Datenschutz für kleine Unternehmen

Was Nutzer von KI ab August 2026 beachten müssen

Ab dem 2. August 2026 gelten neue Transparenzpflichten aus Artikel 50 der KI-Verordnung. Die Kommission hat dazu am 20. Juli 2026 Leitlinien dazu veröffentlicht, und für viele Unternehmen ändert sich mehr, als sie aktuell wissen.

Die neuen Leitlinien der EU-Kommission stellen klar: Eine Rechtschreibprüfung reicht meist nicht aus, um Ihre KI-Texte von der Kennzeichnungspflicht zu befreien.

Warum das Sie betrifft

Wer ein bestehendes KI-Tool nutzt, um Bilder, Videos, Audiodateien oder Texte zu erstellen, wird rechtlich zum Betreiber eines KI-Systems.

Relevant wird das vor allem, wenn Sie Deepfakes veröffentlichen oder KI-generierte Texte zu Themen von öffentlichem Interesse publizieren.

Was ein Deepfake ist

Die KI-Verordnung definiert einen Deepfake als durch KI erzeugte oder manipulierte Bild-, Ton- oder Videoinhalte, die wirklichen Personen, Gegenständen, Orten oder Ereignissen ähneln und einer Person fälschlicherweise als echt erscheinen würden.

In der Praxis betrifft das zum Beispiel KI-generiertes Marketingmaterial mit realitätsnahen Personen, etwa eine KI-generierte Person als Werbegesicht oder ein synthetischer Sprecher in einem Werbevideo.

Wie Kennzeichnen

Mit Blick auf die Kennzeichnungspflicht empfiehlt der Code of Practice der Kommission, einen Hinweis auf die Nutzung von KI dort zu platzieren, wo Menschen ihn tatsächlich wahrnehmen, z. B.:

Bei einem Bild kann das ein sichtbarer Vermerk direkt im Bild oder unmittelbar daneben sein, etwa "KI-generiert".

Bei einem Video sollte der Hinweis zu Beginn erscheinen, bei längeren Videos idealerweise auch in regelmäßigen Abständen wiederholt.

Bei einer Audiodatei zum Beispiel ein kurzer gesprochener Hinweis am Anfang, wie "Die folgende Stimme wurde mit künstlicher Intelligenz erzeugt."

Ein automatisch eingefügtes Icon, wie es z. B. manche KI-Bildgenerierungstools nutzen, reicht in der Regel nicht aus. Es kann nicht vorausgesetzt werden, dass alle Menschen die verschiedenen KI-Tools und deren Symbole kennen.

Die EU hat im Rahmen ihres freiwilligen Verhaltenskodex eigene, standardisierte Icons zur Kennzeichnung KI-generierter Inhalte entwickelt. Deren Nutzung ist freiwillig und können auf diese Seite heruntergeladen werden EU-Icons zur Kennzeichnung von KI-Inhalten. Die Verwendung dieser Icons allein macht die Nutzung von KI nicht rechtskonform. Die Betreiber müssen selbst dafür sorgen, dass sie die Anforderungen aus Artikel 50 der KI-Verordnung einhalten.

Kunst, Satire und die Grenze zur Werbung

Bei offensichtlich künstlerischen, satirischen oder fiktionalen Werken genügt eine reduzierte Kennzeichnung, die den Werkgenuss nicht beeinträchtigt, etwa ein dezenter Hinweis im Abspann.

Die Grenze zeigt ein Beispiel aus den Leitlinien der Kommission: Ein KI-generiertes Werbevideo im Teleshopping-Stil, in dem simulierte Menschen ein Produkt anpreisen, fällt nicht unter diese Ausnahme. Der Zweck bleibt erkennbar kommerziell, auch wenn das Video unterhaltsam gestaltet ist.

Für Unternehmen heißt das: Eine KI-generierte Person als Testimonial in Ihrer Werbung bleibt voll kennzeichnungspflichtig, egal wie kreativ die Umsetzung ist.

KI-generierte Texte zu öffentlichem Interesse

Für viele Unternehmen ist dieser Punkt sicher am wichtigsten, etwa bei KI-gestützten Blogartikeln oder Social-Media-Postings mit Bezug zu öffentlichen Angelegenheiten. Die Pflicht betrifft ausschließlich Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen: Politik, Gesundheit, öffentliche Sicherheit, gesellschaftliche oder wirtschaftliche Entwicklungen, um ein paar Beispiele zu nennen.

Ein gewöhnlicher Produkttext fällt ausdrücklich nicht darunter, solange er keine Gesundheits-, Sicherheits- oder Nachhaltigkeitsaussagen enthält. Das bedeutet aber nicht, dass Sie hier freie Hand haben: Irreführende Angaben in Produkttexten bleiben weiterhin nach dem Gesetz verboten, unabhängig vom KI-Einsatz.

Die Ausnahme bei menschlicher Prüfung

Auch kennzeichnungspflichtige Texte müssen nicht gekennzeichnet werden, wenn sie einem Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden und eine Person oder Ihr Unternehmen die redaktionelle Verantwortung dafür trägt.

