KI und Datenschutz: DSGVO-Leitfaden für Unternehmen

Unternehmen nutzen KI beispielsweise im Kundenservice, bei der Dokumentenverarbeitung oder zur Unterstützung von Entscheidungen. Sobald dabei personenbezogene Daten verarbeitet werden, müssen die datenschutzrechtlichen Anforderungen für den konkreten Einsatz geklärt sein.

Auch bereits eingesetzte Anwendungen sollten überprüft werden: Welche Daten werden verarbeitet, welche Zwecke verfolgt der Anbieter und welche Einstellungen sind tatsächlich aktiviert? Die DSGVO gilt nach ihrem räumlichen und sachlichen Anwendungsbereich; für Unternehmen außerhalb der EU können zusätzlich nationale Datenschutzregeln relevant sein. Welche technischen und organisatorischen Schritte im Datenmanagement erforderlich sind, erläutert der folgende Leitfaden.

Was ist datenschutzkonformer KI-Einsatz und warum ist er so wichtig?

Datenschutzkonformer KI-Einsatz bedeutet, dass Unternehmen künstliche Intelligenz nutzen, ohne dabei gegen die Bestimmungen der DSGVO oder anderer Datenschutzgesetze zu verstoßen. Dazu müssen die einzelnen Verarbeitungsvorgänge betrachtet werden, beispielsweise Eingaben, zusätzlich abgerufene Dokumente, Ausgaben, Protokolle und gegebenenfalls Modelltraining. Die Orientierungshilfe der Datenschutzkonferenz zu KI und Datenschutz beschreibt Kriterien für Auswahl, Implementierung und Nutzung.

Die Bedeutung wird durch mehrere Faktoren unterstrichen:

• Rechtliche Risiken: Für bestimmte DSGVO-Verstöße sieht die Verordnung Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes eines Unternehmens vor, je nachdem, welcher Betrag höher ist. Welche Folgen ein Verstoß hat, hängt vom Einzelfall ab. Bereits die Eingabe personenbezogener Daten in eine KI-Anwendung ist eine Verarbeitung, deren Rechtmäßigkeit geprüft werden muss.
• Vertrauensverlust: Datenschutzverletzungen können das Vertrauen von Kund:innen nachhaltig beschädigen. Gerade bei KI-Anwendungen, die oft als "Black Box" wahrgenommen werden, ist Transparenz besonders wichtig.
• Technische Komplexität: KI-Systeme verarbeiten oft große Mengen personenbezogener Daten auf komplexe Weise. Moderne generative KI-Modelle können theoretisch Ausschnitte aus ihren Trainingsdaten reproduzieren, was problematisch wäre, wenn darin personenbezogene Daten enthalten sind.
• Internationale Datenübertragungen: Verarbeitung, Support oder weitere Dienste können außerhalb des Europäischen Wirtschaftsraums stattfinden. Entscheidend sind die tatsächlichen Datenflüsse und beteiligten Empfänger, nicht allein der Sitz oder Markenname des Anbieters.

Für einen vertiefenden Überblick zu den ethischen Grundlagen und gesellschaftlichen Fragen rund um KI und Datenschutz empfehlen wir unseren Grundlagenbeitrag "KI und Datenschutz im Überblick: Vertrauen, Ethik und gesellschaftliche Verantwortung".

Übersicht: Sieben Prüffelder für den KI-Einsatz

Die Tabelle bietet Orientierung und ist keine abschließende rechtliche Freigabe. Aufgaben und Entscheidungen müssen für die konkrete Anwendung zugeordnet werden.

Wie Sie KI datenschutzkonform in Ihrem Unternehmen einsetzen

Schritt 1: Zweck definieren und Datenminimierung umsetzen

Der erste und wichtigste Schritt ist eine klare Zweckdefinition. Beginnen Sie jedes KI-Projekt mit der Frage: "Welches konkrete Problem soll die KI lösen und geht das auch mit weniger Daten?"

Das Prinzip der Datenminimierung besagt, dass Sie nur die Daten verwenden dürfen, die für Ihren Zweck wirklich notwendig sind. In der Praxis bedeutet dies, dass Sie kritisch hinterfragen sollten, welche Daten wirklich erforderlich sind.

Praktische Umsetzung:

• Dokumentieren Sie schriftlich, wofür die KI eingesetzt werden soll, um Ihrer Rechenschaftspflicht nachzukommen.

