Verstößt die Nutzung von KI gegen die KVKK?

⏱️ Lesezeit: 12 Min. · 📁 Kategorie: KVKK und digitale Compliance

Verstößt die Nutzung von KI gegen die KVKK? (Ausführlicher Praxisleitfaden 2026)

"Ist es gegen KVKK, künstliche Intelligenz zu nutzen?", "Ist es illegal, Daten in ChatGPT einzugeben?", "Können wir Kundendaten mit KI verarbeiten?"
Diese Fragen gehören 2025–2026 zu den häufigsten Themen bei Prüfungen.
Dieser Leitfaden bietet Rechts-, IT-, Personal-, Marketing- und Managementteams einen Rahmen, der
praktikabel und bei einer Prüfung vertretbar ist.

1️⃣ Klare Antwort auf die Grundfrage 🔑 Kurzantwort: Nein. Die Nutzung von KI allein verstößt nicht gegen die KVKK.
🔴 Allerdings: Wenn KI personenbezogene Daten verarbeitet, unterliegt die Tätigkeit der KVKK.

Die KVKK regelt die Verarbeitung personenbezogener Daten und nicht die Technologie. Die Frage lautet daher nicht „Ist KI beteiligt?“, sondern:
Was verarbeitet die KI, zu welchem Zweck und auf welcher Rechtsgrundlage? Darauf beruht die Bewertung.

2️⃣ Wie wird Künstliche Intelligenz in KVKK ausgewertet?

Obwohl die KVKK keinen eigenen Artikel zur KI enthält, führen KI-Systeme meist folgende Tätigkeiten aus:

• Datenerhebung / Import
• Analyse, Klassifikation, Zusammenfassung
• Erstellung von Vorhersagen
• Profiling und automatisierte Entscheidungsunterstützung

Wenn Daten eine natürliche Person direkt oder indirekt identifizierbar machen, können all diese Tätigkeiten als
Verarbeitung personenbezogener Daten gelten. Die KI-Nutzung wird daher häufig anhand folgender Vorschriften bewertet:

• KVKK Art. 4 (allgemeine Grundsätze)
• KVKK Art. 5–6 (Verarbeitungsbedingungen / besondere Datenkategorien)
• KVKK Art. 10 (Informationspflicht)
• KVKK Art. 11 (Betroffenenrechte)
• KVKK Art. 12 (Datensicherheit)

3️⃣ Verarbeitet KI personenbezogene Daten? (Entscheidende Schwelle)

Wenn auch nur eine der folgenden Fragen "ja" lautet, ist die KVKK in Kraft:

• Werden Identifikatoren wie Namen, E-Mail-Adressen oder Telefonnummern in das KI-System eingegeben?
• Kann eine Person in Texten identifiziert werden? (z. "X, der bei dieser Firma in Eskişehir arbeitet")
• Werden Audio-, Video-, Gesichts- oder Verhaltensdaten verwendet?
• Werden Kunden-, Mitarbeiter- oder Kandidatendaten verarbeitet?
• Wirken sich die Ausgaben auf reale Personen aus (Bewerberauswahl, Risikowerte, Leistungsbewertungen usw.)?

Praktische Schwelle : "Können wir eine Person erkennen/identifizieren?"
Ja → Die KVKK gilt. Nein → Die Tätigkeit kann außerhalb ihres Anwendungsbereichs liegen; Risiken für Informationssicherheit oder Geschäftsgeheimnisse können dennoch bestehen. 4️⃣ Welche KI-Nutzungen sind KVKK-konform? (Risikoarme Szenarien) ✅ 1) KI mit anonymen / fiktiven Daten

• Gefälschte Namen, Testbenutzer
• Gemaskete Datensätze
• Anonymisierte Daten, die nicht mit der realen Person verknüpft werden können

Diese Szenarien gelten meist als außerhalb des KVKK-Anwendungsbereichs oder als risikoarm.
Entscheidend ist, dass als anonym bezeichnete Daten unumkehrbar anonymisiert sein müssen.

