Kurz gesagt: KI DSGVO konform einzusetzen ist keine Frage des Modells, sondern des Vertrags, des Speicherorts und des Zwecks. Wer klärt, wer verarbeitet, wozu, wo und wie lange, hat den größten Teil erledigt. Die häufigste Lücke im Mittelstand ist nicht das fehlende Tool, sondern der fehlende Auftragsverarbeitungsvertrag. Und: Internes Firmenwissen und Kundenkommunikation sind zwei verschiedene Fälle, die getrennt bewertet gehören.
Inhalt
- Die vier Fragen, die vor jedem Tool kommen
- Intern und extern sind zwei verschiedene Fälle
- Wo die Daten liegen: EU, Deutschland, Eigenbetrieb
- Was das im E-Commerce konkret heißt
- Der AI Act kommt obendrauf
- Fazit
Die vier Fragen, die vor jedem Tool kommen
Die meisten Gespräche über KI und Datenschutz starten bei der Toolauswahl. Das ist der falsche Einstieg. Ob ihr KI DSGVO konform betreiben könnt, entscheidet sich an vier Fragen, die unabhängig vom Anbieter sind.
Wer verarbeitet? Sobald ein externer Dienst personenbezogene Daten für euch verarbeitet, braucht ihr einen Auftragsverarbeitungsvertrag, kurz AVV. Das ist der Vertrag nach Artikel 28 DSGVO, in dem der Anbieter zusagt, nur auf eure Weisung zu handeln. Bei den kostenlosen Consumer-Versionen der großen KI-Dienste gibt es diesen Vertrag schlicht nicht. Und wenn ihr mehrere Modelle nutzt, klärt vorher, ob ihr pro Anbieter einen eigenen AVV braucht oder ob die Plattform die Auftragsverarbeitung bündelt. Das entscheidet, ob ihr einen Vertrag verhandelt oder fünf. Das ist die Lücke, die am leichtesten übersehen wird: Ein Team arbeitet seit Monaten produktiv mit einem Tool, für das nie jemand einen AVV abgeschlossen hat.
Wozu? Die Zweckbindung aus Artikel 5 verlangt, dass Daten nur für den Zweck genutzt werden, für den sie erhoben wurden. Eine Support-Mail wurde geschrieben, damit jemand ein Problem löst. Sie wurde nicht geschrieben, damit ein Modell daraus lernt. Genau deshalb ist die Zusage „kein Training auf euren Daten" kein Marketing-Detail, sondern der Kern.
Wo? Verarbeitung außerhalb der EU ist nicht verboten, aber sie braucht eine Rechtsgrundlage und Dokumentation. Verarbeitung innerhalb der EU spart euch diese Diskussion. Verarbeitung in Deutschland spart sie euch auch gegenüber einem Betriebsrat oder einem Kunden aus dem öffentlichen Sektor, der genauer hinschaut.
Wie lange? Prompts, Antworten und Chatverläufe sind Daten. Ohne Löschkonzept wächst im Hintergrund ein Archiv, das niemand geplant hat. Wer KI DSGVO konform aufsetzen will, definiert Aufbewahrungsfristen, bevor das erste Team produktiv geht, nicht danach.
Das ersetzt keine Rechtsberatung. Es ist die Liste, mit der ihr in ein Gespräch mit eurem Datenschutzbeauftragten geht, ohne dass es beim ersten Satz endet.
Intern und extern sind zwei verschiedene Fälle
Hier wird es in der Praxis unsauber. „Wir nutzen KI" beschreibt zwei völlig verschiedene Verarbeitungen, und sie werden fast immer in einen Topf geworfen.
Intern: KI auf dem eigenen Firmenwissen. Ein Assistent, der Meetings, Mails, Dokumente und Systeme kennt und daraus antwortet. Datenschutzrechtlich geht es hier vor allem um Beschäftigtendaten und um Zugriffsrechte. Die entscheidende Frage lautet nicht „darf die KI das lesen", sondern „darf die Person, die fragt, das lesen". Dafür gibt es zwei Wege. Sie unterscheiden sich nicht im Datenschutzniveau, sondern in dem, was das System danach überhaupt kann.
Durchreichen. Der Assistent fragt bei jeder Anfrage das Quellsystem, im Namen der fragenden Person. Die Rechte stimmen dann automatisch, weil die Quelle sie durchsetzt. Das ist der einfachste Weg, und er ist der Grund, warum viele Anbindungen genau so gebaut sind. Der Preis: Der Assistent hat nur das, was die Quelle in diesem Moment herausgibt. Zusammenhänge über mehrere Systeme hinweg entstehen so nicht, und bei Tabellen, Bildern, Audio und Video hört es meist ganz auf.
Eigene Wissensschicht. Das System hält Wissen selbst und kann Personen, Kunden, Projekte und Produkte miteinander in Beziehung setzen. Damit beantwortet es Fragen, für die es sonst drei Systeme und einen Menschen bräuchte. Dann muss aber entschieden werden, was wo landet und wer Zugang dazu hat. Diese Entscheidung ist der Preis für die Fähigkeit, nicht ein Versäumnis.
