Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Welche Anforderungen gelten, hängt vom konkreten KI-System, den verarbeiteten Daten und der Rolle des Unternehmens ab. Für die individuelle Ausgestaltung sollten sich Gründerinnen und Gründer an eine fachkundige Stelle wenden.

Künstliche Intelligenz gehört in deutschen Startups längst zum Alltag. Laut Bitkom Startup Report 2025 setzen 82 Prozent der befragten Tech-Startups KI ein; 2023 waren es 49 Prozent. Die Befragung unter 152 Startups ist nicht repräsentativ, zeichnet aber ein aussagekräftiges Stimmungsbild. Was bei diesem Tempo häufig fehlt, ist eine Datenschutzstruktur, die mit dem technischen Einsatz Schritt hält.

Mit der Verbreitung von KI wächst auch der regulatorische Druck. Der EU AI Act ist in Kraft, und die DSGVO gilt grundsätzlich immer dann, wenn ein Startup personenbezogene Daten verarbeitet. Für Gründerinnen und Gründer lohnt sich deshalb ein früher Blick auf drei Annahmen, die in der Praxis zu Problemen führen können – möglichst bevor das erste KI-Tool produktiv eingesetzt wird.

Irrtum 1: Für die DSGVO sind wir zu klein

Eine verbreitete Fehleinschätzung lautet, DSGVO und AI Act seien vor allem ein Thema für große Konzerne mit eigener Rechtsabteilung. Kleine Unternehmen sind jedoch nicht allein aufgrund ihrer Größe von den Vorschriften ausgenommen. Welche konkreten Pflichten gelten, hängt unter anderem von der Verarbeitung, der Risikokategorie des KI-Systems und der Rolle des Unternehmens ab.

Auch die möglichen Sanktionen zeigen, dass Datenschutz und KI-Regulierung ernst genommen werden sollten. Bei bestimmten schweren DSGVO-Verstößen sind Geldbußen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes möglich. Der AI Act sieht bei besonders schweren Verstößen – etwa gegen verbotene KI-Praktiken – Bußgelder von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes vor. Die konkrete Höhe richtet sich nach Art und Schwere des Verstoßes sowie weiteren Umständen des Einzelfalls.

Irrtum 2: Dafür haftet allein der KI-Anbieter

Wenn ein Startup ein KI-Tool einbindet, verschwindet seine datenschutzrechtliche Verantwortung nicht automatisch beim Anbieter. Entscheidet das Unternehmen über Zwecke und Mittel der Verarbeitung, bleibt es insoweit Verantwortlicher. Je nach Gestaltung können jedoch auch der KI-Anbieter oder weitere Beteiligte eigene datenschutzrechtliche Pflichten haben.

Stephan Hartmann, Rechtsexperte für Datenschutz und KI-Compliance bei LawDistrict.de, bringt es so auf den Punkt: Auch wenn eine Entscheidung technisch durch ein KI-System unterstützt wird, muss der Websitebetreiber prüfen, auf welcher Grundlage personenbezogene Daten verarbeitet werden und welche Informationen Betroffene erhalten.

Verarbeitet ein KI-Dienstleister personenbezogene Daten im Auftrag des Startups, ist grundsätzlich ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO erforderlich. Vorab sollte geklärt werden, welche datenschutzrechtliche Rolle der Anbieter tatsächlich einnimmt, wo Daten gespeichert werden und ob sie beispielsweise zum Training des Modells verwendet werden. Soweit beim KI-Einsatz personenbezogene Daten verarbeitet werden, müssen außerdem die gesetzlich vorgeschriebenen Informationen transparent bereitgestellt werden. Bei ausschließlich automatisierten Entscheidungen können zusätzliche Anforderungen gelten.

Irrtum 3: Ein KI-Vorfall ist reine IT-Sache

KI kann Angriffe wie Deepfake-Betrug oder automatisiertes Phishing erleichtern. Führt ein solcher Angriff zu einer Verletzung personenbezogener Daten, ist das nicht nur ein technisches Problem. Das Startup muss den Vorfall dokumentieren, das Risiko bewerten und festlegen, wer welche Schritte übernimmt.

Ist es wahrscheinlich, dass die Verletzung ein Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt, muss der Verantwortliche sie grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden. Bei einem voraussichtlich hohen Risiko müssen unter Umständen auch die betroffenen Personen informiert werden. Maßgeblich sind unter anderem die Artikel 33 und 34 DSGVO.

Was ihr schon in der Gründungsphase regeln solltet

Der Aufwand bleibt eher beherrschbar, wenn Datenschutz von Anfang an in Prozesse und Verantwortlichkeiten eingebaut wird. Je nach Einsatzszenario gehören dazu insbesondere:

• ein Verzeichnis der Verarbeitungstätigkeiten, soweit Artikel 30 DSGVO dies verlangt, das auch relevante KI-Prozesse abbildet
• transparente Datenschutzinformationen für die tatsächlich stattfindenden Verarbeitungen
• eine Prüfung der Rollenverteilung und gegebenenfalls Auftragsverarbeitungsverträge mit KI- und Cloud-Anbietern
• eine Datenschutz-Folgenabschätzung, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt
• klare Regeln dafür, welche Daten Mitarbeitende in frei verfügbare KI-Tools eingeben dürfen
• ein Ablauf für Sicherheitsvorfälle, Risikobewertung und mögliche Meldungen innerhalb der gesetzlichen Fristen

Datenschutz endet nicht bei der Erhebung. Auch Aufbewahrung, Zugriffsrechte und sichere Entsorgung von Verträgen und Personalakten gehören dazu, wie der Beitrag zu den Datenschutzpflichten bei der Unternehmensgründung im Detail zeigt.

Saubere Basisdokumente erleichtern den Einstieg. Wer eine Datenschutzerklärung nicht vollständig bei null erstellen möchte, kann eine strukturierte Vorlage als Ausgangspunkt verwenden. Sie muss anschließend an die tatsächlichen Datenflüsse, eingesetzten Dienste und Zwecke des Unternehmens angepasst werden. Bei komplexen oder risikoreichen Verarbeitungen bleibt fachkundige rechtliche Beratung sinnvoll.

Datenschutz als Teil eines stabilen Unternehmensaufbaus

Datenschutz in einem KI-Startup ist kein nachgelagertes Bürokratiethema. Wer Verantwortlichkeiten, Transparenz, Sicherheit und Dokumentation früh mitdenkt, reduziert rechtliche und operative Risiken und schafft zugleich Vertrauen bei Kunden, Mitarbeitenden und Investoren.