Stand: 3. Oktober 2026
Ein Fachbereich möchte einen KI-Assistenten einführen. Die IT prüft die Anbindung, der Einkauf verhandelt mit dem Anbieter und erste Beschäftigte testen das System. Kurz vor dem Start erhält der Datenschutzbeauftragte (DSB) die Unterlagen – mit der Bitte um eine schnelle Freigabe.
Dann fehlen häufig Antworten auf grundlegende Fragen: Welche Daten werden verarbeitet? Wer setzt Schutzmaßnahmen um? Und wer entscheidet über den Einsatz? Dieser Beitrag zeigt, wie Unternehmen den DSB frühzeitig einbinden und seine Beratung in überprüfbare Maßnahmen übersetzen.
Das Wichtigste in Kürze
- Der DSB berät und überwacht. Die Verantwortung für die Verarbeitung und die Einsatzentscheidung bleibt beim Unternehmen.
- Die Einbindung beginnt, bevor Anbieter, Datenquellen und wesentliche Einstellungen verbindlich festgelegt sind. Auch ein Pilot mit personenbezogenen Daten gehört in die Prüfung.
- Projektleitung, Umsetzung und späterer Betrieb brauchen benannte Verantwortliche. Die DSB-Funktion übernimmt nicht automatisch die gesamte KI-Compliance.
- Ein Projektsteckbrief, eine dokumentierte Stellungnahme und eine Maßnahmenliste verbinden Prüfung, Umsetzung und Entscheidung.
Rollen klären und die Unabhängigkeit sichern
Die folgende Aufteilung ist ein Organisationsvorschlag. Sie verlangt keine eigene Stelle für jede Aufgabe: In kleineren Unternehmen können geeignete Funktionen zusammenfallen. Entscheidend sind klare Zuständigkeiten und die Vermeidung von Interessenkonflikten.
Fachbereich und Projektleitung: Beschreiben Zweck, Nutzergruppen und Daten. Die Projektleitung sammelt Unterlagen, verfolgt Maßnahmen und bereitet die Einsatzentscheidung vor. Bei Bedarf erstellt der Fachbereich die Datenschutz-Folgenabschätzung (DSFA) mit Zuarbeit der IT. Eine interne Datenschutzkoordination unterstützt dabei, sofern vorhanden.
IT und Informationssicherheit: Dokumentieren Datenflüsse, konfigurieren Zugriffe und Schutzmaßnahmen und liefern technische Prüfergebnisse.
Einkauf, Legal/Compliance und Personalbereich: Klären je nach Aufgabe Anbieterrollen, Verträge, Drittlandübermittlungen und KI-VO-Anforderungen. Bei Beschäftigtendaten koordinieren Personalbereich und Legal auch die erforderliche Betriebsratsbeteiligung.
Datenschutzbeauftragter: Berät und überwacht. Bei einer DSFA ist sein Rat einzuholen; er überwacht deren Durchführung. Erstellung und Verantwortung liegen beim Unternehmen. Er benötigt Ressourcen, Zugang zu Daten und Verarbeitungsvorgängen sowie einen unmittelbaren Berichtsweg zur höchsten Managementebene.
Unternehmensleitung oder ausdrücklich beauftragtes Entscheidungsgremium: Stellt Ressourcen bereit, entscheidet im zugewiesenen Rahmen über den Einsatz und klärt eskalierte Fragen.
Systemverantwortlicher im Betrieb: Übernimmt spätestens beim Übergang aus dem Projekt die Koordination von Änderungen, Kontrollen und Vorfällen. Diese Funktion kann bei der bisherigen Projektleitung verbleiben; Zuständigkeit und Vertretung werden ausdrücklich festgehalten.
Die Grenze bei Zusatzaufgaben: Ein DSB darf weitere Aufgaben übernehmen, solange kein Interessenkonflikt entsteht. Kritisch sind eigene Entscheidungen über Zwecke und wesentliche Mittel einer Verarbeitung, die er anschließend überwacht. Ein solcher Konflikt kann auch bei der Leitung eines KI-Gremiums entstehen, wenn der DSB dort über Zwecke oder wesentliche Mittel mitentscheidet. Maßgeblich sind Art. 38 Abs. 6 DSGVO und das EuGH-Urteil X-FAB Dresden, C-453/21, Rn. 44–46.
Den DSB in fünf Schritten in KI-Projekte einbinden
1. Das Vorhaben früh mit einem Projektsteckbrief erfassen
Die Projektleitung beteiligt den DSB, sobald der Anwendungsfall ausreichend konkret ist und bevor wesentliche Festlegungen getroffen werden. Für den Einstieg genügen:
- Zweck, verantwortlicher Fachbereich und vorgesehene Nutzergruppen,
- Datenquellen, Kategorien personenbezogener Daten und betroffene Personen,
- Anbieterkandidaten, vorläufige Schnittstellen, Speicherorte und bekannte Fernzugriffe,
- geplante Verwendung der Ergebnisse, insbesondere für Entscheidungen über Personen,
- Umfang, Datenbasis und Zeitplan von Testbetrieb und Einführung.
