Warum „DSGVO-konform“ kein Produktmerkmal ist
Viele Anbieter werben damit, ihre KI sei „DSGVO-konform“, manche sogar mit Prozentangaben. Das klingt beruhigend, sagt aber wenig. Denn eine Software kann gar nicht für sich allein rechtmäßig sein, so wie ein Aktenschrank nicht für sich allein die Schweigepflicht wahrt. Die DSGVO richtet sich an den Verantwortlichen, also an Sie als Praxis oder Kanzlei. Nach Art. 5 Abs. 2 DSGVO ist der Verantwortliche für die Einhaltung der Grundsätze verantwortlich und muss sie nachweisen können. Ob ein Einsatz rechtmäßig ist, hängt deshalb vom ganzen Zusammenhang ab: Zweck, Datenarten, Information der Betroffenen, Verträge, Sicherheitsmaßnahmen.
Die DSGVO kennt zwar Zertifizierungen und Datenschutzsiegel (Art. 42 DSGVO). Sie stellt aber selbst klar, dass eine Zertifizierung die Verantwortung des Verantwortlichen „nicht mindert“. Ein pauschales amtliches Siegel, das eine KI für jeden Einsatz als DSGVO-konform ausweist, gibt es nicht. Wer so wirbt, verspricht mehr, als ein Produkt halten kann.
Merkmal 1: Die Daten bleiben in einem geschlossenen System
Die Datenschutzkonferenz, das Gremium der deutschen Datenschutzaufsichtsbehörden, unterscheidet in ihrer Orientierungshilfe zu KI zwischen offenen und geschlossenen Systemen. Bei geschlossenen Systemen erfolgt die Verarbeitung „in einer eingegrenzten und technisch abgeschlossenen Umgebung“, und die Kontrolle über Ein- und Ausgaben liegt bei den Anwendenden. Ihr Fazit: „Technisch geschlossene Systeme sind daher aus datenschutzrechtlicher Sicht vorzugswürdig.“
Je weniger Stellen Ihre Daten durchlaufen, desto weniger Verträge, Übermittlungen und Risiken gibt es. Läuft die KI vollständig auf einem Rechner in Ihren Räumen, entfällt etwa die Übermittlung in Drittländer nach Art. 44 DSGVO.
Merkmal 2: Kein Training mit Ihren Daten
Manche KI-Dienste verwenden Eingaben, um ihre Modelle zu verbessern. Dann können Inhalte aus Ihrer Praxis oder Kanzlei Teil eines Systems werden, das auch andere nutzen. Die DSK schreibt dazu: „Datenschutzrechtlich vorzugswürdig sind daher Anwendungen, die die Ein- und Ausgabedaten nicht zu Trainingszwecken verwenden.“ Fragen Sie danach ausdrücklich und lassen Sie es sich schriftlich bestätigen.
Merkmal 3: Nur so viel Daten wie nötig
Die DSGVO verlangt Datenminimierung: Daten müssen „auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“ (Art. 5 Abs. 1 lit. c). Art. 25 DSGVO ergänzt das um Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Für eine KI heißt das zum Beispiel:
- Sie bekommt nur Zugriff auf die Ordner und Postfächer, die sie für ihre Aufgabe braucht.
- Gesprächsaufnahmen werden nach der Umwandlung in Text gelöscht.
- Protokolle enthalten nur, was für Fehlersuche und Nachweis nötig ist.
- Für jeden Anwendungsfall ist der Zweck festgelegt, und die Daten werden nicht nebenbei für anderes verwendet.
Merkmal 4: Menschen entscheiden
Nach der Orientierungshilfe der DSK dürfen Entscheidungen mit Rechtswirkung gemäß Art. 22 DSGVO grundsätzlich nur von Menschen getroffen werden. Eine datenschutzfreundliche KI ist deshalb so gebaut, dass sie vorschlägt und vorbereitet, aber nicht selbst entscheidet. Die DSK verlangt außerdem, dass Beschäftigte geschult und KI-Ergebnisse kritisch hinterfragt werden.
Merkmal 5: Sicherheit und klare Verträge
Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Bei einer KI im Haus gehören dazu Updates, Zugriffsschutz, Datensicherung und eine Regel, wer aus der Ferne zugreifen darf. Hat ein Dienstleister Zugriff, braucht es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO und für Berufsgeheimnisträger zusätzlich eine Verschwiegenheitsverpflichtung, etwa nach § 203 Abs. 4 StGB.