• Erstellen Sie eine Übersicht der benötigten Datenarten und prüfen Sie jede einzelne auf ihre Notwendigkeit.

• Prüfen Sie, ob die Aufgabe mit anonymen Daten oder geeigneten Testdaten erfüllt werden kann. Auch synthetische Daten sind auf mögliche Personenbezüge und Rückschlüsse zu prüfen.

• Vermeiden Sie die Sammlung "auf Vorrat".

Anonymisierung und Pseudonymisierung sind zu unterscheiden: Entfernte Namen machen einen Datensatz nicht automatisch anonym. Kombinationen aus Angaben können weiterhin eine Person identifizierbar machen. Pseudonymisierte Daten bleiben personenbezogen, wenn eine Zuordnung mithilfe zusätzlicher Informationen möglich ist. Der Europäische Datenschutzausschuss erläutert in seiner Stellungnahme zu KI-Modellen, dass auch die Anonymität eines Modells im Einzelfall beurteilt werden muss.

Praxisbeispiel: Ein Kundensupport-Chatbot kann oft auf allgemeine FAQs antworten, ohne dass Sie komplette Kundendatensätze verwenden müssen. Statt alle verfügbaren Kundendaten zu nutzen, reichen möglicherweise bereits die Produktkategorie und der Anfragetyp aus.

Schritt 2: Rechtsgrundlage prüfen und dokumentieren

Jede Verarbeitung personenbezogener Daten durch KI benötigt eine passende Rechtsgrundlage nach der DSGVO. Diese Entscheidung sollten Sie sorgfältig prüfen und dokumentieren.

Die Wahl der richtigen Rechtsgrundlage hat weitreichende Konsequenzen für die Betroffenenrechte und die erforderlichen Schutzmaßnahmen.

Mögliche Rechtsgrundlagen:

• Vertragserfüllung: Die konkrete Verarbeitung muss für die Erfüllung eines Vertrags mit der betroffenen Person oder für entsprechende vorvertragliche Maßnahmen erforderlich sein. Eine bloße Arbeitserleichterung genügt dafür nicht automatisch.
• Berechtigtes Interesse: Prüfen Sie das berechtigte Interesse, die Erforderlichkeit der Verarbeitung und die Abwägung mit den Interessen und Rechten der betroffenen Person.
• Einwilligung: Sie muss für den konkreten Zweck informiert, freiwillig und wirksam erteilt werden. Ein Widerruf muss berücksichtigt werden können.

Die Aufzählung ist nicht abschließend. Bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, ist zusätzlich eine einschlägige Voraussetzung nach Art. 9 DSGVO erforderlich. Im Beschäftigungskontext müssen außerdem die einschlägigen nationalen Regeln und die Freiwilligkeit einer Einwilligung geprüft werden.

Wichtig: Dokumentieren Sie die Rechtsgrundlage für die relevanten Verarbeitungsvorgänge. Eine Freigabe der ursprünglichen Nutzung deckt eine spätere Verwendung für Training, zusätzliche Datenquellen oder andere Zwecke nicht automatisch ab.

Schritt 3: Datenschutz-Folgenabschätzung prüfen und gegebenenfalls durchführen

Eine Datenschutz-Folgenabschätzung, kurz DSFA oder englisch DPIA, ist nach Art. 35 DSGVO erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen verursacht. Berücksichtigt werden Art, Umfang, Umstände und Zwecke der Verarbeitung sowie einschlägige gesetzliche Fallgruppen und Behördenlisten.

Bei KI-Anwendungen sind insbesondere zu prüfen:

• Bewertung oder Profilbildung mit erheblichen Auswirkungen auf Personen.

• Ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung.

• Umfangreiche Verarbeitung besonderer Datenkategorien.

• Überwachung, Verknüpfung von Datenbeständen oder die Verarbeitung von Daten besonders schutzbedürftiger Personen.

• Neue Technologien in Verbindung mit weiteren Risikomerkmalen.

Nicht jedes einzelne Merkmal löst für sich eine DSFA-Pflicht aus. Die Prüfung und ihre Begründung sollten dokumentiert werden.

Bei der Durchführung einer DSFA ist der Rat der oder des Datenschutzbeauftragten einzuholen, sofern eine solche Person benannt wurde.

