Personenbezogene Daten in KI-Tools: Prüffragen vor der Nutzung

Das Wichtigste in Kürze:

• Auch Prompts ohne Namen können Personenbezug haben.
• Jede Nutzung braucht Zweck und Rechtsgrundlage nach Art. 6 DSGVO.
• Weniger Daten eingeben: gröber, ohne Proxy-Merkmale.
• Besondere Kategorien nach Art. 9 DSGVO nur mit gesonderter Prüfung.

Stand: Juli 2026.

„Ist das jetzt personenbezogen?“ ist die Frage, die in KI-Projekten am häufigsten falsch beantwortet wird. Meist, weil sie zu spät gestellt wird. Mitarbeitende laden ein Kundendossier hoch oder fragen einen Chatbot nach einem Vertragsentwurf mit Namen. Oder ein RAG-System durchsucht interne Dokumente, die still und leise auch Personalakten enthalten.

Niemand hat bewusst entschieden, personenbezogene Daten zu verarbeiten. Es ist einfach passiert. Niemand hat den Personenbezug erkannt.

Dieser Artikel ordnet das Thema entlang von 5 Prüffragen. Was zählt überhaupt als personenbezogen, und welche Rechtsgrundlage brauchst du? Wie minimierst du die Datenmenge? Was gilt für besonders sensible Daten, und mit welchen Maßnahmen schützt du sie? Am Ende stehen eine Matrix mit Gegenmaßnahmen und eine Prüf-Checkliste.

Der Artikel gehört zu unserem Themen-Cluster KI-Governance und ersetzt keine Rechtsberatung: Ich bin KI-Berater, kein Anwalt. Alle rechtlichen Aussagen geben den Stand Juli 2026 wieder. Sie stützen sich auf die verlinkten offiziellen Quellen, vor allem die Orientierungshilfen der Datenschutzkonferenz (DSK) und das BSI.

Problem und Zielgruppe

Das Muster wiederholt sich laut den Orientierungshilfen der Datenschutzkonferenz in fast jedem Unternehmen, das KI-Tools einführt: Die Technik ist schnell im Einsatz, die Einordnung der Daten hinkt hinterher. Wer entscheidet, ob ein Prompt personenbezogen ist? Meistens niemand. Das ist das Problem. Die einzelne Person an der Tastatur entscheidet implizit, ohne die Kriterien dafür zu kennen.

Das Problem verschärft sich, weil Personenbezug nicht immer offensichtlich ist. Ein Prompt ohne Namen kann trotzdem personenbezogen sein, wenn sich aus dem Kontext ergibt, um wen es geht. Die DSK nennt als Beispiel ein Arbeitszeugnis für „einen Kundenberater im Autohaus X“. Hier verraten Unternehmen und Zeitpunkt, wer gemeint ist. Kurz: Kontext zählt.

Dieser Artikel richtet sich an Geschäftsführung, Operations, IT und Fachbereiche in KMU, die KI-Tools einführen oder bereits im Einsatz haben. Er zeigt, wo die Grenze zwischen unkritischer Nutzung und rechtlich relevanter Verarbeitung verläuft, unabhängig vom konkreten Tool. Wer speziell ChatGPT bewerten will, findet die tool-spezifische Vertiefung in unserem Artikel zu ChatGPT und DSGVO.

Begriffe und Abgrenzung

Vier Begriffe helfen, die Prüfung sauber zu führen. Der Reihe nach:

• Personenbezogene Daten (Art. 4 Nr. 2 DSGVO): alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Das umfasst weit mehr als Namen und Adressen. Auch Stimmproben, Fotos, IP-Adressen, Bewertungen oder Kombinationen unauffälliger Merkmale können ausreichen, um eine Person zu erkennen.

• Besondere Kategorien (Art. 9 DSGVO): ein enger definierter Kreis sensibler Daten. Dazu zählen Gesundheit, ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen und Gewerkschaftszugehörigkeit. Ebenso genetische und biometrische Daten sowie Daten zum Sexualleben oder zur sexuellen Orientierung. Für sie gelten schärfere Regeln als für „normale“ Personendaten.

