Text Link
1/5

Gewünschte Leistung

AUFTRAGSDETAILS

2/5

INVESTITIONSRAHMEN

3/5

ZEITRAHMEN

4/5

KONTAKTDATEN

Ihre Angaben verwenden wir ausschließlich zur Bearbeitung Ihrer Anfrage. Einzelheiten in unserer Datenschutzerklärung.

5/5

VIELEN DANK

                    Unser AI-Agent war schnell: Die Antwort auf Ihren Erstkontakt liegt bereits in Ihrem Postfach.

FEHLER

VIELEN DANK!

                    Wir werden uns in Kürze bei Ihnen melden.

Datenschutz · KI-Systeme im Unternehmen

DSGVO und KI, vor dem ersten Prompt

Sobald ein Sprachmodell Kundendaten oder Personalakten sieht, ändert sich, was die DSGVO von Ihnen verlangt. Wir bauen KI-Systeme so, dass Datenschutzbeauftragter und Betriebsrat das Protokoll lesen können. Das Ergebnis allein reicht beiden nicht.

AVV nach Art. 28 geprüftDSFA nach Art. 35Löschung bis in den IndexEU oder eigene Hardware
Art. 30
Verarbeitungsverzeichnis
wird bei KI neu geschrieben
72 h
Meldefrist bei Verletzung
Art. 33, ab Kenntnis
6
Dokumente zur Übergabe
vom Verzeichnis bis zum Löschlauf
0 €
Erste Prüfung
im Erstgespräch, auch wenn nichts fehlt
DSGVO (Datenschutz-Grundverordnung)
Die DSGVO ist die Verordnung (EU) 2016/679, die Datenschutz-Grundverordnung. Sie gilt für jede Stelle, die in der EU personenbezogene Daten verarbeitet, und sie gilt unverändert weiter, wenn ein KI-System die Verarbeitung übernimmt. Das Gesetz bleibt dasselbe. Der Weg der Daten ändert sich, und den muss man neu aufschreiben.
01 Ausgangslage

Das Modell ist ein neuer Empfänger. Das ist der ganze Unterschied.

Ein Sachbearbeiter, der Kundenmails mit ChatGPT zusammenfasst, hat aus Sicht der DSGVO gerade Daten an einen Auftragsverarbeiter in den USA übermittelt. Ohne Vertrag, ohne Eintrag im Verzeichnis, ohne dass jemand die Speicherdauer kennt.

So fängt es in den meisten Häusern an: mit Browser-Tabs in drei Abteilungen, lange bevor jemand von einem KI-Projekt spricht. Der Datenschutzbeauftragte erfährt es beim Jahresgespräch.

Die Verordnung selbst ist dabei unverändert. Rechtsgrundlage, Zweckbindung, Auftragsverarbeitung, Betroffenenrechte: alles seit Mai 2018 bekannt. Was fehlt, ist die Übersetzung auf Prompt, Protokoll und Vektorindex. Die liefern wir als Technikpartner, mit Ihrem Datenschutzbeauftragten am Tisch. Im Wissensagenten-Projekt laufen Index und Suche deshalb auf EU-Servern, und die Spracherkennung im Meeting-Projekt auf eigener Hardware.

48,83 % nennen den Datenschutz
Unter den EU-Unternehmen, die den Einsatz von KI geprüft und dann verworfen haben, nennen 48,83 % Bedenken beim Schutz von Daten und Privatsphäre als Grund. Wer Verzeichnis, Vertrag und Löschweg vorher klärt, hat diesen Grund nicht mehr.
Quelle: Eurostat, Use of artificial intelligence in enterprises, Erhebung 2024, veröffentlicht Dezember 2025. ec.europa.eu/eurostat
02 Pflichten

Sechs Stellen, an denen die DSGVO beim KI-Einsatz greift

Jede davon hat eine Artikelnummer und eine technische Entsprechung. Wir kümmern uns um die zweite Hälfte und liefern der ersten das Material.

01

Rechtsgrundlage

Bevor ein Modell Daten sieht, braucht die Verarbeitung eine Grundlage nach Art. 6: Vertrag, berechtigtes Interesse oder Einwilligung. Ein neuer Zweck, etwa Zusammenfassung statt Bearbeitung, braucht eine neue Prüfung nach Art. 5 Abs. 1 Buchstabe b.

Art. 6Art. 5Zweckbindung
02

Auftragsverarbeitung

Der Modellanbieter ist Auftragsverarbeiter. Art. 28 verlangt einen Vertrag mit festem Inhalt, dazu die Liste der Unterauftragsverarbeiter. Ohne diesen Vertrag ist jeder API-Aufruf eine Übermittlung ohne Grundlage.

Art. 28AVVUnterauftrag
03

Folgenabschätzung

Art. 35 fordert eine DSFA, wenn ein hohes Risiko wahrscheinlich ist: Beschäftigtenbewertung, Bewerberauswahl, große Datenzusammenführung. Wenn keine nötig ist, halten wir auch das mit Begründung fest.

