KI DSGVO-konform einsetzen: Kriterien und Prüffragen

Aus diesem Satz folgt eine Einsicht, die viele Recherchen abkürzt: Nicht das Produkt ist konform oder nicht konform, sondern die Verarbeitung. Ein Anbieter kann die Voraussetzungen schaffen, indem er einen belastbaren Vertrag anbietet, den Verarbeitungsort offenlegt und auf die Nutzung Ihrer Eingaben für eigene Zwecke verzichtet. Erfüllen muss die Anforderungen der Verantwortliche, also Ihr Unternehmen. Deshalb führt die Suche nach einer Liste konformer Tools regelmäßig in die Irre, während eine Liste der richtigen Fragen weiterhilft.

Von der DSGVO zu trennen ist die KI-Verordnung der Europäischen Union, der sogenannte AI Act. Sie regelt Risikoklassen, Produktanforderungen und Transparenzpflichten für KI-Systeme, nicht die Zulässigkeit einer Verarbeitung personenbezogener Daten. Sie tritt neben die DSGVO und ersetzt keine ihrer Anforderungen.

Die folgenden fünf Punkte bilden das Gerüst, an dem sich der Einsatz eines KI-Dienstes prüfen und die Prüfung später belegen lässt. Die Reihenfolge ist die der Bearbeitung: erst die Frage, ob verarbeitet werden darf, dann die Frage, unter welchen Bedingungen.

1. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Sobald ein externer Dienst personenbezogene Daten weisungsgebunden für Sie verarbeitet, verlangt Art. 28 Abs. 3 DSGVO einen Vertrag mit festen Pflichtinhalten: Gegenstand und Dauer, Art und Zweck, Weisungsbindung, Vertraulichkeit, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe am Ende und Nachweispflichten. Ein Werbeversprechen auf einer Produktseite ersetzt diesen Vertrag nicht. Welche Klauseln bei KI-Diensten besondere Aufmerksamkeit verdienen, behandelt der Beitrag zum AV-Vertrag für KI-Dienste.

2. Verarbeitungsort und Drittlandtransfer

Zu klären ist nicht nur, in welcher Region die Inferenz läuft, sondern auch, wo Protokolle liegen, wo Systeme betrieben und gewartet werden und ob Support-Mitarbeitende aus Drittstaaten Zugriff nehmen können. Eine europäische Region für die Modellausführung beantwortet die Frage nach Kapitel V der DSGVO also nur zum Teil. Wo ein Transfer stattfindet, brauchen Sie ein benanntes Transferinstrument und die Unterlagen, mit denen Sie eine eigene Bewertung führen können.

3. Nutzung der Eingaben für Modelltraining

Werden Ihre Prompts zum Training verwendet, verarbeitet der Anbieter die Daten zu einem eigenen Zweck. Damit ist er in diesem Punkt kein Auftragsverarbeiter mehr, und die Zweckbindung nach Art. 5 Abs. 1 lit. b DSGVO gerät unter Druck. Belastbar ist ein vertraglicher Ausschluss im AV-Vertrag; ein Schalter in der Benutzeroberfläche, den jemand versehentlich umlegen kann, ist es nicht in gleichem Maß.

4. Technische und organisatorische Maßnahmen nach Art. 32

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt Pseudonymisierung und Verschlüsselung ausdrücklich als Beispiele. Für den KI-Einsatz heißt das konkret: Zugriffskontrolle auf die Schnittstelle und die API-Schlüssel, Protokollierung der Nutzung, Löschkonzept für Ein- und Ausgaben, Trennung von Test- und Produktivdaten und eine Antwort auf die Frage, welche Daten überhaupt in einen Prompt gelangen dürfen.

