Dieser Beitrag wurde mit KI-Unterstützung erstellt, fachlich geprüft und redaktionell freigegeben.

AI GENERATED

Seit Anfang August sind die Transparenzregeln des AI Act in der EU anwendbar. Für viele kleine Unternehmen klingt das zunächst nach einer Frage für Entwicklerinnen und Entwickler. Praktisch beginnt die Arbeit aber oft viel früher: bei der Liste der KI-Tools, bei den Datenflüssen und bei der Datenschutzerklärung. Wer diese drei Dinge zusammenführt, schafft einen belastbaren Überblick – und verhindert, dass ein neuer Assistent auf der Website unsichtbar zum Datenschutzrisiko wird.

Das ist kein Aufruf, jede KI-Anwendung vorsorglich zu verbieten. Ein Textassistent, ein Übersetzungstool oder eine Bild-KI können sinnvoll sein. Entscheidend ist, welche Daten tatsächlich hineingehen, wofür sie verwendet werden und was Besucherinnen und Besucher auf der Website nachvollziehen können. Gerade österreichische KMU profitieren von einem schlanken Prozess, der Technik, Transparenz und redaktionelle Verantwortung trennt.

AI Act und DSGVO beantworten nicht dieselbe Frage

Der AI Act folgt einem risikobasierten Ansatz. Die Europäische Kommission nennt für bestimmte interaktive oder generative Systeme Transparenzanforderungen: Wer etwa mit einem Chatbot interagiert, soll erkennen können, dass er mit einer Maschine spricht. Für manche künstlich erzeugten Inhalte gelten zusätzliche Anforderungen. Die Transparenzregeln sind seit August 2026 anwendbar. Das ändert jedoch nicht die DSGVO-Pflichten, sobald personenbezogene Daten verarbeitet werden.

Die Datenschutzerklärung beantwortet deshalb andere, sehr konkrete Fragen: Wer ist verantwortlich? Welche Daten werden bei der Nutzung erhoben? Auf welcher Rechtsgrundlage geschieht das? Gibt es Empfänger oder Übermittlungen in Drittländer? Wie lange werden Daten gespeichert und welche Rechte haben Betroffene? Ein AI-Act-Hinweis kann Vertrauen schaffen, ersetzt diese Angaben aber nicht. Umgekehrt sagt eine vollständige Datenschutzerklärung noch nicht, ob ein KI-Chat für Menschen klar erkennbar ist.

Diese Trennung ist wichtig, weil sie ein typisches Missverständnis verhindert: Ein sichtbarer Satz wie „Dieser Chat nutzt KI“ beschreibt die Interaktion. Er dokumentiert keinen Datenfluss. Und eine Liste von Auftragsverarbeitern im Datenschutztext erklärt nicht automatisch, warum ein generiertes Bild oder ein Chatbot transparent gekennzeichnet wird.

Das Inventar vor dem Text: Welche KI berührt die Website wirklich?

Der zuverlässigste Startpunkt ist kein fertiger Mustertext, sondern eine kurze Inventur. Viele Teams kennen die großen Systeme, übersehen aber Funktionen, die in bestehende Dienste eingebaut wurden: eine automatische Textoptimierung im CMS, eine KI-gestützte Suche, ein Support-Widget, ein Formularassistent oder eine Bildanalyse im Shop. Das Inventar muss nicht kompliziert sein. Eine Tabellenzeile je Einsatz reicht zunächst.

  • Werkzeug und Anbieter: Produktname, Vertragskonto und verantwortliche Fachabteilung.
  • Zweck: etwa Kundenservice, Entwurf von Texten, Übersetzung, Bildbearbeitung oder Suche.
  • Eingaben: Welche Daten gelangen real hinein? Besonders wichtig sind Formularinhalte, Chatverläufe, Kundendaten und interne Dokumente.
  • Ausgaben: Erscheinen Ergebnisse nur intern oder direkt auf der Website?
  • Entscheidung vor Veröffentlichung: Wer prüft Inhalte fachlich, wer kann sie stoppen?
  • Webbezug: Ist der Dienst für Besucher sichtbar, eingebettet oder nur ein internes Werkzeug?

