KI und Datenschutz: Zwischen Innovationsbremse und notwendigem Schutz

Das Thema des Datenschutzes stellt eine der größten Herausforderungen der digitalen Transformation dar – insbesondere im Zusammenhang mit dem Einsatz von Künstlicher Intelligenz. Denn während KI-Systeme große Datenmengen benötigen, um effektiv zu funktionieren, ist der Schutz personenbezogener Informationen ein zentrales Anliegen demokratischer Gesellschaften. Wie kann der Einsatz von KI also gelingen, ohne gegen Datenschutzgrundsätze zu verstoßen? Und wie lassen sich innovative Entwicklungen mit den Rechten und Bedürfnissen der Nutzer*innen in Einklang bringen? Es stellt sich zudem die grundsätzliche Frage: Worum geht es beim Datenschutz eigentlich genau – und ist es tatsächlich möglich, KI-Tools so zu gestalten und einzusetzen, dass sie sowohl nützlich als auch datenschutzkonform sind?

Zwischen technischer Innovation und Schutzbedürfnis

Im Zentrum des Spannungsfeldes zwischen technischer Innovation und dem Schutzbedürfnis der Nutzer*innen stehen zwei zentrale Interessen: Auf der einen Seite verfolgen Anbieter von KI-Diensten das Ziel, möglichst viele Daten zu erfassen, zu analysieren und weiterzuverarbeiten – sei es zur Optimierung bestehender Systeme, zur Entwicklung neuer Produkte oder zur wirtschaftlichen Verwertung, etwa durch Weitergabe an Dritte. Ohne diese umfassende Datenverarbeitung wäre ein Großteil der rasanten technologischen Fortschritte in den Bereichen maschinelles Lernen und Sprachverarbeitung kaum denkbar.

Auf der anderen Seite steht das berechtigte Bedürfnis von Nutzer*innen nach Schutz ihrer Privatsphäre, nach Transparenz und Kontrolle über die eigenen Daten. Besonders deutlich wird diese Diskrepanz, wenn vermeintlich kostenlose Apps und Dienste im Hintergrund personenbezogene Informationen sammeln – häufig ohne explizite Zustimmung oder verständliche Hinweise. Das erzeugt nicht nur ein Gefühl der Ohnmacht, sondern gefährdet auch das Vertrauen in digitale Technologien.

Gerade in sensiblen Bereichen wie Bildung, Gesundheit oder sozialer Arbeit ist daher besondere Sorgfalt geboten. Denn Datenschutz schützt nicht bloß Daten, sondern vor allem die Menschen hinter den Daten – ihre Würde, ihre Rechte, ihre Freiheiten. Ohne ausreichende Kontrollmechanismen kann es zu gravierenden Folgen kommen: Diskriminierung durch algorithmische Verzerrungen, politische Einflussnahme oder die Einschränkung persönlicher Entfaltungsmöglichkeiten. Ein aktuelles Beispiel unterstreicht diese Gefahr: Im Jahr 2025 wurde mehreren europäischen Bürger*innen die Einreise in die USA verweigert, weil sie sich in sozialen Medien kritisch gegenüber dem amerikanischen Präsidenten geäußert hatten. Solche Vorfälle zeigen eindrücklich, wie zentral der Schutz persönlicher Daten für demokratische Teilhabe und individuelle Freiheit ist.

Was zählt zu personenbezogenen Daten?

Neben offensichtlichen Angaben wie Namen oder Adressen gelten auch IP-Adressen, Standortdaten, Chatverläufe oder Stimmprofile als personenbezogen – insbesondere, wenn sie durch KI-gestützte Analyse miteinander verknüpft werden können. Auch scheinbar anonyme Daten können bei langfristiger Nutzung Rückschlüsse auf Einzelpersonen zulassen. Datenschutzrechtlich relevant ist jede Verarbeitung personenbezogener Daten – unabhängig davon, ob sie gespeichert, analysiert oder nur kurzfristig verarbeitet werden.

Dabei ist stets eine sorgfältige Abwägung erforderlich: Eine sogenannte Risikofolgenabschätzung hilft dabei, potenzielle Gefährdungen für die betroffenen Personen einzuschätzen und geeignete Schutzmaßnahmen zu treffen. So ist beispielsweise die Weitergabe einer IP-Adresse im regulären Arbeitsalltag oft unproblematisch – für politisch verfolgte Personen, etwa in totalitären Staaten oder unter repressiven Regimen, kann sie hingegen existenzbedrohende Konsequenzen haben. Datenschutz muss daher immer im Kontext möglicher Risiken gedacht werden.

Datenschutzrechtliche Grundlagen

Die Datenschutz-Grundverordnung (DSGVO) sowie ergänzende Datenschutzgesetze auf Landesebene und spezifische kirchliche Datenschutzgesetze – etwa das DSG-EKD – bilden den rechtlichen Rahmen. Die DSGVO richtet sich dabei nicht an Privatpersonen, sondern verpflichtet öffentliche Stellen, Unternehmen und sonstige Einrichtungen, die personenbezogene Daten verarbeiten, zur Einhaltung datenschutzrechtlicher Grundsätze. Diese parallelen Regelwerke führen jedoch in der Praxis häufig zu Unsicherheit und Verwirrung: Je nach Trägerschaft einer Einrichtung (staatlich, kommunal oder kirchlich) und je nach Bundesland können unterschiedliche Datenschutzvorgaben gelten. Hinzu kommt, dass die zuständigen Datenschutzbeauftragten diese Regelungen teils unterschiedlich auslegen. So kann es etwa passieren, dass ein bestimmtes KI-Tool in einem Bundesland oder bei einem bestimmten Träger eingesetzt werden darf, während es in einer anderen Einrichtung untersagt ist. In dieser komplexen Gemengelage fühlen sich viele Einrichtungen allein gelassen oder durch pauschale Verbote gehemmt. Dabei bietet die Rechtslage durchaus Spielräume – vorausgesetzt, es gibt ausreichende Kenntnisse, klare Strukturen und verantwortungsbewusste Entscheidungen.

