KI kann E-Mails vorbereiten, Dokumente zusammenfassen und Recherche unterstützen. Sobald dabei personenbezogene Daten verarbeitet werden, zählt nicht nur die Antwortqualität: Wer erhält welche Informationen, wofür und wie lange?
Ein eigener Server kann mehr Kontrolle über Dokumente und Zugriffe ermöglichen. Er löst die rechtlichen Anforderungen aber nicht allein. Cloud-Dienste können ebenfalls unter passenden Voraussetzungen eingesetzt werden. Entscheidend sind der konkrete Dienst, die Aufgabe, Verträge und Konfiguration.
Die DSGVO und KI: Was Unternehmen wissen müssen#
Prüfstand: 30. September 2026. Für jeden Verarbeitungsschritt braucht es eine passende Rechtsgrundlage. Bei Gesundheitsdaten oder anderen besonderen Datenkategorien müssen zusätzlich die Voraussetzungen des Art. 9 DSGVO erfüllt sein. Zweckbindung, Datenminimierung, Transparenz, Richtigkeit, Speicherbegrenzung und Sicherheit gelten auch bei lokaler KI.
Ein Kunde, der seine E-Mail-Adresse für eine Anfrage angibt, erlaubt damit nicht automatisch die Nutzung für Modelltraining. Eine Einwilligung ist allerdings nicht für jede KI-Verarbeitung die einzige mögliche Rechtsgrundlage. Aufgabe und Zweck müssen konkret geprüft werden.
Das Problem mit Cloud-KI-Tools#
Eine Modell-API erhält die Eingaben und Kontextpassagen, die du ihr sendest. Ob Training stattfindet, wie lange Inhalte gespeichert werden und wo die Verarbeitung erfolgt, sind verschiedene Fragen. Bei der OpenAI-API werden Eingaben standardmäßig nicht zum Training verwendet; trotzdem können Missbrauchsprotokolle und funktionsabhängige gespeicherte Daten entstehen. EU-Verarbeitung ist unter bestimmten Voraussetzungen verfügbar und deckt nicht automatisch sämtliche Metadaten oder angebundenen Dienste ab.
Deshalb sind weder „Cloud bedeutet USA“ noch „kein Training bedeutet keine Speicherung“ verlässliche Regeln. Auch eine Übermittlung in ein Drittland bedeutet nicht, dass die DSGVO nicht mehr gilt. Die zulässige Transfergrundlage und weitere Schutzmaßnahmen müssen geprüft werden.
Der EU AI Act: Regeln nach Aufgabe und Risiko#
Die EU-Kommission nennt nach dem AI Omnibus unterschiedliche Anwendungsfristen. Transparenzvorgaben gelten seit August 2026; Regeln für die einschlägigen Hochrisikoanwendungen nach Anhang III ab 2. Dezember 2027 und für in regulierte Produkte eingebettete Hochrisikosysteme ab 2. August 2028. KI-Kompetenzpflichten gelten bereits seit Februar 2025.
| Bereich | Was im Unternehmen zu prüfen ist |
|---|---|
| Verbotene Praktiken | Die gesetzlich erfasste Praxis und ihre Voraussetzungen, etwa bestimmte manipulative Anwendungen |
| Hochrisiko | Der konkrete Verwendungszweck, etwa bestimmte Bewerbungs- oder Kreditentscheidungen |
| Transparenz | Ob Menschen mit einem KI-System interagieren oder bestimmte künstlich erzeugte Inhalte offengelegt werden müssen |
| Sonstige Anwendungen | Auch ohne besondere AI-Act-Auflagen bleiben DSGVO, Sicherheit und andere Gesetze relevant |
Nicht eine ganze Branche, sondern die konkrete Anwendung wird eingeordnet. Nicht jeder KI-Text braucht pauschal einen sichtbaren Hinweis. Bei Chatbots und bestimmten synthetischen Inhalten gelten jeweils eigene Voraussetzungen und Ausnahmen. Die höchstmöglichen Bußgelder betreffen bestimmte Verstöße und sind kein Einheitssatz für jeden KI-Einsatz.
Eine mögliche Architektur: KI auf dem eigenen Server#
Was das konkret bedeutet#
Eigener Speicher mit Cloud-Modell: Dokumente und Unternehmenswissen liegen auf dem eigenen Server. Für die Antwort werden ausgewählte Inhalte an eine Modell-API übertragen. Dieser Datenfluss muss dokumentiert und zulässig sein; Datenminimierung reduziert den Umfang, beseitigt ihn aber nicht.