• Trainingsdaten vs. Eingabedaten: Ein KI-Modell kann Personendaten aus 2 Quellen enthalten. Erstens aus den Daten, mit denen es trainiert wurde, und zweitens aus den Daten, die Nutzende im laufenden Betrieb eingeben (Prompts, Uploads). Beide werfen eigene rechtliche Fragen auf; dieser Artikel behandelt vor allem die Nutzung bestehender KI-Systeme, weniger das Training eigener Modelle.

• RAG-Systeme (Retrieval Augmented Generation): Systeme, die ein Sprachmodell mit einer durchsuchbaren Dokumentenbasis (oft einer Vektordatenbank) kombinieren, um firmeninterne Inhalte einzubinden. Die DSK stellt fest, dass Personendaten in der Vektordatenbank grundsätzlich besser löschbar, aktualisierbar und zugriffsbeschränkbar sind. Das gilt im Vergleich zu Daten, die dauerhaft in einem Sprachmodell „memoriert“ wurden. Ein klarer Vorteil.

Was sind personenbezogene Daten im KI-Kontext?

Die Definition aus Art. 4 Nr. 2 DSGVO ist bewusst weit gefasst. Genau das macht sie im KI-Kontext tückisch. Die DSK weist in ihrer Orientierungshilfe zu KI-Systemen auf die häufig großen Datenmengen hin, „auch personenbezogener Daten“. Wegen des Umfangs und des potenziell hohen Risikos für Betroffene hat der Datenschutz für KI-Systeme besondere Relevanz.

Drei Fälle sind in der Praxis besonders leicht zu übersehen:

1. Versteckter Kontextbezug: Ein Prompt ohne Klarnamen kann trotzdem personenbezogen sein, wenn Unternehmen, Rolle, Zeitraum oder anderer Kontext verraten, um wen es geht.

2. Proxy-Merkmale: Attribute, die für sich genommen harmlos wirken, aber indirekt auf sensible Eigenschaften verweisen. Die DSK nennt als Beispiel die Postleitzahl als Proxy für die Herkunft einer Person. Ein solches Datum sieht nicht wie ein sensibles Attribut aus, kann aber wie eines wirken.

3. Ausgabeseitiger Personenbezug: Eine KI-Ausgabe kann Personendaten enthalten, obwohl die Eingabe keine enthielt. Das passiert etwa, wenn ein System gezielt nach einer Person gefragt wird oder Informationen aus Trainingsdaten „memoriert“ und reproduziert. Die DSK beschreibt explizit, dass KI-Modelle Personendaten preisgeben können, die zum Training genutzt wurden. Teils liegt das an strukturellen Eigenschaften der Modelle, teils an schlechter Generalisierung.

Wichtig für die praktische Einordnung: KI-Systeme, die nachweislich keinen Personenbezug aufweisen, fallen nicht unter diese Prüfung. Gemeint sind Systeme ohne Personenbezug in Trainingsdaten und Anwendung, etwa reine Vorhersagesysteme für Naturereignisse. Das ist die Ausnahme. Die meisten Fälle in KMU (Kundendialog, Bewerbungen, interne Dokumentensuche) liegen aber klar im personenbezogenen Bereich.

Welche Rechtsgrundlage ist nötig?

Für jede Verarbeitung von Personendaten gilt die DSGVO mit ihren Grundsätzen aus Art. 5 Abs. 1. Dazu zählen Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung und Richtigkeit. Die DSK stellt klar: Der Zweck einer Verarbeitungstätigkeit muss vorher festgelegt, eindeutig und legitim sein. Die Verarbeitung braucht eine Rechtsgrundlage, und die entstehenden Risiken müssen angemessen eingedämmt werden. Nach Art. 5 Abs. 2 DSGVO ist der Verantwortliche zudem rechenschaftspflichtig, er muss die Einhaltung dieser Grundsätze nachweisen können, nicht nur behaupten.

In der Praxis kommen für die meisten KMU-Fälle mit KI-Tools 2 Rechtsgrundlagen aus Art. 6 Abs. 1 DSGVO in Betracht. Erstens die Erfüllung eines Vertrags (lit. b), etwa wenn ein KI-gestützter Kundenservice Teil der vereinbarten Leistung ist.

