EU AI Act und DSGVO: Was Solo-Unternehmerinnen wirklich tun müssen (und was nicht)

In Gesprächen mit Unternehmerinnen begegnet mir dieser Satz gerade sehr oft:

“Sandra, ich blick nicht mehr durch. KI-Verordnung, DSGVO, jeder erzählt was anderes. Ich mach jetzt gar nichts mehr.”

Ich verstehe das. Und trotzdem ist Stillstand in diesem Fall der teuerste Weg. Nicht weil sofort ein Bußgeld hereinflattert. Sondern weil viele Solo-Businesses aus Unsicherheit kleiner bleiben, als sie sein könnten.

Deshalb dieser Beitrag. Zwei Regelwerke, ein Business. Klar sortiert. Was du wirklich tun musst. Und was du getrost ignorieren kannst.

Der wichtigste Grundgedanke: Sie greifen nebeneinander, nicht übereinander

Viele denken, die KI-VO würde die DSGVO ergänzen oder überlagern. Tut sie nicht. Die beiden Regelwerke haben unterschiedliche Zielrichtungen und wirken parallel. Das ist der entscheidende Punkt.

Die DSGVO schützt personenbezogene Daten. Sie greift immer, wenn du Daten von Menschen verarbeitest. Egal ob mit KI oder mit einem ganz gewöhnlichen Tabellenblatt. Der Kern ist der Personenbezug.

Der EU AI Act regelt den Einsatz von KI-Systemen. Er greift auch dann, wenn keine personenbezogenen Daten involviert sind. Der Kern ist die KI.

Das bedeutet praktisch: Für jede Situation prüfst du beide Regelwerke. Aber getrennt. Nicht als ein einziges zusammenhängendes Regelwerk.

Zwei Beispiele aus der Praxis

Damit das nicht abstrakt bleibt.

Beispiel 1: KI-Bildgenerator für einen Blogartikel

Du erzeugst mit einem KI-Bildgenerator ein Bild einer Landschaft für deinen nächsten Beitrag. Keine personenbezogenen Daten sind involviert.

• DSGVO: Nicht relevant.
• KI-VO: Relevant. Insbesondere die Kennzeichnungspflicht für KI-generierte Inhalte nach Art. 50 KI-VO. Sie gilt ab 2. August 2026.

Beispiel 2: ChatGPT für Kunden-E-Mails

Du nutzt ChatGPT, um E-Mails an Kundinnen zu formulieren, und gibst dabei den Namen der Kundin und ihre Anfrage ein.

• DSGVO: Sehr relevant. Personenbezogene Daten fließen in ein Drittsystem. Es braucht eine Rechtsgrundlage, transparente Information, einen AV-Vertrag mit dem Anbieter und die Prüfung, ob der Anbieter datenschutzkonform arbeitet.
• KI-VO: Nicht relevant.

Zwei Situationen, zwei ganz unterschiedliche Prüfungen.

Priorität 1: DSGVO

Für Solo-Unternehmerinnen ist die DSGVO fast immer die akute Baustelle. Nicht weil sie neuer wäre, sondern weil sie sofort greift und in der Praxis abgemahnt werden kann.

Diese drei Punkte sollten auf jeden Fall in deinem Business stehen:

1. AV-Vertrag mit deinem KI-Anbieter

Sobald personenbezogene Daten in das KI-Tool fließen (Kundendaten, E-Mail-Adressen, individuelle Anfragen), brauchst du einen Auftragsverarbeitungsvertrag mit dem Anbieter. Wichtig: Bei den meisten Anbietern, darunter OpenAI und Anthropic, ist der AVV nur in Business- oder Enterprise-Tarifen verfügbar. Wer den Standard-Tarif nutzt, hat keinen Zugang dazu.

2. Datenschutzerklärung aktualisieren

Alle KI-Tools, die du im geschäftlichen Kontakt einsetzt, gehören in die Datenschutzerklärung. Kurz beschrieben: welches Tool, welcher Anbieter, welcher Zweck, welche Rechtsgrundlage. Das übliche halt.