Lokales Modell: Die Inferenz erfolgt auf der eigenen Hardware. Ob wirklich alle Inhalte dort bleiben, hängt zusätzlich von E-Mail, Nachrichtenkanälen, Suche, Sprachverarbeitung, Backups, Wartung und Protokollen ab. Lokale Modellverarbeitung allein garantiert keine vollständige Abschottung.
Zugriffsrechte, sichere Updates, Verschlüsselung, getestete Sicherungen und Löschfristen gehören in beide Aufbauten. Technik und Verträge ergänzen sich. „DSGVO-Konformität ab Werk“ kann keiner dieser Serverstandorte versprechen.
Für wen ist ein eigener KI-Server besonders relevant?#
Für Unternehmen mit sensiblen Akten, Berufsgeheimnissen oder umfangreichem internem Wissen kann ein lokaler Aufbau sinnvoll sein. Die erforderliche Modellqualität, Benutzerzahl und Betreuung müssen dazu passen. Wer nur allgemeine Texte vorbereitet, braucht nicht automatisch eigene Hardware.
Praxisbeispiel: Datenflüsse im Alltag#
Ein Unternehmen mit 30 Mitarbeitern möchte E-Mails zusammenfassen, Angebote entwerfen und Projektwissen abrufen. Vor dem Start wird festgelegt, welche Informationen das System lesen darf und wer die Ergebnisse prüft.
E-Mail-Zusammenfassung: Nur notwendige Nachrichten werden verarbeitet. Bei einer Cloud-API gehen ihre ausgewählten Inhalte an den Modellanbieter; bei lokaler Inferenz bleibt dieser Verarbeitungsschritt auf der eigenen Hardware.
Angebotsentwurf: Eine freigegebene Preisliste und erforderliche Kundendaten bilden die Grundlage. Der Entwurf wird vor Versand auf Preise, Zusagen und Empfänger geprüft.
Contentplanung: Für öffentliche Texte werden möglichst keine personenbezogenen Kundeninformationen benötigt. Firmenwissen kann trotzdem vertraulich sein und braucht passende Zugriffsregeln.
Mobile Notiz: Telegram oder ein anderer externer Kanal verarbeitet zusätzliche Daten. Eine Nachricht über diesen Kanal ist daher kein Beispiel dafür, dass sämtliche Inhalte ausschließlich auf dem eigenen Server bleiben. Für sensible Inhalte wird ein geeigneter, geprüfter Zugang gewählt.
Checkliste: Ist dein aktueller KI-Einsatz geprüft?#
- Sind Zweck und Rechtsgrundlage für Eingaben, Abruf und Weitergabe dokumentiert?
- Ist geklärt, welche Anbieter Auftragsverarbeiter, eigene Verantwortliche oder gemeinsam Verantwortliche sind? Für Auftragsverarbeitung ist ein Vertrag nach Art. 28 nötig.
- Sind Training, laufende Verarbeitung, Aufbewahrung und Löschung jeweils geprüft?
- Sind Speicherort, Verarbeitungsort, Unterauftragnehmer und mögliche Drittlandzugriffe bekannt?
- Können Betroffenenrechte erfüllt werden, einschließlich erforderlicher Löschung und Berichtigung? Gesetzliche Aufbewahrungspflichten und Sicherungen müssen berücksichtigt werden.
- Sind Berechtigungen, Verarbeitungsverzeichnis und eine gegebenenfalls notwendige Datenschutz-Folgenabschätzung geklärt?
Die Zahl unsicherer Antworten ist kein Compliance-Test. Schon eine wesentliche ungeklärte Datenweitergabe kann den Start verhindern.
Was kostet ein passender Aufbau?#
Das ergibt sich aus einer Bedarfsanalyse. Hardware oder Hosting, Einrichtung, Integrationen, Modellnutzung und laufender Betrieb sind getrennte Kostenpositionen. Umfang, Sicherungen, Wartung und Support werden im Angebot festgelegt. Mehr zum Vorgehen steht bei den lokalen KI-Systemen.
Datenschutz und KI-Produktivität schließen sich nicht aus#
Der sinnvolle Weg beginnt mit der Aufgabe und ihren Daten. Danach folgt die Entscheidung zwischen lokalem Modell, geprüftem Cloud-Dienst oder einer Kombination. Ein Standort in Deutschland kann dabei helfen, ersetzt aber weder Rechtsgrundlage noch Verträge und sichere Prozesse.
Du möchtest den Datenfluss eines geplanten Systems klären? Schreib uns.
Lies auch: Eigener KI-Server: Was kostet das und was bringt es?
Quellen und Prüfstand#
Geprüft am 30. September 2026.
