Privacy by Design: Wenn der Datenschutz nach dem Go-Live kommt

Ein neues CRM-System soll die Kunden­kommunikation verbessern. Eine Cloud-Migration soll die IT-Kosten senken und die Anwendungen besser skalieren lassen. Und der neue KI-Assistent soll dabei helfen, schneller über Kreditanträge zu entscheiden. Drei Vorhaben, ein gemeinsamer blinder Fleck: Datenschutz­verantwortliche erfahren davon meist zu spät. Die Lösung: „Privacy by Design“.

von Sandra Dury, Dury Consult

All dies sind keine Einzelfälle.

Unter 500 Daten­schutz­­verantwortlichen in deutschen Unternehmen mit mehr als 500 Mitarbeitern zeigt: Nur jeder fünfte wird eingebunden, wenn neue Software eingeführt wird.“

Egal ob CRM, Cloud oder KI. Reine KI-Projekte und solche, bei denen es um Automatisierungen geht, schneiden noch schlechter ab. Gerade mal 15 Prozent der Datenschutz­experten sitzen hier mit am Tisch. Bedenklich: Jeder Dritte gibt sogar an, grundsätzlich gar nicht in laufende Projekte eingebunden zu werden. Gleichzeitig sagt jeder Vierte, dass die Unsicherheit im Umgang mit neuen Technologien, auch und gerade bei KI, stetig wächst. Das ist eine gefährliche Kombination: wachsende Risiken, sinkende Einbindung.

Der Preis: Datenschutz­probleme nach dem Go-Live

Was passiert, wenn Datenschutz erst nachträglich gedacht wird, lässt sich gut an CRM-Einführungen illustrieren. Ein Vertriebsteam entscheidet sich für ein Cloud-basiertes System und importiert den gesamten Kundenstamm inklusive Kontakthistorie, Einschätzungen zur Bonität und internen Notizen. Die Datenschutz­verantwortlichen werden aber erst hinzugezogen, als die ersten Nutzerbeschwerden eingehen. Zu diesem Zeitpunkt läuft das System bereits seit drei Monaten, die Daten liegen auf Servern außerhalb der EU, und eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO wurde nie durchgeführt. Was hätte man vermeiden können? Fast alles.

Das Prinzip „Privacy by Design“ – auf Deutsch: Datenschutz durch Technikgestaltung – schreibt Art. 25 DSGVO vor. Gemeint ist, dass Datenschutz­anforderungen nicht am Ende eines Projekts geprüft, sondern von Anfang an in die Systemarchitektur eingebaut werden: Datenminimierung, Zweckbindung, Zugriffsrechte, Löschfristen.

Das ist kein bloßer Wunschgedanke, sondern zwingendes Recht. Gemäß Art. 38 DSGVO müssen Datenschutz­beauftragte frühzeitig in alle Fragen eingebunden werden, die mit dem Schutz personenbezogener Daten zusammenhängen.“

Idealerweise geschieht dies von Anfang an in der Evaluierungsphase, noch bevor ein Anbieter ausgewählt wird.

Strukturelle Überlastung erschwert frühe Einbindung

Dass Datenschutz so oft hinten ansteht, ist nicht nur eine Frage mangelnder Wertschätzung. Es ist auch ein strukturelles Problem. Fast sechs von sieben Datenschutz­verantwortlichen übernehmen neben dem Datenschutz noch weitere Aufgaben, von IT-Sicherheit über Qualitätsmanagement bis hin zur Geschäftsführung. Nur 17 Prozent kümmern sich ausschließlich um Datenschutz. Doch wer gleichzeitig als Leiter der IT für die IT-Sicherheit und Datenschutz zuständig ist, gerät dabei in einen Interessenkonflikt: Dieselbe Person evaluiert ein neues System und soll es gleichzeitig aus Datenschutz­sicht kontrollieren.

Dies dürfen Geschäftsleiter gar nicht erst zulassen, weil sie damit gegen ihre Pflicht verstoßen, eine ordnungsgemäße Datenschutz­organisation im Unternehmen zu installieren und ihrer präventiven Organisations­verantwortung nachzukommen. Tun sie es dennoch, droht im Schadensfall schnell die persönliche Organhaftung der Geschäftsführung.

Hinzu kommt Ressourcenmangel: 23 Prozent der Datenschutz­verantwortlichen beklagen fehlende Zeit. 17 Prozent fühlen sich zu spät oder von vornherein gar nicht erst in wichtige Entscheidungen eingebunden.

