DSGVO-konforme KI für deutsche Unternehmen: eine praktische Checkliste

Das erste Gespräch mit einem deutschen Unternehmen dreht sich selten um Modellqualität. Es geht um Auftragsverarbeitung, Datenresidenz und darum, was mit einem Kundendatensatz passiert, sobald er ein Modell berührt. Beantworte das falsch, und das Projekt startet nie — egal wie gut die KI ist.

Entscheide, was deine Kontrolle nie verlässt

Klassifiziere Daten, bevor sie je ein LLM erreichen. Manche Felder gehören redigiert oder pseudonymisiert, bevor überhaupt ein Prompt gebaut wird; manche Workloads gehören auf selbst gehostete Modelle. Die Standardfrage für jedes Feld ist simpel: Muss das wirklich das Haus verlassen?

Cookielos als Standard

Im Frontend liefere ich Analytics, die ohne Cookies funktionieren (selbst gehostetes Matomo mit disableCookies), und lade Drittanbieter-Embeds — Kalender, Karten — erst auf Klick, das 2-Klick- / Click-to-load-Muster. Es braucht keine Consent-Wand, weil nichts trackt, bis der Besucher es anfordert.

Einwilligung dort, wo sie wirklich zählt

Eine verpflichtende, explizite Einwilligungs-Checkbox sichert jede Formularabgabe und verlinkt auf eine Datenschutzerklärung, die die echte Verarbeitung beschreibt — kein von einer anderen Seite kopierter Textbaustein. Einwilligung muss spezifisch, informiert und nachweisbar sein.

Baue die Nachweiskette ein

• Ein echtes Impressum und eine Datenschutzerklärung, die zu dem passen, was das System tatsächlich tut.
• Auftragsverarbeitungsverträge mit jedem Sub-Auftragsverarbeiter, auf den du dich stützt.
• Datenexport und -löschung als Features, nicht als Gefälligkeit.
• Logs, mit denen du beantworten kannst: "Was hat die KI mit diesem Datensatz getan?"

Datenschutz ist Design-Input, kein Nachgedanke

Compliance nachträglich auf ein System zu schrauben, das Daten bereits überallhin schickt, ist schmerzhaft und teuer. Sie von der ersten Skizze an mitzudenken kostet fast nichts — und ist der Unterschied zwischen einem deutschen Unternehmen, das unterschreibt, und einem, das geht.

“Für einen deutschen Kunden ist "wohin gehen die Daten?" keine juristische Fußnote. Es ist die erste Frage — und die richtige Antwort gewinnt den Auftrag.”