KI-MIG IST DA – UND DER DATENSCHUTZ IST NICHT ABGESCHAFFT

01.09.2026

Seit dem Sommer 2026 hat Deutschland ein eigenes Gesetz zur Umsetzung des EU AI Act: das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG. Was auf den ersten Blick nach reiner Behördenorganisation klingt, hat spürbare Folgen für die Praxis – auch für kleinere Vereine, mittelständische Betriebe und kirchliche Träger. Dieser Beitrag ordnet ein, was neu ist, was schon länger gilt und wo Sie den Hebel ansetzen sollten.

1 EIN PAAR BEISPIELE AUS DER PRAXIS

KI ist längst im Alltag angekommen, oft ohne, dass es jemand bewusst so nennt. Ein Verband lässt Protokolle automatisch übersetzen, ein Handwerksbetrieb testet einen KI-Assistenten für die Angebotserstellung, ein Bildungswerk baut einen Chatbot in seine Kursanmeldung ein. Alle drei stehen plötzlich vor derselben Frage: Reicht das, was wir für den Datenschutz ohnehin schon tun – oder kommt mit der KI-Verordnung und dem KI-MIG etwas Zusätzliches hinzu?

Drei beispielhafte Situationen aus der Praxis machen das greifbar:

Ein Verband mit internationalen Partnerorganisationen setzt ein KI-Tool ein, um Sitzungsprotokolle, Newsletter und Förderanträge in mehrere Sprachen zu übersetzen. In den Texten stehen Klarnamen, Funktionen und persönliche Rückmeldungen. Sobald diese Inhalte durch ein externes System laufen, ist das eine Verarbeitung personenbezogener Daten nach Art. 6 DSGVO/§ 6 KDG. Es braucht eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO/§ 29 KDG und eine Prüfung der Sicherheit der Verarbeitung nach Art. 32 DSGVO/§ 26 KDG, und insbesondere, ob der Anbieter außerhalb der EU sitzt. Nach der KI-Verordnung kommt hinzu: Werden Inhalte KI-gestützt erstellt oder übersetzt, sollten Adressat:innen das erkennen können (Art. 50 KI-VO).

Ein Handwerksbetrieb nutzt einen KI-Assistenten, der aus Anrufbeantworter-Nachrichten automatisch Vorschläge für seine Angebote erzeugt. Das spart Zeit – wirft aber gleich mehrere Fragen auf. Anrufende müssen bereits im Ansagetext erfahren, dass ihre Nachricht aufgezeichnet und durch eine KI verarbeitet wird (Art. 13 DSGVO/§ 15 KDG). Sitzt der Anbieter in den USA, kommt der Drittlandtransfer nach Art. 44 ff. DSGVO/§ 40 KDG ins Spiel. Und weil die Stimme unter Umständen als biometrisches Datum im Sinne von Art. 4 Nr. 14 DSGVO/ § 4 Nr. 16 KDG gilt, gehört die Rechtsgrundlage bzw. die Art und der Zweck der Verarbeitung besonders sauber geprüft. Parallel dazu verlangt die KI-Verordnung, dass alle, die mit dem Tool arbeiten, über ausreichende KI-Kompetenz verfügen (Art. 4 KI-VO).

Ein katholischer Bildungsträger automatisiert Kursanmeldungen über einen Chatbot. Weil hier eine kirchliche Einrichtung tätig wird, greift hier i.d.R. statt der DSGVO das KDG – konkret die Rechtsgrundlagen aus § 6 KDG/Art. 6 DSGVO und die Informationspflichten aus § 15 KDG/Art. 13 DSGVO. Aus Sicht der KI-Verordnung ist der Chatbot ein System mit begrenztem Risiko, das gegenüber den Nutzer:innen als KI erkennbar sein muss.

Drei unterschiedliche Kontexte, ein gemeinsamer Nenner: Datenschutz und KI-Recht greifen ineinander. Wer das eine ohne das andere denkt, übersieht wichtige Pflichten.