13 Prozent vermissen Rückendeckung durch das Top-Management. Und die Last wird schwerer und schwerer, wie die Experten angeben.“

37 Prozent nennen zunehmend komplexe gesetzliche Vorgaben als ihre wichtigste Herausforderung. 30 Prozent berichten von stetig steigenden regulatorischen Anforderungen. Wer in diesem Umfeld auch noch bei jeder Software-Einführung aktiv eingebunden werden soll, braucht einerseits klar definierte Prozesse und andererseits eine Unternehmensleitung, die das strukturell überhaupt erst ermöglicht und den Datenschutz als echten Vertrauensanker für das Geschäft begreift.

KI als Eskalationsstufe

Bei konventioneller Software lassen sich Datenschutz­probleme nachträglich oft noch lösen: Zugriffsrechte anpassen, Löschfristen nachtragen, Auftrags­verarbeitungs­vertrag schließen. Bei KI-Systemen ist das deutlich schwieriger. Wenn ein Sprachmodell mit internen Kundendaten trainiert wird, sind diese Daten im Modell verankert – sie lassen sich nicht einfach wieder entfernen.

Noch schlimmer wird es, wenn personenbezogene Daten aus verschiedenen Quellen zusammengeführt werden und ein KI-System neben einer Bonitätsprüfung auch noch in der Lage wäre, ein genaues Profil von betroffenen Personen zu erstellen und darauf basierend vollautomatisierte Entscheidungen zu treffen. Denn ein solches Scoring unterfällt dem strengen Verbot des Art. 22 DSGVO und ist in der Praxis oft nur mit ausdrücklicher Einwilligung oder speziellen gesetzlichen Ausnahmeregelungen zulässig.

Darüber hinaus droht möglicherweise ein länderspezifisches Risiko, falls das fragliche Modell auf Servern eines US-amerikanischen Anbieters betrieben wird. Solche Risiken müssen zwingend vor und nicht nach einer KI-Einführung bewertet werden. Wie weit die sicherheitspolitische und operative Abhängigkeit europäischer Unternehmen von US-amerikanischen KI-Anbietern und Cloud-Plattformen reichen kann, zeigte sich im Juni 2026: Die US-Regierung ordnete mit sofortiger Wirkung Exportbeschränkungen für Anthropics neue Modelle Claude Fable 5 und Claude Mythos 5 an.

Weil Anthropic den Zugang ausländischer Staatsangehöriger technisch nicht zuverlässig in Echtzeit ausschließen konnte, nahm das Unternehmen beide Modelle vorübergehend für sämtliche Nutzer weltweit vom Netz. Die Beschränkungen wurden zwar nach rund zweieinhalb Wochen wieder aufgehoben. Der Vorfall verdeutlicht jedoch, dass geopolitische oder sicherheitspolitische Entscheidungen faktisch wie ein „Kill-Switch“ wirken und europäische Nutzer kurzfristig von zentralen KI-Diensten abschneiden können.

Der EU AI Act verschärft diesen Druck zusätzlich. Für Hochrisiko-KI-Systeme, zu denen etwa Systeme in der Personalauswahl, in der Kreditvergabe oder für bestimmte Anwendungen im Gesundheitswesen zählen, gelten umfangreiche Pflichten zu Dokumentation, Transparenz und Risiko-Management. Wer hier erst nach dem Go-Live anfängt, Datenschutz und KI-Compliance zu verzahnen, riskiert hohe Bußgelder beispielsweise bei Verstößen gegen die in der KI-Verordnung vorgesehenen Pflichten, insbesondere gegen die Anforderungen an Hochrisiko-KI-Systeme sowie die Pflichten von Anbietern und Betreibern. Bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres kann das kosten. Die höhere Bußgeldstufe von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes ist demgegenüber der Nichteinhaltung der in Art. 5 AI Act verbotenen KI-Praktiken vorbehalten.

Weiterhin spielen auch Reputationsschäden eine Rolle, die sich kaum wieder gutmachen lassen. Gerade diese Reputationsschäden betrachten die Datenschützer selbst als eines der größten Risiken,

denn Datenschutz fungiert als zentraler „Vertrauensanker“, der die wichtigste Währung der digitalen Welt sichert: das Vertrauen der Kunden.“

Dabei können Top-Entscheider auch privat mit ihrem gesamten Vermögen haften (vgl. § 43 GmbHG, analog § 93 AktG).

