Während sich Schlagzeilen auf die EU-KI-Verordnung und ihre gestaffelten Fristen 2026–2027 konzentrieren, spielt sich eine leisere Geschichte ab: Europäische Datenschutzbehörden warten nicht. Sie nutzen ein Gesetz, das seit 2018 vollständig durchsetzbar ist — die DSGVO —, um genau die Art von KI-Fehlern zu bestrafen, die kleinen und mittleren Unternehmen ebenso leicht passieren könnten.
Drei aktuelle Fälle zeigen, wie dieser Vollzug in der Praxis tatsächlich aussieht — und keiner davon hätte die KI-Verordnung gebraucht.
Clearview AI — 30,5 Millionen € für das Sammeln von Gesichtern ohne zu fragen
Im September 2024 verhängte die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) gegen das US-Gesichtserkennungsunternehmen Clearview AI ein Bußgeld von 30,5 Millionen € — mit der Androhung weiterer 5,1 Millionen €, falls das Unternehmen nicht aufhört. Clearview hatte sein Geschäft darauf aufgebaut, Milliarden Fotos aus dem offenen Web zu sammeln und daraus biometrische „Gesichtsabdrücke" zu machen, die an Strafverfolgungsbehörden und andere Kunden verkauft wurden.
Die niederländische Behörde akzeptierte Clearviews Verteidigung nicht, wonach das Unternehmen nur Kunden außerhalb der EU bediene. Sie stellte fest, dass das Unternehmen biometrische Daten europäischer Einwohner in „massivem Umfang" verarbeitet hatte — ohne Rechtsgrundlage, ohne die Betroffenen zu informieren, dass ihre Fotos gesammelt wurden, und ohne eine Möglichkeit für sie, zu widersprechen oder Löschung zu verlangen.
Die Lehre daraus betrifft eigentlich nicht speziell die Gesichtserkennung — es geht um die zugrunde liegende Annahme, die Clearview traf: dass öffentlich sichtbare Daten im Internet zum Sammeln und Weiterverwenden freigegeben sind. Die DSGVO hat dieser Annahme nie zugestimmt, und Behörden testen KI-Unternehmen inzwischen aktiv genau daran.
Ein deutsches Fintech — 492.000 € dafür, den Algorithmus allein entscheiden zu lassen
2025 verhängte die Hamburger Datenschutzbehörde (HmbBfDI) gegen einen Finanzdienstleister ein Bußgeld von 492.000 €, nachdem dessen automatisiertes System Kreditkartenanträge abgelehnt hatte — auch von Antragstellern mit nachweislich guter Bonität — ganz ohne menschliche Prüfung. Als abgelehnte Kunden nach dem Grund fragten, konnte das Unternehmen ihnen keine aussagekräftige Erklärung geben.
Diese Kombination löste zwei getrennte DSGVO-Verstöße aus: einen Verstoß gegen Art. 22, der Menschen das Recht gibt, keiner ausschließlich automatisierten Entscheidung mit erheblicher Wirkung auf sie unterworfen zu werden, und einen Verstoß gegen Art. 13–15, die Unternehmen verpflichten, real zu erklären, wie eine automatisierte Entscheidung zustande kam. Bemerkenswert: Das Bußgeld hätte höher ausfallen können — die Hamburger Behörde senkte es ausdrücklich, weil das Unternehmen kooperierte und den Prozess nach der Beanstandung korrigierte.
Die Lehre für jedes Unternehmen, das KI zum Prüfen, Bewerten oder Filtern von Kunden einsetzt — Bonitätsprüfungen, Bewerber, Versicherungsangebote, sogar automatische Betrugsmarkierungen —, lautet: „Der Algorithmus hat entschieden" ist kein rechtlicher Schutzschild. Wenn die Entscheidung eine reale Wirkung auf jemanden hat, muss ein Mensch eingreifen können, und das Unternehmen muss das Warum erklären können.
Replika — 5 Millionen € für das Überspringen der Grundlagen
Im April 2025 verhängte die italienische Datenschutzbehörde Garante gegen Luka Inc., den Hersteller der KI-Begleiter-App Replika, ein Bußgeld von 5 Millionen €. Die Kernprobleme waren unspektakulär: Das Unternehmen konnte keine gültige Rechtsgrundlage für die Verarbeitung der Nutzerdaten nachweisen, seine Datenschutzhinweise erklärten nicht klar, was mit diesen Daten geschah, und — obwohl Minderjährige formal von der App ausgeschlossen waren — gab es keinen echten Mechanismus, um das Alter von irgendjemandem zu überprüfen.