Unbekannte Angaben bleiben als offene Punkte sichtbar. Anbieter- und Vertragsunterlagen sowie eine erste Datenflussübersicht werden beigefügt, soweit sie bereits vorliegen. Ergebnis dieses Schritts: ein gemeinsamer Projektstand mit benannten Ansprechpartnern.
2. Prüfbedarf, Unterlagen und Beteiligung festlegen
Projektleitung, IT und Einkauf liefern die benötigten Informationen. Der DSB berät zu Rechtsgrundlagen, Transparenz, Datenminimierung, Zugriffen und Löschung. Drei Fragen verdienen besondere Aufmerksamkeit:
- Anbieterrolle: Verarbeitet der Anbieter Daten weisungsgebunden oder für eigene Zwecke? Bei Auftragsverarbeitung sind Vertrag, Unterauftragnehmer und Kontrollmöglichkeiten nach Art. 28 DSGVO zu prüfen.
- Drittlandzugriffe: Wohin gelangen Daten, und aus welchen Ländern wird darauf zugegriffen? Das verwendete Übermittlungsinstrument nach Art. 44 ff. DSGVO muss zum Prüfzeitpunkt gültig sein und den konkreten Empfänger erfassen.
- Entscheidungen über Personen: Bei ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ist Art. 22 DSGVO zu prüfen. Eine menschliche Kontrolle muss inhaltlich erfolgen und das Ergebnis ändern können; bloßes Abzeichnen genügt nicht.
Die Projektleitung klärt mit den beteiligten Fachfunktionen und unter Beratung des DSB den DSFA-Bedarf nach Art. 35 DSGVO. Nicht jede KI-Anwendung erfordert eine DSFA. Bestimmte Verarbeitungen sind aber verbindlich erfasst, darunter die Fallgruppe in Nr. 11 der DSK-Muss-Liste: KI zur Verarbeitung personenbezogener Daten, um die Interaktion mit Betroffenen zu steuern oder persönliche Aspekte zu bewerten.
Weitere Anhaltspunkte liefern die Kriterien der Leitlinien WP248 rev.01, etwa Daten schutzbedürftiger Betroffener – darunter Beschäftigte wegen ihres Abhängigkeitsverhältnisses – und der innovative Einsatz neuer Technologien. Sie sind im konkreten Verarbeitungskontext zusammen zu bewerten. Prüfung und Ergebnis werden dokumentiert; eine erforderliche DSFA erfolgt vor Beginn der betreffenden Verarbeitung.
Beschäftigtendaten und Betriebsrat: Personalbereich und Legal klären Rechtsgrundlage und Erforderlichkeit sowie bei bestehendem Betriebsrat dessen Beteiligungsrechte. Das kann bereits den Pilotbetrieb betreffen, etwa bei personenbezogen auswertbaren Nutzungsprotokollen. Für § 87 Abs. 1 Nr. 6 BetrVG kommt es auf die objektive Überwachungseignung an. Auch die frühzeitige Unterrichtung und Beratung nach § 90 sowie gegebenenfalls der Sachverständigenbedarf nach § 80 Abs. 3 BetrVG gehören in den Zeitplan. Eine Betriebsvereinbarung muss ihrerseits den Anforderungen der DSGVO genügen.
KI-Verordnung: Legal/Compliance klärt daneben Einstufung, anwendbare Pflichten und Termine. Die DSGVO bleibt nach Art. 2 Abs. 7 KI-VO grundsätzlich anwendbar. Eine zusätzliche Grundrechte-Folgenabschätzung nach Art. 27 ist nur für bestimmte Betreiber von Hochrisiko-KI-Systemen nach Anhang III einzuplanen, etwa öffentliche Stellen sowie Betreiber bestimmter Kreditwürdigkeits- und Versicherungsanwendungen. Den Rechtsstand und die Fristen erläutert unser Beitrag zum KI-Omnibus 2026.
Ergebnis dieses Schritts: ein dokumentierter Prüfbedarf mit fehlenden Unterlagen, Zuständigkeiten und erforderlichen Beteiligungen. Welche technischen Informationen vor der Anbieterauswahl benötigt werden, vertieft unser Beitrag zur LLM-Einführung und Anbieterprüfung.
3. Beratung in überprüfbare Maßnahmen übersetzen
Die Stellungnahme des DSB nennt die geprüfte Systemversion, die zugrunde liegenden Unterlagen und offene Fragen. Die Projektleitung überführt die Empfehlungen mit den Fachfunktionen in eine Maßnahmenliste mit vier Feldern: Maßnahme, Verantwortlicher, Termin und Prüfnachweis.
