DSGVO und KI-Agenten: Auftragsverarbeitung und Serverstandort

Die DSGVO gilt für KI-Anwendungen genauso wie für jede andere Software, die personenbezogene Daten verarbeitet — Name, E-Mail-Adresse oder Unterschrift auf einer Rechnung reichen dafür bereits aus. Die KI-Verordnung kommt ergänzend hinzu, ersetzt die DSGVO aber nicht.

Auftragsverarbeitung ist die Regel, nicht die Ausnahme

Wird ein KI-Modell eines Drittanbieters eingebunden — etwa für Texterkennung oder Sprachverarbeitung —, braucht es dafür in aller Regel einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Vor dem Einsatz sollte deshalb klar sein, wer in welcher datenschutzrechtlichen Rolle handelt, und mit welchem Anbieter ein AVV geschlossen werden muss.

Warum der Serverstandort eine Entscheidung ist, keine Formsache

Betrieb in der EU oder im eigenen Haus schafft einen klar umrissenen rechtlichen Rahmen und ist besonders bei personenbezogenen oder sensiblen Geschäftsdaten oft das entscheidende Kriterium. Wird dennoch außerhalb der EU verarbeitet, braucht es eine eigene Rechtsgrundlage für den Drittlandtransfer, üblicherweise Standardvertragsklauseln der EU-Kommission.

Was die Aufsichtsbehörden dazu sagen

Die Datenschutzkonferenz (DSK) — das Gremium der deutschen Datenschutzaufsichtsbehörden — hat dazu eine eigene Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ veröffentlicht. Sie hält unter anderem fest, welche technischen und organisatorischen Maßnahmen bei Entwicklung und Betrieb von KI-Systemen zu erwarten sind, etwa vollständige Protokollierung und konsequente Datenminimierung.

Was das für einen Fertigungsbetrieb bedeutet

In der Praxis heißt das: vor dem ersten Rollout klären, welche personenbezogenen Daten ein Agent überhaupt sieht, wo er läuft, welcher Anbieter im Hintergrund beteiligt ist und ob dafür ein AVV vorliegt. Das ist kein einmaliges Häkchen, sondern Teil der Systemauswahl — deshalb hängen wir jedes System, das wir bauen, standardmäßig an das an, was Sie ohnehin betreiben: Ihr eigener Server oder ein europäisches Rechenzentrum, mit Auftragsverarbeitungsvertrag und lückenloser Protokollierung.