DSGVO und KI.
Was Sie wissen müssen.

Hinweis: Dieser Artikel ist eine verständliche Einordnung — keine Rechtsberatung. Für die konkrete Umsetzung in Ihrem Betrieb ziehen Sie bitte einen Datenschutzbeauftragten oder Anwalt hinzu.

Worum es eigentlich geht

Sobald Ihre Mitarbeiter eine KI mit Kundennamen, Vertragstexten oder Personalakten füttern, ist das eine Datenverarbeitung. Die DSGVO gilt — egal ob Cloud-KI oder lokale KI. Der Unterschied liegt im Aufwand für die Compliance und im verbleibenden Risiko.

Cloud-KI: Auftragsverarbeitung und Drittland

Auftragsverarbeitungs-Vertrag (AVV)

Sie brauchen einen DSGVO-konformen Vertrag mit dem Anbieter. Dieser regelt unter anderem: was wird gespeichert, wer hat Zugriff, wie lange, was passiert bei einem Datenleck, wann werden Daten gelöscht?

Drittland-Übermittlung (Schrems II)

Die meisten großen KI-Anbieter sitzen in den USA. Übermittlungen dorthin sind nach dem EuGH-Urteil „Schrems II“ rechtlich heikel — Sie müssen Standardvertragsklauseln plus Risikoanalyse plus zusätzliche technische Maßnahmen vorhalten.

Praxis

Selbst wenn ein Anbieter „EU-Hosting“ anbietet — der Mutterkonzern in den USA hat oft Zugriff über US-Gerichtsbarkeit (CLOUD Act). Eine vollständig sichere DSGVO-Aussage ist hier schwierig zu treffen, auch wenn viele Unternehmen pragmatisch damit umgehen.

Lokale KI: deutlich weniger Komplikationen

Wenn die KI auf Ihrer eigenen Hardware läuft und Daten Ihr Netzwerk nicht verlassen, fällt der Auftragsverarbeiter weg. Es gibt keinen Drittstaat. Die DSGVO-Argumentation wird einfacher und vor allem ehrlich.

Aber: Auch lokale Systeme müssen ordentlich dokumentiert werden. „Lokal“ ist kein DSGVO-Freifahrtschein.

Was Sie auch bei lokaler KI tun müssen

• Verfahrensverzeichnis erweitern: welche Daten, welcher Zweck, welche Kategorie von Betroffenen?
• Risikoanalyse: ob eine Datenschutz-Folgenabschätzung nötig ist, hängt von Daten und Zweck ab.
• Mitarbeiteranweisung: klare Spielregeln, was in die KI rein darf und was nicht.
• Löschkonzept: Eingaben und KI-Antworten müssen einem Aufbewahrungs- und Löschkonzept unterliegen.
• Berechtigungen: wer darf was sehen? RBAC pro Dokument und pro Anwendungsfall — bei RAG-Systemen besonders wichtig.
• Pseudonymisierung wo möglich — Klarnamen durch IDs ersetzen.

Was wir liefern

Bei jedem Projekt sind Vorlagen für Verfahrensverzeichnis, Mitarbeiterleitfaden und ein technisches Datenschutzkonzept dabei. Sie müssen nicht bei null anfangen — und können das Material an Ihren Datenschutzbeauftragten oder Anwalt weiterreichen.