2 DER RECHTLICHE RAHMEN

Das KI-MIG ist ein Durchführungsgesetz. Es enthält selbst kaum inhaltliche KI-Pflichten, sondern regelt, welche Behörden in Deutschland zuständig sind, wie das Bußgeldverfahren läuft und wie Innovation gefördert werden soll. Die materiellen Anforderungen an KI-Systeme stehen weiterhin in der KI-Verordnung, der VO (EU) 2024/1689, die häufig unter dem Kürzel AI Act firmiert.

Zentrale Anlaufstelle für die meisten Fragen wird die Bundesnetzagentur (Link zur Pressemitteilung vom 29.07.2026). Sie ist nach § 2 KI-MIG grundsätzlich zuständige Marktüberwachungsbehörde und übernimmt zugleich die Rolle der Beschwerdestelle. In bestimmten Bereichen – etwa bei Finanzdienstleistungen, IT-Sicherheit oder Medizinprodukten – bleiben die etablierten Aufsichten (BaFin, BSI, BfArM) zuständig. Das ist gewollt, damit sich Doppelstrukturen vermeiden lassen.

Für die Praxis besonders wichtig sind vier Punkte aus der KI-Verordnung selbst. Erstens die KI-Kompetenzpflicht nach Art. 4, die bereits seit Februar 2025 gilt:

· Anbieter und Betreiber müssen dafür sorgen, dass ihre Beschäftigten die eingesetzten Systeme sachkundig einordnen und bedienen können.

· Zweitens die verbotenen Praktiken nach Art. 5, etwa Social Scoring oder gezielte Manipulation.

· Drittens die Transparenzpflichten nach Art. 50 (Kennzeichnung von KI-Interaktionen, KI-generierten Inhalten und Deepfakes) sowie die Pflichten für allgemeine KI-Modelle (GPAI), die ab dem 2. August 2026 in Kraft sind. Die umfangreichen Pflichten für Hochrisiko-KI-Systeme nach Anhang III (u. a. Bildung, Beschäftigung, Zugang zu Leistungen, biometrische Systeme) wurden durch den Digital Omnibus (Verordnung (EU) 2026/1744) auf den 2. Dezember 2027 verschoben; für Hochrisiko-KI als Sicherheitskomponente in regulierten Produkten nach Anhang I gilt der 2. August 2028.

· Viertens die Bußgeldrahmen, auf die das KI-MIG ausdrücklich verweist – bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Die verschobene Hochrisiko-Frist bedeutet keine "Entwarnung". Verbote, KI-Kompetenz- und Transparenzpflichten gelten bereits – und die Vorbereitungszeit für Risikomanagement, Dokumentation und Konformitätsbewertung ist knapp bemessen.

Wichtig ist der Blick auf das Verhältnis zum Datenschutz: Das KI-MIG ersetzt weder die DSGVO noch das KDG. Beide Regelwerke gelten unverändert weiter. Sobald ein KI-System personenbezogene Daten verarbeitet, brauchen Sie eine Rechtsgrundlage (Art. 6 DSGVO bzw. § 6 KDG), eine Information der Betroffenen (Art. 13 und 14 DSGVO bzw. §§ 15 und 16 KDG) und bei erhöhtem Risiko eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO bzw. § 35 KDG).

3 DIE UMSETZUNG SCHRITT FÜR SCHRITT

Wer jetzt strukturiert vorgeht, spart sich später viel Nacharbeit. In der Beratung hat sich folgende Reihenfolge bewährt.

Beginnen Sie mit einem ehrlichen KI-Inventar. Notieren Sie alle Systeme, die in der Organisation KI einsetzen – bewusst oder nebenbei. Dazu gehören auch Funktionen in Office-Suiten, in CRM- oder Vereinssoftware und in Kommunikationstools. Erst wenn Sie wissen, was im Einsatz ist, können Sie sinnvoll priorisieren.