Dieser Fall ist eine nützliche Erinnerung daran, dass es beim DSGVO-Vollzug gegen KI-Produkte meist nicht um exotische algorithmische Schäden geht. Es geht um dieselben Grundlagen, die für jede Website oder App gelten: die eigene Rechtsgrundlage kennen, Datenschutzhinweise schreiben, die Menschen tatsächlich verstehen können, und keine Altersbeschränkungen behaupten, die man gar nicht durchsetzen kann.
Was diese drei Fälle gemeinsam haben
Unterschiedliche Länder, unterschiedliche Branchen, unterschiedliche Technologien — aber das Muster ist immer gleich:
- Keines dieser Bußgelder brauchte die KI-Verordnung. Alle drei stützten sich vollständig auf DSGVO-Pflichten, die seit 2018 gelten: eine gültige Rechtsgrundlage für die Verarbeitung (Art. 5–6), echte Transparenz (Art. 12–15), das Recht auf menschliche Überprüfung automatisierter Entscheidungen (Art. 22) und Datenschutz durch Technikgestaltung (Art. 25). Behörden richten bestehendes Recht einfach auf neue Produkte.
- Die Versäumnisse waren grundlegend, nicht exotisch. Niemand wurde bestraft, weil ein hochentwickeltes Modell unvorhersehbar versagte. Sie wurden bestraft, weil sie grundlegende Schritte übersprungen haben: keine Rechtsgrundlage, kein klarer Hinweis, kein menschlicher Rückhalt, keine funktionierende Alterskontrolle.
- Kooperation zählte. Das reduzierte Hamburger Bußgeld ist ein kleines, aber vielsagendes Detail — Behörden reagieren anders auf Unternehmen, die Probleme schnell beheben, als auf solche, die sich sperren.
GDPRChat ist ein KI-Kundenchat-Widget mit Einwilligungs-Gates nach Art. 7 und automatischer Datenlöschung — Compliance ist in die Architektur eingebaut, nicht nachträglich angeflanscht, sobald eine Behörde nachfragt.
Was das für kleinere Unternehmen bedeutet
Es ist verlockend, diese Fälle als „Big-Tech"-Geschichten zu lesen — Clearview, eine deutsche Bank, ein Chatbot-Hersteller aus dem Silicon Valley. Doch die Pflichten, über die sie gestolpert sind, gelten unabhängig von der Unternehmensgröße. Wenn Ihr Unternehmen einen KI-Chatbot, ein Bewertungstool, eine Empfehlungs-Engine oder irgendetwas nutzt, das Kundendaten verarbeitet, gelten dieselben Fragen auch für Sie:
- Haben Sie eine dokumentierte Rechtsgrundlage dafür, was die KI mit Kundendaten macht?
- Können Sie in klarer Sprache erklären, was mit diesen Daten geschieht und wie lange?
- Gibt es, wenn die KI eine Entscheidung mit Auswirkung auf einen Kunden trifft, einen echten Menschen, der sie überprüfen kann?
- Wenn Ihr Produkt nicht für Minderjährige gedacht ist — haben Sie tatsächlich eine Möglichkeit, das zu prüfen, oder nur ein Häkchen zum Ankreuzen?
Der DSGVO-Vollzug gegen KI wartet nicht darauf, dass neue Gesetzgebung aufholt. Er ist bereits da, und er stellt bereits Rechnungen aus. Compliance von Anfang an einzubauen — statt sie nachträglich nachzurüsten, nachdem eine Behörde Fragen stellt — ist deutlich günstiger als die Alternative.
Kostenlose Beratung mit GDPRGard buchen →
Quellen
- Niederländische Datenschutzbehörde — Bußgeld gegen Clearview wegen illegaler Datenerhebung zur Gesichtserkennung
- Clyde & Co — Lehren aus dem Hamburger Bußgeld von 492.000 €
- EDSA — italienische Aufsichtsbehörde bestraft Hersteller des Chatbots Replika
- Financier Worldwide — DSGVO-Vollzug: Wie EU-Behörden KI-Governance prägen
Auch lesenswert:
- Die KI-Verordnung gilt jetzt für Hochrisiko-Systeme — jetzt haben Sie zwei Aufsichtsbehörden
- Warum jedes SaaS-Unternehmen vor KI-Funktionen eine DSFA braucht
- KI ist 2026 das größte DSGVO-Compliance-Risiko