Personenbezogene Daten in KI-Tools: Prüffragen vor der Nutzung

„Ist das jetzt personenbezogen?” ist die Frage, die in KI-Projekten am häufigsten falsch beantwortet wird – meist, weil sie zu spät gestellt wird. Mitarbeitende laden ein Kundendossier hoch, fragen einen Chatbot nach einem Vertragsentwurf mit Namen, oder ein RAG-System durchsucht interne Dokumente, die still und leise auch Personalakten enthalten. Niemand hat bewusst entschieden, personenbezogene Daten zu verarbeiten – es ist einfach passiert, weil der Personenbezug nicht als solcher erkannt wurde.

Dieser Artikel ordnet das Thema entlang von fünf Prüffragen: Was zählt überhaupt als personenbezogen, welche Rechtsgrundlage brauchst du, wie minimierst du die Datenmenge, was gilt für besonders sensible Daten, und mit welchen Maßnahmen schützt du sie. Am Ende steht eine Risikomatrix mit Gegenmaßnahmen und eine Prüf-Checkliste. Der Artikel gehört zu unserem Themen-Cluster KI-Governance und ersetzt keine Rechtsberatung: Ich bin KI-Berater, kein Anwalt. Alle rechtlichen Aussagen geben den Stand Juli 2026 wieder und stützen sich auf die verlinkten offiziellen Quellen – vor allem die Orientierungshilfen der Datenschutzkonferenz (DSK) und das BSI.

Problem und Zielgruppe

Das Muster wiederholt sich in fast jedem Unternehmen, das KI-Tools einführt: Die Technik ist schnell im Einsatz, die Datenklassifizierung hinkt hinterher. Wer entscheidet, ob ein Prompt personenbezogen ist? Meistens niemand – die einzelne Person am Tastatur trifft die Entscheidung implizit, ohne die Kriterien dafür zu kennen. Das Problem verschärft sich, weil Personenbezug nicht immer offensichtlich ist: Ein Prompt ohne Namen kann trotzdem personenbezogen sein, wenn sich aus dem Kontext ergibt, um wen es geht – die DSK nennt als Beispiel ein Arbeitszeugnis für „einen Kundenberater im Autohaus X”, bei dem sich die Person über Unternehmen und Zeitpunkt identifizieren lässt.

Dieser Artikel richtet sich an Geschäftsführung, Operations, IT und Fachbereiche in KMU, die KI-Tools einführen oder bereits im Einsatz haben und wissen wollen, wo die Grenze zwischen unkritischer Nutzung und datenschutzrechtlich relevanter Verarbeitung verläuft – unabhängig vom konkreten Tool. Wer speziell ChatGPT bewerten will, findet die tool-spezifische Vertiefung in unserem Artikel zu ChatGPT und DSGVO.

Begriffe und Abgrenzung

Vier Begriffe helfen, die Prüfung sauber zu führen:

• Personenbezogene Daten (Art. 4 Nr. 2 DSGVO): alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Das umfasst weit mehr als Namen und Adressen – auch Stimmproben, Fotos, IP-Adressen, Bewertungen oder Kombinationen unauffälliger Merkmale können ausreichen, um eine Person zu identifizieren.
• Besondere Kategorien (Art. 9 DSGVO): ein enger definierter Kreis sensibler Daten – Gesundheit, ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Für sie gelten schärfere Voraussetzungen als für „normale” personenbezogene Daten.
• Trainingsdaten vs. Eingabedaten: Ein KI-Modell kann personenbezogene Daten aus zwei Quellen enthalten – aus den Daten, mit denen es trainiert wurde, und aus den Daten, die Nutzende im laufenden Betrieb eingeben (Prompts, Uploads). Beide werfen eigene datenschutzrechtliche Fragen auf; dieser Artikel behandelt vor allem die Nutzung bestehender KI-Systeme, weniger das Training eigener Modelle.
• RAG-Systeme (Retrieval Augmented Generation): Systeme, die ein Sprachmodell mit einer durchsuchbaren Dokumentenbasis (oft einer Vektordatenbank) kombinieren, um firmeninterne Inhalte einzubinden. Die DSK stellt fest, dass personenbezogene Daten in der Vektordatenbank grundsätzlich besser löschbar, aktualisierbar und zugriffsbeschränkbar sind als Daten, die dauerhaft in einem Sprachmodell „memoriert” wurden.

