Rollenvergleich · DSGVO + EU AI Act

KI-Beauftragter vs.
Datenschutzbeauftragter

Zwei Compliance-Rollen, zwei Rechtsgrundlagen, erhebliche Schnittmengen. Wann ist welche Rolle Pflicht, wie grenzen sie sich ab und kann eine Person beide übernehmen?

Die kurze Antwort

Datenschutzbeauftragter (DSB) und KI-Beauftragter sind zwei unterschiedliche Rollen mit unterschiedlichen Rechtsgrundlagen (DSGVO vs. EU AI Act), unterschiedlichen Aufgabenschwerpunkten und eigenen Pflichten. Schnittmengen gibt es vor allem, wenn KI-Systeme personenbezogene Daten verarbeiten. Die Rollen können in einer Person vereint werden, wenn die Qualifikation beides abdeckt — in der Praxis ist eine klare fachliche Trennung der Regelfall.

Warum die Abgrenzung wichtig ist

Seit der DSGVO 2018 ist der externe Datenschutzbeauftragte bei vielen mittelständischen Unternehmen eine etablierte Funktion. Mit dem EU AI Act kommt ab 2025/2026 eine neue Compliance-Rolle hinzu. Die Versuchung ist groß, die KI-Compliance einfach „dem DSB mitzugeben". Das funktioniert in manchen Konstellationen — in vielen aber nicht, weil EU AI Act fachlich anders gelagert ist als DSGVO. Wer die Abgrenzung nicht versteht, produziert Compliance-Lücken, die im Audit auffallen.

Dieser Vergleich zeigt zehn Dimensionen im direkten Gegenüber — von der Rechtsgrundlage über die zentralen Aufgaben bis zu Bußgeldern. Danach folgt eine ehrliche Bewertung, wann eine Personalunion sinnvoll ist und wann nicht.

10 Dimensionen im Vergleich

DSB vs. KI-Beauftragter im Detail

Dimension Datenschutzbeauftragter (DSB) KI-Beauftragter
Rechtsgrundlage DSGVO Art. 37–39, BDSG §38 EU AI Act (Verordnung 2024/1689) Art. 4, 9, 17, 26
Gesetzlich vorgeschrieben Ja, wenn Art. 37 DSGVO greift (>20 AN mit automatisierter Verarbeitung, Kerntätigkeit etc.) Rolle nicht explizit, aber organisatorische Pflicht zur Umsetzung des AI Act
Primäres Schutzgut Personenbezogene Daten, Betroffenenrechte KI-Risiken: Sicherheit, Grundrechte, Transparenz, Dokumentation
Zentrale Aufgaben Verarbeitungsverzeichnis, DSFA, Auskunftsrechte, Meldung von Datenpannen KI-Register, Risikoklassifizierung, technische Dokumentation, Art. 4 Schulungen, Monitoring
Folgenabschätzung DSFA nach Art. 35 DSGVO (für Hochrisiko-Verarbeitung personenbezogener Daten) KI-Folgenabschätzung nach Art. 27 AI Act (für Hochrisiko-KI-Systeme)
Zentrales Register Verarbeitungsverzeichnis nach Art. 30 DSGVO KI-Register nach Anhang IV AI Act (für Hochrisiko-Systeme vorgeschrieben)
Schulungspflicht Faktisch Pflicht, nicht explizit gesetzlich Explizite Pflicht nach Art. 4 AI Act (seit 2.2.2025)
Aufsichtsbehörde Landesdatenschutzbeauftragte (in Deutschland 17 zuständige Behörden) Marktüberwachungsbehörden (in Deutschland im Aufbau; die Bundesnetzagentur koordiniert die nationale Umsetzung)
Bußgelder Bis 20 Mio. € oder 4 % Jahresumsatz Bis 35 Mio. € oder 7 % Jahresumsatz (für verbotene Praktiken); bis 15 Mio. € oder 3 % (sonstige Verstöße)
Extern möglich? Ja, etabliert seit Jahren Ja, analog zum externen DSB

Drei Kombinationsmodelle — und wann sie funktionieren

Modell 1: Eine Person, beide Rollen

Funktioniert bei kleineren Unternehmen (bis 50 Mitarbeiter) mit überschaubarer KI-Landschaft, wenn die Person nachweisbar in beiden Disziplinen qualifiziert ist. Die Einsparung ist erheblich (ein Ansprechpartner, ein Vertrag, koordinierte Prozesse). Der Nachteil: bei Hochrisiko-KI reicht die Zeit oft nicht für beide Themenfelder gleichzeitig.

