Die meisten Teams, die AI-Tools einführen, sind nicht leichtsinnig, sondern beschäftigt. Ein Tool löst ein echtes Problem, jemand schließt es an, und die Compliance-Fragen kommen später, meist aus dem Einkauf eines Kunden. Die gute Nachricht: Die Fragen sind vorhersehbar. Die DSGVO hat kein eigenes AI-Kapitel. Sie stellt dieselben Fragen wie immer, nur mit neuen Fehlerquellen.
Was verlangt die DSGVO beim Einsatz von AI-Tools?
Sobald ein AI-Tool personenbezogene Daten berührt, gilt der übliche Rahmen. Du bleibst Verantwortlicher: Du entscheidest, warum und wie Daten verarbeitet werden, und du bleibst dafür haftbar. Der AI-Anbieter ist typischerweise Auftragsverarbeiter und handelt auf deine Weisung. Daraus folgt die bekannte Checkliste: Rechtsgrundlage für die Verarbeitung, Transparenz gegenüber den Betroffenen, Zweckbindung und ein dem Risiko angemessenes Sicherheitsniveau.
Das AI-spezifische Extra betrifft vor allem die Datenflüsse. Ein Support-Ticket, das früher in deinem Helpdesk blieb, wandert jetzt vielleicht an eine Modell-API, womöglich bei einem anderen Unternehmen, womöglich in einem anderen Rechtsraum. Jeder dieser Sprünge braucht eine Antwort.
Und Menschen behalten ihre Rechte, auch wenn sich dein Tooling ändert. Auskunft, Berichtigung, Löschung, Widerspruch: Wenn ein Kunde wissen will, was du über ihn gespeichert hast, oder die Löschung verlangt, musst du auch über deine AI-Tools hinweg antworten können. Das wird schwierig, wenn personenbezogene Daten in Prompts, Logs und anbieterseitigen Speichern verstreut sind, die niemand katalogisiert hat. Die pragmatische Regel ist einfach: Je weniger personenbezogene Daten in die AI-Pipeline gelangen, desto kleiner die Fläche, die du bei einer Anfrage durchsuchen musst.
Was ist eine AVV und wann brauchst du sie?
Ein Auftragsverarbeitungsvertrag (AVV, englisch DPA) ist der Vertrag, den die DSGVO zwischen Verantwortlichem und Auftragsverarbeiter vorschreibt. Er legt fest, was der Anbieter mit den Daten tun darf, wie sie gesichert werden, welche Subunternehmer beteiligt sind und was bei der Löschung passiert. Wenn ein AI-Tool personenbezogene Daten in deinem Auftrag verarbeitet, und das tut fast jedes Tool, das E-Mails, Chats oder Kundenkonten sieht, ist die AVV kein optionaler Papierkram, sondern die rechtliche Basis der Zusammenarbeit.
Zwei praktische Checks: Bietet der Anbieter überhaupt eine AVV an, ohne Enterprise-Sales-Termin? Und lies die Subunternehmer-Liste. Dort erfährst du, welche Modellanbieter und Hoster deine Daten wirklich sehen.
Sind Transfers außerhalb der EU ein Problem?
Sie sind ein lösbares Problem, aber nur, wenn du weißt, dass sie stattfinden. Viele verbreitete Modell-APIs werden aus Drittländern betrieben, allen voran den USA. Transfers dorthin brauchen einen gültigen Mechanismus, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln, plus einen ehrlichen Blick darauf, ob die Garantien in der Praxis tragen. Die Alternative, die die Frage komplett vermeidet: EU-Hosting und EU-Verarbeitung, sodass die Daten die Grenze gar nicht erst überqueren.
Warum sind Audit-Logs bei AI-Inhalten so wichtig?
Der Rechenschaftsgrundsatz der DSGVO bedeutet: Du musst Compliance nachweisen können, nicht nur behaupten. Für AI-gestützte Abläufe heißt das konkret: ein Audit-Log. Wer hat diese AI-entworfene Antwort freigegeben? Wann? Was stand in der Version davor? Wenn eine Aufsichtsbehörde, ein Kunde oder deine eigene Anwältin fragt, wie ein veröffentlichter Inhalt entstanden ist, ist „das Modell hat das geschrieben“ keine Antwort. „Entworfen am 3., geprüft und freigegeben von M. am 5., überarbeitet nach einer Produktdaten-Änderung am 12.“ schon.
| Frage an deinen AI-Anbieter | Warum sie zählt |
|---|---|
| Gibt es eine AVV, inklusive Subunternehmer-Liste? | Ohne sie gibt es keine saubere Auftragsverarbeitung und keinen Einblick, wer deine Daten wirklich sieht. |
| Wo werden Daten gehostet und verarbeitet? | Reine EU-Verarbeitung erspart dir die komplette Drittland-Analyse. |
| Erreichen personenbezogene Daten das Modell? | Pseudonymisierung oder Filterung vor dem AI-Call verkleinert deine Risikofläche erheblich. |
| Gibt es einen Audit-Trail für Freigaben? | Rechenschaft erfordert Aufzeichnungen darüber, wer was wann freigegeben hat. |
| Was wird wie lange gespeichert? | Datensparsamkeit und Löschpflichten reichen bis in anbieterseitige Logs und Trainings-Pipelines. |
Wie sieht Datensparsamkeit in der Praxis aus?
Datensparsamkeit ist die unglamouröseste und wirksamste Kontrolle: Verarbeite nur die personenbezogenen Daten, die du wirklich brauchst. Für AI-Tooling heißt das, bei jedem Call zu fragen, ob das Modell den Namen, die E-Mail-Adresse oder die Bestellhistorie des Kunden für seine Aufgabe braucht, oder ob eine anonyme oder pseudonyme Version genauso gut funktioniert. In den meisten Content- und Commerce-Abläufen tut sie das. Ein Modell, das eine Produktantwort entwirft, braucht die Frage, nicht den Fragesteller.
Wie löst Klariton das alles?
Klariton wurde für EU-Commerce gebaut. Diese Anforderungen haben die Architektur geprägt, statt nachträglich angeschraubt zu werden:
- EU-Hosting. Die Plattform läuft auf EU-Infrastruktur.
- Pseudonymisierungs-Gateway. Jeder AI-Call durchläuft zuerst eine Pseudonymisierungs-Schicht. Klarnamen verlassen das System nicht in Richtung LLM.
- Audit-Trail im Compliance Center. Wer welche Antwort wann freigegeben hat, wird aufgezeichnet und ist nachvollziehbar.
- Nur öffentliche Inhalte in Feeds. Maschinenlesbare Ausgaben wie Feeds und llms.txt enthalten ausschließlich Inhalte, die ohnehin öffentlich sind, nie Kundendaten.
- AVV verfügbar. Der Auftragsverarbeitungsvertrag gehört zum Standard-Setup, nicht zum Enterprise-Aufpreis.
Nichts davon ersetzt deine eigene Compliance-Arbeit. Es bedeutet nur, dass das Tool nicht das schwächste Glied darin ist. Und noch einmal, weil es wichtig ist: Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.