Regeln
Was die DSGVO ist, für wen sie gilt, welche Grundsätze, Rechtsgrundlagen, Rechte und Pflichten sie enthält und was KI-Nutzung daran verändert.
Die DSGVO ist die Datenschutz-Grundverordnung, das europäische Gesetz dazu, was Organisationen mit personenbezogenen Daten tun dürfen. Sie gilt in der gesamten Europäischen Union und bestimmt, wann Sie Daten von Menschen erheben, nutzen und aufbewahren dürfen, welche Rechte diese Menschen haben und was Sie dokumentieren und absichern müssen.
Der offizielle Name lautet Verordnung (EU) 2016/679 vom 27. April 2016; auf Englisch heißt sie GDPR. Wer nach „DSGVO-Gesetz“ oder „Datenschutzgesetz“ sucht, meint meist die Verordnung zusammen mit dem niederländischen DSGVO-Ausführungsgesetz, das sie ergänzt. Der Text der DSGVO umfasst 99 Artikel. Dieser Artikel behandelt die Teile, die eine Organisation in der Praxis braucht. Er ist eine Erläuterung, keine Rechtsberatung: Für die Beurteilung Ihrer Situation benötigen Sie Ihren Datenschutzbeauftragten oder einen Juristen.
Die DSGVO gilt nach Art. 99 seit dem 25. Mai 2018. Eine Verordnung gilt unmittelbar: Sie muss nicht erst in ein niederländisches Gesetz umgesetzt werden. Die Autoriteit Persoonsgegevens (AP), die niederländische Datenschutzaufsichtsbehörde, fasst auf ihrer Seite die DSGVO kurz erklärt zusammen, für wen sie gilt: für alle, die personenbezogene Daten verarbeiten.
Art. 2 nimmt einige Situationen aus. Die bekannteste ist die Verarbeitung durch eine natürliche Person bei einer ausschließlich persönlichen oder familiären Tätigkeit, etwa einem Adressbuch. Für Polizei und Justiz gilt bei Ermittlung und Strafverfolgung ein eigener Rahmen.
Der Verantwortliche bestimmt, warum und wie Daten verarbeitet werden. Der Auftragsverarbeiter tut dies in seinem Auftrag, etwa ein Lohnabrechnungsdienstleister oder Softwareanbieter. Die meisten Pflichten liegen beim Verantwortlichen: Wenn Sie etwas auslagern, bleiben Sie verantwortlich.
Zwei Definitionen in Art. 4 bestimmen die Reichweite des Gesetzes.
Personenbezogene Daten sind alle Informationen über eine identifizierte oder identifizierbare natürliche Person. Das umfasst mehr als Name und Anschrift: Jemand ist auch anhand einer Kundennummer, einer IP-Adresse oder einer Kombination von Merkmalen identifizierbar. Die AP nennt auf ihrer Seite was sind personenbezogene Daten Beispiele, darunter Kameraaufnahmen, auf denen jemand zu erkennen ist. Daten über Organisationen und verstorbene Personen fallen laut AP nicht darunter, außer sie sagen zugleich etwas über einen lebenden Menschen aus.
Verarbeitung ist nahezu alles, was Sie mit diesen Daten tun können: erheben, speichern, einsehen, nutzen, weiterleiten, löschen. Auch bloßes Aufbewahren ist Verarbeitung. Ebenso das Einfügen eines Textes in einen Onlinedienst: Sie geben die Daten an eine andere Partei weiter.
Für Daten unter anderem zu Gesundheit, Herkunft und Glauben gilt ein Verbot mit Ausnahmen (Art. 9). Strafrechtliche Daten und die niederländische Bürgerservicenummer (BSN) haben eigene Regeln. Siehe Besondere Kategorien personenbezogener Daten: welche sind es und darf KI sie verarbeiten?.
Art. 5 enthält den Kern des Gesetzes: sechs Grundsätze.
Darüber steht Art. 5 Abs. 2: Der Verantwortliche ist für die Einhaltung verantwortlich und kann sie nachweisen. Das ist die Rechenschaftspflicht: Sie müssen zeigen können, was Sie tun. Die AP nennt auf ihrer Seite zur Rechenschaftspflicht unter anderem das Verarbeitungsverzeichnis und das Datenpannenregister als verpflichtende Maßnahmen.
Nur wenn Sie eine Rechtsgrundlage haben. Art. 6 nennt sechs. Die AP erläutert sie auf der Seite Rechtsgrundlagen der DSGVO erklärt: Sie bestimmen die Rechtsgrundlage, bevor Sie beginnen.
