DSGVO-konforme KI. Ihre Daten bleiben bei Ihnen.

Was heißt „DSGVO-konform“ bei KI?

DSGVO-konform heißt bei Klarbeleg: Ihre Daten bleiben in Deutschland und unter Ihrer Kontrolle, kein Anbieter trainiert damit, und jede Verarbeitung hat eine Rechtsgrundlage und einen Vertrag.

• Ihre Daten bleiben in Deutschland und unter Ihrer Kontrolle
• Kein Anbieter trainiert mit Ihren Daten
• Jede Verarbeitung hat eine Rechtsgrundlage und einen Vertrag

Diese drei Punkte klingen einfach, sind bei vielen KI-Angeboten aber genau das Problem: Daten wandern in eine fremde Cloud, ein Sprachmodell lernt unkontrolliert aus Kundendaten, und niemand kann sagen, auf welcher Rechtsgrundlage das passiert. Diese Seite erklärt, wie Klarbeleg die drei Punkte konkret einhält.

Für Sie heißt das im Alltag: Sie können jede Frage dazu konkret stellen und bekommen eine konkrete Antwort, nicht nur einen Verweis auf allgemeine Geschäftsbedingungen eines fremden Anbieters. Die folgenden Abschnitte gehen die Artikel der DSGVO durch, die für ein KI-System im Betrieb tatsächlich relevant sind, statt den gesamten Gesetzestext zu wiederholen.

Wo laufen die Daten?

Im Regelfall auf einem Server bei Hetzner in Deutschland, die Sprachmodelle bei einem deutschen Anbieter in Berlin. Auf Wunsch komplett auf Ihrer eigenen Hardware im Haus.

Ihr System

Dokumente und Suchindex liegen auf einem Server bei Hetzner in Deutschland. Den Server betreibe ich für Sie.

Sprachmodelle

Ein deutscher Anbieter stellt sie aus seinem Rechenzentrum in Berlin bereit: offene Modelle, abgerechnet nach Verbrauch. Welcher Anbieter das ist, steht in Ihrem Angebot und im AV-Vertrag.

Verträge

Mit beiden Anbietern besteht ein Vertrag zur Auftragsverarbeitung, bevor Ihr System startet. Ihre Daten werden dort weder zum Training verwendet noch an Dritte weitergegeben. Verträge und Nachweise beider Anbieter (AV-Vertrag, technische und organisatorische Maßnahmen, Zertifikate) lege ich Ihnen auf Anfrage vor.

Auf Wunsch im Haus

Wenn Sie eine eigene Serverumgebung betreiben wollen, installiere ich das gleiche System dort. Dann verlässt kein Dokument Ihr Gebäude.

Sie behalten jederzeit die volle Hoheit über Dokumente, Belege und Firmenwissen.

Welche Rechtsgrundlage gilt nach Art. 6 DSGVO?

Die Rechtsgrundlage ändert sich durch das System nicht: Sie verarbeiten Ihre Unterlagen heute schon, meist zur Vertragserfüllung oder wegen gesetzlicher Aufbewahrungspflicht.

Vertragserfüllung

Art. 6 Abs. 1 lit. b DSGVO: Rechnungen, Verträge und Akten liegen bei Ihnen, weil Sie Verträge erfüllen.

Aufbewahrungspflicht

Art. 6 Abs. 1 lit. c DSGVO: Belege müssen Sie aufbewahren.

Meine Rolle

Auftragsverarbeiter nach Art. 28 DSGVO, in Ihrem Auftrag.

Personalunterlagen

Strengere Regeln nach § 26 BDSG. Das prüfen wir im Erstgespräch getrennt.

Dass diese Unterlagen durchsuchbar werden, ist eine neue Form der Verarbeitung, kein neuer Zweck. Eine zusätzliche Rechtsgrundlage entsteht dadurch im Regelfall nicht.

Brauche ich einen AV-Vertrag nach Art. 28 DSGVO?

Ja: Klarbeleg schließt mit Ihnen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab, er ist im Angebot bereits enthalten.

• Regelt schriftlich, wer welche Daten zu welchem Zweck verarbeitet
• Legt fest, welche technischen und organisatorischen Maßnahmen dabei gelten
• Steht vor Beginn der Arbeit, nicht nachträglich als Formalie
• Sie lesen ihn vor der Beauftragung und stellen Rückfragen

Sie müssen sich darum nicht selbst kümmern.

Ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig?

Das hängt vom Einzelfall ab: Eine Datenschutz-Folgenabschätzung ist nur bei voraussichtlich hohem Risiko für die Betroffenen nötig.

Eine DSFA ist eine schriftliche Prüfung vorab: Welche Risiken entstehen für die Betroffenen, und mit welchen Maßnahmen werden sie verringert. Ob sie im Einzelfall nötig ist, wird vor Projektstart geprüft, nicht erst hinterher. Drei Fragen entscheiden das in der Praxis:

Trifft das System Entscheidungen über Menschen, etwa bei Bewerbungen oder Mahnungen?

Bei Klarbeleg nicht: Es sucht und belegt, entscheiden tun Sie.

Werden besonders sensible Daten in großem Umfang verarbeitet, etwa Gesundheitsdaten?

Bei einer Arztpraxis oder einem Pflegedienst ja, dann ist eine DSFA Pflicht.

Werden Beschäftigte systematisch überwacht?

Nein, das System wertet Dokumente aus, nicht Menschen.

Für den typischen Handwerks- oder Bürobetrieb ist danach keine DSFA nötig. Wenn doch, erstelle ich sie mit Ihnen zusammen als Teil des Projekts, ohne Aufpreis.

Was passiert beim Löschen und beim Ausstieg?

Sie können jederzeit Daten löschen oder das System beenden, ohne dass Sie an einen Anbieter gebunden bleiben.

Das nennt man Lock-in-Freiheit: Ein System, das Sie an einen einzigen Anbieter fesselt, weil Ihre Daten in dessen Format gefangen sind, ist ein Lock-in. Bei Klarbeleg gilt stattdessen:

• Ihre Dokumente bleiben als PDF mit Textebene bei Ihnen
• Auswertungen liefere ich als CSV oder Excel
• Sie brauchen Klarbeleg nicht, um an Ihre Daten zu kommen, und nehmen sie mit, wenn Sie das System nicht mehr nutzen wollen

Praktisch heißt das: Kein Anbieterwechsel, der bei null anfängt. Ihre aufbereiteten Dokumente bleiben nutzbar, auch wenn Sie sich für ein anderes System entscheiden.

Woran erkenne ich einen DSGVO-konformen KI-Anbieter?

An sechs Punkten, die Sie sich vor der Beauftragung schriftlich bestätigen lassen sollten.

• Serverstandort in Deutschland oder der EU, schriftlich benannt
• Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor
• Schriftliche Zusage, dass Ihre Daten nicht zum Training verwendet werden
• Klare Aussage zur Rechtsgrundlage nach Art. 6 DSGVO
• Löschkonzept und Exportmöglichkeit Ihrer Daten
• Offene Formate statt eines geschlossenen Systems, das Sie festhält

Ein seriöser Anbieter beantwortet alle sechs Punkte knapp und schriftlich, ohne Umschweife. Bleibt eine Antwort vage oder mündlich, ist das selbst schon eine Antwort.