Modell 2: Zwei Personen aus demselben Team (empfohlen für Mittelstand)

Das gängige Modell bei DATUREX-Mandaten: Ein DSB und ein KI-Beauftragter aus unserem Team, jeweils spezialisiert, aber in enger Abstimmung. Vorteile: fachliche Tiefe in beiden Gebieten, gemeinsame Prozesse für Schnittmengen (z.B. Folgenabschätzungen), koordinierte Mandantenkommunikation. Preis: typischerweise 400–700 € pro Monat kombiniert — gegenüber zwei getrennten Vollzeitstellen über 95 % Ersparnis.

Modell 3: Zwei separate Anbieter

Bei manchen Konzernen gewünscht, wenn der bestehende externe DSB bereits fest etabliert ist und die KI-Compliance zusätzlich aufgebaut wird. Funktioniert, erfordert aber klare Abgrenzung und gemeinsame Prozesse bei Schnittmengen-Themen wie Bewerberscreening-KI oder Scoring-Systemen. Typische Doppelkosten gegenüber Modell 2 sind 20–40 %.

Die wichtigsten Schnittmengen

An vier Stellen überlappen DSGVO und EU AI Act so stark, dass eine koordinierte Bearbeitung durch DSB und KI-Beauftragten zwingend ist:

  • Bewerberscreening-KI: Art. 22 DSGVO (automatisierte Entscheidung) plus Anhang III Nr. 4 AI Act (Hochrisiko: Beschäftigung). Beide Beauftragten müssen gemeinsam die Folgenabschätzung tragen.
  • Kredit-Scoring: Art. 22 DSGVO plus Anhang III Nr. 5 AI Act (Hochrisiko: Kreditwürdigkeitsbewertung). Doppelte Pflicht zu Transparenz, Widerspruch und Dokumentation.
  • Generative KI mit Kundendaten: DSGVO (Auftragsverarbeitung, Drittland-Transfer) plus AI Act (Art. 50 Transparenzpflicht). Gemeinsamer Auftragsverarbeitungsvertrag plus technische Dokumentation erforderlich.
  • Mitarbeiter-Monitoring-KI: DSGVO plus Anhang III Nr. 4 AI Act plus BetrVG §87 (Mitbestimmung). Hier sitzt am Tisch oft auch der Betriebsrat.

Wer diese Schnittmengen ignoriert und nur eine der beiden Rollen bearbeitet, produziert unweigerlich Compliance-Lücken. Die Abstimmung zwischen DSB und KI-Beauftragtem sollte daher nicht informell stattfinden, sondern in einem strukturierten Prozess (z.B. quartalsweise Schnittstellen-Review).