Vier Maßnahmen machen den Unterschied

Unternehmen sowie deren Geschäftsführer und Vorstände müssen sich deshalb genau überlegen, wie sie „Privacy by Design“, das auch beim Digitalen Euro eine zentrale Rolle spielt, in der Praxis umsetzen. Vier Maßnahmen haben sich dabei als besonders wirksam erwiesen:

1. Datenschutz als festen Schritt im Projektprozess verankern. Jedes Projekt, das personenbezogene Daten berührt, sollte einen Datenschutz-Checkpoint durchlaufen und zwar nicht als bürokratische Pflichtübung, sondern als integrierter und fester Bestandteil bei jeder Projektplanung. Wann immer neue Software evaluiert wird, gehört die Frage nach der Datenschutz-Folgenabschätzung in die Anforderungsliste, noch bevor überhaupt mögliche Anbieter eingeladen werden. Ein einfaches Ampel-Schema, das Projekte nach Datenschutz-Risikograd klassifiziert, erleichtert die Steuerung.
2. Klare Zuständigkeiten schaffen und Interessenkonflikte vermeiden: Wer für Datenschutz verantwortlich ist, sollte nicht gleichzeitig die IT-Projekte verantworten, die er kontrollieren soll. Das ist nicht nur eine Frage guter Unternehmensführung, sondern auch eine konkrete Anforderung, die sich aus der Weisungsunabhängigkeit des Datenschutzbeauftragten (DSB) nach Art. 38 Abs. 3 DSGVO ergibt. Die Geschäftsleitung muss derartige strukturelle Interessenkonflikte verhindern, um ihrer eigenen Organisations­verantwortung gerecht zu werden. Unternehmen, die keinen eigenständigen DSB bestellen können oder wollen, sollten zumindest sicherstellen, dass die datenschutzrechtliche Prüfung nicht von derselben Person vorgenommen wird, die das Projekt umsetzt.
3. Datenschutz­verantwortliche frühzeitig in die Lieferantenauswahl einbinden. Viele Datenschutz­probleme entstehen nicht im Unternehmen selbst, sondern bei externen Dienstleistern: Cloud-Anbieter, CRM-Hersteller, KI-Plattformen. Bevor ein Vertrag unterzeichnet wird, sollten Fragen zum Server-Standort, zur Unter­auftrags­verarbeitung, zur Datenlöschung nach Ende des Vertrags und zu den Möglichkeiten der Betroffenenrechte-Erfüllung beantwortet sein. Auftrags­verarbeitungs­verträge (AVV) nach Art. 28 DSGVO und – bei Drittlandtransfers – Standardvertragsklauseln müssen vor dem Go-Live vorliegen.
4. Schulungen auf die konkreten Risiken zuschneiden: Generische Datenschutz­schulungen, die einmal im Jahr per E-Learning absolviert werden, reichen nicht aus. Projekte mit KI-Einsatz oder Cloud-Migrationen brauchen projektspezifische Briefings: Was dürfen wir mit den Daten machen, die dieses System verarbeitet? Was passiert, wenn wir Kundendaten in ein Trainingsmodell einspeisen? Welche Daten dürfen das Unternehmensnetzwerk keinesfalls verlassen? Darauf die richtigen Antworten zu finden, erfordert das Fachwissen derjenigen, die Datenschutz als ihre eigentliche Aufgabe verstehen und die in der Lage sind, die teils abstrakten Vorgaben der DSGVO mit den neuen Sektorregeln des AI Acts praxistauglich zusammenzudenken.

Die Lücke schließen, bevor sie zum Problem wird

Privacy by Design“ ist kein Luxus für Unternehmen mit großen Compliance-Abteilungen.“

Dieses Prinzip stellt eine wesentliche gesetzliche Anforderung dar, die für alle Unternehmen gelten, die personenbezogene Daten verarbeiten. Nachträglich bereits begangene Fehler zu beheben, kostet mehr Zeit, mehr Geld und mehr Vertrauen als eine saubere Prüfung vorab. Die Umfrage zeigt, dass viele Unternehmen diesen Schritt noch vor sich haben. Für Datenschutz­verantwortliche und Geschäftsleitungen gleichermaßen liegt darin eine klare Aufgabe. Sandra Dury, Dury Consult