Zweitens das berechtigte Interesse (lit. f). Es setzt eine dokumentierte Interessenabwägung zwischen Unternehmenszweck und den Rechten der betroffenen Personen voraus. Eine Einwilligung (lit. a) ist möglich, aber im B2B-Alltag oft unpraktisch, weil sie freiwillig, informiert und jederzeit widerrufbar sein muss.

Wer die KI-Verarbeitung einsetzt, ist in aller Regel selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Die DSK unterscheidet hier 2 Rollen. Hersteller und Entwickler von KI-Systemen verantworten die Design- und Entwicklungsphase. Die einsetzenden Stellen bestimmen, welche Personendaten zu welchen Zwecken mit einem KI-System verarbeitet werden.

Der KI-Anbieter übernimmt diese Verantwortung nicht automatisch. Ein Auftragsverarbeitungsvertrag (AVV) regelt nur die technische Durchführung, nicht die Rechtmäßigkeit des Zwecks. Die bleibt bei dir.

Hat die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen zur Folge? Dann verlangt Art. 35 DSGVO zusätzlich eine Datenschutz-Folgenabschätzung (DSFA), bevor die Verarbeitung beginnt. Ein Beispiel ist die umfangreiche, automatisierte Bewertung von Personen. Erst prüfen, dann starten.

Wie minimiert man Daten?

Datenminimierung ist eines der 7 Gewährleistungsziele des Standard-Datenschutzmodells, kurz SDM, auf das die DSK ihre technischen Anforderungen stützt. Die verarbeiteten personenbezogenen Daten müssen dem Zweck angemessen und auf das notwendige Maß beschränkt sein. Für die tägliche Praxis lassen sich daraus 4 konkrete Hebel ableiten:

• Notwendigkeit vor Nutzung prüfen: Vor jeder Eingabe klären, ob der Zweck auch ohne Personendaten, oder mit weniger davon, erreichbar ist. Die DSK empfiehlt ausdrücklich zu fragen, ob sich ein Ziel mit synthetischen oder anonymisierten Daten erreichen lässt.

• Generalisierung statt Präzision: Attribute mit generalisiertem Charakter bevorzugen. Die DSK nennt als Beispiel, nur das Geburtsjahr statt des vollständigen Datums zu verwenden, wenn das für den Zweck ausreicht.

• Proxy-Merkmale erkennen und entfernen: Attribute, die zwar selbst nicht sensibel wirken, aber indirekt auf besondere Kategorien schließen lassen, sollten erkannt werden (Postleitzahl als Herkunfts-Proxy ist das Standardbeispiel). Wo möglich entfernst du sie, wenn sie für die Verarbeitung nicht zwingend erforderlich sind.

• Volumen begrenzen: Nur so viele Daten wie für das Ziel nötig. Mit Piloten im Kleinen starten und schrittweise erweitern, statt von Anfang an volle Datenbestände einzuspeisen.

Für RAG-gestützte Systeme kommt ein weiterer Hebel hinzu. Weil die faktische Information primär aus den Dokumenten stammt, kann laut DSK ein kleineres Sprachmodell ausreichen. Es muss weniger Fakten „auswendig“ speichern. Das reduziert das Risiko, dass Personendaten dauerhaft im Modell selbst landen.

Zusätzlich lassen sich Einträge in Referenzdokumenten und Vektordatenbank gezielt löschen oder aktualisieren. Das macht klassische Löschfristen technisch umsetzbar. Trainierte Daten in einem Sprachmodell sind dagegen praktisch nicht mehr gezielt entfernbar. Weniger Daten, weniger Risiko.

Was gilt für besondere Kategorien personenbezogener Daten?

Besondere Kategorien nach Art. 9 DSGVO unterliegen einem grundsätzlichen Verarbeitungsverbot mit eng gefassten Ausnahmen nach Art. 9 Abs. 2 DSGVO, etwa ausdrücklicher Einwilligung oder Erforderlichkeit aus arbeitsrechtlichen Gründen. Welche Daten dazu zählen, steht oben in der Begriffsliste. Die DSK verlangt, dass die Nutzung solcher Daten in KI-Systemen „geprüft und begründet“ werden muss. Eine pauschale Mitverarbeitung, weil die Daten „ohnehin im Dokument stehen“, reicht nicht.

