Start / Wissen

DSGVO-konforme KI: Die Checkliste für Unternehmen

Stand: 21. Juli 2026 · Team ki-agenten-lokal.de (Über uns)

„Ist ChatGPT DSGVO-konform?" ist die falsche Frage. Die richtige lautet: Ist euer konkreter Einsatz eines KI-Systems mit euren Daten DSGVO-konform? Die Antwort hängt davon ab, welche Daten in die KI fließen, wo das Modell läuft und welche Verträge und Dokumente existieren. Diese Checkliste geht die Pflichten der Reihe nach durch — und zeigt, welche davon bei lokal betriebenen Modellen schlicht entfallen.

Die Checkliste

1. Datenklassen klären: Was fließt überhaupt in die KI?

Personenbezogene Daten (Namen, Kundendaten, Personalunterlagen) lösen die DSGVO aus; besondere Kategorien nach Art. 9 (Gesundheit, Religion, Gewerkschaft) verschärfen die Anforderungen. Ohne eine Regel, welche Datenklassen in welche KI dürfen, ist jede weitere Maßnahme Makulatur — Schatten-KI über Privat-Accounts unterläuft sonst alles.

2. Rechtsgrundlage bestimmen (Art. 6)

Meist berechtigtes Interesse (Art. 6 Abs. 1 lit. f) oder Vertragserfüllung (lit. b). Die Abwägung gehört dokumentiert — insbesondere, warum die Verarbeitung durch ein KI-System erforderlich und verhältnismäßig ist.

3. Auftragsverarbeitung regeln (Art. 28)

Jeder Cloud-KI-Anbieter, der eure Daten verarbeitet, ist Auftragsverarbeiter — mit jedem muss ein Auftragsverarbeitungsvertrag (AVV) bestehen. In der Praxis scheitert das oft an der Kette: Das KI-Tool nutzt selbst Sub-Dienstleister, deren Konditionen ihr nicht kontrolliert. Bei lokalem Modellbetrieb entfällt dieser Punkt für den Kern der Verarbeitung vollständig — es gibt keinen externen Verarbeiter für das, was auf eurer Hardware läuft.

4. Drittlandtransfer prüfen (Art. 44 ff.)

US-Cloud-Anbieter bedeuten Datenübermittlung in ein Drittland. Die stützt sich aktuell auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln — beides ist rechtlich tragfähig, aber von politischen Entwicklungen abhängig (das Vorgänger-Abkommen Privacy Shield wurde 2020 vom EuGH gekippt, „Schrems II"). Lokale Verarbeitung macht diese gesamte Baustelle gegenstandslos: kein Transfer, keine Abhängigkeit von Angemessenheitsbeschlüssen.

5. Verarbeitungsverzeichnis ergänzen (Art. 30)

Jede KI-gestützte Verarbeitung gehört ins Verzeichnis der Verarbeitungstätigkeiten: Zweck, Datenkategorien, Empfänger, Löschfristen. Das gilt für Cloud wie lokal — lokal ist der Eintrag aber einfacher, weil Empfänger und Speicherorte im eigenen Haus liegen.

6. Datenschutz-Folgenabschätzung prüfen (Art. 35)

Bei voraussichtlich hohem Risiko — etwa systematischer Bewertung von Personen, Verarbeitung besonderer Kategorien in großem Umfang — ist eine DSFA Pflicht. KI-Systeme im Personalbereich sind ein klassischer Kandidat. Die Aufsichtsbehörden stellen Muss-Listen bereit; im Zweifel dokumentiert begründen, warum keine DSFA nötig ist.

7. Betroffenenrechte sicherstellen (Art. 15–22)

Auskunft, Berichtigung, Löschung müssen auch für KI-Verarbeitungen funktionieren. Kritisch bei Cloud-Diensten: Was der Anbieter aus euren Eingaben gemacht hat (Caching, Missbrauchs-Monitoring, ggf. Training), könnt ihr weder auskunftsfähig machen noch löschen lassen. Lokal gilt: Was in eurer Vektordatenbank liegt, könnt ihr finden, exportieren und löschen.

8. Trainingsnutzung ausschließen

Bei Cloud-Anbietern vertraglich prüfen, ob Eingaben zum Modelltraining verwendet werden — bei Consumer-Versionen ist das oft standardmäßig der Fall, bei Business-Tarifen abwählbar. Bei lokalen Open-Weight-Modellen stellt sich die Frage nicht: Das Modell lernt nichts, was ihr ihm nicht ausdrücklich per Fine-Tuning beibringt.

Cloud vs. lokal: Welche Pflichten bleiben?

Kurz: Lokale KI ist nicht automatisch DSGVO-konform — aber sie streicht die drei Baustellen, die bei Cloud-KI am schwersten zu kontrollieren sind (Auftragsverarbeitung, Drittlandtransfer, Trainingsnutzung), und verwandelt den Rest in interne Hausaufgaben.

Verwandte Leitfäden: EU AI Act für den Mittelstand · On-Premise LLM: Modelle, Hardware, Kosten