Was sind personenbezogene Daten im KI-Kontext?

Die Definition aus Art. 4 Nr. 2 DSGVO ist bewusst weit gefasst, und genau das macht sie im KI-Kontext tückisch. Die DSK weist in ihrer Orientierungshilfe zu technischen und organisatorischen Maßnahmen bei KI-Systemen darauf hin, dass im Bereich der KI häufig große Datenmengen verarbeitet werden – „auch personenbezogener Daten” – und dass wegen des Umfangs und des potenziell hohen Risikos für Betroffene der Datenschutz für KI-Systeme besondere Relevanz hat.

Drei Fälle sind in der Praxis besonders leicht zu übersehen:

1. Versteckter Kontextbezug: Ein Prompt ohne Klarnamen kann trotzdem personenbezogen sein, wenn Unternehmen, Rolle, Zeitraum oder andere Kontextangaben die Identifizierung ermöglichen.
2. Proxy-Merkmale: Attribute, die für sich genommen harmlos wirken, aber indirekt auf sensible Eigenschaften verweisen. Die DSK nennt als Beispiel die Postleitzahl als Proxy für die Herkunft einer Person – ein Datum, das nicht wie ein sensibles Attribut aussieht, aber wie eines wirken kann.
3. Ausgabeseitiger Personenbezug: Eine KI-Ausgabe kann personenbezogene Daten enthalten, obwohl die Eingabe keine enthielt – etwa wenn ein System gezielt nach einer Person gefragt wird oder aus Trainingsdaten Informationen „memoriert” und reproduziert. Die DSK beschreibt explizit, dass KI-Modelle personenbezogene Daten preisgeben können, die zum Training genutzt wurden, teils durch strukturelle Eigenschaften der Modelle, teils durch schlechte Generalisierung.

Wichtig für die praktische Einordnung: KI-Systeme, die nachweislich keinen Personenbezug aufweisen – weder in Trainingsdaten noch in der Anwendung, etwa reine Vorhersagesysteme für Naturereignisse – fallen nicht unter diese Prüfung. Die meisten KMU-Anwendungsfälle (Kundenkommunikation, Bewerbungen, interne Dokumentensuche) liegen aber klar im personenbezogenen Bereich.

Welche Rechtsgrundlage ist nötig?

Für jede Verarbeitung personenbezogener Daten gilt die DSGVO mit ihren Grundsätzen aus Art. 5 Abs. 1: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung und Richtigkeit. Die DSK stellt klar, dass der Zweck einer Verarbeitungstätigkeit vorher festgelegt, eindeutig und legitim sein muss, die Verarbeitung eine Rechtsgrundlage aufweisen muss und die entstehenden Risiken angemessen eingedämmt werden müssen. Nach Art. 5 Abs. 2 DSGVO ist der Verantwortliche zudem rechenschaftspflichtig – er muss die Einhaltung dieser Grundsätze nachweisen können, nicht nur behaupten.

In der Praxis kommen für die meisten KMU-Anwendungsfälle mit KI-Tools zwei Rechtsgrundlagen aus Art. 6 Abs. 1 DSGVO in Betracht: die Erfüllung eines Vertrags (lit. b), etwa wenn ein KI-gestützter Kundenservice Teil der vereinbarten Leistung ist, oder das berechtigte Interesse (lit. f), das eine dokumentierte Interessenabwägung zwischen Unternehmenszweck und den Rechten der betroffenen Personen voraussetzt. Eine Einwilligung (lit. a) ist möglich, aber im B2B-Alltag oft unpraktisch, weil sie freiwillig, informiert und jederzeit widerrufbar sein muss.