Systematisches Vorgehen:

1. Beschreibung der Verarbeitung: Dokumentieren Sie Zweck, Datenarten, Beteiligte, Datenflüsse und Funktionsweise der Anwendung.
2. Bewertung von Notwendigkeit und Verhältnismäßigkeit: Prüfen Sie, ob die vorgesehenen Verarbeitungsvorgänge für den festgelegten Zweck erforderlich und verhältnismäßig sind. Berücksichtigen Sie auch weniger eingriffsintensive Alternativen.
3. Risikoidentifikation: Analysieren Sie mögliche Risiken wie Diskriminierung oder Datenverlust.
4. Schutzmaßnahmen definieren: Entwickeln Sie konkrete Maßnahmen zur Risikominimierung.
5. Vorherige Konsultation: Ergibt die DSFA, dass trotz der vorgesehenen Schutzmaßnahmen ein hohes Risiko für die Rechte und Freiheiten verbleibt, muss der Verantwortliche vor Beginn der Verarbeitung die zuständige Aufsichtsbehörde nach Art. 36 DSGVO konsultieren.

Illustratives Beispiel: Ein Unternehmen möchte Bewerbungsunterlagen mit KI bewerten. Dabei sind mögliche Auswirkungen auf Bewerber:innen, Diskriminierungsrisiken und die DSFA-Pflicht zu prüfen. Das Entfernen von Angaben zu Alter oder Herkunft beseitigt diese Risiken nicht automatisch, da andere Merkmale ähnliche Rückschlüsse ermöglichen können. Alter ist zudem keine besondere Datenkategorie nach Art. 9 DSGVO. Rechtsgrundlage, menschliche Prüfung und gegebenenfalls Art. 22 DSGVO bleiben gesondert zu berücksichtigen.

Schritt 4: Technische und organisatorische Maßnahmen implementieren

Das Konzept "Privacy by Design und Privacy by Default" bedeutet, dass Datenschutz bereits bei der Entwicklung und Konfiguration von KI-Systemen mitgedacht werden muss.

Technische Maßnahmen:

• Datenschutzgerechte Einstellungen: Prüfen Sie Training, Eingabehistorie, Protokollierung und weitere Verwendungszwecke. Nicht erforderliche Verarbeitungen deaktivieren; verfügbare Einstellungen mit den Vertragsbedingungen abgleichen.
• Zugriffsbeschränkungen: Nur berechtigte Personen und Anwendungen dürfen auf die für ihren Zweck freigegebenen Daten zugreifen.
• Verschlüsselung: Datenübertragungen und gespeicherte Daten entsprechend dem Schutzbedarf absichern.
• Aufbewahrung und Löschung: Fristen für Eingaben, Ausgaben und Protokolle festlegen. Löschungen auch für angebundene Quellen und abgeleitete Suchindizes berücksichtigen.

Organisatorische Maßnahmen:

• Interne KI-Richtlinien erstellen: Klare Regeln für die KI-Nutzung etablieren.
• Mitarbeiterschulungen durchführen: Regelmäßige Schulungen zum datenschutzgerechten Umgang durchführen.
• Monitoring-Prozesse etablieren: KI-Ausgaben auf Plausibilität und unzulässige Personenbezüge prüfen. Für Fehler, Ausnahmen und notwendige Korrekturen zuständige Personen benennen.

Technische Einstellungen sind zu testen, nicht nur zu dokumentieren. Prüfen Sie beispielsweise, ob gesperrte Dokumente tatsächlich nicht abgerufen werden und Löschungen in den betroffenen Systemen wirksam sind. Datenschutzbeauftragte und gegebenenfalls Beschäftigtenvertretungen sollten frühzeitig einbezogen werden.

KI-Nutzung strukturiert planen und überprüfen

Unser Leitfaden "KI im Unternehmen einführen" behandelt Anwendungsfälle, Pilotprojekte, Datenschutz und die Messung des Nutzens. Nutzen Sie ihn, um vorhandene Anwendungen zu ordnen und weitere Vorhaben vorzubereiten. Die rechtliche Prüfung des konkreten Einsatzes bleibt zusätzlich erforderlich.

