KI beschleunigt auch Marketingprozesse erheblich und stellt Unternehmen gleichzeitig vor eine Frage, die viele bisher aufgeschoben haben: Was ist rechtlich erlaubt?
Zwei Regelwerke definieren den Rahmen:
- die DSGVO (in Kraft seit 2018)
- die KI-Verordnung der Europäischen Union (EU AI Act), die seit 2024 schrittweise in Kraft tritt.
Wer die Anforderungen kennt und jetzt die richtigen Prozesse einführt, handelt nicht nur rechtssicher, sondern spart sich auch später aufwändige Nacharbeit. Am Ende des Artikels finden Sie eine Checkliste mit den wichtigsten Schritten, die Sie umsetzen sollten.
Bitte beachten Sie, dass wir keine Anwälte sind und das dieser Artikel keine Rechtsberatung darstellt, sondern lediglich unsere Erfahrungen teilt.
1. Datenschutz: Wie gehe ich mit personenbezogenen Daten um?
Die Datenschutzgrundverordnung gilt für jede Verarbeitung personenbezogener Daten – also für Namen, E-Mail-Adressen, IP-Adressen und alle weiteren Informationen, die eine Person erkennbar machen. Beim KI-Einsatz passieren datenschutzrelevante Fehler oft unbemerkt – und fallen erst bei einer Prüfung durch die Aufsichtsbehörde auf.
Drei Prinzipien, die Sie kennen müssen
Datenminimierung: Es dürfen nur die personenbezogenen Daten gesammelt und verarbeitet werden, die für den konkreten Zweck nötig und angemessen sind.
Rechtsgrundlage prüfen: Jede Verarbeitung personenbezogener Daten benötigt eine gültige Rechtsgrundlage nach Art. 6 DSGVO. Insgesamt gibt es sechs mögliche Grundlagen, von denen mindestens eine erfüllt sein muss¹:
- Einwilligung: Die betroffene Person hat ausdrücklich zugestimmt.
- Vertragserfüllung: Die Verarbeitung ist zur Erfüllung eines Vertrags erforderlich.
- Rechtliche Verpflichtung: Eine gesetzliche Pflicht macht die Verarbeitung notwendig (z.B. Aufbewahrungspflichten).
- Lebenswichtige Interessen: Die Verarbeitung dient dem Schutz lebensnotwendiger Interessen der betroffenen oder einer anderen Person.
- Öffentliches Interesse / öffentliche Gewalt: Die Verarbeitung erfolgt im öffentlichen Interesse oder in Ausübung hoheitlicher Gewalt.
- Berechtigtes Interesse: Die Verarbeitung ist zur Wahrung berechtigter Interessen des Verantwortlichen oder Dritter erforderlich, sofern die Interessen der betroffenen Person nicht überwiegen.
- Transparenz: Nutzer:innen müssen wissen, wie ihre Daten verarbeitet werden.
Typische Fehler in der Praxis
Eine Agentur bearbeitet Newsletter-Texte mit ChatGPT und fügt dafür die Original-E-Mail eines Kunden in den Prompt ein. Das ist datenschutzwidrig, weil personenbezogene Daten ohne Rechtsgrundlage verarbeitet werden – für den Newsletter sind sie nicht notwendig und der Kunde hat nicht eingewilligt. Dasselbe gilt für das Hochladen von Kundeninformationen zur Erstellung personalisierter Werbung: Können Sie nicht sicher sagen, wo diese Daten landen und wie lange sie gespeichert bleiben, tragen Sie das Haftungsrisiko.
Hinweis zu ChatGPT: Die Consumer-Versionen (Free, Plus, Pro) scheiden für die Verarbeitung personenbezogener Daten im Unternehmenskontext grundsätzlich aus: Ein Auftragsverarbeitungsvertrag (AVV) kann nicht abgeschlossen werden und ein ausreichendes Datenschutzniveau lässt sich nicht nachweisen. Für Enterprise-Kunden bietet OpenAI seit Januar 2026 EU-Inferenz-Residenz an. Das heißt, dass Prompts, hochgeladene Dateien und Modellantworten auf europäischen Servern generiert werden und die EU nicht verlassen. Wer als Enterprise-Kunde zusätzlich einen AVV abschließt und das KI-Training deaktiviert, erfüllt damit die drei zentralen DSGVO-Anforderungen: Rechtsgrundlage für die Auftragsverarbeitung, kein Datentransfer außerhalb der EU und kein Training mit den eigenen Inhalten.²
Praxistipps
- Geben Sie keine personenbezogenen Daten in KI-Tools ein – auch nicht für interne Tests. Die Daten werden unabhängig davon auf externen Servern verarbeitet. Bei der Bildgenerierung gilt das besonders: Namen oder persönliche Beschreibungen aus dem Prompt können in den Metadaten des Bildes gespeichert bleiben.