Wer die KI-Verarbeitung einsetzt, ist in aller Regel selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO – die DSK unterscheidet hier zwischen Herstellern und Entwicklern von KI-Systemen (verantwortlich für Design- und Entwicklungsphase) und den einsetzenden Stellen, die bestimmen, welche personenbezogenen Daten zu welchen Zwecken mit einem KI-System verarbeitet werden. Der KI-Anbieter übernimmt diese Verantwortung nicht automatisch – ein Auftragsverarbeitungsvertrag regelt nur die technische Durchführung, nicht die Rechtmäßigkeit des Zwecks.

Hat die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge – etwa bei umfangreicher, automatisierter Bewertung von Personen –, verlangt Art. 35 DSGVO zusätzlich eine Datenschutz-Folgenabschätzung, bevor die Verarbeitung beginnt.

Wie minimiert man Daten?

Datenminimierung ist eines der sieben Gewährleistungsziele des Standard-Datenschutzmodells (SDM), auf das die DSK ihre technischen Anforderungen stützt: Die verarbeiteten personenbezogenen Daten müssen dem Zweck angemessen und auf das notwendige Maß beschränkt sein. Für die tägliche Praxis lassen sich daraus vier konkrete Hebel ableiten:

• Notwendigkeit vor Nutzung prüfen: Vor jeder Eingabe klären, ob der Zweck auch ohne personenbezogene Daten – oder mit weniger davon – erreichbar ist. Die DSK empfiehlt ausdrücklich zu fragen, ob sich ein Ziel mit synthetischen oder anonymisierten Daten erreichen lässt.
• Generalisierung statt Präzision: Attribute mit generalisiertem Charakter bevorzugen – die DSK nennt als Beispiel, nur das Geburtsjahr statt des vollständigen Datums (Tag-Monat-Jahr) zu verwenden, wenn das für den Zweck ausreicht.
• Proxy-Merkmale erkennen und entfernen: Attribute, die zwar selbst nicht sensibel wirken, aber indirekt auf besondere Kategorien schließen lassen (Postleitzahl als Herkunfts-Proxy ist das Standardbeispiel), sollten identifiziert und wo möglich entfernt werden, wenn sie für die Verarbeitung nicht zwingend erforderlich sind.
• Volumen begrenzen: Nur so viele Daten wie für die Zielsetzung nötig, mit Pilotversuchen im Kleinen starten und schrittweise erweitern, statt von Anfang an vollständige Datenbestände einzuspeisen.

Für RAG-gestützte Systeme kommt ein weiterer Hebel hinzu: Weil die faktische Information primär aus der Dokumentenbasis stammt, kann laut DSK-Orientierungshilfe zu RAG-Systemen ein kleineres Sprachmodell ausreichen, das weniger Fakten „auswendig” speichern muss – das reduziert das Risiko, dass personenbezogene Daten dauerhaft im Modell selbst landen. Zusätzlich lassen sich Einträge in Referenzdokumenten und Vektordatenbank gezielt löschen oder aktualisieren, was klassische Löschfristen technisch umsetzbar macht – ein Vorteil gegenüber Daten, die in einem Sprachmodell trainiert wurden und dort praktisch nicht mehr gezielt entfernbar sind.

Was gilt für besondere Kategorien personenbezogener Daten?

Besondere Kategorien nach Art. 9 DSGVO – Gesundheitsdaten, ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Daten zum Sexualleben – unterliegen einem grundsätzlichen Verarbeitungsverbot mit eng gefassten Ausnahmen nach Art. 9 Abs. 2 DSGVO, etwa ausdrückliche Einwilligung oder Erforderlichkeit aus arbeitsrechtlichen Gründen. Die DSK verlangt, dass die Nutzung solcher Daten in KI-Systemen „geprüft und begründet” werden muss – eine pauschale Mitverarbeitung, weil die Daten „ohnehin im Dokument stehen”, reicht nicht.

