KI & DSGVO: Der Compliance-Guide für Marketing-Teams

KI & DSGVO: Der Compliance-Guide für Marketing-Teams

KI und Datenschutz – das Spannungsfeld, das jedes Marketing-Team 2026 meistern muss. Zwischen EU AI Act, DSGVO und ePrivacy ist der rechtliche Rahmen komplex. Dieser Guide macht ihn verständlich – mit konkreten Checklisten und Praxisbeispielen.

---

Die 3 Regulierungen, die du kennen musst

1. DSGVO (seit 2018)

Betrifft alle personenbezogenen Daten, die KI verarbeitet:

• Kundendaten in CRM-Systemen
• E-Mail-Adressen für Personalisierung
• Tracking-Daten für KI-Analyse
• Nutzerverhalten für Empfehlungen

2. EU AI Act (seit 2025 stufenweise)

Klassifiziert KI-Systeme nach Risiko:

• Minimal: Chatbots, Spam-Filter → Transparenzpflicht
• Begrenzt: Empfehlungssysteme → Transparenz + Dokumentation
• Hoch: Recruiting-KI, Kredit-Scoring → Strenge Auflagen
• Verboten: Social Scoring, manipulative KI

3. ePrivacy-Verordnung

Regelt Cookies, Tracking, elektronische Kommunikation:

• Cookie-Consent für KI-Tracking
• E-Mail-Marketing nur mit Einwilligung
• Profiling-Transparenz

---

8 Praxis-Regeln für DSGVO-konformes KI-Marketing

1. Keine Kundendaten in öffentliche KI-Tools

Verboten:

• Kundenlisten in ChatGPT eingeben
• E-Mail-Adressen zur KI-Analyse in Cloud-Tools laden
• CRM-Exporte in nicht-zertifizierte Tools

Erlaubt:

• Anonymisierte/pseudonymisierte Daten verwenden
• DSGVO-konforme Enterprise-Versionen nutzen (ChatGPT Enterprise, Azure OpenAI)
• On-Premise-Lösungen für sensible Daten

---

2. Datenschutz-Folgenabschätzung (DSFA)

Wann ist eine DSFA Pflicht?

• KI-basiertes Profiling von Kunden
• Automatisierte Entscheidungen mit Auswirkung auf Personen
• Großflächige Verarbeitung personenbezogener Daten
• Neue Technologien mit unklaren Risiken

---

3. Transparenzpflichten erfüllen

Was du kommunizieren musst:

• "Dieser Chatbot nutzt KI" – Kennzeichnung bei KI-Interaktion
• "Diese E-Mail wurde mit KI-Unterstützung erstellt" – bei KI-Content
• "Ihre Daten werden zur Personalisierung analysiert" – in der Datenschutzerklärung
• Recht auf menschliche Alternative bei automatisierten Entscheidungen

---

4. Einwilligung richtig einholen

---

5. Auftragsverarbeitung (AVV) abschließen

Mit jedem KI-Tool-Anbieter brauchst du einen AVV:

• OpenAI, Anthropic, Google → haben Standard-AVVs
• Kleinere KI-Tools → AVV explizit anfordern
• Prüfe: Wo werden Daten verarbeitet? (EU vs. US)
• Privacy Shield / Data Privacy Framework beachten

---

6. Datenminimierung einhalten

• Nur die Daten an KI-Tools geben, die wirklich nötig sind
• Keine vollständigen Kundendatensätze, wenn ein Teilausschnitt reicht
• Löschfristen definieren und automatisieren
• Anonymisierung wo möglich

---

7. KI-generierte Inhalte kennzeichnen

EU AI Act Anforderungen 2026:

• KI-generierte Bilder: Metadaten-Kennzeichnung
• Deepfakes: Deutliche Kennzeichnung verpflichtend
• Chatbots: Transparenz, dass es sich um KI handelt
• Synthetische Stimmen: Kennzeichnungspflicht

---

8. Rechte der Betroffenen wahren

• Auskunftsrecht: Welche Daten verarbeitet die KI?
• Löschungsrecht: Daten aus KI-Systemen entfernen
• Widerspruchsrecht: Opt-out aus KI-basiertem Profiling
• Recht auf menschliche Entscheidung: Art. 22 DSGVO
• Datenportabilität: Export der KI-verarbeiteten Daten

---

Checkliste: DSGVO-konformes KI-Marketing

• Datenschutzerklärung aktualisiert (KI-Einsatz erwähnt)
• AVV mit allen KI-Tool-Anbietern abgeschlossen
• DSFA für Profiling-Anwendungen durchgeführt
• Einwilligung für Personalisierung eingeholt
• Keine Kundendaten in öffentliche KI-Tools
• KI-generierte Inhalte gekennzeichnet
• Löschfristen für KI-verarbeitete Daten definiert
• Opt-out-Möglichkeit für KI-Profiling vorhanden
• Mitarbeiter im Umgang mit KI & Datenschutz geschult
• Verzeichnis der Verarbeitungstätigkeiten aktualisiert

---

Tool-Empfehlungen für DSGVO-konformes KI-Marketing

---

Bußgelder: Was droht bei Verstößen?

---

Fazit: Datenschutz ist kein Hindernis, sondern Qualitätsmerkmal

DSGVO-konformes KI-Marketing ist kein Widerspruch – es ist ein Wettbewerbsvorteil. Kunden vertrauen Unternehmen, die transparent mit ihren Daten umgehen.

Die 3 goldenen Regeln:

1. Anonymisiere, was du anonymisieren kannst
2. Dokumentiere, was du mit KI machst
3. Frage im Zweifel deinen Datenschutzbeauftragten