Einwilligung wirkt wie die sicherste Wahl, ist aber oft die schwächste. Die Erwägungsgründe der DSGVO erklären, dass sie bei einem klaren Ungleichgewicht zwischen Organisation und betroffener Person keine gültige Grundlage ist. Kann ein Arbeitnehmer frei ablehnen, wenn sein Arbeitgeber fragt? Und wer seine Einwilligung widerruft, lässt Sie ohne Rechtsgrundlage zurück. Für die Kundenverwaltung passt häufig der Vertrag besser, für die Lohnabrechnung die rechtliche Verpflichtung.
Fünf der sechs Rechtsgrundlagen enthalten das Wort erforderlich. Das bedeutet mehr als praktisch: Können Sie das Ziel auf weniger eingreifende Weise erreichen? Diese Frage stellt sich bei jedem neuen Hilfsmittel, also auch bei KI.
Die Art. 12 bis 22 geben den Menschen, um deren Daten es geht, den betroffenen Personen, eine Reihe von Rechten.
Auf ein Ersuchen reagieren Sie unverzüglich und in jedem Fall innerhalb eines Monats. Diese Frist kann bei Bedarf um zwei Monate verlängert werden, wenn Sie dies innerhalb des ersten Monats mitteilen (Art. 12 Abs. 3). Wer unzufrieden ist, kann bei der Aufsichtsbehörde Beschwerde einlegen (Art. 77) und hat bei einem Schaden Anspruch auf Schadensersatz (Art. 82).
Die Grundsätze sind allgemein, die Pflichten konkret. Die Tabelle stellt die wichtigsten gegenüber. Nicht jede Pflicht gilt für jede Organisation.
| Pflicht | Artikel | Was Sie konkret tun |
|---|---|---|
| Eine Rechtsgrundlage pro Verarbeitung | Art. 6 | Vor Beginn je Zweck dokumentieren, auf welcher Rechtsgrundlage Sie verarbeiten |
| Menschen informieren | Art. 13 und 14 | Eine Datenschutzerklärung, die dem tatsächlichen Vorgehen entspricht |
| Verzeichnis von Verarbeitungstätigkeiten | Art. 30 | Je Verarbeitung Zweck, Daten- und Betroffenenkategorien, Empfänger, Übermittlung, Aufbewahrungsfrist und Sicherheit dokumentieren |
| Auftragsverarbeitungsvertrag | Art. 28 | Mit jeder Partei, die in Ihrem Auftrag Daten verarbeitet, einen Vertrag schließen |
| Sicherheit | Art. 32 | Risikogerechte Maßnahmen wie Zugangsverwaltung, Verschlüsselung und Pseudonymisierung |
| Datenpannen melden und dokumentieren | Art. 33 und 34 | Ein Verfahren, eine Risikoabwägung je Vorfall und ein Datenpannenregister |
| Datenschutz-Folgenabschätzung (DSFA) | Art. 35 und 36 | Vor einer voraussichtlich hochriskanten Verarbeitung Risiken und Maßnahmen beschreiben |
| Datenschutzbeauftragter | Art. 37 | Prüfen, ob Sie einen benennen müssen, und diese Entscheidung begründen |
| Übermittlung außerhalb des EWR | Art. 44 ff. | Für jeden Empfänger außerhalb des EWR die Grundlage der Übermittlung dokumentieren |
Art. 30 Abs. 5 sieht eine Ausnahme für Organisationen mit weniger als 250 Mitarbeitenden vor. Sie entfällt, wenn die Verarbeitung voraussichtlich ein Risiko birgt, nicht nur gelegentlich erfolgt oder besondere oder strafrechtliche Daten betrifft. Eine Lohnabrechnung erfolgt nicht nur gelegentlich; in der Praxis braucht deshalb fast jede Organisation ein Verzeichnis. Siehe Verarbeitungsverzeichnis: was hineingehört, mit einem Beispiel für KI-Tools.
Eine DSFA ist Pflicht, wenn eine Verarbeitung, insbesondere mit neuer Technologie, voraussichtlich ein hohes Risiko birgt, etwa bei umfangreicher Verarbeitung besonderer oder strafrechtlicher Daten. Die AP hat zusätzlich eine eigene Liste von Verarbeitungen, für die eine DSFA verpflichtend ist; diese steht auf ihrer Seite zur Datenschutz-Folgenabschätzung. Wie Sie eine durchführen, erklärt DSFA für KI-Tools.