Zwei Besonderheiten aus den geöffneten Quellen sind für KMU relevant:

Erstens die Nichtverkettung: Wenn gesetzliche Regelungen die Verwendung bestimmter Daten nicht zulassen und stattdessen hochkorrelierende Ersatzvariablen genutzt werden sollen, stellt das laut DSK eine unzulässige Verkettung dar – auch wenn das eigentliche Art.-9-Datum nur als Zwischenschritt für einen anderen Verarbeitungszweck „hergeleitet” werden soll. Wer also gezielt Proxy-Daten nutzt, um ein Verarbeitungsverbot zu umgehen, verstößt gegen dieses Gewährleistungsziel.

Zweitens die differenzierte Bewertung bei RAG-Systemen: Die DSK-Orientierungshilfe zu RAG-Systemen stellt fest, dass bei erfüllten datenschutzrechtlichen Anforderungen auch personenbezogene Daten mit höherem Schutzbedarf – also Art.-9- und Art.-10-Daten – in einem RAG-Subsystem verarbeitet werden können, sofern sie nicht dauerhaft im Sprachmodell selbst verbleiben, etwa weil kein gezieltes Training oder Nachtraining mit diesen Daten stattfindet, sondern sie in Referenzdokumenten und Vektordatenbank separat gespeichert bleiben. Das ändert nichts an der Pflicht zur Rechtsgrundlage – es verschiebt aber, wo technische Schutzmaßnahmen ansetzen können.

Für die Praxis heißt das: Besondere Kategorien gehören nicht ungeprüft in offene, cloudbasierte KI-Dienste ohne belastbare vertragliche Absicherung. Wo ihre Verarbeitung tatsächlich erforderlich ist (etwa Gesundheitsdaten in einer HR-Anwendung), braucht es eine gesondert dokumentierte Prüfung der Ausnahme nach Art. 9 Abs. 2 DSGVO, nicht die allgemeine Rechtsgrundlage aus Art. 6 DSGVO.

Welche Schutzmaßnahmen gibt es?

Das Standard-Datenschutzmodell der Datenschutzaufsichtsbehörden strukturiert die technischen und organisatorischen Anforderungen der DSGVO in sieben Gewährleistungszielen, die sich direkt auf KI-Systeme übertragen lassen: Datenminimierung, Verfügbarkeit, Vertraulichkeit, Integrität, Intervenierbarkeit, Transparenz und Nichtverkettung. Aus den geöffneten Quellen lassen sich dafür konkrete Maßnahmen ableiten:

• Vertraulichkeit: Verschlüsselung, Rollen- und Berechtigungskonzepte, und – bei RAG-Systemen – Mandantentrennung beziehungsweise funktionale Trennung in der Vektordatenbank, sodass Nutzende nur auf die für ihre Rolle relevanten Dokumente zugreifen können. Auf Modellebene nennt die DSK Privacy-Preserving-Techniken wie Differential Privacy sowie Regularisierungstechniken gegen unbeabsichtigtes „Memorieren” von Trainingsdaten.
• Intervenierbarkeit: Prozesse, mit denen Betroffenenrechte (Auskunft nach Art. 15, Berichtigung nach Art. 16, Löschung nach Art. 17 DSGVO) tatsächlich umgesetzt werden können. Bei RAG-Systemen ist das über Referenzdokumente und Vektordatenbank vergleichsweise gut lösbar; in einem trainierten Sprachmodell selbst ist die gezielte Löschung einzelner personenbezogener Daten laut DSK weitgehend ungelöst.
• Transparenz: Dokumentation, welche Institutionen welche Daten zu welchem Zweck verarbeitet haben, und – wo möglich – Nachvollziehbarkeit, welche Quellen eine KI-Ausgabe gestützt haben. RAG-Systeme können hier durch Quellenangaben zu den verwendeten Chunks oder Dokumenten punkten.
• Integrität: Prüfung der Datenherkunft, Schutz vor Manipulation (etwa Data Poisoning) und regelmäßige Kontrolle, ob Ausgaben noch den erwarteten Qualitätsmaßstäben entsprechen.
• Organisatorisch (BSI): Ein Demand Management, das den Ist-Stand aller genutzten KI-Systeme erfasst, Firmenaccounts statt privater Zugänge, datensparsame Konfiguration mit ausgeschlossener Trainingsnutzung und gesetzten Löschfristen, sowie eine schriftliche KI-Leitlinie, die festlegt, wer welche KI-Systeme zu welchem Zweck einsetzen darf und Schatten-IT ausdrücklich ausschließt. Das BSI formuliert als Grundregel: personenbezogene Daten oder sensible Geschäftsinformationen niemals ohne schützende Maßnahmen weitergeben, und KI-Ausgaben nie ungeprüft übernehmen.