Art. 35DSFABegründung
04

Information

Kunden und Beschäftigte müssen wissen, dass ein KI-System mitliest, wozu und wie lange. Art. 13 und 14 verlangen das vor der ersten Verarbeitung, in verständlicher Sprache. Wir liefern den Text für die Datenschutzerklärung mit.

Art. 13Art. 14Transparenz
05

Betroffenenrechte

Auskunft, Berichtigung, Löschung, Widerspruch, Art. 15 bis 21. Dazu Art. 22, wenn das System über Menschen entscheidet. Technisch heißt das: Jede Person muss in Prompts, Protokollen und Index auffindbar sein.

Art. 15 bis 22AuskunftWiderspruch
06

Löschkonzept

Speicherbegrenzung nach Art. 5 Abs. 1 Buchstabe e und Löschung nach Art. 17 gelten auch für Embeddings, Zwischenspeicher und Backups. Ein Löschlauf, der nur die Datenbank erreicht, erfüllt sie nicht.

Art. 17SpeicherdauerIndex
03 Datenflüsse

Wo die Daten hinlaufen, und was das rechtlich auslöst

Die Wahl des Modellbetriebs entscheidet über Vertrag, Drittlandtransfer und Aufwand. Die Tabelle zeigt die vier üblichen Wege.

Betrieb des ModellsRechtsgrundlage und VertragDrittlandtransferUnsere Empfehlung
Cloud-API eines US-AnbietersAVV nach Art. 28 Pflicht, Transfer nach Art. 45 oder 46 absichern (Angemessenheitsbeschluss oder Standardvertragsklauseln)Ja, Kapitel V greift, auch bei EU-Region des AnbietersNur mit pseudonymisierten Eingaben, Training vertraglich ausgeschlossen, Speicherung abgeschaltet
EU-Anbieter oder EU-RegionAVV nach Art. 28, Liste der Unterauftragsverarbeiter lesenNein, solange Support und Backups in der EU bleibenStandard für Kundendaten, Modellwechsel offen halten
Eigene Hardware, lokales ModellKeine Auftragsverarbeitung für das Modell, Verzeichnis und Löschkonzept trotzdemNeinFür Personalakten, Gesundheitsdaten und alles, was der Betriebsrat sieht
Gratis-Konten im BrowserKein AVV möglich, Verbraucherbedingungen, Training meist aktivJa, ohne KontrolleAbstellen und durch ein Firmenkonto mit AVV ersetzen
04 Technik

Was der Code dazu beiträgt

Art. 25 verlangt Datenschutz durch Technikgestaltung, Art. 32 angemessene Sicherheit. Beides sind Entwurfsentscheidungen, keine Anhänge. Vier davon stecken in jedem System, das wir übergeben.

Der Betriebsrat hat bei Systemen, die Verhalten oder Leistung von Beschäftigten erfassen können, ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Wir bauen das Protokoll so, dass er zustimmen kann.

Pseudonymisierung
Namen, Kundennummern und Adressen werden ersetzt, bevor der Prompt das Haus verlässt, und nach der Antwort wieder eingesetzt. Das Modell sieht Platzhalter.
Protokollierung
Jeder Modellaufruf steht mit Zeit, Zweck und Datenkategorie im Protokoll. Der Inhalt wird nur gespeichert, wenn der Zweck ihn braucht.
Zugriffsrechte
Der Agent sieht, was die Person sieht, die ihn benutzt. Kein Sammelkonto mit Vollzugriff auf das Laufwerk.
Aufbewahrungsfristen
Prompts, Antworten und Zwischenspeicher haben ein Ablaufdatum. Der Löschlauf erreicht Vektorindex und Backups, und er wird protokolliert.
05 Vorgehen

Drei Schritte, sechs Dokumente

Wir fangen bei den Verarbeitungen an, die heute schon laufen. Dort fragt eine Aufsichtsbehörde zuerst nach.

Schritt 1

Bestandsaufnahme

Welche Abteilung nutzt welches Werkzeug, mit welchen Daten, unter welchem Konto. Auch die Tools, die nie eingekauft wurden.

InterviewsKontenlisteDatenkategorien
Schritt 2

Unterlagen

Eintrag im Verzeichnis nach Art. 30, Prüfung der Verträge nach Art. 28, Entscheid zur DSFA mit Begründung, Text für die Datenschutzerklärung nach Art. 13.

Art. 30Art. 28Art. 35
Schritt 3

Umsetzung

Pseudonymisierung, Protokoll, Zugriffsmodell und Löschlauf im Code. Übergabe an Datenschutzbeauftragten und Betriebsrat mit einer technischen Beschreibung, die beide lesen können.

CodeLöschlaufÜbergabe

Die sechs Dokumente: Verzeichniseintrag, DSFA-Entscheid, AVV-Checkliste je Anbieter, Löschkonzept, technische Beschreibung, Informationstext für Kunden und Beschäftigte. Alle in einem Format, das Sie in einem halben Jahr selbst fortschreiben können.