5. Datenschutz-Folgenabschätzung nach Art. 35

Eine DSFA ist erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene mit sich bringt. Art. 35 Abs. 1 nennt den Einsatz neuer Technologien ausdrücklich, Abs. 3 beschreibt Regelbeispiele wie systematische Bewertung oder die umfangreiche Verarbeitung besonderer Datenkategorien. Ergänzend veröffentlichen die deutschen Aufsichtsbehörden Listen von Verarbeitungen, für die eine DSFA verpflichtend ist. Wichtig ist auch das negative Ergebnis: Wer zu dem Schluss kommt, dass keine DSFA nötig ist, sollte das begründet dokumentieren.

Jede Verarbeitung braucht eine Rechtsgrundlage, und der Umweg über ein Sprachmodell ist eine Verarbeitung. In der Praxis kommen vier in Betracht: die Erfüllung eines Vertrags nach Art. 6 Abs. 1 lit. b, eine rechtliche Verpflichtung nach lit. c, ein berechtigtes Interesse nach lit. f und die Einwilligung nach lit. a. Für interne Anwendungsfälle wie Zusammenfassungen, Entwurfstexte oder Klassifikation ist das berechtigte Interesse der häufigste Weg, verbunden mit einer dokumentierten Abwägung gegen die Interessen der betroffenen Personen.

An drei Stellen bricht diese Konstruktion in der Praxis regelmäßig. Erstens die Zweckbindung: Daten, die für die Vertragsabwicklung erhoben wurden, in ein Sprachmodell zu geben, ist eine Weiterverarbeitung, deren Vereinbarkeit mit dem ursprünglichen Zweck nach Art. 6 Abs. 4 zu prüfen ist. Der Satz „wir nutzen jetzt KI“ ist kein Zweck. Zweitens die Daten Dritter: Eine Kunden-E-Mail nennt oft einen Sachbearbeiter, einen Angehörigen oder einen Anwalt, deren Daten Sie mitverarbeiten, ohne sie jemals informiert zu haben.

Drittens die Abwägung selbst. Je weiter Daten den kontrollierten Bereich verlassen, je unklarer Speicherdauer und Zugriffsmöglichkeiten sind, desto schwerer wiegen die Interessen der Betroffenen. Das ist der Punkt, an dem Datenminimierung nach Art. 5 Abs. 1 lit. c aufhört, eine abstrakte Forderung zu sein: Was gar nicht übermittelt wird, muss auch nicht abgewogen werden.

Wer nach Claude, Copilot, Gemini, Mistral AI oder Azure OpenAI in Verbindung mit der DSGVO sucht, erwartet meist eine Tabelle mit Häkchen. Eine solche Tabelle kann seriös niemand führen. Die Angebote unterscheiden sich je nach Tarif, Region und Vertragsvariante, und Bedingungen, Unterauftragsverarbeiter und Speicherfristen ändern sich in kurzen Abständen. Jede Momentaufnahme wäre spätestens beim nächsten Update falsch, und Sie hätten Ihre Prüfung auf einer fremden Zusammenfassung aufgebaut statt auf dem Vertrag, den Sie tatsächlich schließen.

Die folgende Matrix ist deshalb kein Anbietervergleich mit fertigen Antworten, sondern der Fragebogen dazu. Arbeiten Sie ihn für jedes Werkzeug einmal durch, notieren Sie jede Fundstelle mit Datum, und prüfen Sie dabei die aktuellen Vertragsdokumente des Anbieters, nicht Sekundärquellen.

Ein Hinweis zur letzten Zeile, weil er häufig übersehen wird: Zertifikate beziehen sich immer auf einen definierten Geltungsbereich. Ein nach ISO 27001 zertifiziertes Rechenzentrum sagt etwas über physische Sicherheit und Betriebsprozesse an diesem Ort aus, aber nichts darüber, wie die darauf laufende Anwendung mit Ihren Daten umgeht. Fragen Sie nach dem Geltungsbereich, nicht nach dem Logo.

Über alle Anbieter und Anwendungsfälle hinweg tauchen im Wesentlichen vier Muster auf. Wer sie kennt, erkennt in einer neuen Konstellation schnell, wo genau hingesehen werden muss.