Whitepaper kostenlos herunterladen

Schritt 5: Anbieterrollen, Verträge und Datenflüsse prüfen

Die vertragliche Gestaltung mit KI-Dienstleistern ist ein kritischer Erfolgsfaktor. Prüfen Sie zunächst die Rollen der Beteiligten. Liegt eine Auftragsverarbeitung vor, muss sie durch einen Vertrag oder einen anderen bindenden Rechtsakt nach Art. 28 Abs. 3 DSGVO geregelt sein. Verfolgt er eigene Zwecke oder werden Zwecke und wesentliche Mittel gemeinsam bestimmt, muss die Rollenverteilung anders eingeordnet werden. Ein AV-Vertrag allein macht zusätzliche Eigennutzung nicht zulässig.

Wichtige Prüfpunkte:

• Verarbeitungsumfang: Welche Daten, Zwecke, Verarbeitungsschritte und Weisungen sind abgedeckt?
• Eigennutzung und Training: Werden Eingaben, Ausgaben oder Nutzungsdaten für zusätzliche Zwecke verwendet? Stimmen Vertrag und Einstellungen überein?
• Verarbeitungsorte: Wo finden Speicherung, Verarbeitung, Support und weitere Zugriffe statt?
• Unterauftragnehmer: Welche Unternehmen sind beteiligt, wie werden Änderungen mitgeteilt und welche Regelungen gelten?
• Betroffenenrechte und Löschung: Kann der Anbieter bei Auskunft, Berichtigung und Löschung wirksam unterstützen?
• Drittlandtransfers: Welches Übermittlungsinstrument gilt für den konkreten Empfänger und Datenfluss?

Ein EU-Standort, ein AV-Vertrag oder eine DPF-Zertifizierung beantwortet jeweils nur einen Teil der Prüfung. Maßgeblich sind die tatsächlichen Verarbeitungsvorgänge und ihre Voraussetzungen.

Schritt 6: Transparenz und Betroffenenrechte sicherstellen

Transparenz ist ein Grundpfeiler der DSGVO. Betroffene müssen die erforderlichen Informationen über die Verarbeitung ihrer Daten erhalten. Dazu gehören insbesondere Zwecke, Rechtsgrundlagen, Empfänger, Aufbewahrung und ihre Rechte. Bei KI-Anwendungen sollte verständlich erläutert werden, welche Rolle die Technologie im jeweiligen Ablauf übernimmt.

Informationspflichten erfüllen:

• Datenschutzinformationen anpassen: Die konkrete Verarbeitung verständlich beschreiben.
• KI-Interaktion kennzeichnen: Prüfen, wann zusätzliche Transparenzpflichten der KI-Verordnung gelten, beispielsweise bei direkter Interaktion mit einem Chatbot.
• Relevante automatisierte Entscheidungen erläutern: Soweit erforderlich, Informationen zur involvierten Logik, Tragweite und möglichen Wirkung bereitstellen.

Betroffenenrechte berücksichtigen:

• Auskunft ermöglichen: Erforderliche Datenbestände und Verarbeitungsvorgänge auffindbar machen. Dafür nicht vorsorglich sämtliche Eingaben unbegrenzt speichern.
• Berichtigung und Löschung umsetzen: Verfahren für Eingaben, Ausgaben, angebundene Quellen und weitere betroffene Speicherbereiche festlegen.
• Weitere Rechte berücksichtigen: Einschränkung, Widerspruch und gegebenenfalls Datenübertragbarkeit in die Prozesse einbeziehen.
• Art. 22 DSGVO gesondert prüfen: Die Vorschrift betrifft insbesondere ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Zulässige Ausnahmen und notwendige Schutzmaßnahmen sind gesondert zu beurteilen. Eine lediglich formale Bestätigung durch eine Person ist keine belastbare menschliche Prüfung.

Schritt 7: Kontinuierliche Überwachung und Compliance

KI-Systeme erfordern kontinuierliche Überwachung und Anpassung, um dauerhaft datenschutzkonform zu bleiben.

Monitoring-Prozesse:

• Qualitätskontrolle: Stichproben auf Richtigkeit, unzulässige Personenbezüge und unangemessene Ergebnisse prüfen.
• Änderungskontrolle: Neue Modelle, Datenquellen, Funktionen und Konfigurationen vor ihrer Nutzung bewerten. Bei geänderten Risiken auch die DSFA überprüfen.
• Vorfallverfahren: Zuständigkeiten für Erkennung, Eindämmung, Dokumentation und rechtliche Bewertung festlegen.

