DSGVO-konforme KI: Anbieter, Hosting und Datenflüsse prüfen

Die Frage lautet selten, ob ein Unternehmen KI datenschutzkonform einsetzen kann. Sie lautet, wie der Datenfluss aussieht: Welche personenbezogenen Daten gehen in das System? Wer verarbeitet sie in wessen Auftrag und an welchem Ort? Und was passiert danach mit Eingaben, Ausgaben und Protokollen?

Dieser Leitfaden zeigt, wie Sie Anbieter, Betriebsmodelle und Konfigurationen für DSGVO-konforme KI prüfen: vom Vertrag über den Verarbeitungsort bis zum Trainingsausschluss, mit Checkliste und den fünf häufigsten Irrtümern. Stand: September 2026. Der Beitrag ordnet die Rechtslage allgemein ein und ersetzt keine Rechtsberatung im Einzelfall.

DSGVO-konforme KI bedeutet, dass personenbezogene Daten beim Einsatz eines KI-Systems rechtmäßig, zweckgebunden, sicher und nachvollziehbar verarbeitet werden. Konform ist deshalb nie ein Produkt an sich, sondern immer eine bestimmte Verarbeitung in einem bestimmten Unternehmen.

Die Rollen sind schnell verteilt. Ihr Unternehmen ist Verantwortlicher, weil es über Zweck und Mittel entscheidet. Der KI-Anbieter ist in aller Regel Auftragsverarbeiter, weil er Daten nur nach Ihren Weisungen verarbeitet. Nutzt ein Anbieter Ihre Daten für eigene Zwecke, etwa zum Training eigener Modelle, wird er für diese Verarbeitung selbst Verantwortlicher (Art. 28 Abs. 10 DSGVO). Genau deshalb ist der Trainingsausschluss keine Formalie, sondern der Kern der Kontrolle.

Vier Fragen klären den größten Teil der Bewertung:

• Welche Daten? Prompts, hochgeladene Dokumente, Nutzerkennungen, Protokolle. Auch scheinbar harmlose Freitextfelder enthalten häufig Namen, Kundennummern oder Gesundheitsangaben.
• Wer verarbeitet? Vertragspartner und alle Unterauftragsverarbeiter, einschließlich Hosting und Modellanbietern.
• Wo? Verarbeitungsort und Speicherort, getrennt betrachtet. Beides kann auseinanderfallen.
• Was passiert danach? Training, Aufbewahrung, Protokolle zur Missbrauchserkennung, Löschung am Vertragsende.

Eine hilfreiche Grundlage für die eigene Prüfung ist die Orientierungshilfe zu Künstlicher Intelligenz und Datenschutz der deutschen Datenschutzkonferenz (Mai 2024). Sie beschreibt, worauf Verantwortliche bei Auswahl, Rechtsgrundlage und Nutzung von KI-Anwendungen achten sollten.

Es gelten die bekannten Pflichten der DSGVO, von der Rechtsgrundlage über den Auftragsverarbeitungsvertrag bis zur Folgenabschätzung. Sie greifen ab dem ersten Prompt mit Personenbezug.

Neu ist vor allem, dass Daten im Dialog entstehen: Beschäftigte geben spontan ein, was sie gerade brauchen. Die Übersicht zeigt, was je Pflicht zu klären ist.

Der Bußgeldrahmen richtet sich nach der verletzten Norm. Verstöße gegen die Pflichten zur Auftragsverarbeitung fallen unter Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Verstöße gegen die Verarbeitungsgrundsätze, gegen Betroffenenrechte oder gegen die Regeln zur Drittlandübermittlung fallen unter Absatz 5 mit bis zu 20 Mio. € oder 4 %. In der Praxis liegen Bußgelder gegen Mittelständler deutlich darunter: In einem früh bekannt gewordenen Fall verhängte die Hamburgische Aufsichtsbehörde 5.000 € für einen fehlenden Auftragsverarbeitungsvertrag. Was in einen solchen Vertrag gehört, zeigt unser Leitfaden zum Auftragsverarbeitungsvertrag für KI-Dienste.

Ja, an zertifizierte Empfänger. Seit dem 10. Juli 2023 gilt der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, den das Gericht der EU im September 2025 bestätigt hat.

An US-Organisationen, die sich unter diesem Rahmen zertifiziert haben, dürfen personenbezogene Daten ohne zusätzliche Garantien übermittelt werden. Das Gericht der Europäischen Union hat den Beschluss am 3. September 2025 bestätigt und eine Nichtigkeitsklage abgewiesen (Rechtssache T-553/23, Latombe). Die Aussage „Schrems II macht US-Anbieter unzulässig" ist damit überholt.

Für die Praxis folgen daraus drei Schritte:

1. Empfänger prüfen. Ob ein US-Unternehmen zertifiziert ist, zeigt die öffentliche Liste des Data Privacy Framework. Maßgeblich ist die konkrete Gesellschaft, nicht der Markenname.
2. Ohne Zertifizierung: Garantien vereinbaren. Dann brauchen Sie Standardvertragsklauseln und eine Transfer-Folgenabschätzung, die das Recht im Empfängerland bewertet.
3. Risiko begrenzen. Wer Rechtsunsicherheit und behördliche Zugriffsrechte klein halten will, hält die Verarbeitung im EWR. Dann findet schlicht keine Übermittlung statt.