• Zweckverschiebung durch Training. Eingaben, die zum Trainieren künftiger Modelle genutzt werden, verlassen die Zwecksetzung des Verantwortlichen. Der Anbieter wird insoweit selbst zum Verantwortlichen, und eine spätere Löschung ist praktisch kaum noch nachvollziehbar, weil aus Modellgewichten kein einzelner Datensatz entfernt werden kann.
• Unklare Verarbeitungskette. Zwischen Ihrer Anwendung und dem Modell liegen oft mehrere Dienste: Gateway, Protokollierung, Missbrauchserkennung, Vektordatenbank, Monitoring. Jeder davon ist eine eigene Station mit eigenem Standort und eigenem Zugriff. Geprüft wird häufig nur die erste.
• Betroffenenrechte laufen ins Leere. Auskunft nach Art. 15 und Löschung nach Art. 17 setzen voraus, dass Sie wissen, wo die Daten liegen, und dass Sie sie dort adressieren können. Bei Prompts in fremden Protokollen und Ausgaben in Chat-Verläufen ist beides selten von selbst gegeben. Hinzu kommt der Grundsatz der Richtigkeit nach Art. 5 Abs. 1 lit. d: Ein Modell kann über eine Person Aussagen erzeugen, die schlicht falsch sind.
• Schatten-KI. Wo es keine freigegebenen Werkzeuge gibt, nutzen Mitarbeitende private Zugänge. Dann existiert eine Verarbeitung ohne Vertrag, ohne Eintrag im Verzeichnis und ohne Zugriffskontrolle, für die das Unternehmen dennoch verantwortlich ist. Ein Verbot ohne Alternative erzeugt dieses Muster zuverlässig.

Angenommen, die Prüfung ist abgeschlossen: Der Vertrag steht, die Region ist europäisch, Training ist vertraglich ausgeschlossen, die TOM-Anlage ist konkret. Dann bleibt genau ein Umstand unverändert, und es ist derjenige, um den es die ganze Zeit ging: Der Name des Kunden, seine Anschrift, seine Vertragsnummer und die Diagnose in seinem Schreiben stehen weiterhin im Klartext im Prompt und werden weiterhin an ein fremdes System übermittelt.

Alles, was die Anbieterprüfung erreicht, ist eine vertragliche Zusicherung darüber, was mit diesen Daten geschieht. Das ist notwendig, aber es ist eine organisatorische Maßnahme, keine technische. Sie wirkt, solange der Vertragspartner sich daran hält und seine Systeme dicht sind. Eine Fehlkonfiguration im Protokoll-Backend oder ein Datenabfluss beim Unterauftragnehmer berührt die vertragliche Zusage nicht, wohl aber die Daten.

Deshalb ist die zweite, unabhängige Frage die eigentlich interessante: Muss der Personenbezug überhaupt mitgeschickt werden, damit das Modell die Aufgabe erfüllt? Für die allermeisten Aufgaben lautet die Antwort nein. Ein Modell, das eine Beschwerde zusammenfassen, einen Ton bewerten oder einen Antwortentwurf schreiben soll, braucht den Sachverhalt, nicht die Identität.

Pseudonymisierung nach Art. 4 Nr. 5 DSGVO ersetzt identifizierende Angaben durch Kennungen und bewahrt die Zuordnung getrennt davon auf. In einer LLM-Pipeline ergibt das einen Ablauf mit drei Stationen: Der Text wird pseudonymisiert, bevor er das eigene System verlässt; nur der maskierte Text geht an das Modell; die Antwort wird anhand der Zuordnung wieder aufgelöst, bevor sie bei der Sachbearbeitung landet.

