI-Verordnung verlangt eine Eigenschaft des Systems — es muss so gebaut sein, dass eine befähigte Person es wirksam beaufsichtigen kann. Ein System, das die eine Anforderung erfüllt, erfüllt die andere nicht automatisch.
Die praktische Folge: Eine Freigabeschleife, in der ein Mensch das Ergebnis gegenzeichnet, genügt für Artikel 22 nur dann, wenn dieser Mensch tatsächlich entscheiden kann und nicht bloß bestätigt. Eine Oberfläche, die nur einen Bestätigungsknopf anbietet, erzeugt keine Aufsicht, sondern deren Anschein — und wird in der Aufsichtspraxis auch so behandelt.
Eine Bestandsaufnahme reicht für beide
Der häufigste vermeidbare Aufwand an dieser Schnittstelle ist, dieselbe Arbeit zweimal zu machen. Datenschutz und KI-Einordnung beginnen mit derselben Frage: welche Systeme laufen tatsächlich, wer setzt sie ein, welche Daten fließen hinein und wohin gehen sie.
Aus dieser einen Liste entstehen beide Ergebnisse — das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO und die Risikoeinordnung nach der KI-Verordnung. Wer sie getrennt führt, pflegt zwei Listen, die nach einem halben Jahr auseinanderlaufen, und findet den Widerspruch im ungünstigsten Moment.
Der aufwendige Teil ist dabei nicht das Formular, sondern die Ehrlichkeit der Erhebung. Sie fördert regelmäßig Werkzeuge zutage, von denen weder die IT noch der Datenschutzbeauftragte wusste — und beide Regelwerke knüpfen an den tatsächlichen Einsatz an, nicht an den genehmigten.
Häufige Fragen
Gilt die DSGVO für KI-Systeme überhaupt noch?+
Vollständig. Die KI-Verordnung tritt neben die DSGVO, nicht an ihre Stelle. Erwägungsgrund und Systematik sind hier eindeutig: Wer personenbezogene Daten verarbeitet, braucht weiterhin eine Rechtsgrundlage nach Artikel 6 DSGVO, muss Betroffenenrechte erfüllen und Löschfristen einhalten — unabhängig davon, wie das System nach der KI-Verordnung eingestuft ist. Ein System kann nach der KI-Verordnung völlig unproblematisch und nach der DSGVO unzulässig sein.
Sind Verantwortlicher und Betreiber dasselbe?+
Sie sind es nicht, und diese Gleichsetzung ist der teuerste Irrtum an dieser Schnittstelle. Die Rollen werden nach verschiedenen Kriterien bestimmt: Verantwortlicher ist, wer über Zwecke und Mittel der Datenverarbeitung entscheidet; Betreiber ist, wer ein KI-System unter eigener Verantwortung verwendet. Häufig fallen sie zusammen, aber nicht immer. Ein Dienstleister kann Auftragsverarbeiter nach DSGVO und zugleich Anbieter nach der KI-Verordnung sein — mit Pflichten, die kein Auftragsverarbeitungsvertrag abbildet.
Was hat Artikel 22 DSGVO mit der KI-Verordnung zu tun?+
Artikel 22 DSGVO verbietet im Grundsatz Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche Wirkung entfalten oder erheblich beeinträchtigen — Kreditablehnung, Bewerberauswahl, Kündigung. Genau diese Anwendungen sind in Anhang III der KI-Verordnung als Hochrisiko eingestuft. Die beiden Regelwerke treffen sich dort also am schärfsten, und sie fordern Verschiedenes: Artikel 22 verlangt menschliches Eingreifen als Recht der betroffenen Person, Artikel 14 der KI-Verordnung verlangt menschliche Aufsicht als Eigenschaft des Systems. Beides muss vorliegen.
Ersetzt die Grundrechte-Folgenabschätzung die DSFA?+
Sie ersetzt sie nicht. Die DSFA nach Artikel 35 DSGVO und die Folgenabschätzung nach Artikel 27 der KI-Verordnung sind verschiedene Instrumente mit verschiedenen Auslösern. Sie lassen sich in einem Dokument zusammenführen, und das ist auch sinnvoll — aber nur, wenn beide Prüfprogramme darin vollständig abgearbeitet sind. Eine DSFA, die nur um ein Kapitel ergänzt wurde, ist keine Folgenabschätzung nach Artikel 27.
Dürfen wir ein Modell mit unseren eigenen Unternehmensdaten trainieren?+
Die Frage entscheidet die DSGVO, nicht die KI-Verordnung. Enthalten die Daten Personenbezug — und Personalakten, E-Mails und Kundenkorrespondenz enthalten ihn fast immer —, braucht das Training eine eigene Rechtsgrundlage und muss mit dem ursprünglichen Erhebungszweck vereinbar sein. Der Grundsatz der Zweckbindung nach Artikel 5 Absatz 1 Buchstabe b ist hier die Hürde, an der die meisten Vorhaben hängenbleiben. Bei einem Aufbau, der nachschlägt statt zu trainieren, stellt sich die Frage in dieser Schärfe nicht.
Ist Verarbeitung in der EU eine Anforderung der DSGVO?+
So pauschal nicht. Die DSGVO verbietet Drittlandübermittlungen nicht, sie knüpft sie an Kapitel V: Angemessenheitsbeschluss, Standardvertragsklauseln mit Prüfung des Einzelfalls, oder eine Ausnahme. Verarbeitung im EWR macht dieses Kapitel schlicht entbehrlich — das ist eine erhebliche praktische Erleichterung, aber kein gesetzliches Gebot. Wer das Gegenteil behauptet, verkauft Ihnen ein Argument, das vor Gericht nicht hält.
Und NIS2, DORA, ISO 42001 — wo ordnen die sich ein?+
NIS2 und DORA regeln Sicherheit und Ausfallfestigkeit, nicht KI. Ein KI-System in einem betroffenen Unternehmen fällt unter deren Anforderungen an Lieferanten und Vorfallmeldung, ohne dass die KI-Verordnung daran etwas ändert. ISO/IEC 42001 ist eine freiwillige Norm für ein KI-Managementsystem: sie ist kein Konformitätsnachweis nach der KI-Verordnung, ordnet die Arbeit aber so, dass ein späterer Nachweis leichter fällt.
Was kommt zuerst, wenn wir bei null anfangen?+
Die Bestandsaufnahme, und sie dient beiden Regelwerken gleichzeitig: welche Systeme laufen, wer setzt sie ein, welche Daten fließen hinein, wohin gehen sie. Aus derselben Liste entstehen das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO und die Risikoeinordnung nach der KI-Verordnung. Diese Arbeit zweimal zu machen ist der häufigste vermeidbare Aufwand an dieser Schnittstelle.
Zuletzt aktualisiert: