Wohin die Daten gehen: KI-Systeme erklärt für Datenschutzbeauftragte

Eine belastbare Antwort darauf, ob ein KI-System die Daten verarbeiten darf, die es braucht: Rechtsgrundlage, dokumentierter Datenfluss, Auftragsverarbeitungsverträge mit jedem Anbieter, der personenbezogene Daten sieht, eine DSFA, wo das Risiko hoch ist, und Regeln für die Beschäftigten. Datenschutz ist die größte Bremse für KI in deutschen Unternehmen. In der Bitkom-Befragung 2026 nannten KI-Nutzer Datenschutzanforderungen als größtes Hemmnis (66 %), und 45 % fürchteten, dass Unternehmensdaten in falsche Hände geraten. In der DIHK-Digitalisierungsumfrage 2026 war rechtliche Unsicherheit das größte Hemmnis bei der Datennutzung (59 %).

Der Druck kommt auch von Werkzeugen, die schon genutzt werden. Die Kanzlei Pöppel Rechtsanwälte wies 2026 darauf hin, dass der Arbeitgeber für die Verarbeitung verantwortlich bleibt, wenn Beschäftigte für ihre Arbeit personenbezogene Daten in ein KI-Werkzeug eingeben, und dass die Eingabe sensibler Informationen in ein generatives KI-Werkzeug den Geheimnisschutz nach dem GeschGehG beenden kann. In der IW-Befragung 2026 nutzen 29,1 % der Beschäftigten, die bei der Arbeit KI verwenden, Werkzeuge, die ihr Arbeitgeber nicht bereitgestellt hat.

Diese Fragen tauchen in Fachpresse, Kanzlei-FAQs und IT-Foren auf, in genau dieser Formulierung:

• „Wo werden meine Daten verarbeitet?“
• „Welche Daten dürfen überhaupt ins Modell?“
• „Wer darf was, mit welchen Daten, in welchem Kontext?“
• „Brauche ich für ChatGPT-Pro einen Auftragsverarbeitungsvertrag?“
• „Muss ich vor jedem KI-Einsatz eine DSFA machen?“
• „Ist eine Azure-OpenAI-Instanz in einer EU-Region vor dem CLOUD Act geschützt?“
• „Werden meine Prompts bei europäischen Modell-APIs zum Training verwendet?“
• „Was sollte protokolliert werden, und was nicht?“

• Welche Daten der Anwendungsfall braucht. Klassifizieren Sie sie, etwa öffentlich, intern, vertraulich, personenbezogen und besondere Kategorien, und lassen Sie weg, was der Anwendungsfall nicht braucht.
• Welche Betriebsart jede Datenklasse nutzen darf: SaaS-Werkzeug, eigenes Cloud-Konto oder eigene Server. Ein Gateway, also ein kontrollierter Zugangspunkt zu allen Modellen, kann die Regel durchsetzen, sodass unterschiedliche Daten an unterschiedliche Modelle gehen.
• Was protokolliert wird: welche Felder, zu welchem Zweck, wer sie lesen darf und wie lange.
• Welche Verträge: ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO mit jedem Anbieter, der in Ihrem Auftrag personenbezogene Daten verarbeitet, samt Liste der Unterauftragsverarbeiter.
• Ob eine DSFA nötig ist: nach Artikel 35 DSGVO dort, wo die Verarbeitung voraussichtlich ein hohes Risiko mit sich bringt, und zwar bevor sie beginnt.
• Regeln für Beschäftigte: welche Werkzeuge für welche Daten freigegeben sind, und ein freigegebenes Werkzeug, damit private Konten nicht die bequemere Wahl sind.

Die Betriebsarten unterscheiden sich darin, wo Prompts, Dokumente, Antworten und Protokolle verarbeitet werden und wessen Verträge und Recht für sie gelten.

