Ratgeber

KI-Beratung und Datenschutz: was die DSGVO verlangt

Sobald bei KI-Beratung personenbezogene Daten verarbeitet werden, gelten klare Pflichten. Welche das konkret sind, was in der Praxis fast immer fehlt und was tatsächlich reicht.

Einschätzung anfragen ↗KI-Beratung

Angebot nach Anfrage2 bis 3 WochenStand 2026

Kurz gesagt

Sobald bei KI-Beratung personenbezogene Daten verarbeitet werden, braucht es Rechtsgrundlage, Zweckbindung, definierte Löschfristen, Information der Betroffenen und einen Auftragsverarbeitungsvertrag mit jedem beteiligten Dienstleister. In der Praxis fehlen fast immer dieselben drei Punkte: die Löschfrist, der Hinweis an der Erhebungsstelle und die Klärung, ob der Anbieter die Daten für eigenes Training nutzt.

01 — Datenschutz

Was die DSGVO verlangt

Sobald personenbezogene Daten verarbeitet werden — und das passiert schneller als gedacht, etwa sobald jemand einen Namen oder eine Telefonnummer eingibt — gelten die üblichen Pflichten: Rechtsgrundlage benennen, Zweck festlegen, Datensparsamkeit einhalten, Löschfristen definieren, Betroffene informieren.

Praktisch heißt das für KI-Beratung: ein Auftragsverarbeitungsvertrag mit jedem beteiligten Dienstleister, die Prüfung, wo verarbeitet wird, eine dokumentierte Löschfrist und eine verständliche Passage in der Datenschutzerklärung. Drei Dinge fehlen in der Praxis fast immer: die definierte Löschfrist, der Hinweis an der Stelle, an der die Daten erhoben werden, und die Klärung, ob der Anbieter die Daten für eigenes Training nutzt.

Eine Datenschutz-Folgenabschätzung ist nur bei voraussichtlich hohem Risiko nötig — bei den meisten Vorhaben dieser Art nicht. Die Prüfung selbst sollte trotzdem dokumentiert werden, damit im Anlassfall nachvollziehbar ist, warum sie entfallen ist.

02 — Vertrag

Was schriftlich geklärt gehört

Eigentum an Daten und Zugängen. Sie gehören dem Auftraggeber. Wenn ein Anbieter das nicht klar bestätigt, ist das die wichtigste Information des Gesprächs.
Herausgabe bei Beendigung. In welchem Format, in welcher Frist, zu welchen Kosten.
Keine Mindestlaufzeit ohne Gegenleistung. Bindung ist vertretbar, wenn dafür etwas geliefert wird — sonst nicht.
Was eine spätere Änderung kostet. Nicht der Projektpreis entscheidet über die Gesamtkosten, sondern der Stundensatz für das dritte Jahr.
Dokumentation als Liefergegenstand. Nicht als Zusage, sondern als Position im Angebot.

03 — Risiken

Was schiefgehen kann

Das System antwortet falsch. Begrenzbar, indem es ausschließlich aus geprüften Inhalten arbeitet und bei Unsicherheit weiterleitet statt zu raten. Das ist eine Konfigurationsentscheidung, keine Eigenschaft der Technik.
Der Aufwand wird unterschätzt. Häufigster Grund: unklare Ausgangslage. Eine ehrliche Bestandsaufnahme vor dem Angebot verhindert das zuverlässiger als jeder Puffer.
Niemand pflegt es. Das größte Risiko überhaupt — und das am leichtesten vermeidbare.
Datenschutzlücken. Entstehen fast immer durch fehlende Löschfristen und unklare Zuständigkeit, selten durch die Technik selbst.
Abhängigkeit vom Anbieter. Vermeidbar, wenn Zugänge, Daten und Dokumentation vertraglich beim Auftraggeber liegen.

04 — Fragen

Häufige Fragen

Wie unterscheidet sich das von einer Beratung durch die Kammer?

Die Kammerangebote geben einen guten Überblick über Fördermöglichkeiten und Grundlagen. Wir gehen einen Schritt weiter und schauen uns eure konkreten Abläufe und Systeme an — mit Aufwandsschätzung, die wir auch selbst einhalten müssten.

Reicht ein Gespräch mit der Geschäftsführung nicht aus?

Nein, das ist der häufigste Grund für eine Liste, die später nicht funktioniert. Wer die Abläufe täglich macht, kennt die Ausnahmen, die eine Außenperspektive nie sieht.

Ist das nicht nur eine verkappte Verkaufsveranstaltung?

Die Empfehlung enthält regelmäßig Punkte, die ihr selbst oder mit eurem bestehenden Dienstleister umsetzen könnt, und ebenso Fälle, von denen wir abraten. Das Dokument gehört euch und funktioniert auch ohne uns.

Was, wenn bei uns nichts sinnvoll ist?

Dann steht das drin. Das kommt vor, vor allem bei Betrieben mit sehr wenig wiederkehrenden Abläufen oder ohne digitale Datenbasis. Ein ehrliches Nein ist billiger als ein Projekt, das versandet.

Welche Förderungen gibt es in Österreich?

Infrage kommen unter anderem KMU.DIGITAL und die aws-Digitalisierungsförderung — aktuelle Konditionen auf kmudigital.at und aws.at. Beide setzen voraus, dass der Antrag vor der Auftragsvergabe bewilligt ist — deshalb sprechen wir das früh an und nicht am Ende.

Wer sollte beim Workshop dabei sein?

Mindestens eine Person aus der Geschäftsführung und zwei bis drei, die die betroffenen Abläufe täglich machen. Ohne die zweite Gruppe entsteht eine Liste, die im Alltag nicht funktioniert.

Bekommen wir auch Empfehlungen zu Anbietern außer euch?

Ja, wo es sinnvoll ist. Manche Anwendungsfälle passen besser zu einer Standardsoftware oder einem spezialisierten Anbieter — das steht dann so im Dokument, nicht verschwiegen.

Nächster Schritt

Wir schauen uns eure Ausgangslage an.

Erzählt uns, was heute Zeit frisst. Daraus entsteht eine Einschätzung mit Aufwand und Nutzen — und erst danach ein Angebot.

Anfrage senden ↗ office@pipeline-solutions.at ODER +43 681 207 64 203