Genau dafür ist Persona gebaut. POST /v1/pseudonymize nimmt Freitext entgegen und gibt den maskierten Text, zeichengenaue Spans, die Zuordnungstabelle und eine Sensitivitätsbewertung des Textes zurück. Erkannt werden neun Kategorien, von Namen über Anschriften und Kontonummern bis zu Zugangsdaten. Die Pseudonyme sind innerhalb eines Textes konsistent: Dieselbe Person trägt durchgehend dieselbe Kennung, sodass Bezüge im Text erhalten bleiben und das Modell die Zusammenhänge weiter versteht. POST /v1/reidentify setzt anschließend die Originalwerte in die Antwort des Modells ein. Die Details stehen in der API-Dokumentation.

Die Analyse selbst läuft auf dedizierten Servern bei Hetzner in Falkenstein, in nach ISO 27001 zertifizierten Rechenzentren; ein externer KI-Dienst wird dafür nicht aufgerufen. Anfragetexte werden nicht gespeichert, nicht inhaltlich protokolliert und nicht für Training verwendet. Kontodaten liegen getrennt davon in Frankfurt. Ab dem Pro-Tarif gehört ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO dazu; für Konstellationen, in denen auch ein deutscher Dienstleister nicht in Frage kommt, sieht der Enterprise-Tarif den Betrieb als Container in der eigenen Umgebung vor.

Zwei Einschränkungen gehören dazu, damit die Maßnahme richtig eingeordnet wird. Erstens bleiben pseudonymisierte Daten nach Erwägungsgrund 26 personenbezogene Daten, solange die Zuordnung existiert; die DSGVO bleibt vollständig anwendbar. Wer den Unterschied zur echten Anonymisierung genauer verstehen will, findet ihn unter Pseudonymisierung vs. Anonymisierung. Zweitens ersetzt die Maßnahme keines der fünf Prüfkriterien. Sie verkleinert die Menge personenbezogener Daten, die den kontrollierten Bereich verlässt, und sie tut das unabhängig davon, welches Modell am anderen Ende steht. Wie derselbe Ablauf für einen konkreten Dienst aussieht, zeigt die Seite ChatGPT DSGVO-konform nutzen.

Die rechtliche Prüfung eines Werkzeugs nützt wenig, wenn im Alltag niemand weiß, was erlaubt ist. Drei organisatorische Bausteine haben sich bewährt und sind unabhängig von der Unternehmensgröße umsetzbar.

Eine kurze, verbindliche Richtlinie. Zwei Seiten genügen: Welche Werkzeuge sind freigegeben, welche Datenarten dürfen hinein, welche nie (Gesundheitsdaten, Beschäftigtendaten, Zugangsdaten, Geschäftsgeheimnisse Dritter), wie wird ein neues Werkzeug beantragt, wer entscheidet, und was ist zu tun, wenn versehentlich zu viel übermittelt wurde. Eine Richtlinie, die nur verbietet, wird umgangen; eine, die einen freigegebenen Weg beschreibt, wird benutzt.

Klare Rollen. Die Fachabteilung beschreibt den Anwendungsfall, die IT verantwortet Zugänge und Protokollierung, der Datenschutzbeauftragte wird nach Art. 38 Abs. 1 frühzeitig eingebunden, die Geschäftsführung entscheidet über Restrisiken. Wo ein Betriebsrat besteht, ist er bei Systemen, die zur Verhaltens- oder Leistungskontrolle geeignet sind, mitbestimmungspflichtig zu beteiligen.

Ein Eintrag im Verarbeitungsverzeichnis. Art. 30 DSGVO verlangt für jede Verarbeitungstätigkeit Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Drittlandübermittlungen, Löschfristen und eine Beschreibung der TOMs. KI-Nutzung ist keine eigene Kategorie, sondern gehört in die Tätigkeit, zu der sie beiträgt. Ergänzen Sie dort auch die Informationspflichten nach Art. 13 und 14: Betroffene erfahren aus Ihrer Datenschutzerklärung, ob ihre Daten in solche Systeme fließen.