• SaaS-Werkzeug, etwa ein Chat-Assistent mit Lizenz pro Person: Prompts, hochgeladene Dokumente und Antworten werden auf der Infrastruktur des Anbieters verarbeitet. Aufbewahrung, Nutzung für Training und die Protokolle des Anbieters richten sich nach seinen Bedingungen und Admin-Einstellungen, die außerhalb Ihrer Konfiguration liegen. Sie stützen sich auf den Auftragsverarbeitungsvertrag, die Liste der Unterauftragsverarbeiter und diese Einstellungen.
• Eigenes Cloud-Konto, etwa Azure OpenAI oder Amazon Bedrock: Anfragen werden vom Modelldienst unter dem Cloud-Vertrag, der Identitätsverwaltung und dem Netzwerk verarbeitet, die Sie schon betreiben, und Index, Dokumente und Protokolle bleiben in Ihrem Konto. Wo Anfragen verarbeitet werden, hängt neben der Region auch vom Bereitstellungstyp ab. Bei Azure kann eine globale Bereitstellung Anfragen außerhalb der gewählten Region leiten, während eine Bereitstellung in der EU-Datenzone die Verarbeitung in der EU hält. Beide Anbieter erklären, dass Prompts und Antworten in diesen Diensten nicht zum Training der Modelle genutzt und nicht an die Modellhersteller weitergegeben werden. Azure betreibt eine Missbrauchsüberwachung, bei der Daten für begrenzte Zeit gespeichert werden können.
• Eigene Server: Open-Weight-Modelle, deren Gewichte Sie selbst betreiben können, beantworten Anfragen in Ihrem Rechenzentrum, und kein Prompt, kein Dokument und kein Protokoll verlässt Ihr Netz. Betrieb und Sicherheit liegen bei Ihnen, mit den Betriebshandbüchern, die wir übergeben, oder bei uns im Auftrag.

Datenstandort und Rechtsordnung sind zwei verschiedene Fragen. Microsoft und Amazon sind US-Unternehmen, und eine EU-Region hebt die Reichweite von US-Recht wie dem CLOUD Act nicht von selbst auf. Für viele Unternehmen genügen Verträge, Verschlüsselung und Verarbeitung in der EU. Wo das für eine Datenklasse nicht reicht, ist die Antwort eigene Server oder ein EU-Anbieter, durchgesetzt über die Weiterleitungsregeln des Gateways, sodass diese Datenklasse nie das Modell eines US-Anbieters erreicht. Das beschreibt die technische Seite und ist keine Rechtsberatung. Die Entscheidung treffen Sie mit Ihren Juristen.

Jedes KI-System protokolliert etwas, und die Protokolle sind personenbezogene Daten, sobald sie sich Beschäftigten zuordnen lassen. Das Gateway, durch das jede Modellanfrage läuft, kann pro Anfrage Modell, Tokenzahlen, Kosten und Zeit erfassen, dazu Nutzer- oder Team-IDs, wenn der Schlüssel sie trägt. Prompts und Antworten werden nur gespeichert, wenn das eingeschaltet ist. Wir konfigurieren es so, und die Einstellungen stehen in der Systemdokumentation:

• Schlüssel pro Team, wo der Anwendungsfall es zulässt, damit Kosten ohne persönliche Kennung erfasst werden.
• Prompts und Antworten werden standardmäßig nicht gespeichert. Braucht ein Anwendungsfall sie, etwa zur Fehleranalyse, werden sie für einen vereinbarten Zweck und Zeitraum gespeichert.
• Kennungen vor der Speicherung pseudonymisiert, eine etwaige Zuordnung zu Personen liegt bei einer getrennten Rolle.
• Aufbewahrung im System eingestellt, sodass Protokolle nach der vereinbarten Frist automatisch gelöscht werden, auch in Exporten, im Monitoring und in Backups.
• Zugriffsrollen: der Betrieb sieht technische Protokolle, die Finanzabteilung sieht Kosten pro Team, Führungskräfte sehen keine personenbezogenen Daten.
• Ablaufspuren der Agenten landen in Ihrem eigenen Speicher.