Datenschutz ist möglich – mit klaren Prinzipien

Für jede Verarbeitung personenbezogener Daten muss eine gültige Rechtsgrundlage vorliegen. Diese kann sich unter anderem auf die Einwilligung der betroffenen Person (Art. 6 Abs. 1 lit. a DSGVO), die Erfüllung eines Vertrags (lit. b), rechtliche Verpflichtungen (lit. c), lebenswichtige Interessen (lit. d), die Wahrnehmung einer Aufgabe im öffentlichen Interesse (lit. e) oder berechtigte Interessen des Verantwortlichen (lit. f) stützen.

Umgekehrt gilt: Wenn keine personenbezogenen Daten verarbeitet werden, besteht in der Regel auch keine datenschutzrechtliche Relevanz. Dennoch ist eine sorgfältige Prüfung stets notwendig, da scheinbar neutrale Informationen durch KI-gestützte Analyse personenbezogen werden können. Ein Beispiel: Die Berufsbezeichnung „Bildungsreferent“ ist zunächst recht allgemein und anonym. Wird sie jedoch ergänzt zu „Referent für digitale Bildung der EKHN“, kann diese Information sehr schnell eine konkrete Person identifizierbar machen. Solche Kontexte müssen stets mitgedacht werden, um den Schutz personenbezogener Daten zu gewährleisten.

Datenschutzkonformer KI-Einsatz ist nicht nur möglich, sondern auch notwendig. Entscheidend sind transparente Prozesse, fundierte Entscheidungen und eine kritische Reflexion über Zweck, Umfang und Notwendigkeit der Datenverarbeitung. Bei der Nutzung eines KI-gestützten Textgenerators sollte daher vorab geprüft werden, ob personenbezogene Daten eingegeben werden müssen – etwa biografische Angaben von Teilnehmenden in einem Bildungsprojekt. Wird dies vermieden, entfällt oftmals die datenschutzrechtliche Relevanz.

Auch beim Hochladen von Dokumenten in cloudbasierte KI-Tools ist besondere Vorsicht geboten – etwa bei Anträgen, in denen Namen, Adressen oder Diagnosen enthalten sind. Hier sollten entweder anonymisierte Fassungen erstellt oder lokale Tools verwendet werden, bei denen keine Übertragung an Dritte erfolgt.

Hier einige bewährte Strategien:

Im praktischen Alltag gibt es eine Reihe von Strategien, mit denen der Einsatz von KI datenschutzfreundlich gestaltet werden kann. Sie helfen dabei, Risiken zu minimieren und gleichzeitig handlungsfähig zu bleiben:

• Anonymisierung und Pseudonymisierung: z. B. durch allgemeine Nutzerkennungen oder abstrahierte Inhalte
• Privacy by Design: Tools wählen, bei denen die Grundeinstellungen auf Datenschutz ausgerichtet sind wie https://duck.ai
• Lokal statt Cloud: lokale Tools wie LM Studio bevorzugen
• Transparenz schaffen: Datenverarbeitungen intern dokumentieren und Betroffen
• Richtlinien entwickeln: z. B. Checklisten oder Teamvereinbarungen für den KI-Einsatz
• Geeignete Anbieter wählen: europäische oder DSGVO-konforme Alternativen nutzen wie LeChat von Mistral
• Risiken regelmäßig neu bewerten und Prozesse bei Bedarf anpassen

Datenschutz braucht Kompetenz

Datenschutz ist weit mehr als eine technische oder juristische Herausforderung – er ist ein zentrales Element digitaler Bildungskompetenz. Pädagogische Fachkräfte, Entscheidungsträger*innen und Bildungseinrichtungen stehen in der Verantwortung, digitale Technologien nicht nur funktional, sondern auch rechtlich und ethisch fundiert einzusetzen. Dazu gehört die Fähigkeit, Risiken realistisch einzuschätzen sowie die rechtlichen Rahmenbedingungen – wie DSGVO, landes- oder kirchenspezifische Datenschutzgesetze – in die tägliche Praxis zu integrieren.

Gerade in der Bildungsarbeit, die auf Vertrauen, Teilhabe und Schutz sensibler Informationen angewiesen ist, darf Datenschutz nicht als hinderlich oder hemmend verstanden werden. Vielmehr sollte er als gestaltbares Element begriffen werden, das die digitale Souveränität stärkt und Innovation verantwortungsvoll begleitet.

Um das zu erreichen, braucht es zielgerichtete Fortbildungen, verständliche Handreichungen und Räume für kollegialen Austausch. Interdisziplinäre Kooperation – etwa zwischen Pädagogik, IT, Recht und Datenschutzbeauftragten – schafft dabei die notwendige Basis, um konkrete und tragfähige Lösungen zu entwickeln. So entsteht eine Kultur des Vertrauens und der digitalen Souveränität.