DSGVO KI Einwilligung Kunden: Was jetzt gilt

Viele kleine Dienstleistungsbetriebe haben ihre erste KI schon live, ohne sie so zu nennen. Das Kontaktformular landet in einem LLM-Postfach, der Website-Chat beantwortet Standardfragen, ein Tool fasst Beratungsgespräche zusammen oder der Anbieter nutzt Kundendialoge zur Produktverbesserung. Genau an dieser Stelle entsteht gerade das typische Missverständnis: Ein kurzer Hinweis wie „Sie chatten mit einer KI“ wirkt sauber, löst aber Ihr Datenschutzproblem noch nicht. ([ai-act-service-desk.ec.europa.eu](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50))

Der neue Druck kommt aus einer sehr konkreten Nachricht der letzten Tage. Am 3. August 2026 veröffentlichte das polnische Regierungsportal Samorzad.gov.pl eine amtliche Übersicht dazu, was sich seit dem 2. August 2026 beim AI Act geändert hat. Parallel stellt der AI Act Service Desk der EU klar: Die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026 und sind seitdem auch durchsetzbar. Für Betriebe heißt das: Wer Kunden mit KI interagieren lässt oder KI-Inhalte einsetzt, muss jetzt sauber zwischen Transparenz und Rechtsgrundlage trennen. ([samorzad.gov.pl](https://samorzad.gov.pl/web/gov/ai-act—co-sie-zmienilo-2-sierpnia-2026-roku))

Für Praxen, Studios, Makler, Kanzleien und Handwerksbetriebe in Hannover ist das mehr als Theorie. Gerade dort laufen Kontaktanfragen, Terminwünsche, Beschwerden und Beratungsdetails oft in einem einzigen Tool zusammen. Sobald dabei Kundendaten oder sogar sensible Daten in eine KI-Anwendung eingegeben werden, reicht kein Bauchgefühl mehr. Dann brauchen Sie eine dokumentierte Prüfung, was Sie wofür verarbeiten und ob dafür wirklich eine Einwilligung nötig ist. ([lda.bayern.de](https://lda.bayern.de/media/ki_checkliste.pdf))

Was seit dem 3. August 2026 praktisch anders ist

Die amtliche Übersicht vom 3. August 2026 bringt den Kern auf den Punkt: Seit dem 2. August 2026 müssen bestimmte Nutzer und Empfänger erkennen können, wenn sie mit KI interagieren oder KI-generierte beziehungsweise KI-manipulierte Inhalte sehen. Die EU-Kommission hatte dazu bereits am 20. Juli 2026 Leitlinien veröffentlicht; der AI Act Service Desk ergänzt, dass die Transparenzpflichten seit dem 2. August 2026 anwendbar und durchsetzbar sind. ([samorzad.gov.pl](https://samorzad.gov.pl/web/gov/ai-act—co-sie-zmienilo-2-sierpnia-2026-roku))

Wichtig ist die Trennung der Pflichten. Artikel 50 erfasst vier typische Fälle: direkte Interaktion mit einem KI-System, maschinenlesbare Kennzeichnung synthetischer Inhalte, Information bei Emotionserkennung oder biometrischer Kategorisierung und Kennzeichnung von Deepfakes beziehungsweise bestimmter KI-Texte. Die Information muss klar, unterscheidbar und spätestens bei der ersten Interaktion oder Exposition erfolgen. Genau diese Frist ist für KMU relevant, weil sie nicht irgendwann im Backlog steht, sondern jetzt greift. ([ai-act-service-desk.ec.europa.eu](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50))

Die oft genannte Übergangsfrist hilft vielen Betrieben weniger als gedacht. Laut FAQ der EU gibt es eine begrenzte Frist bis zum 2. Dezember 2026 nur für bestimmte technische Kennzeichnungs- und Aufdeckungspflichten nach Artikel 50 Absatz 2 bei Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden. Das ist keine generelle Schonfrist für Ihren Website-Chat oder Ihr KI-gestütztes Kundenrouting. Diese Einordnung ist für viele Betreiber die eigentliche praktische Änderung. ([ai-act-service-desk.ec.europa.eu](https://ai-act-service-desk.ec.europa.eu/en/faq))