Art. 37 verpflichtet drei Gruppen zur Benennung eines Datenschutzbeauftragten: Behörden, Organisationen, deren Kerntätigkeit eine regelmäßige und systematische umfangreiche Beobachtung von Menschen ist, und Organisationen, deren Kerntätigkeit die umfangreiche Verarbeitung besonderer oder strafrechtlicher Daten ist. Im Zweifel müssen Sie laut AP begründen können, warum Sie einen Datenschutzbeauftragten haben oder nicht.
Eine Datenpanne melden Sie der AP, außer ein Risiko für betroffene Personen ist unwahrscheinlich, und möglichst innerhalb von 72 Stunden. Einzelheiten stehen in Was ist eine Datenpanne? Beispiele, Meldepflicht und was Sie innerhalb von 72 Stunden tun.
In den Niederlanden ist die Autoriteit Persoonsgegevens die Aufsichtsbehörde. Sie kann eine Verwarnung aussprechen, ein Verarbeitungsverbot oder eine zwangsgeldbewehrte Anordnung verhängen und ein Bußgeld auferlegen. Die Übersicht steht auf ihrer Seite Bußgelder und andere Sanktionen.
Art. 83 kennt zwei Obergrenzen.
Für ein Unternehmen gilt der Prozentsatz, wenn er höher ausfällt. Es sind Höchstbeträge: Die konkrete Höhe hängt unter anderem von Schwere, Dauer und Vorsatz oder Fahrlässigkeit ab. Ein Beispiel aus der Praxis der AP: Im Dezember 2025 erhielt eine Hochschule ein Bußgeld von 175.000 Euro wegen unzureichender Sicherheit personenbezogener Daten.
Die DSGVO lässt den Mitgliedstaaten an mehreren Stellen Spielraum. Die Niederlande haben diesen im niederländischen DSGVO-Ausführungsgesetz ausgefüllt, das das frühere niederländische Datenschutzgesetz ersetzte. Wer das niederländische DSGVO-Recht kennen möchte, liest deshalb beide.
Am Gesetzestext nichts. Die AP erklärt auf ihrer Seite Algorithmen, KI und DSGVO, dass die DSGVO technologieneutral formuliert ist: Für die Aufsicht spielt es keine Rolle, wie eine Verarbeitung technisch erfolgt. Was sich ändert, ist, wie häufig und unbemerkt die bestehenden Regeln berührt werden.
Wer eine E-Mail eines Mandanten in einen KI-Chatbot einfügt, gibt personenbezogene Daten an eine andere Partei weiter. Dafür braucht es eine Rechtsgrundlage und einen Zweck, der dazu passt, weshalb der Mandant seine Daten überlassen hat. Nach Datenart erläutert das Mandantendaten in einem KI-Chatbot: die Regeln je Datenart.
Ein Chatfenster lädt dazu ein, für eine Frage das ganze Dokument hochzuladen. Der Grundsatz der Datenminimierung verlangt das Gegenteil. Für eine Frage zur Kündigungsfrist sind Name und BSN des Mieters selten nötig.
Bei einem Verbraucherabonnement gibt es in der Regel keinen Auftragsverarbeitungsvertrag; bei einem geschäftlichen Abonnement bieten die großen Anbieter ihn an. Das unterscheidet sich je Abonnement und ändert sich regelmäßig (Stand Oktober 2026): Prüfen Sie die Bedingungen selbst. Siehe welches Abonnement dürfen Sie geschäftlich nutzen.
Die AP schreibt, dass Sie vorab feststellen, ob Sie die DSGVO einhalten können, auch bei einem Pilotprojekt, und dass Sie bei algorithmischen Systemen mit personenbezogenen Daten eine DSFA durchführen. Dazu gehören ein Eintrag im Verarbeitungsverzeichnis und bei einem Anbieter außerhalb des EWR eine Grundlage für die Übermittlung.
Art. 22 schützt Menschen vor ausschließlich automatisiert getroffenen Entscheidungen, die sie erheblich beeinträchtigen, etwa einer automatischen Ablehnung. Wer KI bei Auswahl oder Beurteilung einsetzt, hat damit zu tun und zusätzlich mit dem AI Act (KI-Verordnung): einer eigenen europäischen Verordnung neben der DSGVO. Siehe Der AI Act erklärt.
Geht etwas schief, besteht die Meldepflicht. Die AP berichtete 2024, dass sie Meldungen von Datenpannen erhalten hatte, weil Mitarbeitende personenbezogene Daten mit einem KI-Chatbot geteilt hatten.
PrivaSearch betrifft einen Teil davon: KI bei Dokumenten mit personenbezogenen Daten. Personenbezogene Daten werden innerhalb von PrivaSearch erkannt und durch Pseudonyme ersetzt; ein Kollege gibt frei, bevor ein Dokument durchsuchbar wird. Die Schritte stehen auf so funktioniert PrivaSearch.