Nicht jeder technische Fehler ist eine Verletzung des Schutzes personenbezogener Daten. Liegt eine solche Verletzung vor, muss der Verantwortliche die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden informieren, sofern die Verletzung nicht voraussichtlich ohne Risiko für die Rechte und Freiheiten bleibt. Verzögerungen über 72 Stunden sind zu begründen. Datenschutzverletzungen sind einschließlich ihrer Auswirkungen und Abhilfemaßnahmen zu dokumentieren, auch wenn keine Meldung erforderlich ist. Bei voraussichtlich hohem Risiko sind betroffene Personen nach Art. 34 DSGVO grundsätzlich unverzüglich zu benachrichtigen; gesetzliche Ausnahmen bleiben zu prüfen.

Wird die Verletzung einem Auftragsverarbeiter bekannt, muss er den Verantwortlichen unverzüglich informieren.

Rechtliche Entwicklungen beobachten:

• KI-Verordnung: Die DSGVO gilt neben der KI-Verordnung weiter. Deren Anforderungen hängen unter anderem von Einsatz, Rolle und Risikoeinstufung ab. Die Europäische Kommission erläutert den aktuellen Rechtsrahmen und die gestaffelte Anwendung. Frühere pauschale Fristen sollten nicht ungeprüft weiterverwendet werden.
• Aufsichtsbehörden: Regelmäßige neue Leitlinien und Orientierungshilfen beachten.
• Best Practices: Austausch mit anderen Unternehmen forcieren.

Dokumentation:

• Verzeichnis von Verarbeitungstätigkeiten: Die betreffenden personenbezogenen Verarbeitungen entsprechend den geltenden Anforderungen dokumentieren.
• Entscheidungsnachweise: Freigaben, Risikoabwägungen und wesentliche Änderungen nachvollziehbar festhalten.
• Kompetenzmaßnahmen: Unterweisungen, Schulungen und andere geeignete Maßnahmen dokumentieren.

US-Anbieter und DPF: Den konkreten Datentransfer prüfen

Das EU-US Data Privacy Framework, kurz DPF, kann Übermittlungen an entsprechend zertifizierte US-Unternehmen ermöglichen. Entscheidend sind die aktive Zertifizierung des tatsächlichen Empfängers und ihr Umfang. Tochtergesellschaften oder die Verarbeitung von Beschäftigtendaten sind nicht automatisch erfasst.

Die EDSA-FAQ für europäische Unternehmen, Version 2.0 von 2026, erläutern diese Prüfung. Das DPF ersetzt weder die Rechtsgrundlage der Verarbeitung noch erforderliche Vereinbarungen zur Auftragsverarbeitung.

Wenn kein einschlägiger Angemessenheitsbeschluss greift, sind andere zulässige Übermittlungsinstrumente zu prüfen. Bei Standardvertragsklauseln müssen die Anforderungen an den konkreten Transfer und gegebenenfalls ergänzende Schutzmaßnahmen bewertet werden.

Auch regionale Anbieterangebote sind genau zu prüfen. Die Microsoft-Dokumentation zur EU Data Boundary nennt einen Rahmen für EU und EFTA, dienstabhängige Voraussetzungen sowie verbleibende Ausnahmen. Daraus folgt keine allgemeine Zusage, dass sämtliche Daten jedes KI-Dienstes ausschließlich in der EU verarbeitet werden.

Dokumentieren Sie deshalb Produkt, Bereitstellung, Speicher- und Verarbeitungsorte, Supportzugriffe und Unterauftragnehmer. Prüfen Sie außerdem, ob Eingaben und Ausgaben für Training oder andere eigene Zwecke des Anbieters verwendet werden.

DeepSeek: Anbieter und Betriebsform getrennt bewerten

Die italienische Datenschutzbehörde ordnete am 30. Januar 2025 eine Beschränkung der Verarbeitung von Daten italienischer Nutzer:innen gegenüber den Unternehmen hinter dem DeepSeek-Chatbotdienst an. Die behördliche Mitteilung zum damaligen Vorgehen beschreibt zudem eine Untersuchung. Der Fall ist kein Nachweis eines allgemeinen Verbots sämtlicher Modelle chinesischer Herkunft.

