DSGVO-konforme KI: wohin Ihre Daten gehen und wie sie in der EU bleiben

Bei DSGVO-konformer KI geht es weniger um das Modell als um den Weg, den Ihre Daten nehmen. Fügt eine Mitarbeiterin eine Kunden-E-Mail in einen Chatbot ein oder ruft ein Agent ein Modell über eine API auf, gehen personenbezogene Daten an einen Anbieter, der als Ihr Auftragsverarbeiter handelt. Dort werden sie oft bis zu 30 Tage zur Missbrauchsüberwachung gespeichert und unter Umständen außerhalb der EU verarbeitet, sofern Sie nichts anderes wählen. Um konform zu bleiben, brauchen Sie vier Dinge: einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, ein Deployment, das Daten in der EU oder in Deutschland verarbeitet, abgeschaltetes Training mit Ihren Daten und eine Rechtsgrundlage für jede Übermittlung in die USA.

Dieser Leitfaden gibt den Stand vom 11. Oktober 2026 wieder. Die Optionen der Anbieter ändern sich alle paar Monate, prüfen Sie jede Einstellung also in Ihrem eigenen Vertrag und Ihrer eigenen Konsole.

#Wohin Ihre Daten gehen, wenn jemand ein KI-Modell nutzt

Ein einzelner Prompt macht selten nur einen Weg. Zeichnen Sie diese Stationen auf, bevor Sie darüber diskutieren, welches Modell das beste ist, denn jede ist ein Empfänger, ein Speicherort oder beides.

1. Die Oberfläche. Ein Chat im Browser, ein Office-Add-in, ein CRM-Plugin. Verbraucher- und Business-Tarife haben unterschiedliche Bedingungen, selbst beim selben Anbieter.
2. Ihre Orchestrierungsschicht. Der Server oder das Low-Code-Tool, das den Prompt zusammensetzt und den Zustand speichert. Ist das ein in den USA gehostetes SaaS, haben die Daten die EU verlassen, bevor irgendein Modell sie sieht.
3. Der Modell-Endpunkt. Wo die Inferenz physisch läuft. „Globale“ Deployments können eine Anfrage in jede Region mit freier Kapazität leiten.
4. Sicherheitsspeicher des Anbieters. Die meisten Anbieter speichern Prompts und Ausgaben zur Missbrauchsüberwachung, typischerweise bis zu 30 Tage, sofern Sie nicht für Zero Data Retention freigeschaltet sind.
5. Zustandsbehaftete Funktionen. Threads, gespeicherte Antworten, Dateien, Vektorspeicher und Caches bleiben bestehen, bis Sie sie löschen.
6. Werkzeuge, die der Agent aufruft. Websuche, Grounding, E-Mail, Ticketsystem. Jeder Tool-Aufruf kann personenbezogene Daten an einen weiteren Empfänger senden.
7. Ihre eigenen Protokolle. Prompt-Logs, Tracing-Werkzeuge und Evaluierungsdatensätze enthalten oft die vollständigste Kopie von allem.

#Verantwortlicher, Auftragsverarbeiter und der AVV

Entscheidet Ihr Unternehmen, warum und wie personenbezogene Daten in einen KI-Dienst gehen, sind Sie Verantwortlicher. Ein Anbieter, der das Modell nur nach Ihren Weisungen betreibt, etwa Microsoft bei Azure OpenAI oder AWS bei Bedrock, ist in der Regel Ihr Auftragsverarbeiter. Die DSK, das gemeinsame Gremium der deutschen Datenschutzaufsichtsbehörden, sieht das ebenso: Wer eine externe KI-Anwendung in der Cloud für eigene Zwecke nutzt, begründet meist eine Auftragsverarbeitung nach Art. 28, die einen Vertrag erfordert. Betreiben Sie ein Open-Weight-Modell auf eigenen Servern für eigene Zwecke, sind Sie in der Regel alleiniger Verantwortlicher, und es gibt keinen Modellanbieter, mit dem Sie einen Vertrag schließen müssten.

In der Praxis ist der AVV der Standardnachtrag des Anbieters zu seinen Enterprise- oder API-Bedingungen. Verbraucherkonten kommen meist ohne. Die DSK geht davon aus, dass die unkontrollierte Nutzung solcher Tools durch Beschäftigte in vielen Organisationen längst Realität ist: Schließen Sie diese Lücke zuerst.

• Verarbeitung nur auf Ihre dokumentierte Weisung, einschließlich keiner Nutzung Ihrer Daten zum Training der Modelle des Anbieters (Art. 28 Abs. 3 lit. a).
• Eine aktuelle Liste der Unterauftragsverarbeiter mit ihren Standorten und ein Widerspruchsrecht gegen neue (Art. 28 Abs. 2 und 4).
• Wo Verarbeitung und Speicherung stattfinden, getrennt ausgewiesen, einschließlich Supportzugriffen von außerhalb der EU.
• Aufbewahrungsfristen für Prompts, Ausgaben, Dateien und Protokolle sowie Löschung bei Vertragsende (Art. 28 Abs. 3 lit. g).
• Der Übermittlungsmechanismus für alles, was außerhalb des EWR verarbeitet wird: Angemessenheitsbeschluss, Standardvertragsklauseln oder beides.
• Sicherheitsnachweise, etwa eine Zertifizierung nach ISO/IEC 27001 oder ein BSI-C5-Testat.

