Bevor ein neues KI-Tool im Team eingeführt wird, lohnt sich ein strukturierter Blick auf die Datenschutz-Grundlagen. Diese Checkliste führt dich durch sieben Prüfpunkte – von Serverstandort bis Löschfristen. Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung, Stand: Juli 2026.
Was du brauchst
- Zugang zu Nutzungsbedingungen und Datenschutzerklärung des jeweiligen Tools
- Vertrags- oder Admin-Verantwortung in deinem Unternehmen
- Überblick, welche Daten (Kunden-, Mitarbeiter- oder Geschäftsdaten) über das Tool laufen sollen
- Eine Liste aller KI-Tools, die aktuell im Einsatz oder in Planung sind
- Kontakt zu deinem Datenschutzbeauftragten, falls vorhanden
Zeitaufwand: ca. 60 Minuten pro Tool · Schwierigkeitsgrad: mittel · Benötigte Rechte: Vertrags- oder Admin-Zugang beim Anbieter
Schritt 1: Serverstandort und Anbieter identifizieren
Finde heraus, wo der Anbieter des KI-Tools seinen Sitz hat und wo die Daten technisch verarbeitet werden – das steht meist in der Datenschutzerklärung unter „Datenverarbeitung“ oder „Hosting“ (Pfad kann je nach Version variieren). Notiere Firmensitz und Rechenzentrumsstandort getrennt, da beide voneinander abweichen können. Häufiger Fehler: Nur den Firmensitz zu prüfen und den tatsächlichen Serverstandort zu übersehen, obwohl dieser für die Einordnung als Drittlandtransfer entscheidend ist. Danach weißt du, ob es sich um eine EU-interne Verarbeitung oder einen Drittlandfall handelt.
Schritt 2: Auftragsverarbeitungsvertrag abschließen
Verarbeitet der Anbieter personenbezogene Daten in deinem Auftrag, brauchst du einen Auftragsverarbeitungsvertrag (AVV). Viele Anbieter stellen ihn im Kundenportal unter „Rechtliches“ oder „Compliance“ zum Download bereit; bei kleineren Tools reicht oft eine formlose Anfrage per E-Mail. Prüfe, ob der AVV Weisungsrechte, Unterauftragsverarbeiter und Löschpflichten regelt. Häufiger Fehler: Das Tool produktiv einzusetzen, bevor der AVV unterschrieben zurück ist. Danach hast du eine vertragliche Grundlage für die Auftragsverarbeitung dokumentiert.
Schritt 3: Drittlandtransfer einordnen
Liegt der Serverstandort außerhalb der EU/des EWR, prüfst du, ob eine Drittlandübermittlung vorliegt. Bei US-Anbietern ist zusätzlich relevant, ob der Cloud Act greift, also ob US-Behörden theoretisch Zugriff auf die Daten verlangen könnten. Diese Einordnung findest du meist im Abschnitt „internationale Datenübermittlung“ der Datenschutzerklärung. Häufiger Fehler: Anzunehmen, ein EU-Rechenzentrum schließe einen Drittlandbezug automatisch aus – Support- oder Wartungszugriffe aus Drittländern zählen ebenfalls. Danach weißt du, ob zusätzliche Absicherungen wie SCCs nötig sind.
Schritt 4: Rechtsgrundlage für den Transfer prüfen
Liegt ein Drittlandtransfer vor, braucht es eine Rechtsgrundlage: entweder Standardvertragsklauseln (SCCs) oder – bei US-Anbietern – eine Zertifizierung nach dem Data Privacy Framework (DPF). Beides findest du meist verlinkt im AVV oder auf der Compliance-Seite des Anbieters; aktuelle Angaben beim Anbieter prüfen (Stand: Juli 2026), da sich Zertifizierungen ändern können. Häufiger Fehler: SCCs und DPF als austauschbar zu behandeln, obwohl nur eine Grundlage tatsächlich vertraglich vereinbart ist. Danach hast du die rechtliche Basis für den Datentransfer dokumentiert.
Schritt 5: KI-Training-Opt-out aktivieren
Prüfe, ob deine eingegebenen Daten für das KI-Training des Anbieters verwendet werden. Die Option dazu liegt meist in den Konto- oder Datenschutzeinstellungen unter „Datennutzung“ oder „Privacy Settings“ (Pfad kann je nach Version variieren) [Screenshot: Trainings-Opt-out-Schalter in den Kontoeinstellungen]. Deaktiviere die Trainingsnutzung, wenn Kunden- oder Geschäftsdaten eingegeben werden. Häufiger Fehler: Den Opt-out nur für den eigenen Account zu setzen, obwohl weitere Teammitglieder eigene Zugänge nutzen. Danach ist sichergestellt, dass eure Eingaben nicht in Trainingsdaten des Anbieters landen.
