DSGVO und KI, vor dem ersten Prompt
Sobald ein Sprachmodell Kundendaten oder Personalakten sieht, ändert sich, was die DSGVO von Ihnen verlangt. Wir bauen KI-Systeme so, dass Datenschutzbeauftragter und Betriebsrat das Protokoll lesen können. Das Ergebnis allein reicht beiden nicht.
- DSGVO (Datenschutz-Grundverordnung)
- Die DSGVO ist die Verordnung (EU) 2016/679, die Datenschutz-Grundverordnung. Sie gilt für jede Stelle, die in der EU personenbezogene Daten verarbeitet, und sie gilt unverändert weiter, wenn ein KI-System die Verarbeitung übernimmt. Das Gesetz bleibt dasselbe. Der Weg der Daten ändert sich, und den muss man neu aufschreiben.
Das Modell ist ein neuer Empfänger. Das ist der ganze Unterschied.
Ein Sachbearbeiter, der Kundenmails mit ChatGPT zusammenfasst, hat aus Sicht der DSGVO gerade Daten an einen Auftragsverarbeiter in den USA übermittelt. Ohne Vertrag, ohne Eintrag im Verzeichnis, ohne dass jemand die Speicherdauer kennt.
So fängt es in den meisten Häusern an: mit Browser-Tabs in drei Abteilungen, lange bevor jemand von einem KI-Projekt spricht. Der Datenschutzbeauftragte erfährt es beim Jahresgespräch.
Die Verordnung selbst ist dabei unverändert. Rechtsgrundlage, Zweckbindung, Auftragsverarbeitung, Betroffenenrechte: alles seit Mai 2018 bekannt. Was fehlt, ist die Übersetzung auf Prompt, Protokoll und Vektorindex. Die liefern wir als Technikpartner, mit Ihrem Datenschutzbeauftragten am Tisch. Im Wissensagenten-Projekt laufen Index und Suche deshalb auf EU-Servern, und die Spracherkennung im Meeting-Projekt auf eigener Hardware.
Sechs Stellen, an denen die DSGVO beim KI-Einsatz greift
Jede davon hat eine Artikelnummer und eine technische Entsprechung. Wir kümmern uns um die zweite Hälfte und liefern der ersten das Material.
Rechtsgrundlage
Bevor ein Modell Daten sieht, braucht die Verarbeitung eine Grundlage nach Art. 6: Vertrag, berechtigtes Interesse oder Einwilligung. Ein neuer Zweck, etwa Zusammenfassung statt Bearbeitung, braucht eine neue Prüfung nach Art. 5 Abs. 1 Buchstabe b.
Auftragsverarbeitung
Der Modellanbieter ist Auftragsverarbeiter. Art. 28 verlangt einen Vertrag mit festem Inhalt, dazu die Liste der Unterauftragsverarbeiter. Ohne diesen Vertrag ist jeder API-Aufruf eine Übermittlung ohne Grundlage.
Folgenabschätzung
Art. 35 fordert eine DSFA, wenn ein hohes Risiko wahrscheinlich ist: Beschäftigtenbewertung, Bewerberauswahl, große Datenzusammenführung. Wenn keine nötig ist, halten wir auch das mit Begründung fest.
Information
Kunden und Beschäftigte müssen wissen, dass ein KI-System mitliest, wozu und wie lange. Art. 13 und 14 verlangen das vor der ersten Verarbeitung, in verständlicher Sprache. Wir liefern den Text für die Datenschutzerklärung mit.
Betroffenenrechte
Auskunft, Berichtigung, Löschung, Widerspruch, Art. 15 bis 21. Dazu Art. 22, wenn das System über Menschen entscheidet. Technisch heißt das: Jede Person muss in Prompts, Protokollen und Index auffindbar sein.
Löschkonzept
Speicherbegrenzung nach Art. 5 Abs. 1 Buchstabe e und Löschung nach Art. 17 gelten auch für Embeddings, Zwischenspeicher und Backups. Ein Löschlauf, der nur die Datenbank erreicht, erfüllt sie nicht.