#Drittlandübermittlung: Data Privacy Framework, SCC und CLOUD Act

Kapitel V der DSGVO (Art. 44 bis 49) erlaubt Übermittlungen außerhalb des EWR nur auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien wie Standardvertragsklauseln (SCC) oder einer eng gefassten Ausnahme. Für die USA ist der Angemessenheitsbeschluss das EU-US Data Privacy Framework vom 10. Juli 2023. Es erfasst nur US-Unternehmen, die sich selbst zertifiziert haben, prüfen Sie also jeden Anbieter auf der offiziellen DPF-Liste.

Stand 11. Oktober 2026: Das Framework gilt. Das Gericht der EU hat die Nichtigkeitsklage von Philippe Latombe am 3. September 2025 abgewiesen (Rechtssache T-553/23); sein Rechtsmittel (Rechtssache C-703/25 P) ist beim Gerichtshof anhängig. Am 29. Juni 2026 entschied der US Supreme Court in Trump v. Slaughter, dass der Präsident FTC-Kommissare nach Belieben abberufen darf. Die Unabhängigkeit der FTC ist eine tragende Säule des Angemessenheitsbeschlusses; noyb hat die Kommission deshalb aufgefordert, ihn zurückzunehmen, und eine weitere Klage angekündigt. Bis ein Gericht oder die Kommission handelt, bleiben Übermittlungen an zertifizierte Unternehmen rechtmäßig.

SCC (Durchführungsbeschluss (EU) 2021/914 der Kommission) erfordern ein Transfer Impact Assessment: Untergräbt US-Recht, insbesondere die Überwachung nach FISA Section 702, die Klauseln, und welche zusätzlichen Maßnahmen schließen die Lücke? Ein Modell muss Klartext lesen, um zu antworten. Verschlüsselung hilft daher nur bei der Übertragung und im Ruhezustand; den größten Teil der Arbeit leistet die Minimierung dessen, was Sie senden.

EU-Datenresidenz beendet die Diskussion nicht. Der US CLOUD Act erlaubt US-Behörden, von US-Anbietern die Herausgabe von Daten in deren Besitz, Gewahrsam oder Kontrolle zu verlangen, gleich wo sie gespeichert sind. Die Verarbeitung in Frankfurt durch die EU-Gesellschaft eines US-Anbieters ist für sich keine Übermittlung. Nach Auffassung des EDSA ist das Risiko widersprüchlicher nationaler Gesetze oder unverhältnismäßiger staatlicher Zugriffe bei der Wahl eines Auftragsverarbeiters dennoch abzuwägen. Für die meisten Geschäftsdaten ist das ein dokumentierbares Risiko; bei Berufsgeheimnissen wählen viele Organisationen einen Anbieter in europäischer Hand oder hosten selbst.

#Optionen zur EU-Datenresidenz bei den großen Anbietern

Jede große Plattform bietet inzwischen Verarbeitung in der EU an, die Voreinstellungen unterscheiden sich aber. Die Tabelle gibt die Dokumentation der Anbieter mit Prüfstand Oktober 2026 wieder.

Zwei Unterscheidungen zählen mehr als die Marke. Speicherort und Verarbeitungsort sind getrennte Zusagen: Mehrere „globale“ Optionen speichern Daten in der EU, lassen die Inferenz aber anderswo laufen. Und die EU-Region eines US-Anbieters löst die Übermittlungsfrage, nicht die Frage des CLOUD Act.

Selbst hosten ist realistisch geworden. Mit Retrieval-Augmented Generation (RAG) reicht ein mittelgroßes Open-Weight-Modell, das aus Ihren eigenen Dokumenten antwortet, für interne Suche und Entwürfe oft aus. Die RAG-Orientierungshilfe der DSK vom Oktober 2025 hält fest, dass so kleinere, lokal betriebene Modelle möglich werden, ohne personenbezogene Daten an Hyperscaler weiterzugeben, RAG aber ein rechtswidrig trainiertes Modell nicht heilt.

#Training mit Ihren Daten, Protokollierung und Aufbewahrung

Die Business- und API-Bedingungen der großen Anbieter schließen das Training mit Ihren Prompts ohne Erlaubnis aus. Verbrauchertarife sind anders. OpenAI und Anthropic lassen Verbraucher entscheiden, ob Chats künftige Modelle trainieren, und Anthropic speichert Verbraucherchats bis zu fünf Jahre, wenn ein Nutzer das Training erlaubt. Deshalb will die DSK Beschäftigte auf Firmenkonten sehen, mit standardmäßig abgeschaltetem Training und Chatverlauf.