Was das für Betriebe in Hannover konkret ändert

Wenn auf Ihrer Website in Hannover ein Bot Termine vorsortiert, Öffnungszeiten beantwortet oder Anfragen an die richtige Abteilung leitet, ist das zuerst ein Transparenzthema: Der Mensch soll erkennen, dass er mit KI spricht. Rein praktisch hilft es Ihnen aber nicht, die Pflicht gedanklich komplett auf den Softwareanbieter zu schieben. Die EU-Leitlinien richten sich zwar an Anbieter und Betreiber, aber aus Sicht des Kunden sieht man am Ende nur Ihr Frontend. Wenn dort kein klarer Hinweis auftaucht, landet das Problem zuerst bei Ihrem Betrieb. Das ist eine rechtliche Einordnung aus den Leitlinien und dem Wortlaut des Artikels, keine verbindliche Einzelfallauskunft. ([digital-strategy.ec.europa.eu](https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems))

Die zweite Änderung betrifft Ihre Datenschutzlogik. Viele Unternehmen haben bisher alles unter „berechtigtes Interesse“ oder pauschal unter „mit Einwilligung“ abgelegt. Beides ist zu grob. Der Europäische Datenschutzausschuss hat schon Ende 2024 klargestellt, dass berechtigtes Interesse in bestimmten Fällen eine Rechtsgrundlage für Entwicklung oder Nutzung von KI-Modellen sein kann. Gleichzeitig verlangt die BayLDA-Checkliste, dass Sie Kategorien personenbezogener Daten, Zwecke und die jeweilige Rechtsgrundlage festlegen und dokumentieren. Genau diese Dokumentation wird seit August 2026 akuter, weil die KI-Nutzung nicht mehr versteckt im System mitläuft, sondern für Kunden sichtbar und damit angreifbar wird. ([edpb.europa.eu](https://www.edpb.europa.eu/news/edpb-opinion-on-ai-models-gdpr-principles-support-responsible-ai_en?utm_source=openai))

Für die Region Hannover ist noch ein dritter Punkt wichtig: In vielen Betrieben werden aus Effizienzgründen dieselben KI-Tools in Marketing, Service und Dokumentation genutzt. Das ist betriebswirtschaftlich verständlich, datenschutzrechtlich aber heikel. Eine Anfrage wie „Ich brauche einen Termin, ich habe seit Wochen Schmerzen“ ist etwas anderes als „Wann habt ihr geöffnet?“. Sobald Gesundheitsdaten, biometrische Daten oder andere besondere Kategorien in ein KI-System wandern, kippt die Lage. Dann reicht ein allgemeiner KI-Hinweis erst recht nicht mehr. ([lda.bayern.de](https://lda.bayern.de/media/ki_checkliste.pdf))

DSGVO KI Einwilligung Kunden: Wann Sie sie wirklich brauchen

Die wichtigste Klarstellung lautet: KI-Transparenz ist nicht dasselbe wie DSGVO-Einwilligung. Der AI Act will in diesen Fällen vor allem sichtbar machen, dass KI im Spiel ist. Die DSGVO fragt etwas anderes: Auf welcher Rechtsgrundlage verarbeiten Sie diese personenbezogenen Daten überhaupt? Der EDPB nennt ausdrücklich drei Themenfelder: Wann ein KI-Modell anonym sein kann, wann berechtigtes Interesse als Rechtsgrundlage in Betracht kommt und was passiert, wenn ein Modell auf rechtswidrig verarbeiteten Daten beruht. Daraus folgt für die Praxis: Nicht jede KI-Nutzung braucht automatisch Einwilligung, aber jede KI-Nutzung mit Personendaten braucht eine belastbare Rechtsgrundlage. ([edpb.europa.eu](https://www.edpb.europa.eu/news/edpb-opinion-on-ai-models-gdpr-principles-support-responsible-ai_en?utm_source=openai))