Klären Sie im zweiten Schritt Ihre Rolle nach der KI-Verordnung. Meistens sind Vereine, Verbände und KMU „Betreiber“ eines fremden Systems (vgl. Pflichten gemäß Art. 26 KI-VO), seltener „Anbieter“. Die Pflichten unterscheiden sich deutlich – und wer beides vermischt, macht sich unnötig Arbeit. Ordnen Sie danach jedes System einer Risikoklasse zu: verboten, hochriskant, begrenztes Risiko oder minimal. Gerade in Vereinen wird gerne unterschätzt, dass KI-gestützte Auswahl von Personen – etwa bei Stipendien, Ehrenamtsaufgaben oder Zugängen – schnell in die Hochrisiko-Kategorie fällt.

Kümmern Sie sich früh um die KI-Kompetenz. Eine kurze, gut dokumentierte Schulung für Vorstand, Geschäftsführung und alle, die operativ mit KI arbeiten, ist mit überschaubarem Aufwand machbar und erfüllt die Pflicht aus Art. 4 KI-VO. Parallel prüfen Sie die datenschutzrechtliche Seite: Ist die Rechtsgrundlage sauber, sind die Betroffenen informiert, gibt es einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO bzw. § 29 KDG), und braucht es eine Datenschutz-Folgenabschätzung? Die relevanten Gesetzestexte finden Sie in den Quellen dieses Blogartikels.

Achten Sie auf Transparenz. Chatbots, KI-generierte Texte und automatisierte Sprachverarbeitung sollten für Betroffene erkennbar sein – im Zweifel lieber einen Satz mehr in der Ansage, im Impressum oder in der E-Mail-Signatur. Im besten Fall erstellen sie direkt auf ihrer Webseite eine KI-Transparenzerklärung. Auf diese können Sie dann zu Informationszwecken verlinken. Und legen Sie auch fest, wer intern zuständig ist, wenn etwas schiefgeht. Ebenso wichtig ist – bevor etwas passiert- an welche Aufsichtsbehörde melden Sie einen Datenschutzvorfall, an welche einen KI-Vorfall?

Zwei Denkfehler im Umgang mit KI und Datenschutz begegnen uns besonders häufig:

Der erste lautet sinngemäß: „Wir nutzen ja nur ChatGPT – und das nicht mal ‚offiziell'.“ Entscheidend ist hier weniger das Werkzeug selbst als der Kontext, in dem es eingesetzt wird. Sobald ein solches Tool im geschäftlichen oder organisatorischen Zusammenhang genutzt wird – etwa für Kundenkorrespondenz, Protokolle oder interne Auswertungen –, greifen die einschlägigen Pflichten aus der KI-Verordnung (u. a. KI-Kompetenz nach Art. 4 und Transparenz nach Art. 50 KI-VO) sowie, soweit personenbezogene Daten verarbeitet werden, die Vorgaben der DSGVO bzw. des KDG. Die Verantwortung liegt also nicht beim Anbieter des Tools, sondern bei der Organisation, die es einsetzt.

Der zweite Denkfehler: KI-Compliance und Datenschutz werden organisatorisch getrennt bearbeitet – häufig in unterschiedlichen Zuständigkeiten und Dokumentationen. Da sich beide Regelwerke in weiten Teilen überschneiden, führt das erfahrungsgemäß zu Doppelarbeit und zu Lücken an den Schnittstellen. Eine integrierte Betrachtung – idealerweise unter Einbindung der:des Datenschutzbeauftragte:n – ist in der Praxis der deutlich robustere Weg.

4 TOOLS UND VORLAGEN ZUR SCHNELLEN UMSETZUNG

Vieles lässt sich in wenigen Wochen umsetzen. Eine schlanke interne KI-Richtlinie mit klaren Dos und Don'ts schafft im Alltag mehr Orientierung als jedes lange Regelwerk. Ein einfaches KI-Register – als Tabelle mit System, Zweck, Anbieter, Rechtsgrundlage, Risikoklasse und Verantwortlicher – reicht als Ausgangspunkt völlig aus. Ergänzen Sie das um eine kompakte Kurzschulung zur KI-Kompetenz, deren Teilnahme sich dokumentieren lässt. Und prüfen Sie Ihre bestehenden Hinweise: Ansagetexte am Anrufbeantworter, KI-Transparenz-Hinweis auf der Webseite und auf Social Media, Chatbot-Einstiege, Fußzeilen in Rundschreiben – überall dort, wo KI im Spiel ist, gehört ein klarer Hinweis hin.