Eine Aufgabe beschreibt das erwartete Ergebnis, beispielsweise: „IT weist vor dem Pilotstart nach, dass der Assistent die bestehenden Zugriffsgrenzen einhält; Testumfang und Ergebnis werden im Projektticket dokumentiert.“ Nutzungshinweise, Schulungen und erforderliche Konfigurationsänderungen erhalten ebenfalls Verantwortliche und Nachweise.
Die jeweils benannte Funktion setzt die Maßnahme um. Der DSB nutzt die Ergebnisse für seine Beratung und Überwachung. Ergebnis dieses Schritts: eine nachverfolgbare Maßnahmenliste mit überprüfbaren Abschlüssen.
4. Über den Einsatz entscheiden und die Entscheidung festhalten
Die Projektleitung führt Stellungnahme, Maßnahmenstatus, erforderliche Betriebsratsbeteiligung und verbleibende Fragen zusammen. Die benannte Unternehmensleitung oder das ausdrücklich beauftragte Gremium entscheidet, ob das Vorhaben starten kann, begrenzt werden muss oder zurückgestellt wird.
Abweichungen von Empfehlungen des DSB werden mit Begründung und Verantwortlichkeit dokumentiert. Eine interne Entscheidung ersetzt keine fehlende Rechtsgrundlage und macht eine unzulässige Verarbeitung nicht zulässig. Bei ungelösten Konflikten bleibt der unmittelbare Berichtsweg zur höchsten Managementebene offen.
Verbleibt nach der DSFA ein hohes Risiko, das durch Maßnahmen nicht ausreichend eingedämmt werden kann, ist vor der Verarbeitung die Aufsichtsbehörde nach Art. 36 DSGVO zu konsultieren. Ergebnis dieses Schritts: eine dokumentierte Einsatzentscheidung mit Geltungsbereich, Bedingungen und Verantwortlichen.
5. Betrieb, Änderungen und Vorfälle einbeziehen
Vor dem Übergang in den Betrieb übernimmt der benannte Systemverantwortliche die Projektunterlagen, offenen Maßnahmen und Kontrolltermine. Er sorgt dafür, dass neue Datenquellen, Nutzergruppen, Anbieter, Speicherfristen oder Agentenfunktionen vor ihrer Einführung erneut bewertet werden. Der DSB erhält die dafür erforderlichen Informationen.
Vorfälle, Beschwerden und unerwartete personenbezogene Ausgaben lösen ebenfalls eine Prüfung aus. IT und Informationssicherheit erfassen den Sachverhalt und begrenzen den Schaden. Parallel werden mögliche DSGVO-Meldepflichten nach Art. 33 und 34 sowie gegebenenfalls NIS2-Pflichten geprüft. Die Meldewege und Zuständigkeiten müssen vor einem Vorfall feststehen; der DSB berät. Den Ablauf vertieft unser Beitrag zu NIS2-Meldepflichten und Sicherheitsvorfällen.
Ergebnis dieses Schritts: ein benannter Ansprechpartner im Betrieb, risikogerechte Kontrolltermine und festgelegte Auslöser für eine erneute Beteiligung.
Praxisbeispiel: Vom Projektsteckbrief zur Pilotentscheidung
Das folgende vereinfachte Beispiel ist illustrativ. Es beschreibt keinen dokumentierten Kundenfall und ersetzt keine vollständige Prüfung.
Ein interner Assistent für Richtlinien und Projektdokumente
Projektsteckbrief: Ein Unternehmen plant einen vierwöchigen Pilot mit zehn Beschäftigten. Der Assistent soll interne Richtlinien und ausgewählte Projektdokumente durchsuchen. Die Projektleitung grenzt den Dokumentenbestand ab; Personalakten sind ausgeschlossen. Projektunterlagen enthalten dennoch Namen und Kontaktdaten.
Prüfhinweis: Der DSB weist darauf hin, dass Zugriffsgrenzen auch bei Suche und Antworterzeugung gelten müssen. Die Projektleitung dokumentiert die DSFA-Vorprüfung und berücksichtigt dabei die in Schritt 2 erläuterten Kriterien zur Schutzbedürftigkeit der Beschäftigten und zum innovativen Technologieeinsatz. Eine erforderliche DSFA und die weiteren Prüfungen aus Schritt 2 werden vor dem betreffenden Pilotbetrieb abgeschlossen.
Maßnahme: Die IT prüft vor dem Start mit zwei unterschiedlich berechtigten Testkonten, ob geschützte Inhalte unberechtigten Nutzern weder als Treffer noch in Antworten erscheinen. Sie testet außerdem, ob entzogene Zugriffsrechte und gelöschte Dokumente im Suchindex wirksam berücksichtigt werden. Verantwortlicher, Termin und Testprotokoll stehen im Projektticket.