Wo die Daten hinlaufen, und was das rechtlich auslöst
Die Wahl des Modellbetriebs entscheidet über Vertrag, Drittlandtransfer und Aufwand. Die Tabelle zeigt die vier üblichen Wege.
| Betrieb des Modells | Rechtsgrundlage und Vertrag | Drittlandtransfer | Unsere Empfehlung |
|---|---|---|---|
| Cloud-API eines US-Anbieters | AVV nach Art. 28 Pflicht, Transfer nach Art. 45 oder 46 absichern (Angemessenheitsbeschluss oder Standardvertragsklauseln) | Ja, Kapitel V greift, auch bei EU-Region des Anbieters | Nur mit pseudonymisierten Eingaben, Training vertraglich ausgeschlossen, Speicherung abgeschaltet |
| EU-Anbieter oder EU-Region | AVV nach Art. 28, Liste der Unterauftragsverarbeiter lesen | Nein, solange Support und Backups in der EU bleiben | Standard für Kundendaten, Modellwechsel offen halten |
| Eigene Hardware, lokales Modell | Keine Auftragsverarbeitung für das Modell, Verzeichnis und Löschkonzept trotzdem | Nein | Für Personalakten, Gesundheitsdaten und alles, was der Betriebsrat sieht |
| Gratis-Konten im Browser | Kein AVV möglich, Verbraucherbedingungen, Training meist aktiv | Ja, ohne Kontrolle | Abstellen und durch ein Firmenkonto mit AVV ersetzen |
Was der Code dazu beiträgt
Art. 25 verlangt Datenschutz durch Technikgestaltung, Art. 32 angemessene Sicherheit. Beides sind Entwurfsentscheidungen, keine Anhänge. Vier davon stecken in jedem System, das wir übergeben.
Der Betriebsrat hat bei Systemen, die Verhalten oder Leistung von Beschäftigten erfassen können, ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Wir bauen das Protokoll so, dass er zustimmen kann.
Drei Schritte, sechs Dokumente
Wir fangen bei den Verarbeitungen an, die heute schon laufen. Dort fragt eine Aufsichtsbehörde zuerst nach.
Bestandsaufnahme
Welche Abteilung nutzt welches Werkzeug, mit welchen Daten, unter welchem Konto. Auch die Tools, die nie eingekauft wurden.
Unterlagen
Eintrag im Verzeichnis nach Art. 30, Prüfung der Verträge nach Art. 28, Entscheid zur DSFA mit Begründung, Text für die Datenschutzerklärung nach Art. 13.
Umsetzung
Pseudonymisierung, Protokoll, Zugriffsmodell und Löschlauf im Code. Übergabe an Datenschutzbeauftragten und Betriebsrat mit einer technischen Beschreibung, die beide lesen können.
Die sechs Dokumente: Verzeichniseintrag, DSFA-Entscheid, AVV-Checkliste je Anbieter, Löschkonzept, technische Beschreibung, Informationstext für Kunden und Beschäftigte. Alle in einem Format, das Sie in einem halben Jahr selbst fortschreiben können.
Diese Seite ersetzt keine Rechtsberatung. Wir liefern Technik und Unterlagen. Die rechtliche Bewertung trifft Ihr Datenschutzbeauftragter oder Ihre Kanzlei, und wir arbeiten gern mit beiden.
DSGVO und EU AI Act: zwei Gesetze, ein Verzeichnis
Der EU AI Act schaut auf das System, die DSGVO auf die Daten darin. Ein interner Chatbot fällt oft unter beides.
Auf der einen Seite die Kennzeichnung nach Art. 50 der KI-Verordnung, auf der anderen Verzeichnis, Vertrag und Speicherdauer. Wer die Gesetze getrennt abarbeitet, inventarisiert denselben Bot zweimal.
Wir führen beides in einer Tabelle. Was die KI-Verordnung von Betreibern verlangt, steht auf der Seite zur KI-Transparenzpflicht und in der EU AI Act Dokumentation.
DSGVO und KI: häufige Fragen
Verwandte Themen
KI-Transparenzpflicht
Was Art. 50 der KI-Verordnung seit August 2026 von Betreibern verlangt, mit Fristen und Bußgeldrahmen.
EU AI Act Dokumentation
Risikoeinordnung, Systemregister und technische Beschreibung für den Betrieb.
RAG-Systeme
Wissenssysteme mit Fundstelle zu jeder Antwort, EU-Hosting oder eigene Hardware.
Sagen Sie uns, welche Abteilung heute schon KI benutzt.
In dreißig Minuten sagen wir Ihnen, ob Verzeichnis und Verträge nachgezogen werden müssen. Wenn nicht, sagen wir auch das.