DSK fordert Rechtsgrundlagen für KI: Einordnung

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat auf ihrer 110. Sitzung am 12. Dezember 2025 eine Entschließung zur Reform der Datenschutz-Grundverordnung verabschiedet. Titel: Rechtssicherheit und Innovation gehen Hand in Hand, Anpassungen für KI erforderlich. Anlass sind die Pläne der EU-Kommission im Rahmen des Digitalen Omnibus.

Was die DSK fordert

Die Aufsichtsbehörden begrüßen, dass die Kommission mehr Rechtssicherheit für Entwicklung und Betrieb von KI-Systemen mit personenbezogenen Daten schaffen will. Sie sehen Regelungsbedarf bei Entwicklung, Training und Betrieb von KI-Modellen und verlangen dafür spezifische Rechtsgrundlagen. Bei großen Sprachmodellen sei es technisch oft nur mit unverhältnismäßigem Aufwand möglich, Rechte wie Löschung oder Berichtigung umzusetzen. Die DSK schlägt dafür funktionale Äquivalente oder Ausgleichsmaßnahmen vor. Außerdem regt sie ausdrückliche Informationspflichten an, damit Betroffene erfahren, wenn ihre Daten im KI-Kontext verarbeitet werden.

Die Kritik an den Kommissionsplänen

Die Berliner Datenschutzbeauftragte Meike Kamp, damals kommissarische DSK-Vorsitzende, sagte, die vorgeschlagenen Regelungen seien an vielen Stellen nicht zu Ende gedacht und führten zu neuen Rechtsunsicherheiten. Die Aufsicht will also Klarheit, aber nicht auf Kosten des Schutzniveaus.

Was das für Unternehmen heißt

Zunächst nichts Neues im Gesetz. Die Entschließung ist eine Stellungnahme, kein Beschluss. Bis zu einer Reform gilt die DSGVO unverändert, und die Orientierungshilfen der DSK zu KI-Systemen (Juni 2025) und zu generativer KI mit RAG-Methode (Oktober 2025) bleiben die praktische Richtschnur.

• Prüfen Sie bei jedem KI-Werkzeug, ob personenbezogene Daten eingegeben werden, und regeln Sie das schriftlich.
• Schließen Sie Auftragsverarbeitungsverträge mit Anbietern ab und klären Sie, ob Eingaben zum Training genutzt werden.
• Führen Sie bei risikoreichen Anwendungen eine Datenschutz-Folgenabschätzung durch.
• Informieren Sie Betroffene transparent, etwa in der Datenschutzerklärung, wenn KI im Kundenkontakt eingesetzt wird.

Warum der Streit um Rechtsgrundlagen praktisch zählt

Ob personenbezogene Daten im KI-Kontext verarbeitet werden dürfen, richtet sich heute nach den allgemeinen Regeln der DSGVO, etwa nach dem berechtigten Interesse. Das lässt Spielraum und erzeugt Unsicherheit. Die Aufsichtsbehörden wünschen sich deshalb klarere Vorgaben. Für Anwender bedeutet das, dass Einzelfallprüfungen und sorgfältige Dokumentation vorerst unverzichtbar bleiben. Halten Sie fest, warum Sie ein Werkzeug einsetzen, welche Daten hineingehen und wie Sie Betroffene informieren.

Warten auf die Reform ist keine Strategie. Wer heute sauber dokumentiert, muss später nur anpassen.

Quellen

• DSK: Pressemitteilung zur 110. Konferenz, 12. Dezember 2025
• DSK: Entschließung zur DSGVO-Reform und KI
• DSK: Orientierungshilfe zu KI-Systemen (Juni 2025)