• Missbrauchsüberwachung der Anbieter. Standardmäßig bis zu 30 Tage bei OpenAI und bei einigen Bedrock-Modellen; Azure speichert zur menschlichen Prüfung ausgewählte Prompts in Ihrer Geografie, sofern Sie nicht für eine angepasste Missbrauchsüberwachung freigeschaltet sind.
• Zero Data Retention. Bei den großen Anbietern für berechtigte Kunden verfügbar, meist aber nicht für zustandsbehaftete Funktionen wie Dateien, Vektorspeicher oder Codeausführung.
• Zustandsbehaftete Funktionen. Gespeicherte Antworten, Threads und hochgeladene Dateien bleiben, bis Sie sie löschen. Schalten Sie die Speicherung ab, wo Sie keinen Verlauf brauchen.
• Ihre eigenen Protokolle. Legen Sie eine Frist fest (etwa 30 Tage für vollständige Prompt-Logs), pseudonymisieren Sie Nutzerkennungen, beschränken Sie den Zugriff und löschen Sie automatisch. Art. 5 Abs. 1 lit. e verlangt das, und ein Protokoll, das Sie nicht aufbewahren, kann nicht abfließen.

Prompt-Logs, die Beschäftigte identifizieren, können Verhalten oder Leistung überwachen. Das löst das Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG aus. Vereinbaren Sie die Protokollierung deshalb vor der Einführung in einer Betriebsvereinbarung.

#Was die DSK erwartet und wann Sie eine DSFA brauchen

Drei Papiere der DSK sind für KI-Anwender maßgeblich: die Orientierungshilfe zu KI und Datenschutz vom Mai 2024, die Orientierungshilfe zu technischen und organisatorischen Maßnahmen vom Juni 2025 und die Orientierungshilfe zu RAG vom Oktober 2025. Sie sind nicht verbindlich, zeigen aber, wie die Behörden, die Sie prüfen würden, die DSGVO lesen.

Gemeint sind Systeme, bei denen Sie Ein- und Ausgaben kontrollieren und der Anbieter nicht damit trainiert. Dieselbe Orientierungshilfe verlangt, dass Sie prüfen, ob das Modell rechtmäßig trainiert wurde, das Training mit Ihren Eingaben nach Möglichkeit ausschließen, schriftlich intern regeln, welche Tools wofür genutzt werden dürfen, und Beschäftigten dienstliche Geräte und Konten statt privater zur Verfügung stellen.

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat, und die DSK geht davon aus, dass das bei vielen KI-Einsätzen der Fall ist. Ihre Muss-Liste für den nicht öffentlichen Bereich nennt unter Nr. 11 den Einsatz von KI zur Verarbeitung personenbezogener Daten, um die Interaktion mit Betroffenen zu steuern oder persönliche Aspekte zu bewerten, mit KI im Kundensupport als Beispiel. Typische Auslöser:

• Ein Chatbot oder Voice-Agent im Kundenkontakt, der personenbezogene Daten verarbeitet.
• KI, die Menschen bewertet, reiht oder profiliert: Bewerber, Beschäftigte, Kredit- oder Betrugsrisiko.
• Besondere Kategorien personenbezogener Daten nach Art. 9, etwa Gesundheitsdaten, oder Daten über Kinder.
• Systematische Überwachung von Beschäftigten, einschließlich der Auswertung ihrer Prompts.

Bleibt ein hohes Restrisiko, verlangt Art. 36, dass Sie vor dem Start die Aufsichtsbehörde konsultieren. Fragen Sie Anbieter früh nach der Dokumentation, die Sie für die Risikobewertung brauchen.

#Welches Setup zu welchen Daten passt

Ein durchgerechnetes Beispiel

Ein fiktives Logistikunternehmen mit 400 Beschäftigten in Nordrhein-Westfalen möchte einen Agenten, der rund 1.500 Kunden-E-Mails pro Woche liest, Antworten entwirft und das CRM aktualisiert. Die E-Mails enthalten Namen, Adressen und Beschwerden über beschädigte Ware: gewöhnliche personenbezogene Daten, aber im Kundenkontakt und in großem Umfang, also ist eine DSFA fällig.

Ein sinnvolles Setup: Orchestrierung im eigenen Azure-Tenant des Unternehmens in Deutschland, ein Modell-Deployment in der EU DataZone, gespeicherte Antworten abgeschaltet, Prompt-Logs 30 Tage mit pseudonymisierten Kennungen, CRM-Zugriff beschränkt auf Notizentwürfe und eine Person, die jede Antwort freigibt. Der AVV von Microsoft deckt die Verarbeitung ab, Framework und SCC decken verbleibende US-Zugriffe ab, und der Betriebsrat stimmt der Protokollierung zu.

#Checkliste: bevor Sie einschalten

#Wie wir Sie unterstützen

Bespoke IT Consultants baut KI-Agenten und Automatisierungen für Unternehmen in der DACH-Region, mit Hosting in der EU oder in Deutschland, gewählt je Anwendungsfall. Ein KI-Audit erfasst Ihre Tools, Datenflüsse und Lücken, oder sprechen Sie uns an, um einen konkreten Anwendungsfall durchzugehen. Für die rechtliche Freigabe ziehen Sie Ihren Datenschutzbeauftragten hinzu und bei hohem Risiko eine Anwältin oder einen Anwalt.