Zwei Besonderheiten aus den geöffneten Quellen sind für KMU relevant:

Erstens die Nichtverkettung: Wenn gesetzliche Regelungen die Verwendung bestimmter Daten nicht zulassen und stattdessen hochkorrelierende Ersatzvariablen genutzt werden sollen, stellt das laut DSK eine unzulässige Verkettung dar. Das gilt auch, wenn das eigentliche Art.-9-Datum nur als Zwischenschritt für einen anderen Verarbeitungszweck „hergeleitet“ werden soll. Wer also gezielt Proxy-Daten nutzt, um ein Verarbeitungsverbot zu umgehen, verstößt gegen dieses Gewährleistungsziel.

Zweitens die differenzierte Bewertung bei RAG-Systemen. Die DSK-Orientierungshilfe zu RAG-Systemen stellt fest: Sind die rechtlichen Anforderungen erfüllt, können auch Personendaten mit höherem Schutzbedarf, also Art.-9- und Art.-10-Daten, in einem RAG-Subsystem verarbeitet werden. Voraussetzung ist, dass sie nicht dauerhaft im Sprachmodell selbst verbleiben.

Etwa weil kein gezieltes Training oder Nachtraining mit diesen Daten stattfindet, sondern sie in Referenzdokumenten und Vektordatenbank separat gespeichert bleiben. Das ändert nichts an der Pflicht zur Rechtsgrundlage, es verschiebt aber, wo technische Schutzmaßnahmen ansetzen können.

Für die Praxis heißt das: Besondere Kategorien gehören nicht ungeprüft in offene, cloudbasierte KI-Dienste ohne belastbare vertragliche Absicherung. Das ist die Grundregel. Wo ihre Verarbeitung tatsächlich erforderlich ist (etwa Gesundheitsdaten in einer HR-Anwendung), braucht es eine gesondert dokumentierte Prüfung der Ausnahme nach Art. 9 Abs. 2 DSGVO, nicht die allgemeine Rechtsgrundlage aus Art. 6 DSGVO.

Welche Schutzmaßnahmen gibt es?

Das Standard-Datenschutzmodell der Aufsichtsbehörden strukturiert die technischen und organisatorischen Anforderungen der DSGVO in 7 Gewährleistungszielen. Sie lassen sich direkt auf KI-Systeme übertragen: Datenminimierung, Verfügbarkeit, Vertraulichkeit, Integrität, Intervenierbarkeit, Transparenz und Nichtverkettung. Aus den geöffneten Quellen lassen sich dafür konkrete Maßnahmen ableiten:

• Vertraulichkeit: Verschlüsselung, Rollen- und Berechtigungskonzepte, und, bei RAG-Systemen, Mandantentrennung bzw. funktionale Trennung in der Vektordatenbank. So greifen Nutzende nur auf die für ihre Rolle relevanten Dokumente zu. Auf Modellebene nennt die DSK Privacy-Preserving-Techniken wie Differential Privacy sowie Regularisierungstechniken gegen ungewolltes „Memorieren“ von Trainingsdaten.

• Intervenierbarkeit: Prozesse, mit denen Betroffenenrechte (Auskunft nach Art. 15, Berichtigung nach Art. 16, Löschung nach Art. 17 DSGVO) tatsächlich umgesetzt werden können. Bei RAG-Systemen ist das über Referenzdokumente und Vektordatenbank vergleichsweise gut lösbar. In einem trainierten Sprachmodell selbst ist die gezielte Löschung einzelner Personendaten laut DSK weitgehend ungelöst.

• Transparenz: Dokumentation, wer welche Daten zu welchem Zweck verarbeitet hat. Wo möglich dazu: Welche Quellen stützen eine KI-Ausgabe? RAG-Systeme können hier durch Quellenangaben zu den verwendeten Chunks oder Dokumenten punkten. Nutze das.

• Integrität: Prüfung der Datenherkunft, Schutz vor Manipulation (etwa Data Poisoning) und regelmäßige Kontrolle, ob Ausgaben noch die erwartete Qualität liefern.