✅ 2) Erstellung von Inhalten ohne personenbezogene Daten

• Blog-Schreiben, Werbung Textproduktion
• Code-Erstellung
• Präsentation / Entwurf des Dokuments

Ohne personenbezogene Daten ist das KVKK-Risiko minimal. Dennoch müssen Geschäftsgeheimnisse, Know-how und
vertragliche Vertraulichkeit gesondert berücksichtigt werden.

✅ 3) Analysen ohne personenbezogene Daten

• Allgemeine Marktanalyse, Trendinterpretation
• Produktbeschreibung / Vereinfachung des technischen Dokuments
• Prozessmodellierung (falls keine personenbezogenen Daten vorhanden)

5️⃣ Riskante KI-Nutzungen, die gegen die KVKK verstoßen können 🔴 1) Eingabe von Kunden-, Beschäftigten- oder Bewerberdaten in KI

Die folgenden Beispiele stellen ein direktes Risiko dar:

• Hochladen von Lebensläufen zur KI-gestützten Auswahl oder Bewertung
• KI-Analyse von Kunden-E-Mails einschließlich Identitäts-, Kontakt- und Beschwerdedaten
• KI-gestützte Leistungsbewertung von Beschäftigten

Grund für das Risiko: Rechtsgrundlage, Informationspflicht, Minimierung, Sicherheit und bei den meisten Systemen Auslandstransfers werden gleichzeitig relevant.
Die Nutzung eines Werkzeugs hebt die Verantwortung nicht auf. 🔴 2) Automatische Entscheidungsfindung und Profilierung

Wenn KI-Ausgaben Folgen für eine natürliche Person haben (Bewerberauswahl, Kredit- oder Bonusentscheidung, Risikowert oder Verhaltensklassifizierung),
werden Betroffenenrechte und die Prüfbarkeit des Verfahrens entscheidend.

• Automatisierte Bewerberauswahl mit KI
• Bonus- oder Leistungsbewertung mit KI
• Klassifizierung des Kundenrisikos mit AI

Hochrisikoindikator: Ohne menschliches Eingreifen oder bei einem Blackbox-Verfahren ohne erklärbare Ursache-Wirkungs-Beziehungen
lässt sich der Prozess bei einer Prüfung schlechter verteidigen. 🔴 3) Modelltraining mit personenbezogenen Daten

Die Verwendung von personenbezogenen Daten zur Ausbildung des AI-Modells hat eine hohe Empfindlichkeit in Bezug auf "Beschränkung auf Zweck" und "Vorhersagbarkeit".
Die Datennutzung zum Training kann meist zusätzliche Anforderungen auslösen, darunter eine gesonderte Analyse und eine ausdrückliche Einwilligung.

6️⃣ Brauchen Sie eine ausdrückliche Einwilligung in der Verwendung von Künstlicher Intelligenz? 🔑 Antwort: Ja, je nach Situation. Die Nutzung von KI erfordert nicht automatisch eine ausdrückliche Einwilligung; in manchen Fällen ist sie jedoch verpflichtend.

Typische Umstände, die eine ausdrückliche Einwilligung erfordern können:

• Wenn eine Rechtsgrundlage wie berechtigtes Interesse oder Vertrag fehlt
• Wenn besondere Kategorien personenbezogener Daten verarbeitet werden
• Wenn personenbezogene Daten für KI- Training oder für Sekundärzwecke verwendet werden
• Wenn automatisierte Entscheidungen erhebliche Auswirkungen auf eine Person haben

⚠️ Kritische Warnung: Pauschale Einwilligungstexte für alles einschließlich KI sind bei einer Prüfung wenig belastbar.
Die ausdrückliche Einwilligung muss spezifisch, informiert und freiwillig erteilt werden. 7️⃣ KI und Datentransfers (Auslandstransfers: Besonders wichtig)

Viele KI-Tools sind cloudbasiert; ihre Infrastruktur kann im Ausland liegen. Dadurch kann das Risiko einer
Übermittlung personenbezogener Daten ins Ausland entstehen.

