PIPELINERatgeber
Datenschutz und KI-Compliance: laufende Kosten und Betrieb
Der Projektpreis ist nur ein Teil der Rechnung. Was nach dem Livegang tatsächlich an Aufwand und Kosten anfällt — und welcher Posten dabei am häufigsten vergessen wird.
Nach dem Livegang fallen bei Datenschutz und KI-Compliance üblicherweise wenige Stunden Pflege im Quartal an, dazu Hosting, Lizenzen und nutzungsabhängige Gebühren Dritter. Der am häufigsten vergessene Posten ist nicht das Geld, sondern die Zuständigkeit: Systeme veralten, weil niemand benannt ist, nicht weil die Pflege aufwendig wäre.
01 — Betrieb
Was der laufende Betrieb bedeutet
Nach dem Einschwingen ist der Aufwand gering, aber nicht null. Bei Datenschutz und KI-Compliance sind das üblicherweise wenige Stunden im Quartal: Ergänzungen, wenn sich etwas im Angebot ändert, ein Blick in die Verläufe, gelegentliche Korrekturen.
Wichtiger als der Umfang ist die Zuständigkeit. Systeme veralten nicht, weil die Pflege aufwendig wäre, sondern weil niemand benannt ist. Eine Person mit einem wiederkehrenden Termin im Kalender löst dieses Problem vollständig.
Was zusätzlich laufend anfällt, hängt vom Aufbau ab — Hosting, Lizenzen und nutzungsabhängige Gebühren Dritter gehören in dieselbe Rechnung wie die Einrichtung. Wir weisen das im Angebot getrennt aus, statt es im Projektpreis zu verstecken.
02 — Faktoren
Was den Preis treibt
- Umfang und Zahl der Anbindungen. Jedes zusätzliche System, das mitspielen muss, kostet Aufwand — unabhängig davon, wie einfach der Kern ist.
- Zustand eurer Ausgangslage. Saubere Daten, vorhandene Inhalte und dokumentierte Abläufe senken den Aufwand erheblich. Chaos ist der teuerste Kostenfaktor.
- Wie viel Neues entstehen muss. Was ihr beisteuern könnt, muss niemand erfinden. Das ist der größte Hebel, den ihr selbst in der Hand habt.
- Anspruch an Gestaltung und Individualität. Ein solides Standardsystem kostet einen Bruchteil einer maßgeschneiderten Lösung — und reicht häufiger, als Anbieter zugeben.
- Betriebsmodell. Einmalige Projektkosten oder laufende Betreuung: Über drei Jahre gerechnet ergibt das oft ein anderes Bild als der Angebotsvergleich.
03 — Vertrag
Was schriftlich geklärt gehört
- Eigentum an Daten und Zugängen. Sie gehören dem Auftraggeber. Wenn ein Anbieter das nicht klar bestätigt, ist das die wichtigste Information des Gesprächs.
- Herausgabe bei Beendigung. In welchem Format, in welcher Frist, zu welchen Kosten.
- Keine Mindestlaufzeit ohne Gegenleistung. Bindung ist vertretbar, wenn dafür etwas geliefert wird — sonst nicht.
- Was eine spätere Änderung kostet. Nicht der Projektpreis entscheidet über die Gesamtkosten, sondern der Stundensatz für das dritte Jahr.
- Dokumentation als Liefergegenstand. Nicht als Zusage, sondern als Position im Angebot.
04 — Fragen
Häufige Fragen
Gilt das auch für Einzelunternehmen?
Ja. Der AI Act unterscheidet nicht nach Unternehmensgröße, sondern nach Einsatzzweck und Risiko. Wer einen Chatbot auf der Website hat, ist betroffen — unabhängig davon, ob eine oder hundert Personen im Betrieb arbeiten.
Reicht eine mündliche Absprache im Team statt einer schriftlichen Richtlinie?
Nein, im Streitfall oder bei einer Prüfung zählt nur, was dokumentiert ist. Eine kurze schriftliche Richtlinie schützt außerdem neue Mitarbeitende, die die mündliche Absprache nie gehört haben.
Müssen KI-generierte Texte gekennzeichnet werden?
Bei Inhalten, die veröffentlicht werden und synthetisch erzeugt oder wesentlich verändert wurden, ja. Rein interne Nutzung — Recherche, Entwürfe, Zusammenfassungen — löst diese Pflicht in der Regel nicht aus.
Was, wenn wir mehrere KI-Werkzeuge unterschiedlicher Anbieter nutzen?
Jedes Werkzeug wird einzeln bewertet — Anbieter, Datenverarbeitung und Risikoklasse unterscheiden sich. Die Nutzungsrichtlinie fasst die Ergebnisse zusammen, damit niemand jedes Werkzeug einzeln nachschlagen muss.
Dürfen wir Kundendaten in ChatGPT eingeben?
In der kostenlosen Variante ohne vertragliche Absicherung: nein. Mit einem Geschäftszugang, Auftragsverarbeitungsvertrag und ausgeschlossenem Training kann es zulässig sein — abhängig davon, um welche Daten es geht. Genau diese Unterscheidung gehört in die Nutzungsrichtlinie, weil sie im Alltag ständig relevant wird.
Brauchen wir eine Datenschutz-Folgenabschätzung?
Nicht generell. Sie wird nötig, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene bedeutet — etwa bei umfangreicher Profilbildung. Für einen FAQ-Chatbot auf der Website ist sie üblicherweise nicht erforderlich. Wir prüfen das im Einzelfall und halten das Ergebnis schriftlich fest.
Wie oft muss die Bestandsaufnahme aktualisiert werden?
Immer, wenn ein neues Werkzeug eingeführt wird oder sich der Einsatzzweck eines bestehenden ändert. Eine jährliche Überprüfung als Mindestintervall ist sinnvoll, auch ohne konkreten Anlass.
99 — Weiter
Passende Seiten
- Datenschutz und KI-Compliance — Übersicht
- Datenschutz und KI-Compliance — Dauer
- Datenschutz und KI-Compliance — Praxisbeispiele
- Datenschutz und KI-Compliance — Wirtschaftlichkeit
- Datenschutz und KI-Compliance — Anbietervergleich
- Datenschutz und KI-Compliance — Vor- und Nachteile
- Datenschutz und KI-Compliance — Förderung
- Datenschutz und KI-Compliance — Alternativen
- KI-Beratung
- KI-Schulung
- KI-Chatbot
- Alle Ratgeber
Datenschutz und KI-Compliance nach Region
Nächster Schritt
Erste Einschätzung, ohne Verpflichtung.
Beschreibt kurz, worum es geht. Ihr bekommt eine ehrliche Antwort dazu, was realistisch ist und was es ungefähr kostet.