• Organisatorisch (BSI): Ein Demand Management, das den Ist-Stand aller genutzten KI-Systeme erfasst, plus Firmenaccounts statt privater Zugänge. Dazu eine datensparsame Konfiguration: Trainingsnutzung aus, Löschfristen gesetzt. Und eine schriftliche KI-Leitlinie: Wer darf welche KI-Systeme zu welchem Zweck einsetzen? Schatten-IT schließt sie ausdrücklich aus. Das BSI formuliert als Grundregel: personenbezogene Daten oder sensible Geschäftsinformationen niemals ohne schützende Maßnahmen weitergeben, und KI-Ausgaben nie ungeprüft übernehmen.

Umsetzung: In der Praxis vorgehen

Ein realistischer Ablauf für ein KMU, das KI-Tools einführt oder den bestehenden Einsatz nachträglich ordnet. 7 Schritte, ein Ziel:

1. Ist-Stand erfassen: Welche KI-Tools werden bereits genutzt, mit welchen Accounts und für welche Aufgaben? Ohne diese Bestandsaufnahme, vom BSI als Demand Management bezeichnet, lässt sich Personenbezug nicht systematisch prüfen.

2. Datenklassen definieren: Pro Fall grob einteilen in „kein Personenbezug“, „Personenbezug wahrscheinlich“ und „besondere Kategorien“, und diese Einteilung schriftlich festhalten, nicht nur im Kopf einzelner Mitarbeitender. So bleibt sie prüfbar.

3. Rechtsgrundlage und Zweck dokumentieren: Für jeden Fall mit Personenbezug festlegen, welche Rechtsgrundlage greift, bevor die Nutzung beginnt, nicht rückwirkend rechtfertigen.

4. Anbieter und Vertrag prüfen: Serverstandort, AVV, Trainingsausschluss und Löschfristen sind Mindestkriterien, die das BSI für jede Anbieterauswahl nennt.

5. Technische Minimierung umsetzen: Angaben vergröbern, Proxy-Merkmale entfernen, bei RAG-Systemen Mandantentrennung und Rollenkonzepte einrichten.

6. KI-Leitlinie und Schulung: Eine kurze, konkrete Richtlinie, wer welche Tools für welche Daten nutzen darf. Dazu Schulung mit echten Beispielen aus dem eigenen Alltag. Genau dafür bieten wir KI-Schulungen an.

7. Review-Rhythmus festlegen: Rechtslage, Anbieter-Einstellungen und Nutzung ändern sich laufend. Ein fester Prüfrhythmus, etwa pro Quartal, hält die Dokumentation aktuell.

Risiken und Grenzen

Zur ehrlichen Einordnung gehört, was auch die beste Vorbereitung nicht löst. Vier Punkte bleiben.

Risikomatrix: typische Szenarien und Gegenmaßnahmen. Die folgende Matrix ist mein Arbeitsmodell aus Projekten, keine amtliche Vorlage. Sie zeigt, wo du zuerst ansetzt. Sie ordnet den häufigsten Risiken beim Umgang mit Personendaten in KI-Tools die wirksamste Gegenmaßnahme zu:

Szenario	Risiko	Wichtigste Gegenmaßnahme.
Personenbezug im Prompt wird nicht erkannt (versteckter Kontext)	Verarbeitung ohne Rechtsgrundlage, unbemerkt	Konkrete Beispiele in der Schulung, Datenklassen schriftlich definieren.
Proxy-Merkmale (z. B. Postleitzahl) verweisen indirekt auf Art.-9-Daten	Umgehung des Verarbeitungsverbots, Diskriminierungsrisiko	Proxy-Felder erkennen und vor Eingabe entfernen oder vergröbern.
Besondere Kategorien gelangen ungeprüft in offene KI-Dienste	Verstoß gegen Art. 9 DSGVO, hohes Bußgeldrisiko	Art.-9-Daten grundsätzlich ausschließen, Ausnahmen gesondert dokumentieren.
KI-Ausgabe enthält unrichtige Personendaten (Halluzination)	Verstoß gegen Richtigkeitsgrundsatz, Reputationsschaden	Ausgaben mit Personenbezug immer prüfen, keine automatische Weiterverarbeitung.
Löschanfrage einer betroffenen Person betrifft trainiertes Sprachmodell	Betroffenenrecht faktisch nicht umsetzbar	Wo möglich RAG-Architektur statt Training mit Personendaten wählen.
Fehlende Zugriffstrennung in gemeinsamer Wissensdatenbank	Zweckentfremdung, Zugriff durch Unbefugte	Mandantentrennung und Rollenkonzept in der Datenbank.