Häufige Fragen

Fragen zur Rollen-Abgrenzung

Was ist der Unterschied zwischen Datenschutzbeauftragtem und KI-Beauftragtem? +
Der Datenschutzbeauftragte (DSB) überwacht die Einhaltung der DSGVO — er ist zuständig für personenbezogene Daten, Verarbeitungsverzeichnisse, Betroffenenrechte und Datenschutz-Folgenabschätzungen. Der KI-Beauftragte verantwortet die KI-Compliance nach EU AI Act — also Risikoklassifizierung, technische Dokumentation, Schulungspflicht nach Art. 4 und Monitoring von KI-Systemen. Beide Rollen haben Schnittmengen, aber unterschiedliche Rechtsgrundlagen, unterschiedliche Prüfungslogik und oft unterschiedliche fachliche Tiefe.
Kann eine Person beide Rollen gleichzeitig übernehmen? +
Rechtlich zulässig, praktisch nur sinnvoll, wenn die Person in beiden Disziplinen nachweisbar qualifiziert ist und ausreichend Zeit hat. DSGVO-Wissen allein reicht nicht für KI-Compliance — EU AI Act erfordert technisches Verständnis für Modellbewertung, Anhang-IV-Dokumentation und Konformitätsbewertung. Bei DATUREX liegen beide Rollen oft im selben Team, werden aber fachlich klar getrennt und mit unterschiedlichen Ansprechpartnern besetzt.
Ist der KI-Beauftragte gesetzlich vorgeschrieben? +
Der EU AI Act schreibt die konkrete Rolle „KI-Beauftragter" nicht vor — er fordert aber organisatorische Maßnahmen zur Einhaltung von Art. 4 (Kompetenzpflicht), Art. 9 (Risikomanagement), Art. 17 (Qualitätsmanagement) und weiteren Pflichten. In der Praxis ist eine benannte verantwortliche Person oder Firma der einzige tragfähige Weg zur Compliance. Der DSB dagegen ist unter bestimmten Voraussetzungen (Art. 37 DSGVO) direkt gesetzlich vorgeschrieben.
Welche Schnittmengen gibt es zwischen DSGVO und EU AI Act? +
Viele KI-Systeme verarbeiten personenbezogene Daten — damit greifen beide Regelwerke gleichzeitig. Konkret: Bei der KI-Inventarisierung muss auch das Verarbeitungsverzeichnis (Art. 30 DSGVO) aktualisiert werden. Bei Hochrisiko-KI mit Personenbezug sind sowohl eine KI-Folgenabschätzung (Art. 27 EU AI Act) als auch eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) erforderlich. Beim Bewerberscreening oder Scoring greifen zusätzlich Art. 22 DSGVO (automatisierte Entscheidungen) und Anhang III EU AI Act.
Wer haftet bei KI-Fehlern — DSB oder KI-Beauftragter? +
Die Haftung trifft zuerst das Unternehmen (Anbieter/Betreiber). Intern kann die Rolle je nach Vorfall sowohl den DSB (bei Datenschutzverstoß) als auch den KI-Beauftragten (bei Compliance-Verstoß gegen AI Act) betreffen. Externe Dienstleister wie DATUREX haften für grobe Sorgfaltspflichtverletzungen — abgesichert durch 5 Mio. € Berufshaftpflicht. Entscheidend ist eine saubere Rollenabgrenzung und Dokumentation, wer welche Entscheidung verantwortet hat.
Reicht unser bestehender DSB für den EU AI Act aus? +
In den meisten Fällen nein — auch wenn der DSB fachlich exzellent ist. EU AI Act erfordert Fachwissen, das klassische DSB-Ausbildungen nicht abdecken: Risikoklassifizierung nach Art. 6, technische Dokumentation nach Anhang IV, Konformitätsbewertung Art. 43, branchenspezifische Schnittmengen (MDR, DORA, TISAX). Praktische Lösung: DSB behält seine Rolle, für KI-Compliance kommt eine zusätzliche benannte Person hinzu (intern oder extern). Bei DATUREX häufig gewählt: wir übernehmen beide Rollen parallel, mit fachlich klarer Trennung.
Was kostet eine DSB-Rolle im Vergleich zur KI-Beauftragten-Rolle? +
Ein externer DSB beginnt typischerweise bei 150–300 € pro Monat (je nach Unternehmensgröße). Ein externer KI-Beauftragter bei DATUREX beginnt bei 250 € pro Monat (Paket S). Kombinationspakete (DSB + KI-Beauftragter aus einer Hand) sind deutlich günstiger als zwei separate Mandate. Beide Rollen zusammen kosten bei DATUREX typischerweise 400–700 € pro Monat für KMU — gegenüber 180.000 € für zwei interne Vollzeitstellen über 90 % Ersparnis.
Wann sollten wir zuerst den DSB, wann zuerst den KI-Beauftragten benennen? +
Der DSB ist oft schon länger benannt (DSGVO seit 2018). Wer jetzt noch keinen DSB hat und unter Art. 37 DSGVO pflichtig ist, sollte ihn unverzüglich bestellen. Der KI-Beauftragte folgt logisch, sobald KI-Systeme im Unternehmen eingesetzt werden — spätestens mit der August-2026-Deadline für Hochrisiko-KI. In der Praxis sollten beide Rollen parallel aufgebaut werden, da sie sich in vielen Projekten gegenseitig stützen.
Beide Rollen aus einer Hand

DSB und KI-Beauftragter kombiniert

DATUREX übernimmt beide Rollen parallel — mit zwei spezialisierten Fachpersonen aus einem Team. Transparente Kombinationspakete, ein Vertrag, koordinierte Prozesse.

Erstberatung vereinbaren Pakete & Preise