Besonders deutlich wird es bei sensiblen Daten. Die BayLDA-Checkliste verlangt die Festlegung und Dokumentation der Datenkategorien und der Rechtsgrundlage. Für die Eingabe besonderer personenbezogener Daten nach Artikel 9 DSGVO in eine KI-Anwendung nennt die Checkliste ausdrücklich zwei Wege: Einwilligung einholen oder eine Ausnahme nach Artikel 9 Absatz 2 DSGVO prüfen. Für Praxen, Kliniken, Kosmetik mit Vorher-Nachher-Dokumentation oder Fitnessanbieter mit Gesundheitsangaben ist genau das der entscheidende Prüfpunkt. Ohne diese Prüfung sollten solche Daten nicht einfach in ein externes KI-Tool kopiert werden. ([lda.bayern.de](https://lda.bayern.de/media/ki_checkliste.pdf))

Ein aktuelles Plattformbeispiel zeigt, warum man Vendor-Standards nicht mit eigener Compliance verwechseln darf. Google beschreibt im Help Center zu AI-qualified call leads, dass Anrufaufzeichnung standardmäßig aktiviert sein kann, Aufzeichnungen zur Lead-Qualifizierung, Spam-Überwachung und Verbesserung der Conversion-Messung genutzt werden und Anrufer zu Beginn einen Hinweis auf die Aufzeichnung hören. Gleichzeitig ist die Funktion derzeit auf USA und Kanada begrenzt und für sensible Branchen teilweise standardmäßig ausgenommen. Für deutsche KMU ist das nicht direkt Ihr Rechtsrahmen. Es zeigt aber, wie schnell Analyse, Recording und KI-Auswertung technisch zusammenfallen. Genau deshalb dürfen Sie nie nur auf die Default-Einstellung des Anbieters schauen. ([support.google.com](https://support.google.com/google-ads/answer/16913326?hl=en&utm_source=openai))

Die praxisnahe Kurzform lautet deshalb so: Für einen einfachen Website-Bot mit Terminvorqualifizierung ist die erste Frage oft nicht „Habe ich Einwilligungen?“, sondern „Ist die Interaktion als KI kenntlich und ist meine Rechtsgrundlage dokumentiert?“. Für sensible Daten, Modelltraining mit Kundendialogen, emotionale Auswertung, biometrische Kategorien oder Aufzeichnungen kippt die Lage deutlich schneller in Richtung ausdrücklicherer Information, enger Zweckbindung und oft zusätzlicher Einzelfallprüfung. Das ist bewusst keine verbindliche Rechtsberatung, sondern die sichere Arbeitshypothese aus den aktuellen Behördenquellen. ([ai-act-service-desk.ec.europa.eu](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50))

Montagfrüh-Checkliste für Ihre KI-Prozesse

Wenn Sie das Thema nicht in ein Großprojekt verwandeln wollen, starten Sie mit einem kleinen Audit. Wichtig ist Tempo, nicht Perfektion. Diese sechs Schritte bringen die meisten KMU in einen deutlich besseren Zustand. ([digital-strategy.ec.europa.eu](https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems))