Nicht tragfähig ist nur die dritte Variante: alles in einen Topf, und die Suche regelt den Rest. Aus einem gepflegten Berechtigungskonzept wird so innerhalb eines Tages eine Volltextsuche über alles.
Der wichtigste Schalter ist der Standardzustand. Wenn ohne ausdrückliche Entscheidung nichts in ein gemeinsames Wissen fließt, könnt ihr eine KI Wissensdatenbank schrittweise öffnen. Ist es umgekehrt, räumt ihr hinterher.
Dazu kommt: Antworten brauchen Quellen. Nicht nur, weil es die Qualität hebt, sondern weil ihr sonst bei einer Auskunftsanfrage nach Artikel 15 nicht sagen könnt, woher eine Aussage stammt.
Extern: KI in der Kundenkommunikation. Ein Chatbot im Shop, eine Antwort auf WhatsApp, ein Entwurf im Support-Postfach. Hier verarbeitet ihr Kundendaten, und der Kunde hat die Daten für seine Bestellung gegeben, nicht für euer Modell. Zusätzlich braucht es Transparenz: Der Kunde muss erkennen können, dass er mit einem System spricht.
Der Unterschied ist wichtig, weil daraus verschiedene Antworten folgen. Intern ist das Zugriffskonzept der Knackpunkt. Extern sind es Transparenz und die Frage, was ungeprüft rausgeht.
Wir bauen selbst an einem Produkt in diesem Feld, deshalb sei es offengelegt: manola ist unsere eigene KI-Plattform. Sie deckt beide Fälle ab, den Assistenten auf dem Firmenwissen und die Kundenkommunikation über Web-Chat, WhatsApp, Mail und Support-Postfach.
Wir haben uns für den zweiten Weg entschieden, weil der erste zu wenig kann. manola hält Beziehungen zwischen Personen, Kunden, Projekten und Produkten und folgt ihnen bei einer Frage, statt nur nach ähnlichen Textstellen zu suchen. Deshalb kann eine Antwort den Rahmenvertrag, das Jour fixe und die Ausnahme für eine Sonderserie gleichzeitig kennen.
Das Rechtemodell folgt daraus. Wissen liegt in Wissensbereichen, die ihr frei schneidet, nach Kunde, Projekt, Team oder Bereich. Beim Anlegen einer Anbindung wird festgelegt, aus welchem Bereich sie liest und in welchen sie schreibt, bei Confluence oder Jira je Space und Projekt einzeln. Und ohne ausdrückliche Entscheidung fließt nichts irgendwohin. Eine Besprechung gehört zunächst denen, die teilgenommen haben, und jede von ihnen kann sie in einen Wissensbereich freigeben, nicht an eine zusammengeklickte Personenliste.
Für die Außenwirkung gilt der Punkt aus diesem Abschnitt: Wir zeigen die Variante, bei der die KI entwirft und ein Mensch freigibt. Das ist keine Bequemlichkeitsfunktion, sondern unsere Antwort auf die Frage, wer haftet, wenn ein Bot etwas Falsches zusagt.
Wo die Daten liegen: EU, Deutschland, Eigenbetrieb
Beim Speicherort gibt es drei Stufen, und sie unterscheiden sich in Aufwand und in dem, was ihr einem prüfenden Gegenüber zeigen könnt.
EU-Region. Der pragmatische Standard. Verarbeitung bleibt im europäischen Rechtsraum, die Diskussion über Drittlandtransfer entfällt. Für die meisten Mittelständler ist das die Stufe, die reicht.
Deutschland. Hier geht es um mehr als um ein Etikett. Der US CLOUD Act verpflichtet US-Anbieter, Daten herauszugeben, auch wenn diese in Europa liegen. Wer diesen Zugriff vollständig ausschließen will, kommt mit einer EU-Region eines US-Konzerns nicht ans Ziel, sondern braucht einen Betreiber ohne US-Bindung. Das ist der harte Kern der Souveränitätsfrage, und er entscheidet Projekte bei Betriebsräten, öffentlichen Auftraggebern und überall dort, wo besonders sensible Daten im Spiel sind.
Eigenbetrieb. Modelle und Plattform laufen bei euch. Maximale Kontrolle, dafür tragt ihr Betrieb, Updates und Verfügbarkeit selbst. Das lohnt sich, wenn Datensouveränität eine harte Anforderung ist, und selten davor.