Ein Beispiel aus einem Handwerksbetrieb: Die Assistenz erstellt Entwürfe für Leistungsseiten aus stichwortartigen Angaben. Werden dort nur öffentlich geplante Informationen verwendet und prüft eine zuständige Person jeden Entwurf vor dem Go-live, ist die Lage anders als bei einem Chatfenster, in das Interessierte frei ihre Anfrage eingeben. Beim Chat müssen Datenfluss, Einbindung und Besucherinformation wesentlich genauer betrachtet werden.

Vier Prüfpfade für typische KI-Einsätze

Für die tägliche Arbeit hilft es, nicht alle KI-Werkzeuge über einen Kamm zu scheren. Die folgenden Pfade sind keine individuelle Rechtsberatung, sondern eine praktische Sortierung für die erste Prüfung.

1. KI schreibt nur interne Entwürfe

Ein Team verwendet ein Modell für Gliederungen, Übersetzungsvarianten oder Zusammenfassungen. Dann sollte zuerst geklärt werden, ob personenbezogene oder vertrauliche Informationen in Prompts landen. Für Inhalte, die später veröffentlicht werden, braucht es eine fachliche Prüfung: Quellen, Aussagen, Ton und Aktualität dürfen nicht nur formal abgehakt werden. Die externe Datenschutzerklärung muss den Dienst nicht zwingend als Website-Funktion darstellen, wenn Besucher ihn nicht nutzen. Die interne Datenverarbeitung bleibt dennoch ein Thema für Verträge, Zugriffsregeln und Dokumentation.

2. Ein KI-Chat ist auf der Website eingebunden

Dieser Fall ist sichtbarer und meist datenintensiver. Der Chat kann IP-Adressen, technische Protokolldaten und Gesprächsinhalte verarbeiten. Besucher sollten vor oder beim Start klar erkennen, dass sie mit einem automatisierten System kommunizieren. Zusätzlich muss die Datenschutzerklärung den konkreten Dienst und seine Verarbeitung nachvollziehbar beschreiben. Werden nicht notwendige Technologien geladen oder Daten an weitere Anbieter übertragen, kann auch eine Einwilligungsprüfung notwendig sein. Für diese Bestandsaufnahme ist der AdSimple Datenschutz Generator ein sinnvoller Ausgangspunkt: Er hilft, eingesetzte Dienste strukturiert zu erfassen, ersetzt aber keine Prüfung der tatsächlichen Konfiguration.

3. KI erzeugt Bilder für den Blog oder Shop

Bei Bildern stehen Herkunft, Kontext und Wirkung im Mittelpunkt. Ein generiertes Stimmungsbild darf nicht als authentische Aufnahme eines realen Ereignisses wirken, wenn es keines ist. Besonders sensibel sind scheinbare Behördenfotos, reale Personen, medizinische Situationen oder Nachrichtenereignisse. Ein sichtbares, kontextgerechtes Label kann Missverständnisse vermeiden. Daneben lohnt sich eine interne Bildakte: Prompt-Zweck, verwendetes System, Datum, Prüfergebnis, Alt-Text und Veröffentlichungsort. So bleibt die Entscheidung später nachvollziehbar, auch wenn Bildmetadaten bei Export oder Upload verloren gehen.

4. KI bewertet oder priorisiert Anfragen

Wenn ein Tool Leads sortiert, Bewerbungen vorselektiert oder Kundinnen und Kunden bewertet, reicht ein Textinventar nicht. Der Zweck und die Folgen für Menschen gehören genauer geprüft. Solche Systeme können je nach Einsatzbereich andere Anforderungen auslösen. Gerade bei automatisierten Entscheidungen sollte ein Unternehmen nicht mit allgemeinen Marketingbegriffen arbeiten, sondern früh fachlichen Rat einholen und einen wirksamen menschlichen Eingriff vorsehen.

Die Datenschutzerklärung wird erst durch den Datenfluss konkret

Ein häufiger Fehler ist, den Namen eines KI-Anbieters in eine lange Liste zu schreiben und damit die Aufgabe als erledigt zu betrachten. Hilfreich ist eine Beschreibung, die Besucher tatsächlich einordnen können. Sie sollte nur Aussagen enthalten, die zur konkreten Integration passen. Ein eingebetteter Chat ist etwas anderes als ein internes Schreibwerkzeug; eine Bild-KI ohne Besucherdaten ist etwas anderes als ein Assistent, der Formularfelder auswertet.

