KI und Datenschutz: was Unternehmen beachten müssen.
KI hilft nur, wenn Ihr Team sie mit echten Daten nutzen darf. Dieser Ratgeber zeigt, wo KI und Datenschutz kollidieren, was die DSGVO verlangt und wie Sie die Fragen von Datenschutz und Betriebsrat beantworten, egal, ob Ihre KI in der RAGSuite Engine oder auf Ihrem Server läuft.
Keine Rechtsberatung · Stand 13. Oktober 2026
- Wohin gehen die Daten?Rechenzentrum in Deutschland oder Ihre Server
- Gibt es einen neuen Auftragsverarbeiter?Cloud: AVV mit uns · self-hosted: nein
- Wie lange wird gespeichert?Löschfrist mit Nachweis
- Wo ist die Dokumentation?TOM & Verzeichnis-Vorlage
- Werden Beschäftigte ausgewertet?keine Telemetrie
- Lässt sich Speicherung abschalten?ja, für Chat und Suche
- Erkennen Nutzer die KI?KI-Hinweis im Widget
- Wer sieht was?Rollen und Teams
- Wie melden sich Nutzer an?2FA, Sitzungs-Timeout
- Wer hat was geändert?Audit-Log
- Ruft die Software nach Hause?nein, kein Phone-home
- Wie wird aktualisiert?per CLI, Daten bleiben
Das Wichtigste in Kürze
- KI-Datenschutz heißt: Zweck, Rechtsgrundlage und Datenfluss klären, bevor personenbezogene Daten in eine KI gehen.
- Die häufigsten Probleme: ein weiterer Anbieter, Übermittlung in Drittländer, Antworten ohne Herkunft und Leistungskontrolle.
- Keine Software ist automatisch datenschutzkonform; die Verantwortung bleibt beim Unternehmen.
- RAGSuite läuft in der RAGSuite Engine (mit AVV) oder auf Ihrem Server (ohne neuen Auftragsverarbeiter).
Was bedeutet Datenschutz bei KI?
Datenschutz bei KI bedeutet: Sobald eine KI personenbezogene Daten verarbeitet, in Fragen, Dokumenten oder Verläufen –, gilt die DSGVO wie bei jeder anderen Software. Sie brauchen einen klaren Zweck, eine Rechtsgrundlage, Verträge mit allen Anbietern und Regeln für Speicherung und Zugriff.
Neu ist bei KI vor allem der Datenfluss: Wohin gehen Fragen und Dokumente, wer kann darauf zugreifen, und wird damit ein Modell trainiert? Wer diese drei Fragen sauber beantwortet, hat den größten Teil geschafft.
KI-Datenschutz-Probleme, und wie Sie sie vermeiden.
Daten gehen an einen weiteren Anbieter
Jeder KI-Dienst ist ein Auftragsverarbeiter, den Ihr Datenschutz prüfen und vertraglich einbinden muss. Mit RAGSuite: In der RAGSuite Engine schließen Sie einen AVV mit uns; self-hosted entsteht für die Plattform kein neuer Auftragsverarbeiter.
Übermittlung in Drittländer
Sitzt der Anbieter außerhalb der EU, brauchen Sie Standardvertragsklauseln und eine Folgenabschätzung für die Übermittlung. Mit RAGSuite: Plattform und Daten in Deutschland; beim Sprachmodell wählen Sie Anbieter in der EU oder self-hosted ein lokales Modell.
Antworten ohne Herkunft
Wer nicht sieht, woher eine Antwort stammt, kann sie nicht prüfen, und später nicht belegen. Mit RAGSuite: Jede Antwort nennt ihre Quelle, das Audit-Log hält fest, was im System geändert wurde.
Leistungskontrolle
Kann ein System Verhalten oder Leistung auswerten, hat der Betriebsrat mitzubestimmen. Mit RAGSuite: keine Telemetrie, Speicherung abschaltbar, Löschfristen mit Nachweis.