Umsetzung: In der Praxis vorgehen

Ein realistischer Ablauf für ein KMU, das KI-Tools einführt oder den bestehenden Einsatz nachträglich ordnet:

1. Ist-Stand erfassen: Welche KI-Tools werden bereits genutzt, mit welchen Accounts und für welche Aufgaben? Ohne diese Bestandsaufnahme – vom BSI als Demand Management bezeichnet – lässt sich Personenbezug nicht systematisch prüfen.
2. Datenklassen definieren: Pro Anwendungsfall grob einteilen in „kein Personenbezug”, „Personenbezug wahrscheinlich” und „besondere Kategorien” – und diese Einteilung schriftlich festhalten, nicht nur im Kopf einzelner Mitarbeitender.
3. Rechtsgrundlage und Zweck dokumentieren: Für jeden Anwendungsfall mit Personenbezug festlegen, welche Rechtsgrundlage greift, bevor die Nutzung beginnt – nicht rückwirkend rechtfertigen.
4. Anbieter und Vertrag prüfen: Serverstandort, Auftragsverarbeitungsvertrag, Trainingsausschluss und Löschfristen sind Mindestkriterien, die das BSI für jede Anbieterauswahl nennt.
5. Technische Minimierung umsetzen: Generalisierung, Proxy-Merkmale entfernen, bei RAG-Systemen Mandantentrennung und Rollenkonzepte einrichten.
6. KI-Leitlinie und Schulung: Eine kurze, konkrete Richtlinie, wer welche Tools für welche Daten nutzen darf, ergänzt um Schulung mit echten Beispielen aus dem eigenen Alltag. Genau dafür bieten wir KI-Schulungen an.
7. Review-Rhythmus festlegen: Rechtslage, Anbieterkonfiguration und Nutzungsverhalten ändern sich laufend – ein fester Prüfrhythmus, etwa quartalsweise, hält die Dokumentation aktuell.

Risiken und Grenzen

Zur ehrlichen Einordnung gehört, was auch die beste Vorbereitung nicht löst.

Risikomatrix: typische Szenarien und Gegenmaßnahmen. Die folgende Matrix ist mein Arbeitsmodell aus Beratungsprojekten, keine amtliche Vorlage. Sie ordnet den häufigsten Risikoszenarien beim Umgang mit personenbezogenen Daten in KI-Tools die wirksamste Gegenmaßnahme zu:

Szenario	Risiko	Wichtigste Gegenmaßnahme
Personenbezug im Prompt wird nicht erkannt (versteckter Kontext)	Verarbeitung ohne Rechtsgrundlage, unbemerkt	Konkrete Beispiele in der Schulung, Datenklassen schriftlich definieren
Proxy-Merkmale (z. B. Postleitzahl) verweisen indirekt auf Art.-9-Daten	Umgehung des Verarbeitungsverbots, Diskriminierungsrisiko	Proxy-Felder identifizieren und vor Eingabe entfernen oder generalisieren
Besondere Kategorien gelangen ungeprüft in offene KI-Dienste	Verstoß gegen Art. 9 DSGVO, hohes Bußgeldrisiko	Art.-9-Daten grundsätzlich ausschließen, Ausnahmen gesondert dokumentieren
KI-Ausgabe enthält unrichtige personenbezogene Daten (Halluzination)	Verstoß gegen Richtigkeitsgrundsatz, Reputationsschaden	Ausgaben mit Personenbezug immer prüfen, keine automatische Weiterverarbeitung
Löschanfrage einer betroffenen Person betrifft trainiertes Sprachmodell	Betroffenenrecht faktisch nicht umsetzbar	Wo möglich RAG-Architektur statt Training mit personenbezogenen Daten wählen
Fehlende Zugriffstrennung in gemeinsamer Wissensdatenbank	Zweckentfremdung, Zugriff durch Unbefugte	Mandantentrennung und Rollenkonzept in Vektordatenbank/Dokumentenablage