Ein extern betriebener Chatbotdienst und ein selbst betriebenes Modell sind unterschiedlich zu bewerten. Bei eigener Bereitstellung müssen beispielsweise Herkunft und zulässige Nutzung des Modells, Eingabedaten, Zugriffsschutz und mögliche externe Verbindungen geprüft werden. Eigenbetrieb allein gewährleistet keine Datenschutzkonformität.

Für externe Anbieter zählen insbesondere Vertragsbedingungen, tatsächliche Empfänger, Verarbeitungsorte, Transparenz und wirksame Betroffenenverfahren. Können erforderliche Nachweise oder Schutzmaßnahmen nicht hergestellt werden, sollte die betreffende Verarbeitung personenbezogener Daten nicht freigegeben werden.

Fazit: Datenschutz als Vorteil

KI-Anwendungen können Prozesse unterstützen, müssen aber für ihren konkreten Einsatz geprüft werden. Die sieben Schritte verbinden Zweck und Rechtsgrundlage mit technischen Einstellungen, Anbieterprüfung, Betroffenenrechten und laufender Kontrolle.

Für bestehende Anwendungen bietet sich eine dokumentierte Bestandsaufnahme an: Welche Verarbeitung ist freigegeben, welche Datenflüsse sind nachvollziehbar und wo fehlen Nachweise oder wirksame Verfahren? Daraus ergeben sich gezielte Verbesserungen und gegebenenfalls Grenzen der weiteren Nutzung.

Datenschutz sollte dabei als laufende Aufgabe verstanden werden. Neue Funktionen, Datenquellen und Anbieterbedingungen können die Bewertung verändern. Eine nachvollziehbare Prüfung schafft Orientierung, ersetzt jedoch keine einzelfallbezogene rechtliche Beurteilung.

FAQ: KI und Datenschutz

Was müssen Unternehmen bei KI und Datenschutz unbedingt beachten?

Unternehmen müssen Zweck, Datenumfang und Rechtsgrundlage der konkreten Verarbeitung klären. Hinzu kommen Anbieterrollen, erforderliche Verträge, Schutzmaßnahmen und Betroffenenverfahren. Eine DSFA ist bei voraussichtlich hohem Risiko erforderlich. Auch tatsächliche Datenflüsse, Einstellungen und Änderungen im Betrieb sind zu prüfen. Ein Produktlabel ersetzt diese Bewertung nicht.

Brauche ich für jedes KI-Projekt eine Datenschutz-Folgenabschätzung (DPIA)?

Nein. Maßgeblich ist, ob die Verarbeitung nach Art. 35 DSGVO voraussichtlich ein hohes Risiko für Rechte und Freiheiten verursacht. Berücksichtigen Sie gesetzliche Fallgruppen und einschlägige Behördenlisten. Profilbildung, besondere Datenkategorien und neue Technologien können relevant sein. Prüfen und dokumentieren Sie die Voraussetzungen vor Beginn der Verarbeitung.

Was regelt Art. 6 DSGVO im Kontext von KI-Systemen?

Art. 6 DSGVO legt Rechtsgrundlagen für die Verarbeitung personenbezogener Daten fest. Unternehmen müssen prüfen, welche Grundlage die konkrete Verarbeitung trägt, etwa Vertragserfüllung, Einwilligung oder berechtigtes Interesse. Bei besonderen Datenkategorien sind zusätzliche Voraussetzungen nach Art. 9 erforderlich. Training, Nutzung und weitere Zwecke sind gesondert einzuordnen.

Darf ich US-basierte KI-Dienste einfach nutzen?

Die Nutzung erfordert eine Prüfung des konkreten Dienstes und seiner Datenflüsse. Bei Transfers in die USA kann eine passende aktive DPF-Zertifizierung relevant sein; andernfalls sind andere zulässige Instrumente zu prüfen. Rechtsgrundlage, Anbieterrollen, Verträge und Schutzmaßnahmen bleiben erforderlich. EU-Hosting oder deaktiviertes Training allein genügt nicht.

Warum gelten chinesische KI-Modelle als besonders kritisch?

Die Herkunft allein erlaubt keine abschließende Bewertung. Zu prüfen sind Anbieter, Verarbeitungsorte, mögliche Behördenzugriffe und Betroffenenrechte. Ein externer Dienst ist anders zu bewerten als ein selbst betriebenes Modell. Die italienische DeepSeek-Maßnahme von 2025 betraf den Chatbotdienst und Daten italienischer Nutzer:innen, nicht sämtliche chinesischen Modelle.