KI und DSGVO: Rechtslage, Checkliste, Umsetzung

KI im Onlineshop und Datenschutz werden oft als Gegensatz dargestellt. Richtig ist: Wer KI einsetzt, muss datenschutzrechtlich mehr beachten als bei klassischer Software. Richtig ist auch: Mit klaren Regeln und sauberer Dokumentation ist der KI-Einsatz im Shop gut machbar. Dieser Leitfaden zeigt, worauf es ankommt. Er ersetzt keine Rechtsberatung, gibt aber die Struktur für die Praxis.

Welche KI-Anwendungen im Shop relevant sind

Nicht jede KI-Anwendung berührt die DSGVO gleich stark. Ein Chatbot, der personenbezogene Daten verarbeitet, unterliegt anderen Regeln als ein Tool, das nur anonyme Produktdaten analysiert. Entscheidend ist die Frage: Werden personenbezogene Daten verarbeitet, und wenn ja, wie? Sobald Kundendaten, Bestelldaten oder Kommunikationsinhalte durch KI laufen, greift der volle Datenschutzrahmen.

Die wichtigsten Grundlagen

Jede KI-Verarbeitung braucht eine Rechtsgrundlage, etwa Vertragserfüllung oder berechtigtes Interesse. Dazu kommen die Informationspflichten: Kunden müssen wissen, dass und wie KI eingesetzt wird. Bei automatisierten Entscheidungen mit rechtlicher Wirkung gelten besondere Regeln, etwa die Pflicht zur menschlichen Beteiligung. Wer KI mit europäischen Kundendaten betreibt, muss zudem den Datentransfer in Drittländer prüfen.

Die Checkliste für den KI-Einsatz

Erstens: dokumentieren, welche KI-Tools eingesetzt werden und welche Daten sie verarbeiten. Zweitens: für jede Verarbeitung eine Rechtsgrundlage festlegen. Drittens: Verträge mit KI-Anbietern prüfen, insbesondere Auftragsverarbeitungsverträge. Viertens: die Datenschutzerklärung um KI-Verarbeitungen ergänzen. Fünftens: technische Maßnahmen prüfen, etwa Pseudonymisierung. Sechstens: Verantwortlichkeiten benennen und Mitarbeiter schulen. Siebtens: Löschkonzepte sicherstellen, auch in KI-Systemen.

Typische Fehler im Alltag

Der häufigste Fehler ist der Einsatz von KI-Tools ohne Prüfung, ob personenbezogene Daten in die Cloud wandern. Der zweite ist das Fehlen einer klaren Auskunft: Kunden fragen, welche Daten das System speichert, und niemand kann antworten. Der dritte ist die Annahme, ein Tool sei datenschutzkonform, weil es der Anbieter behauptet. Verantwortlich bleibt immer der Händler, nicht das Werkzeug.

Die Praxis: KI im Onlineshop umsetzen

Die Anforderungen lassen sich im Shop konkret umsetzen. Ein Chatbot, der Bestellstatus beantwortet, braucht eine Rechtsgrundlage aus dem Vertragsverhältnis und eine saubere Übergabe an den Menschen bei Eskalationen. Eine Produktempfehlung, die auf dem Verhalten im Shop basiert, braucht eine Einwilligung für das Tracking, während eine Empfehlung auf Basis der eigenen Kaufhistorie auch über das Vertragsverhältnis laufen kann. KI-generierte Produkttexte müssen als redaktionelle Inhalte geprüft und freigegeben werden. Wer diese Unterscheidungen kennt, setzt KI dort ein, wo sie rechtlich sauber ist, und spart sich die teuren Nachbesserungen, die entstehen, wenn Anwendungen nachträglich umgebaut werden müssen.

Die Rolle des EU AI Act

Neben der DSGVO gewinnt der EU AI Act an Bedeutung, der KI-Systeme nach Risikoklassen einordnet. Für die meisten Shop-Anwendungen bedeutet das: Dokumentation der eingesetzten Systeme, klare Verantwortlichkeiten und eine Datenschutzfolgenabschätzung bei risikoreicheren Einsätzen. Chatbots und Tools zur Texterstellung fallen meist in die niedrigen Risikoklassen, während Systeme, die über Bonität oder Zugang zu Dienstleistungen entscheiden, strenger reguliert sind. Diese Einordnung hilft, den Aufwand richtig zu planen, statt alle KI-Anwendungen gleich zu behandeln. Wer die Struktur früh aufbaut, ist nicht nur rechtlich sicherer, sondern auch besser vorbereitet, wenn sich die Regeln weiterentwickeln.

Typische Fehler im Alltag vermeiden

Die Praxis zeigt immer wieder dieselben Fehler. Der erste ist der Einsatz von KI-Tools ohne Prüfung, ob personenbezogene Daten in die Cloud wandern, oft über kostenlose Testversionen, die Mitarbeiter unbedacht nutzen. Der zweite ist die fehlende Auskunftsfähigkeit, wenn Kunden fragen, welche Daten das System speichert und niemand antworten kann. Der dritte ist die Annahme, ein Tool sei datenschutzkonform, weil es der Anbieter behauptet, obwohl die Verantwortung immer beim einsetzenden Unternehmen liegt. Wer diese Fehler kennt, kann sie mit einfachen Regeln vermeiden: Werkzeuge nur nach Freigabe einsetzen, Auskunftsprozesse vorbereiten und Anbieterangaben kritisch prüfen.

Datenschutz als Vertrauenssignal nutzen

Wer KI datenschutzkonform einsetzt, sollte das auch kommunizieren. Kunden fragen zunehmend, ob ihre Daten durch KI verarbeitet werden und wie, und Unternehmen, die darauf klare Antworten geben, gewinnen Vertrauen. Eine verständliche Datenschutzerklärung, transparente Informationen zu KI-Funktionen und ein erreichbarer Ansprechpartner für Datenschutzfragen sind keine Pflichtübungen, sondern Wettbewerbsvorteile. Gerade im B2B-Geschäft, wo Einkäufer ihre Lieferanten prüfen, wird der saubere Umgang mit Daten zum Entscheidungskriterium. Wer Datenschutz als Qualitätsmerkmal positioniert, verwandelt eine regulatorische Anforderung in ein Argument, das für das Unternehmen spricht.

Wo rechtliche Beratung nötig ist

Dieser Leitfaden ersetzt keine Rechtsberatung, und es gibt Situationen, in denen sie zwingend nötig ist. Dazu gehören KI-Einsätze mit automatisierten Entscheidungen über Bonität oder Preise, die Verarbeitung besonderer Datenkategorien und grenzüberschreitende Datenflüsse in Länder ohne angemessenes Schutzniveau. Auch bei Unsicherheit, ob eine neue Funktion als Profiling gilt, lohnt der frühe Blick eines Fachanwalts. Diese Beratung ist günstiger als die Abmahnung oder der behördliche Eingriff, der bei Fehlern droht. Wer die klaren Fälle selbst strukturiert und die Grenzfälle beraten lässt, hält die Kosten im Rahmen und das Risiko niedrig.

Unser Fazit

KI und DSGVO sind vereinbar, wenn der Einsatz geplant und dokumentiert ist. Wer die Checkliste ernst nimmt, schützt Kunden und sich selbst. Wer KI ohne Vorbereitung einführt, riskiert Abmahnungen und Vertrauensverlust, dabei wäre beides mit überschaubarem Aufwand vermeidbar gewesen.