Ratgeber

Datenschutz und KI-Compliance für kleine Unternehmen und Einzelbetriebe

Die meisten Beispiele stammen aus Unternehmen mit eigener IT. Was sich davon auf einen Betrieb mit drei bis fünfzehn Personen übertragen lässt — und was nicht.

Einschätzung anfragen ↗Datenschutz und KI-Compliance

Angebot nach Anfrage3 bis 5 WochenStand 2026

Kurz gesagt

Für Betriebe mit drei bis fünfzehn Personen ist KI-Compliance oft wirkungsvoller als für große Unternehmen, weil dieselbe Person mehrere Rollen hat. Der Zuschnitt muss aber anders sein: kleiner Umfang, wenige bewegliche Teile, Pflege ohne Fachkenntnisse — keine Lösung, die auf Wachstum von fünfzig Mitarbeitenden ausgelegt ist.

01 — Betriebsgröße

Was das für kleine Betriebe heißt

Die meisten Beispiele im Netz stammen aus Unternehmen mit eigener IT-Abteilung. In einem Betrieb mit drei bis fünfzehn Personen gelten andere Regeln: Es gibt niemanden, der nebenbei ein System betreut, und jede Stunde Einführungsaufwand fehlt direkt im Tagesgeschäft.

Daraus folgt nicht, dass KI-Compliance für kleine Betriebe ungeeignet wäre — im Gegenteil, der Effekt ist dort oft größer, weil dieselbe Person mehrere Rollen hat. Es folgt daraus, dass der Zuschnitt anders sein muss: kleiner Umfang, wenige bewegliche Teile, Pflege ohne Fachkenntnisse.

Ein Einzelunternehmen braucht keine Lösung, die auf Wachstum von fünfzig Mitarbeitenden ausgelegt ist. Wer so etwas verkauft bekommt, zahlt für Komplexität, die nie zum Einsatz kommt.

02 — Passung

Wann es sich lohnt

Der betroffene Ablauf kommt mindestens wöchentlich vor.
Er folgt Regeln, die man aufschreiben kann — auch wenn es Ausnahmen gibt.
Er ist heute Handarbeit, die niemand gerne macht.
Es gibt eine Person, die entscheidet, und nicht drei, die sich abstimmen müssen.
Ihr könnt benennen, woran ihr merken würdet, dass es funktioniert hat.

03 — Rechnung

So rechnet man es aus

Vier Zahlen genügen: Wie oft kommt der Ablauf vor? Wie lange dauert er? Was kostet eine Stunde intern? Und was kostet die Lösung — einmalig plus Betrieb über drei Jahre?

Ein Beispiel: Ein Ablauf, der wöchentlich zweimal vorkommt und jeweils 40 Minuten dauert, bindet im Jahr rund 69 Stunden. Bei einem internen Stundensatz von 45 Euro sind das etwa 3.100 Euro jährlich, die dort gebunden sind. Senkt eine Lösung diesen Aufwand um zwei Drittel, amortisiert sie sich — abhängig vom tatsächlichen Angebot — oft innerhalb von ein bis zwei Jahren. Den genauen Wert für euren Fall nennen wir nach dem Erstgespräch.

Diese Rechnung ist bewusst konservativ: Sie berücksichtigt nur die eingesparte Zeit, nicht die vermiedenen Fehler und nicht die Aufträge, die durch schnellere Reaktion zustande kommen. In der Praxis liegt der Nutzen meist höher — aber man sollte nicht damit rechnen, bevor man es gemessen hat.

04 — Fragen

Häufige Fragen

Reicht eine mündliche Absprache im Team statt einer schriftlichen Richtlinie?

Nein, im Streitfall oder bei einer Prüfung zählt nur, was dokumentiert ist. Eine kurze schriftliche Richtlinie schützt außerdem neue Mitarbeitende, die die mündliche Absprache nie gehört haben.

Gilt das auch für Einzelunternehmen?

Ja. Der AI Act unterscheidet nicht nach Unternehmensgröße, sondern nach Einsatzzweck und Risiko. Wer einen Chatbot auf der Website hat, ist betroffen — unabhängig davon, ob eine oder hundert Personen im Betrieb arbeiten.

Dürfen wir Kundendaten in ChatGPT eingeben?

In der kostenlosen Variante ohne vertragliche Absicherung: nein. Mit einem Geschäftszugang, Auftragsverarbeitungsvertrag und ausgeschlossenem Training kann es zulässig sein — abhängig davon, um welche Daten es geht. Genau diese Unterscheidung gehört in die Nutzungsrichtlinie, weil sie im Alltag ständig relevant wird.

Wie oft muss die Bestandsaufnahme aktualisiert werden?

Immer, wenn ein neues Werkzeug eingeführt wird oder sich der Einsatzzweck eines bestehenden ändert. Eine jährliche Überprüfung als Mindestintervall ist sinnvoll, auch ohne konkreten Anlass.

Was verlangt der EU AI Act konkret von uns?

Für die meisten Betriebe geht es um zwei Dinge: Transparenz und Kompetenz. Transparenz heißt, dass Menschen erkennen müssen, wenn sie mit einem KI-System sprechen oder KI-generierte Inhalte sehen — das gilt seit August 2026. Kompetenz heißt, dass die Personen, die solche Systeme einsetzen, dafür ausreichend geschult sind. Beides ist dokumentierbar und mit überschaubarem Aufwand erfüllbar.

Was, wenn wir mehrere KI-Werkzeuge unterschiedlicher Anbieter nutzen?

Jedes Werkzeug wird einzeln bewertet — Anbieter, Datenverarbeitung und Risikoklasse unterscheiden sich. Die Nutzungsrichtlinie fasst die Ergebnisse zusammen, damit niemand jedes Werkzeug einzeln nachschlagen muss.

Brauchen wir eine Datenschutz-Folgenabschätzung?

Nicht generell. Sie wird nötig, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene bedeutet — etwa bei umfangreicher Profilbildung. Für einen FAQ-Chatbot auf der Website ist sie üblicherweise nicht erforderlich. Wir prüfen das im Einzelfall und halten das Ergebnis schriftlich fest.

05 — Entscheidung

Wie ihr weiterkommt

Der günstigste nächste Schritt ist ein Gespräch, kein Angebot. Zwanzig Minuten reichen meist, um zu klären, ob ein Vorhaben Sinn hat, in welchem Rahmen es liegt und ob wir die Richtigen dafür sind.

Falls nicht, sagen wir das. Ein ehrliches Nein kostet weniger als ein Projekt, das man nach drei Monaten abbricht — für beide Seiten.

99 — Weiter

Passende Seiten

Datenschutz und KI-Compliance nach Region

Nächster Schritt

Reden wir kurz darüber, ob sich das bei euch rechnet.

Ein Gespräch von zwanzig Minuten reicht meistens, um zu klären, ob ein Projekt Sinn hat. Wenn nicht, sagen wir das — das ist billiger für beide Seiten als ein Angebot, das niemand braucht.

Anfrage senden ↗ office@pipeline-solutions.at ODER +43 681 207 64 203