• Personenbezogene Daten oder Geschäftsgeheimnisse in Prompts an nicht freigegebene Werkzeuge: ein freigegebener Assistent auf Unternehmensdaten, Regeln zu Datenklassen, die im Gateway durchgesetzt werden, und eine Nutzungsanalyse, die zeigt, welche KI-Werkzeuge bezahlt werden.
• Zugriff aus Drittländern: Datenklassen, die ihm nicht ausgesetzt werden dürfen, gehen nur an Modelle auf eigenen Servern oder bei einem EU-Anbieter, durchgesetzt über die Weiterleitung im Gateway.
• Training mit Ihren Daten: mit Ihnen gegen die aktuellen Bedingungen jedes Anbieters geprüft, in der Systemdokumentation festgehalten und auf eigenen Servern ganz ausgeschlossen.
• Zu weite Freigaben über die Suche: Ein Assistent kann Dokumente zeigen, die Menschen nicht sehen sollten, wenn Berechtigungen nicht übernommen werden. Berechtigungen aus SharePoint, Dateiablagen oder Ihrem Identitätsanbieter werden bei jeder Suche angewendet und vor dem Go-live getestet.
• Agenten mit zu vielen Rechten: Jeder Agent bekommt ein eigenes Konto mit den geringsten nötigen Rechten, schreibt nur über freigegebene Werkzeuge, und jeder Aufruf wird protokolliert.
• Löschung: An der Quelle gelöschte Dokumente werden durch Aktualisierungsjobs aus dem Index entfernt, Protokolle laufen nach ihrer Aufbewahrungsfrist ab, und am Vertragsende werden bei uns liegende Daten gelöscht oder zurückgegeben, wie es der Auftragsverarbeitungsvertrag festlegt.
• Protokolle, die zum Überwachungsinstrument werden: Feldliste und Aufbewahrung werden mit dem Betriebsrat vereinbart, und Berichte gehen nur aggregiert nach Team heraus.

Verlangen Sie von jedem Anbieter, auch von uns, prüfbare Unterlagen statt Zusicherungen:

• Ein Datenflussdiagramm vom Bildschirm der Nutzer bis zum Modell und zurück, mit jeder Stelle, an der Daten gespeichert oder protokolliert werden.
• Eine Liste der Datenkategorien je Komponente, mit Speicherort und Aufbewahrungsfrist.
• Den Auftragsverarbeitungsvertrag und die vollständige Liste der Unterauftragsverarbeiter, einschließlich Modellanbieter und Hosting.
• Die aktuellen Bedingungen zu Training und Aufbewahrung für jeden genutzten Modelldienst.
• Die Rollen- und Berechtigungsmatrix, einschließlich der Frage, wer Admin-Rechte am Gateway hat.
• Die technischen und organisatorischen Maßnahmen: Verschlüsselung, Netztrennung, Durchsetzung von Berechtigungen und Löschverfahren.
• Testergebnisse, die zeigen, dass Berechtigungen greifen: Niemand bekommt Antworten aus Dokumenten, die er nicht öffnen darf.

Wir liefern die oben genannten Unterlagen als technische Zuarbeit für Ihre DSFA und Ihr Verzeichnis von Verarbeitungstätigkeiten. Die rechtliche Bewertung bleibt bei Ihnen und Ihren Juristen, wir schreiben sie nicht. Wo wir in Ihrem Auftrag personenbezogene Daten verarbeiten, schließen wir einen Auftragsverarbeitungsvertrag. Wir arbeiten nur über die Zugänge, die Sie einräumen, und auf eigenen Servern müssen Daten Ihr Netz nie verlassen.

Meist holt Sie die IT-Leitung oder die Geschäftsführung dazu. Bitten Sie um ein kostenloses 30-minütiges Gespräch mit einem Engineer: Wir gehen den Datenfluss des geplanten Systems durch und die Betriebsart, die zu jeder Datenklasse passt. Das Gespräch braucht keinen Zugriff auf Systeme und keine Daten von Ihnen. Wenn Beschäftigte schon bezahlte KI-Werkzeuge nutzen, zeigt die kostenlose KI-Nutzungsanalyse, welche, auf Basis von Exporten, die nach Team aggregiert oder ohne Namen sind.