- Aktivieren Sie in den genutzten Tools folgende Datenschutzeinstellungen: KI-Training deaktivieren, Inkognito- oder Privatmodus nutzen. Nutzen Sie den temporären Chat (ChatGPT) bzw. Inkognito-Chat (Claude), damit Daten nicht für das Training des KI-Modells genutzt werden (ersetzt keinen AVV).
- Prüfen Sie Inhalte vor der Veröffentlichung auf unbeabsichtigte personenbezogene Spuren (z.B. Namen in Beispieltexten, Gesichtszüge in KI-Bildern, Nummernschilder in Fotos, Autorennamen in Metadaten oder Kontakte in Screenshots).
- Löschen Sie mit einem Tool die Metadaten in Bildern (EXIF-Daten) und in Office-Dokumenten (Autor, Dateipfade, Prompt-Infos), bevor Sie Dateien in KI-Tools hochladen. Geeignete Tools: ExifTool (Windows/Mac), IrfanView (Windows), ImageOptim (Mac), Adobe Acrobat Pro, PDF24 oder der Microsoft-Dokumentinspektor in Word, PowerPoint und Excel.
- Deaktivieren Sie nach Möglichkeit Social-Media- und Cloud-Anbindungen sowie Speicher- und Übertragungsfunktionen in genutzten KI-Tools.
- Prüfen Sie die Datenschutzrichtlinien Ihrer KI-Tools: Wo sitzt das Unternehmen? Wo liegen die Server? Ist DSGVO-Konformität nachgewiesen?
- Achten Sie auf Datenschutzrichtlinien des jeweiligen Tools und prüfen Sie, ob es DSGVO-konform betrieben wird (z.B. Firmensitz, Serverstandort, Datenverarbeitung)
- Schließen Sie Auftragsverarbeitungsverträge (AVV/DPA) mit Anbietern ab, wenn Kundendaten verarbeitet werden.
2. Der EU AI Act: Neue Pflichten nach gestaffeltem Zeitplan
Der EU AI Act ist seit August 2024 in Kraft – aber nicht alle Pflichten galten sofort.³ Die Anforderungen wurden schrittweise verbindlich, gestaffelt nach Themenbereich und Risikoklasse. Im Mai 2026 hat die EU einige dieser Fristen durch ein Änderungspaket (den sogenannten „Digital Omnibus“) nochmals verschoben.⁴
Was seit Februar 2025 gilt
KI-Kompetenz (Art. 4): Mitarbeitende, die KI-Systeme bedienen oder mit KI-generierten Ergebnissen weiterarbeiten, müssen über ausreichende Kenntnisse verfügen. Unternehmen sind damit verpflichtet, konkrete Schulungsmaßnahmen durchzuführen.
Verbotene KI-Praktiken (Art. 5): Bestimmte KI-Anwendungen sind grundsätzlich untersagt – etwa der gezielte Einsatz von KI zur Manipulation von Nutzerentscheidungen ohne deren Wissen. Diese Verbote gelten seit Februar 2025.
Was seit 2. August 2026 gilt
Seit 2026 August greift Artikel 50 des AI Act mit vier Transparenzpflichten. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. [⁵] Folgende Pflichten müssen Sie beachten:
Chatbot-Hinweispflicht: Nutzerinnen und Nutzer müssen informiert werden, wenn sie mit einem KI-System interagieren, zum Beispiel in Chatbots oder KI-Assistenten im Kundenservice.
