DSGVO-konforme KI: Geht das überhaupt? (Server in Deutschland, was zählt)

Sobald KI ins Spiel kommt, steht eine Frage im Raum, bevor irgendjemand über Nutzen redet: Was passiert mit unseren Daten? Bei vielen bekannten KI-Diensten lautet die ehrliche Antwort: Sie verlassen die EU, landen auf Servern außerhalb Ihrer Kontrolle und werden womöglich zum Training fremder Modelle genutzt. Für ein Unternehmen, das personenbezogene oder vertrauliche Daten verarbeitet, ist das ein Problem. Die gute Nachricht: DSGVO-konforme KI ist machbar. Die schlechte: nicht durch ein Häkchen, sondern durch bewusste Entscheidungen.

Warum „KI“ und „DSGVO“ erst einmal in Konflikt stehen

Die meisten populären KI-Dienste sind als globale Cloud-Produkte gebaut. Daten gehen an Server in den USA oder anderswo, die Verarbeitung ist intransparent, und in den Standard-Tarifen behält sich der Anbieter oft vor, Eingaben zur Verbesserung seiner Modelle zu verwenden. Genau das kollidiert mit drei Grundpfeilern der DSGVO: Zweckbindung, Datenminimierung und Kontrolle über die Verarbeitung. Wer solche Dienste unbedacht für Kundendaten nutzt, handelt schnell rechtswidrig – unabhängig davon, wie nützlich das Ergebnis ist.

Was DSGVO-Konformität konkret verlangt

Konformität ist kein einzelnes Merkmal, sondern ein Zusammenspiel mehrerer Punkte. Diese vier sind die entscheidenden:

1. Wo werden die Daten verarbeitet?

Der Verarbeitungsort ist der greifbarste Faktor. Bleiben die Daten auf Servern in Deutschland oder zumindest in der EU, entfällt die heikle Frage des Drittlandtransfers. Genau deshalb setze ich, wo immer möglich, auf europäisches Hosting und in Europa betriebene Modelle. „Server in Deutschland“ ist dabei kein Werbeversprechen, sondern eine überprüfbare Tatsache – fragen Sie jeden Anbieter konkret danach, wo Ihre Daten liegen.

2. Wird mit Ihren Daten ein Modell trainiert?

Das ist der Punkt, der am häufigsten übersehen wird. Selbst ein Dienst mit EU-Servern kann Ihre Eingaben zum Training verwenden, wenn der Vertrag das zulässt. Für vertrauliche Inhalte muss vertraglich ausgeschlossen sein, dass Ihre Daten in fremde Modelle einfließen. Geschäftskunden-Tarife bieten das in der Regel – die kostenlosen Varianten oft gerade nicht.

3. Gibt es einen Auftragsverarbeitungsvertrag (AVV)?

Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, braucht es einen AV-Vertrag nach Art. 28 DSGVO. Kein AVV, keine saubere Grundlage. Seriöse Anbieter stellen ihn ohne Diskussion bereit; fehlt er, ist das ein Warnsignal.

4. Datenminimierung — was geht überhaupt rein?

Die datenschutzfreundlichste Verarbeitung ist die, die gar nicht erst stattfindet. In gut gebauten Workflows lässt sich oft vermeiden, dass sensible Daten überhaupt an ein KI-Modell gehen – etwa indem Namen und Kennungen vorher entfernt oder ersetzt werden. Was das Modell nicht sieht, kann nicht abfließen.

„Server in Deutschland“ — was es bedeutet und was nicht

Der Standort der Server ist wichtig, aber er ist nicht das Ende der Geschichte. Ein deutscher Serverstandort hilft nichts, wenn der Anbieter eine US-Mutter hat, die theoretisch Zugriff verlangen könnte, oder wenn die Daten im laufenden Betrieb doch an Subdienstleister außerhalb der EU weitergereicht werden. „Server in Deutschland“ ist eine notwendige, aber keine hinreichende Bedingung. Entscheidend ist das Gesamtbild: Standort plus Vertragslage plus tatsächlicher Datenfluss.

In der Praxis heißt das: Eine DSGVO-konforme KI-Lösung kombiniert europäisches Hosting, in Europa betriebene oder selbst gehostete Modelle, einen sauberen AVV und einen Workflow, der bewusst so wenig sensible Daten wie möglich verarbeitet. Diese Kombination ist heute umsetzbar – sie kostet etwas mehr Sorgfalt als der schnelle Griff zum bekanntesten Dienst, aber sie ist machbar und in der Praxis erprobt.

Worauf Sie bei Anbietern achten sollten — eine Checkliste

• Standort: Wo genau liegen die Daten? Lassen Sie sich das schriftlich geben, nicht nur „in der EU“ versichern.
• Training: Ist vertraglich ausgeschlossen, dass Ihre Eingaben zum Modelltraining verwendet werden?
• AVV: Liegt ein Auftragsverarbeitungsvertrag vor und benennt er die Subdienstleister?
• Subdienstleister: Welche Dritten sind eingebunden – und sitzen die ebenfalls in der EU?
• Löschung: Werden Eingaben nach der Verarbeitung gelöscht oder dauerhaft gespeichert?
• Nachweisbarkeit: Können Sie gegenüber Ihrer Aufsichtsbehörde belegen, was mit den Daten passiert?

Fazit

DSGVO-konforme KI ist kein Widerspruch, aber auch kein Selbstläufer. Sie entsteht nicht durch ein Siegel, sondern durch Entscheidungen: europäisches Hosting, vertraglich ausgeschlossenes Training, ein sauberer AVV und ein Workflow, der nur die nötigsten Daten verarbeitet. Genau so setze ich KI-Projekte um – mit Server in Deutschland und nachvollziehbarem Datenfluss. Wie das in Ihrem konkreten Fall aussehen kann, erfahren Sie auf der Seite KI & Workflow-Automatisierung.