Mittelfristig lohnt es sich, KI- und Datenschutz-Folgenabschätzung in einem gemeinsamen Prozess zu bündeln, ein einfaches Lieferanten-Onboarding mit KI- und Datenschutz-Check zu etablieren und – gerade in Verbänden und kirchlichen Trägern – ein kleines „KI-Governance-Board“ aus Datenschutzbeauftragter:n, IT und Fachbereich zu bilden. Wer neue Anwendungen testen möchte, sollte außerdem die Angebote der Bundesnetzagentur im Blick behalten: den KI-Service Desk und die geplanten KI-Reallabore für die Erprobung neuer Systeme.

5 FAZIT UND NÄCHSTE SCHRITTE

Das KI-MIG bringt für KMU, Vereine, Verbände und kirchliche Träger vor allem eines: Klarheit darüber, wer in Deutschland für die KI-Aufsicht zuständig ist. Die eigentlichen Pflichten stehen weiterhin in der KI-Verordnung, und sie greifen eng mit DSGVO beziehungsweise KDG und KDG-DVO ineinander. Wer jetzt sein KI-Inventar aufsetzt, Kompetenz aufbaut und den Datenschutz mitdenkt, macht aus Regulierung einen Vertrauensvorsprung – gegenüber Mitgliedern, Kund:innen und Mitarbeitenden.

Der nächste Schritt ist überschaubar. Verschaffen Sie sich in einem strukturierten Audit einen Überblick über eingesetzte KI-Systeme, Rollen und Risikoklassen, und leiten Sie daraus einen priorisierten Maßnahmenplan ab.

Wo bei Ihnen genau angesetzt werden sollte, hängt davon ab, wo Sie stehen. Wenn Sie dabei Unterstützung brauchen, wir sind für Sie da. Zusammen mit unserem Partner AIM Beratung GmbH (der Sie u.a. bei der Einführung von KI Systemen unterstützen kann) haben wir für die drei typischen Ausgangslagen passgenaue Pakete entwickelt (ausführlich beschrieben unter datafreshup.de/ki-datenschutz)

KI Compliance Checkup – für Organisationen, die Klarheit schaffen wollen. Wir identifizieren Ihre geplanten und laufenden KI-Anwendungen, bewerten sie im Licht von DSGVO, KDG und EU AI Act und prüfen die Rechtsgrundlagen. In der Premium-Variante erhalten Sie zusätzlich ein KI-taugliches Verzeichnis der Verarbeitungstätigkeiten, eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO bzw. § 35 KDG sowie einen KI-Transparenzbericht nach EU AI Act.

Privacy START | KI Compliance – für Organisationen, die KI strategisch einführen wollen. Kombiniert unseren KI Compliance Checkup Premium mit der KI-Einführungsberatung unseres Partners AIM Beratung: Prozessanalyse, Auswahl passender KI-Systeme, Einsteiger-Workshops und ein zwölfwöchiges Anwendungscoaching. Für viele Vorhaben ist eine BAFA-Förderung möglich.

Privacy GO | KI Compliance – für Organisationen, die dauerhafte Begleitung brauchen. Wir übernehmen die Rolle als externe:r Datenschutzbeauftragte:r nach Art. 37 DSGVO bzw. § 38 KDG, AIM Beratung stellt die/den KI-Beauftragte:n. So haben Sie für beide Themen feste Ansprechpartner:innen – und ein Modul, das auch neu hinzukommende KI-Werkzeuge laufend mit abdeckt.

Für kleinere Organisationen und Soloselbständige gibt es zusätzlich zu unseren Paketen für Kleinstunternehmen Privacy KOMPAKT ein schlankes KI-Ergänzungsmodul: Privacy KOMPAKT | KI.

Wenn Sie nicht sicher sind, welches Paket zu Ihrer Situation passt, klären wir das gerne bei einem Erstgespräch: Unverbindlich und kostenfrei.

👉 Jetzt kostenloses Erstgespräch buchen oder eine Mail an info@datafreshup.de.