Vor einer Aktualisierung sollten Verantwortliche daher mindestens diese Fragen beantworten: Startet der Dienst schon beim Seitenaufruf oder erst nach einer Handlung? Welche Angaben können Nutzer eingeben? Werden Inhalte zur Modellverbesserung verwendet oder ausgeschlossen? Gibt es Unterauftragsverarbeiter oder Drittlandtransfers? Wie wird eine Anfrage gelöscht oder exportiert? Und welche Einstellung im Tool belegt die Antwort jeweils?

Wer diese Antworten als Belege neben dem Inventar ablegt, macht auch die laufende Pflege leichter. Bei einem Anbieterwechsel wird nicht der gesamte Datenschutztext neu erraten; die betroffene Zeile im Inventar wird geprüft, die Dokumentation aktualisiert und die Website-Fassung wird gezielt angepasst. Der Datenschutz Generator von AdSimple kann dabei helfen, passende Bausteine konsistent zu pflegen und Änderungen nicht zwischen mehreren Dokumenten zu verlieren.

So wird aus dem Inventar eine überprüfbare Routine

Eine gute Liste liegt nicht nur in einem Ordner, den niemand mehr öffnet. Verknüpfen Sie jede Zeile mit einem kleinen Nachweis: dem Link zur Anbieter-Dokumentation, einem Screenshot der relevanten Einstellung, dem Datum der Prüfung und der Person, die sie vorgenommen hat. Das schafft keine neue Bürokratie um ihrer selbst willen. Es beantwortet bei einer Änderung die entscheidende Rückfrage: Worauf beruhte die Information im Datenschutztext?

Praktisch bewährt sich ein dreistufiges Freigabemuster. Zuerst beschreibt der Fachbereich den gewünschten Nutzen. Danach prüft die zuständige Person Datenarten, Anbieterrolle und technische Einbindung. Erst dann testet die Website-Verantwortung den tatsächlichen Seitenaufruf: Wird das Widget wirklich erst zum vorgesehenen Zeitpunkt geladen? Erscheint der Hinweis am richtigen Ort? Führt ein Ablehnen der Einwilligung zu einem anderen Verhalten als ein Akzeptieren? Dieser Test gehört zum konkreten Release, nicht nur in eine allgemeine Richtlinie.

Auch die Lösch- und Supportwege verdienen einen Blick. Wenn Interessierte über einen KI-Chat Auskunft verlangen oder eine Löschung anfragen, muss das Team wissen, welcher Anbieter beteiligt ist und wo Gesprächsinhalte gespeichert sind. Die Antwort muss nicht in jedem Fall ein kompliziertes Portal sein. Entscheidend ist ein realer Prozess statt einer Formulierung, die niemand ausführen kann.

Bei externen Agenturen sollte zusätzlich klar sein, wer die Entscheidung über neue Einbindungen trifft. Ein Script-Snippet im Tag Manager, ein Plugin-Update oder eine aktivierte Beta-Funktion kann die Datenverarbeitung verändern, ohne dass sich der sichtbare Seitentext sofort ändert. Ein kurzer Change-Log-Eintrag mit Datum, Verantwortlichkeit und Link zur angepassten Inventarzeile verhindert, dass diese Änderungen im Tagesgeschäft verschwinden.

Typische Fehler – und die bessere Alternative

Fehler: Der Anbietername genügt. Besser ist eine Beschreibung des wirklichen Website-Einsatzes. Besucher müssen nicht den internen Beschaffungsprozess kennen, aber sie sollen verstehen können, wann und wofür ihre Daten an einen Dienst fließen.

Fehler: Der Hinweis steht nur in der Datenschutzerklärung. Besser ist ein klarer Hinweis direkt an einem KI-Chat oder einer vergleichbaren Interaktion. So können Menschen entscheiden, bevor sie Inhalte eingeben.

