KI-Agenten & DSGVO: Was Unternehmen beachten müssen

KI und DSGVO: kein Widerspruch, aber eine Gestaltungsaufgabe

Viele Unternehmen zögern beim Einsatz von KI-Agenten, weil personenbezogene Daten im Spiel sind: Kundenanfragen, Rechnungen, Bewerbungen. Die gute Nachricht: Die DSGVO verbietet KI nicht — sie stellt Anforderungen an den Umgang mit Daten. Wer diese von Anfang an mitplant, kann digitale Mitarbeiter rechtssicher betreiben. Die vier wichtigsten Handlungsfelder im Überblick.

1. Rollen klären: Verantwortlicher und Auftragsverarbeiter

Setzt ein Dienstleister KI-Agenten für Sie auf und betreibt sie, verarbeitet er Daten in Ihrem Auftrag. Dann verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV). Er regelt, welche Daten zu welchem Zweck verarbeitet werden, welche technischen und organisatorischen Maßnahmen gelten und was nach Vertragsende mit den Daten geschieht. Seriöse Anbieter legen den AVV unaufgefordert vor. Prüfen Sie zusätzlich, welche Unterauftragsverarbeiter — etwa Anbieter von KI-Modellen — eingebunden sind und wo diese Daten verarbeiten.

2. Serverstandort: deutsche Server oder die eigene Umgebung

Wo ein KI-Agent läuft, ist eine der wichtigsten Weichenstellungen. Drei Stufen sind üblich:

• Deutsche bzw. europäische Server: Verarbeitung innerhalb der EU — Drittlandübermittlungen werden gar nicht erst zum Grundproblem
• Eigene Umgebung (On-Premises oder eigene Cloud): Die Daten verlassen Ihr Haus nicht — sinnvoll bei besonders sensiblen Informationen
• Hybrid: Sensible Verarbeitungsschritte laufen lokal, unkritische in der Cloud

Anbieter wie HVNH AI betreiben Agenten standardmäßig auf deutschen Servern oder auf Wunsch vollständig in der Umgebung des Kunden. Fragen Sie jeden Anbieter konkret: Wo laufen die Agenten, wo laufen die KI-Modelle, welche Daten verlassen die EU?

3. Protokollierung: jeder Schritt nachvollziehbar

Die DSGVO verlangt Rechenschaftsfähigkeit (Art. 5 Abs. 2): Sie müssen nachweisen können, was mit personenbezogenen Daten geschieht. Bei KI-Agenten heißt das: Jeder Verarbeitungsschritt — welche E-Mail gelesen, welches Dokument ausgewertet, welche Antwort erstellt wurde — wird protokolliert. Das bringt dreifachen Nutzen: Sie erfüllen Nachweispflichten, Sie können Auskunftsersuchen Betroffener beantworten, und Sie sehen im Alltag jederzeit, was Ihr digitaler Mitarbeiter getan hat. Ein Agent ohne lückenloses Protokoll ist aus Datenschutzsicht ein Blindflug.

4. Datenminimierung, Löschung, menschliche Aufsicht

• Datenminimierung: Der Agent erhält nur Zugriff auf die Daten, die er für seine Aufgabe braucht — nicht auf das gesamte Laufwerk
• Löschkonzept: Verarbeitete Daten und Protokolle bekommen klare Aufbewahrungs- und Löschfristen
• Keine automatisierte Letztentscheidung: Entscheidungen mit rechtlicher Wirkung für Personen (Art. 22 DSGVO) trifft ein Mensch — der Agent bereitet nur vor
• Datenschutz-Folgenabschätzung: Bei umfangreicher Verarbeitung sensibler Daten prüfen, ob eine DSFA erforderlich ist
• Team einbinden: Datenschutzbeauftragte und gegebenenfalls den Betriebsrat früh informieren

Checkliste für die Anbieterauswahl

1. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vorhanden?
2. Serverstandort Deutschland/EU — oder Betrieb in der eigenen Umgebung möglich?
3. Lückenlose Protokollierung jedes Agenten-Schritts?
4. Klare Aussage zu Unterauftragsverarbeitern und eingesetzten KI-Modellen?
5. Rollen- und Rechtekonzept: Worauf genau hat der Agent Zugriff?

Fazit

DSGVO-konforme KI-Agenten sind machbar — mit Auftragsverarbeitungsvertrag, Betrieb in der EU oder im eigenen Haus, lückenloser Protokollierung und konsequenter Datenminimierung. Entscheidend ist, den Datenschutz nicht nachträglich anzuflanschen, sondern ihn bei Architektur und Anbieterwahl von Beginn an mitzudenken.