Grenzen, die bestehen bleiben, Stand Juli 2026:

• Keine Konformitätsgarantie. Auch die vollständige Umsetzung aller hier genannten Maßnahmen macht eine Verarbeitung nicht automatisch rechtmäßig – die Einzelfallprüfung von Zweck und Rechtsgrundlage bleibt Aufgabe des Verantwortlichen.
• Betroffenenrechte im Modell selbst. Die DSK stellt fest, dass die Umsetzung von Betroffenenrechten in trainierten Sprachmodellen weitgehend ungelöst ist. Wer personenbezogene Daten in ein Modell trainiert, statt sie über RAG separat vorzuhalten, nimmt dieses Risiko in Kauf.
• Bewegliche Rechtslage. Sowohl die Orientierungshilfen der DSK als auch die Anwendung der KI-Verordnung entwickeln sich weiter; die hier zitierten Dokumente stammen aus Juni und Oktober 2025 sowie Juli 2024 und können durch neuere Fassungen ergänzt werden.
• Proxy-Erkennung ist unvollständig. Welche Merkmale tatsächlich als Proxy für besondere Kategorien wirken, lässt sich nicht abschließend katalogisieren – neue Kombinationen von Daten können neue Rückschlüsse ermöglichen, die bei der Einführung eines Systems noch nicht absehbar waren.

Wenn du unsicher bist, wo dein Unternehmen bei personenbezogenen Daten in KI-Tools steht: Im Rahmen unserer KI-Beratung erfassen wir KI-Nutzung, Datenflüsse und Rechtsgrundlagen strukturiert. Ein unverbindliches Erstgespräch reicht, um den Umfang einzuschätzen.

Checkliste: Personenbezogene Daten in KI-Tools prüfen

• Ist-Stand: Alle genutzten KI-Tools und Accounts erfasst, inklusive privater Nutzung für dienstliche Zwecke
• Datenklassen: Pro Anwendungsfall geklärt, ob Personenbezug in Eingabe, Upload oder Ausgabe vorkommt – inklusive versteckten Kontextbezugs
• Proxy-Merkmale: Attribute identifiziert, die indirekt auf besondere Kategorien schließen lassen (z. B. Postleitzahl, Vorname-Nachname-Kombination)
• Rechtsgrundlage: Für jeden Zweck mit Personenbezug vor der Nutzung bestimmt und dokumentiert
• Besondere Kategorien: Art.-9-Daten grundsätzlich ausgeschlossen; Ausnahmen einzeln nach Art. 9 Abs. 2 DSGVO geprüft
• Minimierung: Generalisierte statt präzise Angaben genutzt, Datenvolumen auf das Nötige begrenzt
• Anbieterprüfung: Serverstandort, Auftragsverarbeitungsvertrag, Trainingsausschluss, Löschfristen geklärt
• Technische Maßnahmen: Zugriffs- und Rollenkonzept, bei RAG-Systemen Mandantentrennung, Verschlüsselung
• KI-Leitlinie: Schriftlich festgelegt, wer welche Tools für welche Daten nutzen darf; Schatten-IT ausgeschlossen
• Ausgabenkontrolle: Prüfpflicht für Ausgaben mit Personenbezug vor Weiterverwendung festgelegt
• Review: Fester Rhythmus zur Überprüfung von Konfiguration, Verträgen und Rechtslage etabliert

Wer diese elf Punkte durchgeht, hat keine Garantie auf Rechtskonformität – aber eine belastbare, dokumentierte Grundlage, die den Empfehlungen von DSK und BSI folgt und im Ernstfall zeigt, dass die Verarbeitung durchdacht war, statt einfach passiert zu sein.