Testergebnis: Im ersten Test bleibt ein Dokument nach Entzug der Berechtigung über den Index auffindbar. Die IT korrigiert die Aktualisierung der Berechtigungen und wiederholt den Test. Im festgelegten Testumfang tritt der Fehler anschließend nicht mehr auf. Das Protokoll hält die getesteten Rollen, Dokumente und Grenzen fest; ein einzelner bestandener Test belegt nicht die Sicherheit des gesamten Systems.
Entscheidung: Nach Abschluss auch der übrigen erforderlichen Prüfungen und Beteiligungen lässt das benannte Entscheidungsgremium den begrenzten Pilot zu. Neue Datenquellen bleiben bis zu einer erneuten Bewertung ausgeschlossen. Der Systemverantwortliche übernimmt die Unterlagen und koordiniert eine Auswertung nach vier Wochen. Der DSB erhält die Ergebnisse für seine weitere Beratung und Überwachung.
Praxis-Check: Was fehlt im eigenen Ablauf?
Gehen Sie die folgenden Punkte an einem konkreten KI-Projekt durch. Eine offene Frage erhält unmittelbar einen Verantwortlichen und einen nächsten Schritt:
- Projekt und Ansprechpartner erfasst? Falls nicht, zuerst den Steckbrief anlegen und die Projektleitung benennen.
- DSB rechtzeitig beteiligt? Falls nicht, den aktuellen Stand und anstehende Festlegungen übermitteln und den Prüfbedarf abstimmen.
- DSFA-Bedarf, Beschäftigtendaten und Beteiligungsrechte geklärt? Offene Prüfungen den zuständigen Funktionen zuordnen und ihre Konsequenzen für den Starttermin festhalten.
- Maßnahmen mit Nachweisen abgeschlossen? Fehlende Verantwortliche, Termine oder Prüfergebnisse ergänzen.
- Beratung und Einsatzentscheidung getrennt dokumentiert? Entscheidungsträger, Geltungsbereich und verbleibende Bedingungen ausdrücklich festhalten.
- Zusatzaufgaben des DSB konfliktfrei? Tatsächliche Entscheidungsbefugnisse prüfen und bei Bedarf die Aufgabenverteilung ändern.
- Betrieb und Änderungsmeldungen geregelt? Systemverantwortung, Vertretung und Informationswege vor der Übergabe festlegen.
Quellen und weiterführende Grundlagen
- DSGVO, insbesondere Art. 22, 28, 33–36, 38, 39 und 44 ff.; WP243 rev.01 zur DSB-Rolle und WP251 rev.01, Abschnitt IV.A, zur tatsächlichen menschlichen Beteiligung an Entscheidungen.
- EuGH, X-FAB Dresden, C-453/21, 9. Februar 2023, Rn. 44–46: Interessenkonflikte des DSB.
- Beschäftigtendaten: § 26 BDSG und Art. 88 DSGVO; EuGH, C-65/23, 19. Dezember 2024, zu DSGVO-Anforderungen an Kollektivvereinbarungen.
- Betriebsratsbeteiligung: § 87 Abs. 1 Nr. 6, § 90 und § 80 Abs. 3 BetrVG; BAG, 1 ABR 16/23, 16. Juli 2024, Rn. 25, zur objektiven Überwachungseignung.
- DSK-Muss-Liste für den nichtöffentlichen Bereich, Version 1.1 vom 17. Oktober 2018, insbesondere Nr. 11; Leitlinien zur Datenschutz-Folgenabschätzung, WP248 rev.01, Abschnitt III.B.a zu den Risikokriterien.
- KI-Verordnung, konsolidierte Fassung vom 27. Juli 2026, Art. 2 Abs. 7 zum Verhältnis zur DSGVO und Art. 27 zur Grundrechte-Folgenabschätzung.
- Technische Vertiefung: DSK-Orientierungshilfen zu technischen und organisatorischen Maßnahmen bei KI-Systemen, Juni 2025, und zur RAG-Methode, Oktober 2025.
Der Beitrag bietet eine allgemeine Orientierung zur Organisation von KI-Projekten. Er ersetzt keine rechtliche Prüfung des konkreten Vorhabens.
DATENSCHUTZ UND KI-PROJEKTE
DSB-Einbindung und Projektabläufe klar regeln
DProtected unterstützt Unternehmen dabei, Zuständigkeiten, Datenschutzprozesse und die Einbindung des DSB in KI-Projekte zu strukturieren.
Mehr zum Leistungsbereich erfahren Sie auf unserer Seite zur Datenschutz- und DSGVO-Compliance-Beratung.