Im Personalwesen verschärfen sich sämtliche Anforderungen gleichzeitig, und zwar aus mehreren Richtungen. Bewerbungsunterlagen enthalten regelmäßig besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO: Angaben zu Gesundheit oder Schwerbehinderung, Hinweise auf die Religionszugehörigkeit, die sich etwa aus einer früheren Tätigkeit bei einem kirchlichen Träger ergeben, oder auf eine Gewerkschaftsmitgliedschaft. Für diese gilt ein grundsätzliches Verarbeitungsverbot mit engen Ausnahmen.

Hinzu kommt die Rechtsgrundlage. Für den Beschäftigungskontext enthält § 26 BDSG eine eigene Norm, die auf die Öffnungsklausel des Art. 88 DSGVO gestützt ist; wieweit sie als eigenständige Grundlage trägt, ist Gegenstand der Rechtsprechung und eine Frage für Ihre Rechtsberatung. Eine Einwilligung ist im Beschäftigungsverhältnis wegen der Zweifel an der Freiwilligkeit selten der tragfähigste Weg. Kommt eine automatisierte Vorauswahl hinzu, greift zusätzlich Art. 22 DSGVO für Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche Wirkung entfalten.

Praktisch heißt das: Systeme, die Bewerbungen bewerten oder Beschäftigtendaten auswerten, sind ein klarer Anlass für eine Datenschutz-Folgenabschätzung, für die Beteiligung des Betriebsrats und für eine ausdrückliche Freigabe. Wo lediglich Texte zusammengefasst oder formuliert werden sollen, ist die Pseudonymisierung der Unterlagen vor der Übermittlung eine naheliegende Maßnahme: Der Fachinhalt bleibt lesbar, die Identität der Bewerberin bleibt im Haus.

Diese Liste eignet sich als Vorlage für die Freigabe eines KI-Werkzeugs. Sinnvoll ist, jeden Punkt mit Fundstelle und Datum zu dokumentieren, weil die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO beim Verantwortlichen liegt: Er muss die Einhaltung der Grundsätze nachweisen können.

• Anwendungsfall, Zweck und Datenkategorien schriftlich beschrieben.
• Rechtsgrundlage nach Art. 6 bestimmt, bei Art. 6 Abs. 1 lit. f mit dokumentierter Abwägung.
• Prüfung auf besondere Kategorien nach Art. 9 und auf Beschäftigtendaten erfolgt.
• AV-Vertrag nach Art. 28 Abs. 3 geschlossen, TOM-Anlage geprüft, Geltungsbereich genannter Zertifikate erfragt.
• Verarbeitungsort, Unterauftragsverarbeiter und Drittlandtransfer dokumentiert.
• Speicherdauer und Trainingsnutzung vertraglich geklärt, nicht nur per Einstellung.
• Erforderlichkeit einer DSFA nach Art. 35 geprüft und das Ergebnis begründet festgehalten.
• Eintrag im Verarbeitungsverzeichnis nach Art. 30 ergänzt.
• Informationspflichten nach Art. 13 und 14 in der Datenschutzerklärung nachgezogen.
• Prozess für Auskunft, Berichtigung und Löschung beschrieben und getestet.
• Datenminimierung technisch umgesetzt: geprüft, welche Felder vor der Übermittlung ersetzt werden können.
• Nutzungsrichtlinie veröffentlicht, Beschäftigte geschult, Betriebsrat bei Bedarf beteiligt.
• Wiedervorlage gesetzt, um Bedingungen und Unterauftragsverarbeiter regelmäßig erneut zu prüfen.

Hinweis: Diese Seite ist eine fachliche Orientierung, keine Rechtsberatung. Ob eine bestimmte Verarbeitung in Ihrem Unternehmen zulässig ist und welche Maßnahmen angemessen sind, beurteilen Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung anhand des konkreten Falls. Was die Technik beitragen kann, ist eng umrissen und trotzdem wirksam: dafür zu sorgen, dass ein großer Teil der personenbezogenen Daten den kontrollierten Bereich gar nicht erst verlässt. Wie das Verfahren dahinter funktioniert, beschreibt die Seite Pseudonymisierung.