• Server-Standort des AI-Anbieters
• Kette der Unterauftragsverarbeiter
• Protokollierung / Telemetrie / Support-Datensätze
• Nutzung zum Training oder Speicherfristen

Frage bei der Prüfung: „Wohin gelangen die Daten, wer greift darauf zu, wie lange werden sie gespeichert und unter welchen Übermittlungsbedingungen?“
Ohne Regelung der Auslandstransfers steigt das Risiko rasch. 8️⃣ Wer nutzt KI und wer ist Verantwortlicher?

Die Rollenverteilung ist in den meisten Szenarien wie folgt:

• Unternehmen: Verantwortlicher (bestimmt den Zweck, stellt Daten bereit und nutzt Ausgaben)
• KI-Anbieter / Tool: Auftragsverarbeiter oder Dritter, je nach Vertrag und Nutzungsmodell

Praktische Folge: „Das Tool war es“ wird als Einwand nicht akzeptiert.
Als Verantwortlicher muss das Unternehmen Minimierung, Sicherheit, Information und Rechtsgrundlage der Verarbeitung sicherstellen. 9️⃣ Perspektive 2026: Von der Behörde bei Prüfungen erwarteter Reifegrad

Mit Stand 2026 wird bei Prüfungen mehr als die Angabe der KI-Nutzung erwartet, nämlich Governance- und Kontrollmechanismen :

• Transparenz (welche KI wird wo eingesetzt?)
• Prüfbarkeit (Entscheidungslogik, Regelwerke, menschliches Eingreifen)
• Betroffenenrechte (Zugang, Berichtigung, Widerspruchsverfahren)
• Sicherheit (Zugangskontrolle, DLP, Protokoll, Autorisierung)
• Transfermanagement (Auslandstransfers und Unterauftragsverarbeiterkette)

🔟 Künstliche Intelligenz für Unternehmen + KVKK Compliance Map

1. KI-Inventar: Welches Team nutzt welches Tool zu welchem Zweck?
2. Datenübersicht: Welche Daten gelangen in das System und welche verlassen es?
3. Analyse der Rechtsgrundlage: Einhaltung von Art. 5–6, Minimierung und Zweckbindung
4. Datenschutzinformationen aktualisieren: KI-Nutzung, Zweck, Kategorien, Transfers und Speicherkonzept
5. Auslandstransfers prüfen: Anbieter, Standort, Verträge und Bedingungen
6. Menschliches Eingreifen: Human-in-the-Loop bei Entscheidungen mit erheblichen Auswirkungen
7. Technische Maßnahmen: Maskierung, begrenzter Zugriff, DLP, Tokenisierung und sichere Umgebung
8. Protokollierung und Nachweise: Wer hat wann was verarbeitet und welche Ausgaben wurden erzeugt?
9. Richtlinie: KI-Nutzungsrichtlinie + Liste verbotener Daten + Liste freigegebener Tools

1️⃣1️⃣ Häufigste gefährliche Fehler

• Unkontrollierte Nutzung mit der Annahme „KI ist nur ein Werkzeug“
• Alle CVs oder Kunden-E-Mails direkt auf AI hochladen
• Automatisierte Auswahl oder Bewertung ohne menschliche Kontrolle
• Ausdrückliche Einwilligung in einem allgemeinen Text verstecken
• Nicht maskieren / minimieren
• Nicht einschätzen des Risikos der Übertragung ins Ausland

✅ Zusammenfassung

• ✔ Künstliche Intelligenz ist nicht verboten.
• ✔ Wenn es personenbezogene Daten gibt, gibt es KVKK.
• ❌ Unkontrollierte Anwendung ist riskant.
• ❌ Automatisierte Entscheidungen + keine menschliche Kontrolle = hohes Risiko.

🧠 Klare Experteneinschätzung

Mit Stand 2026 liegt das Risiko nicht in der KI-Nutzung, sondern in der unkontrollierten KI-Nutzung.
Im Sinne der KVKK geht es um die Grundlagen für Rechtsbewusstsein, Governance und Nachweise statt um die Technologie selbst.

KI-Nutzungsrichtlinie und KVKK-Compliance-Plan gemeinsam erstellen