Ein Hinweis, der oft untergeht: Diese Stufen betreffen die Verarbeitung, nicht automatisch das Modell. Eine Plattform kann in der EU laufen und trotzdem Anfragen an ein Modell außerhalb weiterreichen. Fragt konkret nach, wo die Modelle selbst betrieben werden. Bei manola sind das drei getrennte Stufen: Im Standard läuft die Plattform in einer EU-Region. Die zweite Stufe ist der dedizierte Betrieb in Deutschland: eine eigene Instanz je Kunde, betrieben von dasistweb bei der Schwarz Gruppe, also auf STACKIT. Genau für die Kunden, die den US CLOUD Act vollständig ausschließen wollen. Die Modelle laufen dabei im Eigenbetrieb, auf Wunsch die ganze Kette. Die dritte Stufe ist der Betrieb in eurer eigenen Infrastruktur. Trainiert wird auf keiner Stufe mit euren Daten, weder bei manola noch bei den Modellanbietern dahinter.
Was das im E-Commerce konkret heißt
Im Shop-Umfeld wird die Theorie schnell konkret, weil dort echte Kundendaten fließen.
Ein Chatbot, der nur eine FAQ-Seite kennt, ist harmlos und leider auch nutzlos. Interessant wird er erst, wenn er den Bestellstatus kennt, eine Retoure anstoßen und Produkte in den Warenkorb legen kann. Genau in diesem Moment verarbeitet er personenbezogene Daten aus Shop und ERP, dem System für Warenwirtschaft und Ressourcenplanung. Damit gelten alle vier Fragen aus dem ersten Abschnitt auf einmal.
Was daraus praktisch folgt:
- Nur die Daten anbinden, die der Anwendungsfall braucht. Ein Bot, der Lieferzeiten beantwortet, braucht keinen Zugriff auf die Zahlungshistorie.
- Chatverläufe mit Frist versehen. Sie sind der am schnellsten wachsende Datenbestand in jedem Chatbot-Projekt.
- Eskalation an Menschen einbauen. Nicht nur aus Servicegründen. Ein System, das bei Unsicherheit weiterreicht, produziert weniger falsche Zusagen.
- Erkennbar machen, dass es ein System ist. Das ist die günstigste Maßnahme im ganzen Projekt.
Eine Trennlinie hilft dabei mehr als jede Richtlinie: Produktberatung erklärt den Artikel, den der Kunde gerade anschaut. Ein Verkaufs-Agent findet den Artikel, den der Kunde noch nicht kennt. Das ist keine Wortklauberei, sondern eine Datenfrage. Für die Beratung reichen Seiteninhalt, Datenblatt, Bestand und Varianten dieses einen Artikels. Der Verkaufs-Agent braucht Katalog, Kundenkonto und frühere Bestellungen.
Wer diese Stufen trennt, erfüllt die Datenminimierung nebenbei. In manola ist es genau so gebaut: Ohne den Zusatz gibt es keine Katalogsuche, keine Bestellhistorie und keinen Warenkorb-Zugriff. Das Werkzeug fehlt, es wird nicht per Anweisung untersagt. Der Unterschied zählt, weil eine Anweisung sich umgehen lässt und ein fehlender Zugriff nicht.
Wenn ihr an diesem Punkt steht, hilft ein Blick auf die Vorstufe: Ohne saubere Produkt- und Stammdaten liefert auch die beste Anbindung schlechte Antworten. Das ist ein eigenes Thema, und es kommt zeitlich vor der Datenschutzfrage.
Der AI Act kommt obendrauf
Die DSGVO regelt personenbezogene Daten. Der EU AI Act regelt den Einsatz von KI-Systemen, unabhängig davon, ob Personenbezug vorliegt. Beides gilt parallel, das eine ersetzt das andere nicht.
Für den Mittelstand sind vor allem zwei Artikel relevant. Artikel 50 verlangt, dass Menschen erkennen können, wenn sie mit einem KI-System sprechen. Das betrifft jeden Kundenchat und ist der Grund, warum die Kennzeichnung kein optisches Detail ist. Dazu kommt Artikel 4, die Pflicht zur KI-Kompetenz. Wer KI einsetzt, muss dafür sorgen, dass die Menschen, die damit arbeiten, das nötige Verständnis haben. Das ist keine formale Zertifizierung, aber es ist auch nicht nichts. Wer KI DSGVO konform aufstellt und den AI Act ignoriert, hat die halbe Strecke geschafft.
Fazit
KI DSGVO konform zu betreiben ist machbar, und zwar ohne juristisches Großprojekt. Der Weg führt über vier Fragen: Wer verarbeitet, wozu, wo und wie lange. Wer die beantwortet, hat eine Grundlage, auf der sich Tools vergleichen lassen.
Zwei Punkte, die dabei regelmäßig untergehen: Erstens wird intern und extern in einen Topf geworfen, obwohl die Antworten unterschiedlich ausfallen. Zweitens wird der Speicherort als gelöst betrachtet, obwohl nur die Plattform in der EU liegt und die Modelle woanders.
Und ein dritter, unbequemer: Der unauffälligste Fehler ist nicht das falsche Tool. Es ist das richtige Tool ohne Vertrag, das ein Team seit einem halben Jahr nutzt, ohne dass jemand gefragt hat.