Fehler: Redaktionelle Freigabe bedeutet Rechtschreibkontrolle. Besser ist eine fachliche Prüfung von Quellen, Tatsachenbehauptungen und Kontext mit einer Person, die die Veröffentlichung tatsächlich anhalten kann.

Fehler: Das Inventar wird erst nach einem Vorfall aktualisiert. Besser ist eine feste Prüfung bei jeder neuen Integration und bei jedem Anbieterwechsel. Das macht den Datenschutztext zu einem Ergebnis der realen Konfiguration – nicht zu einem nachträglichen Wunschbild.

Ein schlanker Ablauf für österreichische KMU

  1. Neuen Einsatz vorab anmelden: Kein KI-Widget geht direkt live. Fachbereich und Website-Verantwortliche erfassen Zweck, Anbieter und Datenarten.
  2. Daten minimieren: Prompts und Chatfelder erhalten nur Informationen, die für die Aufgabe wirklich nötig sind. Besonders sensible Daten gehören nicht in ungeprüfte Standardprompts.
  3. Vertrags- und Einstellungscheck: Prüfen Sie Auftragsverarbeitung, Speicherfristen, Trainingseinstellungen, Zugriff und Übermittlungsorte anhand aktueller Anbieterunterlagen.
  4. Transparenz am Nutzungspunkt: Ein KI-Chat wird nicht im Footer versteckt. Der Hinweis steht dort, wo die Interaktion beginnt. Bei generierten Medien wird der Kontext bewusst geprüft.
  5. Datenschutztext und Consent abgleichen: Beschreiben Sie nur die tatsächlich aktivierte Verarbeitung. Prüfen Sie, ob der Dienst erst nach einer Einwilligung geladen werden muss und testen Sie die Einstellung technisch.
  6. Redaktionelle Freigabe dokumentieren: Für veröffentlichte Inhalte braucht es eine verantwortliche Person, Quellenprüfung und die Möglichkeit zum Stopp vor dem Go-live.
  7. Regelmäßig nachziehen: Quartalsweise sowie bei Anbieter-, Modell- oder Integrationswechseln wird das Inventar erneut abgeglichen.

Dieser Ablauf ist absichtlich pragmatisch. Er ersetzt keine spezialisierte Prüfung in Risikofällen, aber er sorgt dafür, dass Website, Vertrag, Datenschutzerklärung und Alltag nicht in verschiedene Richtungen laufen.

Was Marketing und Datenschutz voneinander brauchen

Marketingteams möchten neue KI-Funktionen schnell testen. Datenschutzverantwortliche müssen Auswirkungen nachvollziehen können. Beides funktioniert besser, wenn die Freigabe nicht erst am Ende eines Launches kommt. Eine kurze Produkt- oder Kampagnenbeschreibung mit Datenarten, Zielgruppe und sichtbarer Nutzerinteraktion genügt meist, um die richtige Prüftiefe festzulegen.

Für Website-Betreiber ist das auch eine Qualitätsfrage. Wer klar sagt, wann ein Assistent antwortet, wann ein Mensch übernimmt und wie Daten verarbeitet werden, gibt Interessierten eine informierte Wahl. Das stärkt gerade bei Dienstleistungen, Beratung und komplexen Angeboten die Glaubwürdigkeit – unabhängig davon, ob eine einzelne AI-Act-Pflicht im konkreten Fall greift.

Fazit: Erst verstehen, dann beschreiben

KI-Transparenz und Datenschutzerklärung sind keine konkurrierenden Pflichttexte. Der AI Act schaut darauf, wann die künstliche Natur einer Interaktion oder eines Inhalts sichtbar werden muss. Die DSGVO fragt nach Verarbeitung, Verantwortung und Rechten. Ein gutes KI-Inventar verbindet beides mit der Realität der Website.

Starten Sie bei jeder neuen KI-Funktion mit Zweck, Datenfluss und Freigabepunkt. Danach lässt sich entscheiden, welche Information am Interface nötig ist, was in die Datenschutzerklärung gehört und welche technischen Einstellungen dokumentiert werden müssen. So bleibt KI im Unternehmensalltag nutzbar, ohne dass Transparenz erst nach einem Problem nachgerüstet wird.

Quellen und weiterführende Informationen