1. Alle KI-Kontaktpunkte auflisten. Website-Chat, E-Mail-Assistent, Transkriptions-Tool, Angebotsgenerator, Call-Routing und interne Zusammenfassungen gehören in eine Liste. Ohne sauberes Inventar können Sie weder Transparenz noch Rechtsgrundlagen belastbar zuordnen. ([lda.bayern.de](https://lda.bayern.de/media/ki_checkliste.pdf))
2. Sichtbaren KI-Hinweis an den Anfang setzen. Bei direkter Interaktion sollte der Nutzer spätestens beim ersten Kontakt erkennen, dass er mit einem KI-System spricht. Versteckte Hinweise in der Datenschutzerklärung sind dafür zu spät. ([ai-act-service-desk.ec.europa.eu](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50))
3. Pro Prozess Datenkategorien und Zweck festhalten. Unterscheiden Sie einfache Kontaktdaten, Vertragsdaten und besondere Kategorien wie Gesundheitsdaten. Schreiben Sie daneben, ob der Zweck Terminannahme, Dokumentation, Qualitätskontrolle oder Training eines Systems ist. ([lda.bayern.de](https://lda.bayern.de/media/ki_checkliste.pdf))
4. Rechtsgrundlage je Zweck dokumentieren. Der EDPB macht klar, dass KI nicht automatisch nur auf Einwilligung läuft. Aber irgendeine Rechtsgrundlage muss benannt und begründet sein. Genau das gehört in Ihr Verzeichnis der Verarbeitungstätigkeiten. ([edpb.europa.eu](https://www.edpb.europa.eu/news/edpb-opinion-on-ai-models-gdpr-principles-support-responsible-ai_en?utm_source=openai))
5. Sensible Eingaben sofort separat behandeln. Wenn Mitarbeitende Gesundheitsdaten, biometrische Daten oder andere besondere Kategorien in KI-Tools eingeben, brauchen Sie einen Sonderprozess. Die BayLDA-Checkliste nennt hier ausdrücklich Einwilligung oder die Prüfung einer Ausnahme nach Artikel 9 Absatz 2 DSGVO. ([lda.bayern.de](https://lda.bayern.de/media/ki_checkliste.pdf))
6. Tool-Einstellungen zum Training und zur Speicherung prüfen. Viele Anbieter nutzen Dialoge für Qualitätsverbesserung, Auswertung oder Missbrauchserkennung. Prüfen Sie, ob sich solche Optionen deaktivieren, beschränken oder vertraglich klarer fassen lassen. Wenn nicht, steigt Ihr Prüfbedarf sofort. ([support.google.com](https://support.google.com/google-ads/answer/16913326?hl=en&utm_source=openai))

Kosten, Fristen und Risikogrößenordnungen

Für Geschäftsführer ist nicht nur die Rechtsfrage wichtig, sondern die Größenordnung des Risikos. Die Quick Facts der EU-Kommission nennen bei Verstößen gegen den AI Act für Unternehmen Bußgelder von bis zu 15 Millionen Euro oder bis zu 3 Prozent des weltweiten Jahresumsatzes; zugleich wird dort Verhältnismäßigkeit für KMU und Small Mid-Caps erwähnt. Das heißt nicht, dass jeder fehlende Hinweis sofort in dieser Höhe endet. Aber die wirtschaftliche Oberkante ist klar deutlich höher als der Aufwand, die eigenen KI-Prozesse sichtbar und dokumentierbar zu machen. Diese letzte Bewertung ist eine naheliegende unternehmerische Schlussfolgerung aus dem Bußgeldrahmen. ([digital-strategy.ec.europa.eu](https://digital-strategy.ec.europa.eu/en/factpages/quick-facts-transparency-rules-ai-systems))

Thema	Konkrete Größenordnung
Bußgeldrahmen	Bis zu 15 Mio. Euro oder bis zu 3 Prozent des weltweiten Jahresumsatzes für Unternehmen; KMU-Verhältnismäßigkeit wird in den EU-Quick-Facts erwähnt. ([digital-strategy.ec.europa.eu](https://digital-strategy.ec.europa.eu/en/factpages/quick-facts-transparency-rules-ai-systems))
Sofortpflicht	Information über bestimmte KI-Interaktionen muss spätestens bei der ersten Interaktion oder Exposition erfolgen. Die Transparenzpflichten gelten seit 2. August 2026. ([ai-act-service-desk.ec.europa.eu](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50))
Begrenzte Übergangsfrist	Nur bis 2. Dezember 2026 und nur für die Kennzeichnungs- und Aufdeckungspflicht nach Artikel 50 Absatz 2 bei bestimmten bereits zuvor in Verkehr gebrachten Systemen. ([ai-act-service-desk.ec.europa.eu](https://ai-act-service-desk.ec.europa.eu/en/faq))
Dokumentationspflicht	Die BayLDA-Checkliste verlangt unter anderem die Aufnahme von KI-Anwendungen in das Verzeichnis der Verarbeitungstätigkeiten und die Prüfung einer DSFA nach Artikel 35 DSGVO. ([lda.bayern.de](https://lda.bayern.de/media/ki_checkliste.pdf))