Grenzen, die bestehen bleiben, Stand Juli 2026:

• Keine Konformitätsgarantie. Auch die vollständige Umsetzung aller hier genannten Maßnahmen macht eine Verarbeitung nicht automatisch rechtmäßig. Die Einzelfallprüfung von Zweck und Rechtsgrundlage bleibt Aufgabe des Verantwortlichen.

• Betroffenenrechte im Modell selbst. Die DSK stellt fest, dass die Umsetzung von Betroffenenrechten in trainierten Sprachmodellen weitgehend ungelöst ist. Wer Personendaten in ein Modell trainiert, statt sie über RAG separat vorzuhalten, nimmt dieses Risiko in Kauf.

• Bewegliche Rechtslage. Sowohl die Orientierungshilfen der DSK als auch die Anwendung der KI-Verordnung entwickeln sich weiter; die zitierten Dokumente stammen aus Juni und Oktober 2025 sowie Juli 2024. Neuere Fassungen können sie ergänzen.

• Proxy-Erkennung ist unvollständig. Welche Merkmale tatsächlich als Proxy für besondere Kategorien wirken, lässt sich nicht abschließend katalogisieren. Neue Kombinationen von Daten können neue Rückschlüsse ermöglichen, die bei der Einführung eines Systems noch nicht absehbar waren.

Du bist unsicher, wo dein Unternehmen bei Personendaten in KI-Tools steht? Im Rahmen unserer KI-Beratung erfassen wir KI-Nutzung, Datenflüsse und Rechtsgrundlagen strukturiert. Ein unverbindliches Erstgespräch reicht, um den Umfang einzuschätzen. Mehr braucht es nicht.

Checkliste: Personenbezogene Daten in KI-Tools prüfen

• Ist-Stand: Alle genutzten KI-Tools und Accounts erfasst, auch private Nutzung für dienstliche Zwecke.

• Datenklassen: Pro Fall geklärt, ob Personenbezug in Eingabe, Upload oder Ausgabe vorkommt, auch versteckt im Kontext.

• Proxy-Merkmale: Attribute erkannt, die indirekt auf besondere Kategorien schließen lassen (z. B. Postleitzahl, Kombination aus Vor- und Nachname).

• Rechtsgrundlage: Für jeden Zweck mit Personenbezug vor der Nutzung bestimmt und dokumentiert.

• Besondere Kategorien: Art.-9-Daten grundsätzlich ausgeschlossen; Ausnahmen einzeln nach Art. 9 Abs. 2 DSGVO geprüft.

• Minimierung: Grobe statt präzise Angaben genutzt, Datenmenge auf das Nötige begrenzt.

• Anbieterprüfung: Serverstandort, AVV, Trainingsausschluss, Löschfristen geklärt.

• Technische Maßnahmen: Zugriffs- und Rollenkonzept, bei RAG-Systemen Mandantentrennung, Verschlüsselung.

• KI-Leitlinie: Schriftlich festgelegt, wer welche Tools für welche Daten nutzen darf; Schatten-IT ausgeschlossen.

• Ausgabenkontrolle: Prüfpflicht für Ausgaben mit Personenbezug vor Weiterverwendung festgelegt.

• Review: Fester Rhythmus zur Überprüfung von Konfiguration, Verträgen und Rechtslage etabliert.

Wer diese elf Punkte durchgeht, hat keine Garantie auf Rechtskonformität, aber eine belastbare, dokumentierte Grundlage nach den Empfehlungen von DSK und BSI. Im Ernstfall zeigt sie, dass die Verarbeitung durchdacht war, statt einfach passiert zu sein. Genau darum geht es.