Ein Angemessenheitsbeschluss ist außerdem kein Dauerzustand: Die EU-Kommission überprüft ihn regelmäßig, und gerichtliche Überprüfungen bleiben möglich. Wer heute plant, sollte deshalb wissen, wie schnell sich Anbieter oder Region wechseln ließen. Diese Wechselfähigkeit gehört in die Architekturentscheidung, nicht in die Schublade.

Beides zählt, aber für verschiedene Fragen: Der Serverstandort entscheidet, ob eine Drittlandübermittlung stattfindet, der Sitz des Anbieters, welchem Recht er unterliegt.

Der US-amerikanische CLOUD Act knüpft an das Unternehmen an, nicht an den Standort der Festplatte: Ein US-Konzern kann auch zur Herausgabe von Daten aus einem europäischen Rechenzentrum verpflichtet werden.

Für die meisten Mittelständler ist EU-Hosting bei einem großen Anbieter ein tragfähiger Weg, weil es Übermittlungen vermeidet und Verträge, Zertifizierungen und Protokolle mitbringt. Wer Zugriffsrechte ausländischer Behörden vollständig ausschließen muss, braucht einen Anbieter ohne US-Bezug oder den Betrieb in eigener Infrastruktur. Die Abwägung dahinter beschreibt der Beitrag zu souveräner KI und dem CLOUD Act.

Vier Modelle sind im Mittelstand üblich. Sie unterscheiden sich weniger in der Modellqualität als in Vertragspartner, Verarbeitungsort und Aufwand.

Offene Modelle im Eigenbetrieb sind die strengste, aber auch die teuerste Variante. Wann sie sich lohnt und was sie voraussetzt, zeigt der Beitrag zu Open-Source-Modellen im Self-Hosting.

Über den Verarbeitungsort entscheiden zwei Einstellungen: die Region der Ressource und der Bereitstellungstyp.

Nach der Dokumentation von Microsoft werden Prompts und Antworten in der von Ihnen gewählten Geografie verarbeitet, außer Sie nutzen einen Bereitstellungstyp vom Typ „Global" oder „DataZone". Bei „Global" kann die Verarbeitung in jeder Geografie stattfinden, in der das Modell bereitsteht. Bei „DataZone" mit einer Ressource in einem EU-Mitgliedstaat bleibt die Verarbeitung innerhalb der EU-Mitgliedstaaten. Gespeicherte Daten bleiben in beiden Fällen in der gewählten Geografie.

Wichtig für die Vertragsprüfung: Vertragspartner und Auftragsverarbeiter ist Microsoft. Prompts, Antworten und Trainingsdaten sind laut Dokumentation für OpenAI nicht zugänglich und werden nicht zur Verbesserung der Modelle genutzt; maßgeblich ist das Microsoft Products and Services Data Protection Addendum. Die verbreitete Darstellung einer Kette „Sie an Microsoft an OpenAI" ist damit falsch.

Ein Zugangsantrag für den Dienst ist nicht mehr nötig. Microsoft verlangt ein Registrierungsformular nur noch für Modelle mit eingeschränktem Zugang und für Anträge auf veränderte Inhaltsfilter oder veränderte Missbrauchsüberwachung (Limited Access). Wer heute direkt gegen die API eines Modellanbieters entwickelt, wechselt technisch im Wesentlichen Endpunkt und Schlüssel; der größere Teil der Arbeit liegt in Vertrag, Dokumentation und Freigaben.

Und bei AWS Bedrock oder Google Vertex AI?

Die Stellschrauben sind vergleichbar: Region beziehungsweise Inferenzprofil, private Netzanbindung, eigene Schlüssel, Protokollierung. Für Amazon Bedrock hält AWS in der Dokumentation zum Datenschutz ausdrücklich fest, dass die Modellanbieter keinen Zugriff auf Prompts, Antworten und Protokolle haben. Prüfen Sie bei jedem Anbieter die aktuelle Dokumentation zu Datenresidenz und Datennutzung, statt sich auf Marketingaussagen zu verlassen.

Die folgende Liste ordnet die Fragen, die in Ausschreibungen und Anbietergesprächen wirklich weiterhelfen. Sie ersetzt nicht die Prüfung von Rechtsgrundlage, Informationspflichten und gegebenenfalls einer Folgenabschätzung mit Ihrem Datenschutzbeauftragten.

Die meisten Fehlentscheidungen beim Datenschutz beruhen auf fünf Annahmen, die sich hartnäckig halten.

Irrtum 1: Ein VPN löst das Problem

Ein VPN schützt den Transportweg. Über den Verarbeitungsort sagt es nichts aus. Die Daten werden weiterhin dort verarbeitet, wo der Dienst läuft, und genau darauf kommt es an.