Die Kommission stellt klar: Eine Rechtschreibprüfung reicht allerdings nicht. Geprüft werden muss der Inhalt selbst, mit einem Faktencheck als Minimum. Wird ein bereits freigegebener Text danach nochmals durch KI verändert, entfällt die Ausnahme wieder.

Was Sie jetzt tun sollten

Der erste Schritt ist eine kurze Bestandsaufnahme: Welche KI-Tools setzen Sie ein, und welche Inhalte entstehen dabei?

Prüfen Sie dabei besonders, ob reale Personen dargestellt werden oder ob Texte zu gesellschaftlich relevanten Themen entstehen.

Bei Texten zu gesellschaftlich relevanten Themen kommt es darauf an, dass jemand den Inhalt vor der Veröffentlichung inhaltlich kontrolliert, nicht nur auf Rechtschreibung.

Die Zuständigkeit für diese Kontrollen sollte intern schriftlich festgehalten sein.

Möchten Sie wissen, was die neue Kennzeichnungspflicht konkret für Ihr Unternehmen bedeutet? Buchen Sie ein unverbindliches Erstgespräch.

 

 

Die meisten Gründer wissen, dass Datenschutz wichtig ist. Aber zwischen Akquise, Marketing und dem ersten Auftrag landet DSGVO schnell ganz unten auf der Liste. Sie wissen nicht, wo Sie anfangen sollen – der Alltag holt Sie ein, und Datenschutz wird aufgeschoben.

Das ist ein Fehler. Einer, der teuer werden kann.

Viele Gründer sammeln erstmal alles; Name, Adresse, Geburtsdatum, Telefonnummer. Sicher ist sicher, meinen Sie bestimmt. Leider falsch. Sie dürfen nur die Daten erheben, die Sie für einen konkreten Zweck wirklich brauchen – also was Sie brauchen, um einen Auftrag erledigen zu können. Nicht mehr, nicht weniger.

Aber in der Praxis sieht es meist anders aus: Schnell mal alles abgefragt, „könnte ja noch nützlich sein, und ein Geburtstagsgruß ist immer nett."

Genau das kann zum Problem werden. Denn:

Szenario 1: Sie werden gehackt. Daten, die Sie gar nicht hätten speichern dürfen, landen im Darknet. Als Unternehmen sind Sie verpflichtet, diese Daten zu schützen. Die Folgen: Meldepflicht gegenüber den Behörden – und im schlimmsten Fall Bußgelder und Schadenersatzforderungen Ihrer Kunden.

Szenario 2: Ein Kunde stellt eine Auskunftsanfrage und stellt fest, dass Sie Daten von ihm haben, für die Sie keine Rechtsgrundlage haben. Er kann das bei der Datenschutzaufsichtsbehörde melden. Die Folgen im schlimmsten Fall: Bußgelder für Ihr Unternehmen.

Beide Szenarien sind vermeidbar. So fangen Sie an:

→ Schritt 1: Verschaffen Sie sich einen Überblick. Welche personenbezogenen Daten erheben Sie in Ihrem Unternehmen und wozu? Von Kundendaten bis Bewerbungsunterlagen: Sie müssen wissen, was Sie haben, bevor Sie es schützen können.

→ Schritt 2: Wo liegen diese Daten? Excel, E-Mail, Buchhaltungstool, Cloud. Und wer hat Zugriff? Viele Kleinstunternehmer nutzen denselben Rechner privat und beruflich. Der Partner, die Kinder, ein Freund – alle haben Zugriff. Auch auf Ihre Kundendaten. Das darf nicht sein. Richten Sie getrennte Benutzerkonten ein, damit Unternehmensdaten und personenbezogene Daten von Unbefugten nicht einsehbar sind.

→ Schritt 3: Wie sind diese Daten geschützt? Drei Dinge sind dabei Pflicht: Zugang muss passwortgeschützt sein. Daten müssen verschlüsselt gespeichert werden. Und ein regelmäßiges Backup ist kein Nice-to-have – es ist Pflicht.

→ Schritt 4: Prüfen Sie anhand Checklisten, ob Ihre Maßnahmen ausreichen. Nicht nach Gefühl – sondern Punkt für Punkt. Ich biete meinen Kunden genau diese Checklisten an sowie eine individuelle Beratung, damit Sie wissen, wo Sie stehen und was als nächstes zu tun ist.

Datenschutz ist nicht dazu da, Ihnen das Leben schwer zu machen. Im Kern geht es um eine einfache Frage: Wie gehen Sie mit den Daten der Menschen um, die sie Ihnen anvertrauen?

Dieses Vertrauen ist viel wert. Kunden merken, ob ein Unternehmen sorgfältig mit ihren Daten umgeht, auch wenn sie es nicht direkt benennen können. Es ist ein Gefühl. Und Gefühle entscheiden darüber, ob jemand wiederkommt oder Sie weiterempfiehlt.

Haben Sie sich schon mal einen Überblick über Ihre Daten verschafft und sind noch unsicher? Buchen Sie sich ein kostenloses 30-Minuten-Erstgespräch – unverbindlich und direkt.