3. Keine sensiblen Kundendaten in Consumer-KI ohne EU-Anbindung

Zahlungsdaten, Gesundheitsthemen, sehr persönliche Coaching-Inhalte – die gehören nicht in ein kostenloses “Consumer” KI-Tool, dessen Server in unklaren Regionen stehen und dessen Datenschutzstandards du nicht einschätzen kannst, z.B. Stichwort Training mit eingegebenen Inhalten.

Priorität 2: EU AI Act – was für dein Solo-Business tatsächlich gilt

Der EU AI Act klingt für viele bedrohlich. In der Praxis ist er für Solo-Unternehmerinnen, die KI als Alltagswerkzeug nutzen, deutlich überschaubarer als oft dargestellt.

1. KI-Kompetenz sicherstellen (Art. 4 KI-VO)

Wer KI-Systeme im Business einsetzt, ist dafür verantwortlich, dass alle Personen, die damit dann arbeiten, die Risiken und Pflichten auch wirklich kennen. So steht es in Art. 4 KI-VO.

Als Solo-Unternehmerin ohne Personal trifft dich diese Pflicht formal nicht – sie richtet sich primär an Betreiberinnen mit Beschäftigten. Trotzdem gilt: Wer KI täglich im eigenen Business nutzt, sollte wissen, was die Tools können, was sie nicht können und wo Risiken liegen. Nicht aus rechtlicher Pflicht, sondern aus Verantwortungsbewusstsein und natürlich weil fundierter Einsatz schlicht bessere Ergebnisse bringt, und im Zweifel auch besser schützt.

Hast du FreelancerInnen oder andere Personen, die in deinem Auftrag tätig sind und KI in ihrem Arbeitsalltag nutzen, sieht das anders aus: Dann liegt es an dir, deren KI-Kompetenz sicherzustellen. Eine kurze dokumentierte Einweisung reicht dafür in aller Regel aus.

2. Kein Pflicht-Inventar – aber ein grober Überblick schadet nicht

Derzeit kursiert die Empfehlung, ein vollständiges KI-Inventar aller eingesetzten Tools anzulegen. Das klingt aufwändig. Und ist es auch. Was dabei oft unerwähnt bleibt: Der AI Act schreibt ein solches Register für den Normalfall gar nicht vor. Eine Registrierungspflicht besteht nur für Hochrisiko-KI, und auch das betrifft in erster Linie Anbieter, nicht Betreiberinnen.

Für dich reicht ein grober Überblick: Welche Tools nutzt du, wofür, mit welchen Daten? Für Tools, in die Kundendaten fließen, hast du das durch das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ohnehin schon abgedeckt.

3. Kennzeichnungspflicht (Art. 50 KI-VO) ab 2. August 2026

Wer KI-generierte Inhalte veröffentlicht – Texte, Bilder, Videos – muss das kenntlich machen. Diese Pflicht gilt ab dem 2. August 2026. Keine Kannvorschrift, kein „kommt noch”. Wer jetzt schon kennzeichnet, ist vorbereitet und baut nebenbei Vertrauen auf.

Fazit

Zwei Regelwerke, ein Business. Und weniger Aufwand als gedacht.

Die kurze Liste:

• DSGVO als Priorität 1: AV-Vertrag, Datenschutzerklärung aktualisieren, keine sensiblen Daten in KI
• EU AI Act als Priorität 2: KI-Kompetenz (für Personal falls vorhanden), grober Tool-Überblick (KI Inventar Liste), Kennzeichnungspflicht ab 02.08.2026

Wer diese Liste einmal abarbeitet, ist deutlich besser aufgestellt als die meisten Solo-Businesses, die aktuell mit KI arbeiten.

Nächster Schritt

Mein KI-Rechtsrisiko-Check zeigt dir in 5 Minuten, wo dein Business in Bezug auf KI konkret steht. Kostenlos, ehrlich, ohne Verkaufsgespräch.

rechts-coach.de/ki-check/

---

Dieser Beitrag ersetzt keine fallbezogene Rechtsberatung. Die Angaben beziehen sich auf den Stand von Juli 2026.