Diese Seite ersetzt keine Rechtsberatung. Wir liefern Technik und Unterlagen. Die rechtliche Bewertung trifft Ihr Datenschutzbeauftragter oder Ihre Kanzlei, und wir arbeiten gern mit beiden.

06 Abgrenzung

DSGVO und EU AI Act: zwei Gesetze, ein Verzeichnis

Der EU AI Act schaut auf das System, die DSGVO auf die Daten darin. Ein interner Chatbot fällt oft unter beides.

Auf der einen Seite die Kennzeichnung nach Art. 50 der KI-Verordnung, auf der anderen Verzeichnis, Vertrag und Speicherdauer. Wer die Gesetze getrennt abarbeitet, inventarisiert denselben Bot zweimal.

Wir führen beides in einer Tabelle. Was die KI-Verordnung von Betreibern verlangt, steht auf der Seite zur KI-Transparenzpflicht und in der EU AI Act Dokumentation.

07 Häufige Fragen

DSGVO und KI: häufige Fragen

Dürfen Mitarbeiter Kundendaten in ChatGPT eingeben?+
Mit einem privaten oder kostenlosen Konto: nein. Es gibt keinen Auftragsverarbeitungsvertrag, die Eingaben können zum Training verwendet werden, und niemand kann die Speicherdauer beantworten. Mit einem Firmenkonto, AVV nach Art. 28 DSGVO, abgeschaltetem Training und pseudonymisierten Eingaben sieht es anders aus. Genau das richten wir ein.
Brauchen wir eine Datenschutz-Folgenabschätzung?+
Nicht für jedes KI-System. Art. 35 DSGVO verlangt sie, wenn ein hohes Risiko für die Rechte der Betroffenen wahrscheinlich ist, etwa bei der Bewertung von Beschäftigten, bei der Bewerberauswahl oder beim Zusammenführen großer Datenbestände. Für einen Chatbot über Produkthandbücher meist nicht. Die Entscheidung dagegen schreiben wir mit Begründung auf. Das ist die Frage, die eine Aufsichtsbehörde zuerst stellt.
Was muss in den Vertrag mit dem Modellanbieter?+
Die Punkte aus Art. 28 Abs. 3 DSGVO: Gegenstand und Dauer, Art der Daten, Weisungsbindung, Vertraulichkeit, Unterauftragsverarbeiter, Unterstützung bei Anfragen von Betroffenen, Löschung oder Rückgabe nach Vertragsende, Nachweise. Die großen Anbieter haben solche Verträge fertig. Lesen muss man trotzdem, vor allem die Liste der Unterauftragsverarbeiter und die Regel zur Speicherdauer der Eingaben.
Wie lange dürfen Prompts und Antworten gespeichert werden?+
So lange, wie der Zweck es erfordert, Art. 5 Abs. 1 Buchstabe e DSGVO. Für ein Protokoll zur Fehlersuche sind das Tage bis wenige Wochen, für ein Ticketsystem so lange wie das Ticket. Wichtig ist, dass jemand die Frist festlegt und ein Löschlauf sie umsetzt, auch im Zwischenspeicher des Anbieters. Viele Anbieter bieten dafür eine Einstellung ohne Speicherung an.
Was ist mit Mitarbeiterdaten und dem Betriebsrat?+
Sobald ein KI-System Eingaben von Beschäftigten protokolliert, kann es deren Verhalten oder Leistung erfassen. Dann hat der Betriebsrat ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Wir empfehlen, ihn vor dem ersten Protokolleintrag einzubeziehen und das Protokoll so zu bauen, dass es der Fehlersuche dient und keiner Leistungskontrolle.
Reicht eine EU-Region beim Cloud-Anbieter?+
Für den Ort der Verarbeitung meist ja. In die Prüfung gehören zusätzlich: Wo sitzt der Support, wo liegen die Backups, welche Unterauftragsverarbeiter greifen zu, und unterliegt der Anbieter selbst dem Recht eines Drittlands. Das steht im Vertrag. Die Produktseite verrät es selten.
Was macht Kuroko Labs hier, und was nicht?+
Wir liefern die Technik und die Unterlagen: Verzeichniseintrag, DSFA-Entscheid, AVV-Checkliste, Löschkonzept, Pseudonymisierung und Protokoll im Code. Die rechtliche Bewertung bleibt bei Ihrem Datenschutzbeauftragten oder Ihrer Kanzlei. Wir sind keine Rechtsberatung und treten auch nicht so auf.
08 Weiterlesen

Verwandte Themen

Nächster Schritt

Sagen Sie uns, welche Abteilung heute schon KI benutzt.

In dreißig Minuten sagen wir Ihnen, ob Verzeichnis und Verträge nachgezogen werden müssen. Wenn nicht, sagen wir auch das.