Irrtum 2: „Der Anbieter sagt, er sei DSGVO-konform"

Konformität ist eine Eigenschaft Ihrer Verarbeitung, nicht des Produkts. Fragen Sie deshalb nach prüfbaren Angaben: Vertragspartner, Verarbeitungsort, Aufbewahrung, Unterauftragsverarbeiter, Trainingsausschluss. Alles andere ist Werbung.

Irrtum 3: Wir anonymisieren vorher

Echte Anonymisierung ist aufwendig, weil Restinformationen und Kontext eine Re-Identifikation ermöglichen. Meist bleibt es bei einer Pseudonymisierung, und dann gilt die DSGVO weiter. Anonymisierung ist eine sinnvolle Ergänzung, aber kein Ersatz für Vertrag und Verarbeitungsort.

Irrtum 4: Für ein kleines Werkzeug braucht es keinen Vertrag

Die Pflicht aus Art. 28 DSGVO hängt nicht an der Größe des Werkzeugs, sondern daran, ob personenbezogene Daten im Auftrag verarbeitet werden. Gerade kleine, schnell eingeführte Werkzeuge fallen bei Prüfungen auf. Wie Sie unkontrollierte Nutzung sichtbar machen, zeigt der Beitrag zu Schatten-KI im Unternehmen.

Irrtum 5: Private Konten sind für den Anfang gut genug

Für private Konsumentenkonten gelten Verbraucherbedingungen ohne Auftragsverarbeitungsvertrag, und Eingaben können zur Verbesserung der Dienste genutzt werden. Für Unternehmensdaten mit Personenbezug sind sie deshalb ungeeignet. Bei API- und Unternehmensangeboten ist das anders: OpenAI etwa hält in der Entwicklerdokumentation fest, dass API-Daten seit März 2023 nicht zum Training genutzt werden, sofern Sie dem nicht ausdrücklich zustimmen.

An der DSGVO ändert sie nichts, aber sie gilt zusätzlich und stuft KI-Systeme nach ihrem Risiko ein.

Für die meisten Assistenz- und Automatisierungsfälle im Mittelstand bleiben Transparenzpflichten nach Art. 50 und die Pflicht, KI-Kompetenz zu fördern. Erst Anwendungen aus Anhang III, etwa in der Personalauswahl, lösen die strengen Hochrisiko-Pflichten aus.

Welche Pflichten aus DSGVO, KI-Verordnung, NIS2 und Data Act zusammenkommen, ordnet unser Compliance-Leitfaden für KI-Plattformen. Was die Kennzeichnung von Chatbots und KI-Inhalten konkret verlangt, steht im Beitrag zu den Transparenzpflichten nach Artikel 50.

Plotdesk verbindet eine KI-Plattform mit einem Umsetzungsteam für den Mittelstand und betreibt sie für jeden Kunden als dedizierte Instanz in der EU oder im eigenen Tenant. Grundlage ist ein DSGVO-konformer Auftragsverarbeitungsvertrag mit EU-Datenresidenz.

Für den Datenschutz sind drei Punkte entscheidend. Erstens der Betriebsort: Sie wählen zwischen Plotdesk Cloud mit Hosting in der EU, einer Private Cloud oder Ihrem eigenen Tenant, etwa in Azure.

Zweitens die Modellwahl: Im Model Garden stehen mehr als 100 Modellvarianten aus zehn Provider-Typen zur Verfügung, freigegeben je Team. Ein Team, das mit Bewerbungs- oder Kundendaten arbeitet, kann so auf Modelle mit Verarbeitung im EWR beschränkt werden, während andere Teams für unkritische Aufgaben eine breitere Auswahl nutzen.

Drittens die Nachvollziehbarkeit: Anmeldung über den eigenen Identitätsanbieter, Rollen mit mehr als 40 Berechtigungen, Audit-Logs sowie Nutzungs- und Kostenauswertungen. Wichtig für die Abstimmung mit Betriebsrat und Datenschutzbeauftragtem: Die Auswertungen reichen bis auf einzelne Personen. Legen Sie deshalb früh fest, wer welche Auswertungen sehen darf.

Der Weg zur geprüften KI-Nutzung folgt fünf Schritten, vom Inventar bis zum laufenden Betrieb.

KI und DSGVO schließen sich nicht aus. Wer die vier Fragen nach Daten, Beteiligten, Ort und Verbleib beantworten kann, hat den schwierigen Teil hinter sich. Der Rest ist Handwerk: Vertrag schließen, Konfiguration dokumentieren, Rollen und Fristen setzen, Beschäftigte informieren.

Drei Punkte bleiben hängen. Erstens: Übermittlungen in die USA sind seit 2023 auf Grundlage des Data Privacy Framework möglich, das Gericht der EU hat den Beschluss 2025 bestätigt. Zweitens: Ohne Auftragsverarbeitungsvertrag mit klarem Trainingsausschluss sollte kein personenbezogener Datensatz in ein KI-System gelangen. Drittens: Die Entscheidung über Betriebsmodell und Region ist eine Architekturentscheidung mit langer Halbwertszeit. Sie sollte deshalb nicht nebenbei im ersten Pilotprojekt fallen.