Was Sie jetzt nicht verwechseln dürfen

Erstens: Ein KI-Hinweis ist keine Einwilligung. Er macht die Technik sichtbar. Mehr nicht. Die DSGVO-Frage nach der Rechtsgrundlage bleibt daneben bestehen. Zweitens: Eine technische Übergangsfrist ist kein Freibrief für Untätigkeit. Sie betrifft nur einen engen Teil der Pflichten. Drittens: Ihr heikelster Punkt ist meist nicht der Chatbot selbst, sondern das, was danach mit den Daten passiert. Also Speicherung, Training, Auswertung, Weitergabe und interne Wiederverwendung. ([ai-act-service-desk.ec.europa.eu](https://ai-act-service-desk.ec.europa.eu/en/faq))

Für kleine und mittlere Dienstleistungsbetriebe lautet die saubere Linie deshalb so: Sichtbar machen, wo Kunden mit KI interagieren. Danach je Prozess Zweck, Datenkategorie und Rechtsgrundlage festhalten. Und sobald sensible Daten im Spiel sind, die Prüfung deutlich strenger aufziehen. Wer das in Hannover oder der Region jetzt sauber ordnet, reduziert nicht nur das Rechtsrisiko. Er verhindert auch das operative Chaos, das entsteht, wenn Marketing, Kundenservice und Datenschutz unterschiedliche Geschichten über dasselbe Tool erzählen. Im Einzelfall sollten Sie die konkrete Ausgestaltung fachlich prüfen lassen, besonders bei Gesundheitsdaten, biometrischen Daten oder umfangreicher automatisierter Auswertung. ([lda.bayern.de](https://lda.bayern.de/media/ki_checkliste.pdf))

Haeufige Fragen

Brauche ich für meinen KI-Chatbot jetzt immer eine Einwilligung?

Nein. Seit dem 2. August 2026 muss bei bestimmten KI-Interaktionen Transparenz hergestellt werden. Das ersetzt aber nicht die DSGVO-Prüfung. Der EDPB hält je nach Fall auch andere Rechtsgrundlagen für möglich. Eine Einwilligung ist also nicht automatisch immer Pflicht, aber eine dokumentierte Rechtsgrundlage schon. ([ai-act-service-desk.ec.europa.eu](https://ai-act-service-desk.ec.europa.eu/en/faq))

Reicht der Hinweis "Sie sprechen mit einer KI" für die DSGVO?

Nein. Dieser Hinweis erfüllt nur den Transparenzgedanken des AI Act. Danach bleibt offen, welche Daten Sie verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage. Genau diese Punkte verlangt die Datenschutzprüfung zusätzlich. Bei sensiblen Daten reicht ein bloßer KI-Hinweis erst recht nicht. ([ai-act-service-desk.ec.europa.eu](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50))

Darf meine Praxis Kundendaten in ein KI-Tool eingeben?

Nur nach strenger Prüfung. Die BayLDA-Checkliste verlangt, Datenkategorien und Rechtsgrundlage festzulegen und zu dokumentieren. Bei besonderen Kategorien nach Artikel 9 DSGVO nennt sie ausdrücklich: Einwilligung einholen oder eine passende Ausnahme prüfen. Gerade Gesundheitsdaten sollten nicht nebenbei in Standard-KI-Tools landen. ([lda.bayern.de](https://lda.bayern.de/media/ki_checkliste.pdf))

Gilt die Übergangsfrist bis 2. Dezember 2026 auch für meinen Website-Chatbot?

In der Regel nein. Die EU-FAQ nennt die Frist nur für einen begrenzten technischen Teil der Kennzeichnungs- und Aufdeckungspflicht nach Artikel 50 Absatz 2 bei bestimmten bereits vorher in Verkehr gebrachten Systemen. Die allgemeine Transparenz bei der Interaktion mit KI gilt seit dem 2. August 2026. ([ai-act-service-desk.ec.europa.eu](https://ai-act-service-desk.ec.europa.eu/en/faq))

Mehr dazu, wie wir das umsetzen: KI-gestuetzte Loesungen.

Passend dazu

• Google Unternehmensprofil optimieren Anleitung
• Anfragen automatisch beantworten KMU: EU-Check
• KI Telefonassistent Kosten: Was 2026 realistisch ist