Technische Markierung: KI-generierte Inhalte müssen maschinenlesbar als solche gekennzeichnet sein (in den Metadaten des Inhalts oder durch eingebettete Wasserzeichen und vergleichbare technische Informationen). Das ist bei der Entwicklung eigener KI-Lösungen relevant, die ein fremdes KI-Basismodell nutzen (z.B. ChatGPT-5) und Kunden bzw. der Öffentlichkeit zur Verfügung gestellt werden.
Deepfake-Offenlegung: Realistisch wirkende Bild-, Video- oder Audioinhalte, die eine Person zeigen oder simulieren, müssen direkt im Content als KI-erzeugt markiert werden. Für Bilder und Videos stellt die EU Icons zur Verfügung, die angepasst werden dürfen.⁶
Kennzeichnung KI-generierter Texte: Diese Pflicht gilt für Texte, die nicht redaktionell bearbeitet wurden und von öffentlichem Interesse sind. Texte, die einer menschlichen Überprüfung unterzogen wurden und für die eine natürliche oder juristische Person die redaktionelle Verantwortung trägt, müssen nicht gekennzeichnet werden. Reine Werbe- und Verkaufstexte sowie Produktbeschreibungen sind ebenfalls nicht betroffen.
Ab dem 2. August 2026 kann die Bundesnetzagentur als neue KI-Aufsichtsbehörde in Deutschland aktiv prüfen und Verstöße ahnden. Als Orientierung für die Kennzeichnungspflicht hat die EU-Kommission im Juni 2026 einen freiwilligen Verhaltenskodex veröffentlicht (Code of Practice), der in der Praxis als Maßstab gilt, wenn Behörden die Einhaltung von Artikel 50 beurteilen.⁷ Die sogenannten Hochrisiko-Pflichten des AI Act – aufwändige Dokumentations- und Risikomanagementsysteme – sind für die meisten KMU im Marketing nicht einschlägig und wurden durch den Digital Omnibus vom Mai 2026 ohnehin auf Dezember 2027 verschoben.⁴ Was ab 2. Dezember 2026 für alle gilt: KI darf nicht zur Erstellung nicht-konsensueller intimer Inhalte oder von Kindesmissbrauchsmaterial eingesetzt werden.
3. Checkliste für die Praxis
Die wichtigsten Schritte im Überblick:
Fazit
KI beschleunigt Ihre Marketingprozesse spürbar – und es zahlt sich aus, Datenschutz und gesetzliche Vorgaben von Anfang an mitzudenken. Die DSGVO regelt den Umgang mit personenbezogenen Daten, der EU AI Act schreibt Transparenz, Dokumentation und Kennzeichnung rund um die Nutzung von KI vor. Wer jetzt die richtigen Prozesse einführt – ein KI-Verzeichnis, klare Datenschutzrichtlinien, regelmäßige Schulungen und Kennzeichnungsprozesse für KI-generierte Inhalte –, schafft die Grundlage für einen rechtssicheren KI-Einsatz im Marketing.
Haben Sie Fragen zu konkreten Tools oder Prozessen? Gerne sind wir Ihr Sparringspartner.
Unser Angebot für Sie
Wenn Sie eine individuelle Orientierungshilfe bei der Vielzahl von Tools und Möglichkeiten suchen, sprechen Sie uns an. Wir helfen Ihnen dabei, eine authentische und zielgerichtete Strategie zu entwickeln.
Quellen
¹ Europäisches Parlament / Rat der EU: Verordnung (EU) 2016/679 (DSGVO), Art. 6 – https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679
² OpenAI: Enterprise Privacy & Data Residency – https://openai.com/enterprise-privacy/
³ Europäisches Parlament / Rat der EU: Verordnung (EU) 2024/1689 (EU AI Act), Art. 113 – https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32024R1689
⁴ Gibson Dunn: EU AI Act Omnibus Agreement – Postponed High-Risk Deadlines and Other Key Changes (2026) – https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/
⁶ EU AI Act, Art. 99 Abs. 3 und 4 – Sanktionen bei Verstößen gegen Transparenzpflichten – https://artificialintelligenceact.eu/de/article/5/
⁷ EU-Kommission: Code of Practice on marking and labelling of AI-generated content (10. Juni 2026) – https://digital-strategy.ec.europa.eu/en/policies/code-practice-ai-generated-content