Was die KI für Ihre Praxis oder Kanzlei übernehmen kann
Im kostenlosen Erstgespräch schauen wir uns Ihren Alltag an und sagen offen, was die KI im eigenen Haus übernehmen kann und was nicht. 30 Minuten, vor Ort oder per Video.
Erstgespräch vereinbarenWas trotzdem bei Ihnen bleibt
Auch die datenschutzfreundlichste Technik nimmt Ihnen nicht alles ab:
- den Eintrag ins Verzeichnis der Verarbeitungstätigkeiten
- die Information von Patienten oder Mandanten
- gegebenenfalls eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, die nach Einschätzung der DSK bei KI „vielfach“ nötig sein wird
- die Einweisung Ihres Teams
Ein seriöser Anbieter liefert Ihnen dafür die nötigen Angaben und Vorlagen. Die rechtliche Bewertung bleibt bei Ihnen und Ihrem Datenschutzbeauftragten. Dieser Text ist keine Rechtsberatung.
Unser Ansatz
Wir versprechen Ihnen keine DSGVO-Konformität, weil sie von Ihrem gesamten Einsatz abhängt. Wir bauen aber so, dass die Merkmale oben erfüllt sind: Die KI läuft auf einem eigenen Rechner in Ihren Räumen, Ihre Texte gehen an keinen KI-Dienst im Internet und werden nicht zum Training fremder Modelle verwendet. Aus der Ferne greifen wir nur nach Ihrer Freigabe zu, jeder Zugriff wird protokolliert. Die KI macht Vorschläge, entschieden wird von Ihnen. Im Erstgespräch gehen wir gemeinsam durch, was das für Ihre Praxis oder Kanzlei bedeutet. Hintergründe finden Sie im Beitrag Datenschutz und Schweigepflicht bei KI.
Was die KI für Ihre Praxis oder Kanzlei übernehmen kann
Im kostenlosen Erstgespräch schauen wir uns Ihren Alltag an und sagen offen, was die KI im eigenen Haus übernehmen kann und was nicht. 30 Minuten, vor Ort oder per Video.
Erstgespräch vereinbarenHäufige Fragen
Gibt es ein Siegel für DSGVO-konforme KI?
Die DSGVO sieht Zertifizierungen vor, ein pauschales Siegel, das eine KI für jeden Einsatz als DSGVO-konform ausweist, gibt es aber nicht. Eine Zertifizierung mindert nach Art. 42 Abs. 4 DSGVO auch nicht Ihre eigene Verantwortung.
Ist eine KI mit Servern in der EU automatisch datenschutzkonform?
Nein. Der Serverstandort ist ein wichtiger Punkt, aber nicht der einzige. Es kommt auch auf Verträge, Trainingsnutzung, Unterauftragnehmer, Sicherheitsmaßnahmen und Ihren konkreten Einsatz an.
Warum ist ein geschlossenes System besser?
Weil die Daten in einer abgegrenzten Umgebung bleiben und Sie die Kontrolle über Ein- und Ausgaben behalten. Die Datenschutzkonferenz bezeichnet solche Systeme deshalb als vorzugswürdig.
Brauche ich für KI eine Datenschutz-Folgenabschätzung?
Das hängt vom Einsatz ab. Die Datenschutzkonferenz geht davon aus, dass sie bei KI-Anwendungen vielfach erforderlich sein wird, besonders bei Gesundheitsdaten. Klären Sie das mit Ihrem Datenschutzbeauftragten.
Können Sie mir bestätigen, dass mein Einsatz DSGVO-konform ist?
Nein, das wäre Rechtsberatung. Wir liefern die technischen Angaben und Vorlagen, die rechtliche Bewertung liegt bei Ihnen und Ihrem Datenschutzbeauftragten.
Weiterlesen
Quellen
- DSK: Orientierungshilfe Künstliche Intelligenz und Datenschutz, 06.05.2024
- Art. 5 DSGVO, Grundsätze der Verarbeitung
- Art. 25 DSGVO, Datenschutz durch Technikgestaltung
- Art. 32 DSGVO, Sicherheit der Verarbeitung
- Art. 42 DSGVO, Zertifizierung
- Art. 35 DSGVO, Datenschutz-Folgenabschätzung
Stand: 2026-10-05. Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Die Bewertung Ihres konkreten Einsatzes liegt bei Ihnen und Ihrem Datenschutzbeauftragten.