Suchen können Sie in PrivaSearch selbst oder über einen verbundenen KI-Assistenten: Claude, ChatGPT Business oder Mistral Vibe (früher Le Chat). Der Assistent erhält nur freigegebene, pseudonymisierte Textstellen. Das entspricht dem Grundsatz der Datenminimierung; siehe ChatGPT, Claude, Mistral Vibe und die DSGVO.
Ihre Umgebung erstellt Ausgangsdokumente: eine KI-Richtlinie, eine DSFA-Vorlage, den Eintrag für das Verarbeitungsverzeichnis und die ausformulierte Rechtsgrundlage. Das ist keine Rechtsberatung. Mehr steht auf DSGVO und EU AI Act.
Die DSGVO selbst bleibt Ihre Aufgabe. Pseudonymisierte Daten bleiben für Ihre Organisation personenbezogene Daten, automatische Erkennung ist nie vollständig, und was Mitarbeitende selbst in einen Assistenten eingeben, geht direkt an dessen Anbieter. Möchten Sie sehen, wie es funktioniert, fragen Sie eine Demo an.
Die DSGVO ist das europäische Datenschutzgesetz, das seit dem 25. Mai 2018 regelt, was Organisationen mit personenbezogenen Daten tun dürfen. Sie brauchen für jede Verarbeitung eine Rechtsgrundlage und einen Zweck, verwenden nicht mehr Daten als nötig, sichern sie ab und bewahren sie nicht zu lange auf. Menschen haben Rechte, etwa auf Auskunft und Löschung.
Die DSGVO gilt für alle, die personenbezogene Daten verarbeiten: Unternehmen jeder Größe, staatliche Stellen, Vereine und Stiftungen sowie Organisationen außerhalb der EU, die sich an Menschen in der EU richten. Nur Verarbeitung für ausschließlich persönliche oder familiäre Nutzung, etwa ein Adressbuch, fällt nicht darunter.
Es gibt keinen Unterschied. GDPR steht für General Data Protection Regulation, den englischen Namen derselben europäischen Verordnung. DSGVO ist die deutsche Abkürzung. Jedes Land hat allerdings eigene ergänzende Regeln. In den Niederlanden stehen diese im niederländischen DSGVO-Ausführungsgesetz, etwa zur BSN.
Das Gesetz kennt zwei Höchstbeträge. Bei Verstößen gegen Pflichten wie Verzeichnis, Sicherheit und Meldepflicht für Datenpannen sind es 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Bei Verstößen gegen Grundsätze, Rechtsgrundlagen und Rechte von Menschen sind es 20 Millionen Euro oder 4 %. Die tatsächliche Höhe hängt vom Einzelfall ab.
Nein. Einwilligung ist eine der sechs Rechtsgrundlagen. Oft passt eine andere besser: Vertragserfüllung für die Kundenverwaltung, eine rechtliche Verpflichtung für die Lohnabrechnung oder ein berechtigtes Interesse, bei dem Sie Ihr Interesse gegen das der betroffenen Person abwägen. Für besondere Kategorien personenbezogener Daten wie Gesundheitsdaten brauchen Sie neben einer Rechtsgrundlage auch eine gesetzliche Ausnahme.
Ja. Die DSGVO ist technologieneutral und gilt für jede Verarbeitung personenbezogener Daten, also auch, wenn Sie eine E-Mail oder eine Akte in einen KI-Chatbot eingeben. Sie brauchen eine Rechtsgrundlage, einen passenden Zweck, Vereinbarungen mit dem Anbieter und einen Eintrag im Verarbeitungsverzeichnis. Teilen Sie nicht mehr als nötig.
Der Zeitplan des AI Act nach dem digitalen Omnibus: Was bereits gilt, was auf 2027 und 2028 verschoben wurde und was Sie als KI-Nutzer jetzt regeln.
Was ein Deepfake ist, welche Regeln jetzt gelten, welches Verbot bevorsteht und was Organisationen gegen Betrug mit gefälschter Stimme oder Video tun.
Was das niederländische Algoritmeregister und das IAMA sind, was Pflicht ist und was nicht und was eine Gemeinde beim Einsatz von KI-Chatbots regelt.
Wir zeigen es mit fiktiven Akten aus Ihrer Branche: Upload, Erkennung, Prüfung, Suche und die Verbindung mit Ihrem KI-Assistenten. Danach wissen Sie genau, was Ihr Team sicher nutzen kann.
Demo planen →