Schritt 6: Technische und organisatorische Maßnahmen bewerten
Sieh dir an, welche technischen und organisatorischen Maßnahmen (TOMs) der Anbieter für den Schutz personenbezogener Daten nennt – etwa Verschlüsselung, Zugriffskontrollen und Protokollierung. Diese Angaben stehen häufig in einem separaten „Security“- oder „Trust Center“-Dokument. Häufiger Fehler: Sich mit einem allgemeinen Satz wie „wir nehmen Datenschutz ernst“ zufriedenzugeben, statt konkrete Maßnahmen einzufordern. Danach hast du eine Einschätzung, ob das Schutzniveau zur Sensibilität eurer Daten passt.
Schritt 7: Löschfristen und Datenminimierung festlegen
Kläre, wie lange Daten beim Anbieter gespeichert bleiben und ob sich Löschfristen konfigurieren lassen. Nutze nach Möglichkeit nur die Daten, die für den jeweiligen Anwendungsfall wirklich nötig sind – etwa anonymisierte statt vollständiger Kundendatensätze. Häufiger Fehler: Löschfristen gar nicht zu hinterfragen und sich stillschweigend auf Standardeinstellungen zu verlassen. Danach liegt eine dokumentierte Löschregel vor, auf die du bei Rückfragen verweisen kannst.
Ergebnis
Nach Abschluss aller sieben Schritte hast du für jedes geprüfte KI-Tool eine dokumentierte Einschätzung zu Serverstandort, AVV, Drittlandtransfer, Rechtsgrundlage, KI-Training-Opt-out, TOMs und Löschfristen – die Grundlage für eine informierte Einsatzentscheidung.
Beispiel: Ein Steuerbüro nutzt ein KI-Chatbot-Tool zur Vorbereitung von Kundenantworten. Nach Durcharbeiten der Checkliste liegen ein unterschriebener AVV, eine dokumentierte SCC-Vereinbarung und ein deaktivierter Trainings-Opt-out vor – die Grundlage, um das Tool für Mandantendaten freizugeben.
Häufige Fehler
- Serverstandort nur anhand des Firmensitzes einschätzen statt anhand des tatsächlichen Rechenzentrums
- Tool produktiv nutzen, bevor der AVV unterschrieben zurück ist
- SCCs und DPF als beliebig austauschbar behandeln
- KI-Training-Opt-out nur für den eigenen Account statt für alle Teamzugänge setzen
- Sich mit pauschalen Sicherheitsversprechen statt konkreten TOM-Angaben zufriedengeben
- Löschfristen gar nicht abfragen und Standardeinstellungen unhinterfragt übernehmen
Checkliste: DSGVO-Voraussetzungen für KI-Tools
- Serverstandort und Rechenzentrum dokumentiert
- Firmensitz des Anbieters geprüft
- AVV angefragt und unterschrieben vorliegend
- Drittlandtransfer eingeordnet (ja/nein)
- Cloud-Act-Risiko bei US-Anbietern geprüft
- Rechtsgrundlage (SCCs oder DPF) dokumentiert
- KI-Training-Opt-out für alle Teamzugänge aktiviert
- TOMs des Anbieters eingesehen und bewertet
- Löschfristen geklärt und Datenminimierung umgesetzt
Häufige Fragen
Muss ich für jedes einzelne KI-Tool eine eigene DSGVO-Prüfung durchführen? Ja. Jeder Anbieter hat einen eigenen Serverstandort, eigene Vertragsbedingungen und eigene TOMs – eine Prüfung lässt sich nicht auf andere Tools übertragen.
Was passiert, wenn ich ein KI-Tool ohne AVV einsetze? Ohne AVV fehlt die rechtliche Grundlage für die Auftragsverarbeitung, was im Streitfall als Verstoß gegen die DSGVO gewertet werden kann. Ohne AVV solltest du das Tool nicht für personenbezogene Daten nutzen, bis der Vertrag vorliegt.
Reicht ein AVV allein aus, wenn der Anbieter Daten in den USA verarbeitet? Nein. Zusätzlich zum AVV braucht es bei US-Verarbeitung eine Rechtsgrundlage für den Drittlandtransfer, also SCCs oder eine DPF-Zertifizierung.
Wie hoch ist der Aufwand, wenn mein Unternehmen mehrere KI-Tools gleichzeitig einsetzt? Rechne mit rund 60 Minuten pro Tool für die Erstprüfung. Bei mehreren Tools lohnt sich eine gemeinsame Tabelle, in der du die sieben Prüfpunkte pro Anbieter festhältst.
Welche Folgen drohen, wenn die Dokumentation zur DSGVO-Prüfung fehlt oder unvollständig ist? Ohne Dokumentation lässt sich im Streitfall oder bei einer Aufsichtsbehörden-Anfrage nicht nachweisen, dass eine Prüfung stattgefunden hat – das erschwert die Verteidigung gegenüber Bußgeldvorwürfen erheblich.
Muss ich die Checkliste bei jedem neuen KI-Tool komplett neu durchlaufen? Ja, allerdings lässt sich der Ablauf mit der oben stehenden Checkliste beschleunigen, sobald du die Struktur einmal verinnerlicht hast.