DSGVO & KI: Was österreichische Unternehmen wissen müssen

KI-Tools sind im Unternehmensalltag angekommen – von Chatbots auf der Website bis hin zu KI-gestützten E-Mail-Antworten. Was dabei viele vergessen: Sobald personenbezogene Daten verarbeitet werden, gilt die DSGVO. Und das ist bei fast allen KI-Anwendungen der Fall. Dieser Artikel erklärt, was österreichische Unternehmen beachten müssen – ohne Juristendeutsch.

Wann greift die DSGVO bei KI?

Die DSGVO greift immer dann, wenn personenbezogene Daten verarbeitet werden – also Informationen, die sich auf eine identifizierbare Person beziehen. Das umfasst Namen, E-Mail-Adressen, IP-Adressen, aber auch indirekte Merkmale wie Standortdaten oder Nutzerverhalten.

Bei KI-Anwendungen passiert das fast immer:

• Ein KI-Chatbot auf Ihrer Website speichert Chat-Verläufe mit Kundendaten
• Ein KI-E-Mail-Tool liest Nachrichten von Kunden
• KI-Analyse-Tools werten Nutzerverhalten auf Ihrer Website aus
• ChatGPT oder ähnliche Tools, in die Sie Kundendaten eingeben

Die drei wichtigsten Pflichten

1. Auftragsverarbeitungsvertrag (AVV)

Wenn Sie einen externen KI-Anbieter nutzen, der Daten Ihrer Kunden verarbeitet, müssen Sie mit diesem einen Auftragsverarbeitungsvertrag abschließen. Die meisten seriösen Anbieter (wie Tidio, HubSpot oder Intercom) stellen diesen Vertrag automatisch bereit – Sie müssen ihn aber aktiv annehmen oder anfordern.

2. Datenschutzerklärung aktualisieren

Ihre Datenschutzerklärung muss alle eingesetzten Tools erwähnen, die Kundendaten verarbeiten. Wenn Sie also einen KI-Chat einbinden, muss das in Ihrer Datenschutzerklärung stehen – mit Angabe des Anbieters, Zweck der Verarbeitung und ob Daten in Drittländer übertragen werden.

3. Informationspflicht gegenüber Nutzern

Kunden müssen wissen, wenn sie mit einem KI-System kommunizieren – nicht zwingend in einem Pop-up, aber zumindest in der Datenschutzerklärung oder einem gut sichtbaren Hinweis im Chat selbst. Viele Anbieter haben hierfür fertige Textbausteine.

„Transparenz ist das A und O. Kunden, die wissen, dass sie mit einer KI chatten, vertrauen einem Unternehmen mehr – nicht weniger."

Was ist mit US-amerikanischen KI-Tools?

Das ist ein häufiges Streitthema. Tools wie ChatGPT (OpenAI), Google Gemini oder Microsoft Copilot haben ihren Hauptsitz in den USA. Nach dem Schrems-II-Urteil des EuGH ist die Datenübertragung in die USA grundsätzlich nur unter strengen Bedingungen erlaubt.

Die praktische Lösung für österreichische KMU:

• Nur Anbieter nutzen, die dem EU-US Data Privacy Framework beigetreten sind (Liste auf dataprivacyframework.gov)
• AVV mit dem Anbieter abschließen
• Möglichst keine sensiblen Kundendaten in US-KI-Tools eingeben
• EU-basierte Alternativen bevorzugen, wo verfügbar

Der EU AI Act – was kommt auf uns zu?

Seit 2024 ist der EU AI Act in Kraft – das weltweit erste umfassende KI-Gesetz. Für die meisten österreichischen KMU bedeutet das in der Praxis:

• KI-Systeme mit geringem Risiko (z. B. Chatbots, Produktempfehlungen) unterliegen nur Transparenzpflichten
• Sie müssen Nutzer darüber informieren, dass sie mit einer KI interagieren
• Hochrisiko-KI (z. B. für Kreditvergabe, Personalauswahl) erfordert deutlich mehr Dokumentation – betrifft die meisten KMU nicht

Die DSGVO-Checkliste für KI-Einsatz

Gehen Sie diese Punkte durch, bevor Sie ein KI-Tool auf Ihrer Website einsetzen:

• AVV mit dem KI-Anbieter abgeschlossen oder angefordert
• Datenschutzerklärung aktualisiert (Tool, Zweck, Empfänger)
• Nutzer werden über den KI-Einsatz informiert
• Keine sensiblen Daten (Gesundheit, Finanzen) ohne besondere Absicherung eingegeben
• Anbieter ist DSGVO-konform und hat EU-Server oder Data Privacy Framework
• Cookie-Banner zeigt KI-bezogene Tools korrekt an

Fazit: DSGVO und KI schließen sich nicht aus

Mit dem richtigen Setup können österreichische Unternehmen KI-Tools rechtskonform einsetzen. Der Aufwand ist überschaubar – ein aktueller AVV, eine angepasste Datenschutzerklärung und die richtige Anbieterwahl reichen für die meisten KMU aus.

Wer hingegen einfach ein beliebiges KI-Tool einbindet, ohne die datenschutzrechtlichen Grundlagen zu klären, riskiert Abmahnungen und Bußgelder der österreichischen Datenschutzbehörde (DSB).