Datenschutz · Anbieterauswahl
„DSGVO-konform“ steht auf jeder Website. Es gibt dafür kein Siegel und keine Prüfstelle. Was es gibt, sind sechs Fragen, die eine Agentur beantworten können muss — und Antworten, bei denen ihr besser weitersucht.
Diese Liste funktioniert bei uns genauso wie bei jeder anderen Agentur. Das ist der Punkt.
Brauchbare Antwort
Der Anbieter beantwortet das ohne Zögern und legt einen Auftragsverarbeitungsvertrag vor, in dem die Unterauftragnehmer einzeln benannt sind.
Weitersuchen
„Das klären wir später“ oder ein Mustervertrag ohne Liste der Unterauftragnehmer. Wer seine eigene Kette nicht benennen kann, kann sie auch nicht kontrollieren.
Brauchbare Antwort
Konkrete Regionen und Anbieter, dazu die Aussage, was das für einen Drittlandtransfer bedeutet.
Weitersuchen
„EU-Rechenzentrum“ als alleinige Antwort. Der Serverstandort allein entscheidet nicht, solange der Mutterkonzern einer Rechtsordnung mit Herausgabepflichten unterliegt.
Brauchbare Antwort
Ein klares Nein, mit Verweis auf die vertragliche Zusage des Modellanbieters und darauf, wie es technisch sichergestellt ist.
Weitersuchen
„Nur anonymisiert.“ Anonymisierung ist eine Behauptung, solange niemand sagt, wie sie geprüft wird.
Brauchbare Antwort
Ein beschriebener Weg: wo die Daten liegen, wie sie gefunden und entfernt werden, wie lange das dauert und was danach noch in Protokollen steht.
Weitersuchen
Ein Ticketformular ohne Zusage. Artikel 17 der DSGVO ist keine Kulanz.
Brauchbare Antwort
Eine benannte Aufbewahrungsfrist, eine Aussage dazu, ob Eingaben mitprotokolliert werden, und ein Weg, das abzuschalten.
Weitersuchen
Kein Protokoll oder ein unbefristetes. Beides ist ein Problem — einmal für den Nachweis, einmal für die Löschung.
Brauchbare Antwort
Eine Regelung im Vertrag, die den Fall benennt und nicht pauschal ausschließt.
Weitersuchen
Ein Haftungsausschluss über alles. Dann tragt ihr das Risiko allein, egal was in der Präsentation stand.
Vertrag nach Artikel 28 DSGVO mit benannten Unterauftragnehmern, bevor produktive Daten fließen — nicht nachgereicht.
Für die Bestandsaufnahme reichen Struktur und Beispiele. Vollauszüge nur, wo sie nachweislich nötig sind, und dann pseudonymisiert.
Weder bei uns noch bei den Modellanbietern, die wir einsetzen. Das steht im Vertrag, nicht nur auf der Website.
Wir sagen vorher, wo eure Daten liegen und wie sie wieder verschwinden — einschließlich dessen, was in Protokollen zurückbleibt.
Wer wann was ausgelöst hat, in einer Kette, die eine nachträgliche Änderung sichtbar macht. Artikel 12 des EU AI Act verlangt für Hochrisiko-Systeme Aufzeichnungen; wir bauen sie auch dort, wo sie nicht verlangt sind.
Wenn besonders geschützte Daten im Spiel sind oder ein Drittlandtransfer ausgeschlossen sein soll, läuft das Modell auf eurer Hardware statt in einer fremden Cloud.
Was wir nicht sind: keine Rechtsberatung. Wir bauen Systeme so, dass sie den Nachweis tragen, und sagen, wo wir uns nicht sicher sind. Die rechtliche Bewertung eures Einzelfalls gehört zu jemandem mit Zulassung.
Nicht am Siegel, sondern an sechs Antworten: Wer ist Verantwortlicher und wer Auftragsverarbeiter, wo laufen die Modelle und wem gehört der Mutterkonzern, werden eure Daten zum Training verwendet, was passiert bei einem Löschverlangen, was wird wie lange protokolliert, und wer haftet im Fehlerfall. Eine Agentur, die davon mehr als eine ausweichend beantwortet, hat die Fragen intern nicht geklärt.
Nein. Der Serverstandort ist eine notwendige, aber keine hinreichende Bedingung. Unterliegt der Mutterkonzern einer Rechtsordnung mit Herausgabepflichten, bleibt ein Restrisiko, das durch den Standort allein nicht verschwindet. Deshalb gehört zur Antwort immer auch, wem der Anbieter gehört und welche vertraglichen Zusagen dahinterstehen.
Sobald die Agentur personenbezogene Daten in eurem Auftrag verarbeitet: ja, nach Artikel 28 DSGVO, und zwar bevor die ersten produktiven Daten fließen. Wichtig ist die Liste der Unterauftragnehmer — also auch der Modellanbieter dahinter. Ein Vertrag ohne diese Liste beschreibt nur die halbe Kette.
Die Transparenzpflichten gelten seit August 2026: KI-erzeugte Inhalte und synthetische Stimmen müssen gekennzeichnet sein, und wer mit einem Automaten telefoniert, muss es erfahren. Die Pflichten für Hochrisiko-Systeme greifen später. Ob euch das trifft, hängt am Einsatzfeld, nicht an der Unternehmensgröße — Personalauswahl und Kreditvergabe sind die häufigsten Fälle im Mittelstand.
Mit den Verbraucherfassungen nicht für personenbezogene oder vertrauliche Daten. Mit Business- oder Schnittstellenzugang und passendem Vertragswerk ja. Die Einzelheiten stehen in unserer Wissensseite dazu.
Dann läuft das Modell bei euch. Lokale Modelle sind inzwischen für viele Aufgaben gut genug, und die Entscheidung dafür gehört an den Anfang eines Projekts, weil sie die Architektur bestimmt und nicht nachträglich eingebaut werden kann.
Weiterlesen:ChatGPT und Claude DSGVO-konform nutzen,AVV mit KI-Anbietern,Governance für KI-Agenten.
Im kostenlosen Erstgespräch beantworten wir sie für euren konkreten Fall — und sagen auch, wo die Antwort unbequem ist.