Was RAGSuite beiträgt, und was bei Ihnen bleibt.
| DSGVO | Was RAGSuite beiträgt | Was bei Ihnen bleibt |
|---|---|---|
| Art. 5: Datenminimierung, Speicherbegrenzung | Speicherung abschaltbar, automatische Löschfrist mit Nachweis | Löschkonzept festlegen |
| Art. 25: Datenschutz durch Technikgestaltung | keine Telemetrie, KI-Hinweis im Widget, Quelle bei jeder Antwort | sinnvoll konfigurieren |
| Art. 28: Auftragsverarbeitung | RAGSuite Engine: AVV mit RAGSuite · self-hosted: kein RAGSuite-Auftragsverarbeiter | AVV mit externem Modellanbieter, falls genutzt |
| Art. 30: Verzeichnis | Vorlage im Trust Center | Eintrag anlegen und pflegen |
| Art. 32: Sicherheit | 2FA, Sitzungs-Timeout, Audit-Log, kein Phone-home | Zugriffe und Rollen; self-hosted auch Server und Backups |
| Art. 35: Folgenabschätzung | DSFA-Muster als kostenloses Werkzeug | DSFA durchführen, wo nötig |
Keine Software macht Sie automatisch datenschutzkonform. Die Verantwortung für die Verarbeitung bleibt bei Ihnen: RAGSuite nimmt die größten Hürden ab.
Was RAGSuite in der RAGSuite Engine als Auftragsverarbeiter verarbeitet.
In der RAGSuite Engine verarbeiten wir in Ihrem Auftrag Ihre Dokumente, den Suchindex, Fragen, Antworten und den Verlauf, in einem Rechenzentrum in Deutschland. Dafür schließen Sie einen Auftragsverarbeitungsvertrag mit uns. Ihre Daten trainieren kein Modell, und Sie bestimmen Löschfristen und Speicherung.
An das Sprachmodell gehen nur die Frage und die passenden Textstellen. Den Modellanbieter und seinen Standort sehen Sie bei der Auswahl; er steht in der Liste der Unterauftragsverarbeiter.
KI datenschutzkonform nutzen, in acht Schritten.
Haken Sie ab, was Sie schon geklärt haben. Nichts wird gespeichert.
Ist Ihr Unternehmen bereit für KI mit eigenen Daten?
- Welche Daten dürfen in den Index?
- Was Datenschutz und Betriebsrat vorab brauchen
- Lokales Modell oder API: die Entscheidungsfragen
Wir nutzen Ihre Angaben nur, um Ihnen zu antworten. Datenschutzerklärung
Was will der Betriebsrat bei KI wissen?
Kann eine Software Leistung oder Verhalten von Beschäftigten auswerten, hat der Betriebsrat nach § 87 BetrVG mitzubestimmen. Bei KI-Assistenten ist das häufig der Fall. Diese Punkte machen das Gespräch kurz: keine Telemetrie, Speicherung für Chat und Suche getrennt abschaltbar, Löschfristen mit Nachweis, KI-Hinweis im Widget und Rollen, die festlegen, wer Verläufe sieht.
Welche KI hat den besten Datenschutz? Fünf Fragen an jeden Anbieter.
Wo liegen die Daten?
Rechenzentrum, Land und Sitz des Anbieters, nicht nur „in der EU“.
Wird mit meinen Daten trainiert?
Gilt das standardmäßig, oder muss jemand es abschalten?
Gibt es einen AVV?
Mit welchen Unterauftragsverarbeitern, und wo sitzen sie?
Wie wird gelöscht?
Lässt sich Speicherung abschalten, gibt es Löschfristen mit Nachweis?
Ist jede Antwort prüfbar?
Nennt die KI die Quelle, und gibt es ein Audit-Log?
Wer sieht was?
Rollen, Teams und getrennte Projekte für sensible Inhalte.
Fragen zu KI und Datenschutz.
Wie nutzt man KI im Unternehmen datenschutzkonform?
Legen Sie Zweck und Rechtsgrundlage fest, klären Sie den Datenfluss und schließen Sie mit jedem externen Anbieter einen AVV. Prüfen Sie, ob eine Datenschutz-Folgenabschätzung nötig ist, begrenzen Sie die Speicherung und binden Sie den Betriebsrat ein. Unsere Checkliste mit acht Schritten hilft dabei. Dies ist keine Rechtsberatung.
Welche Datenschutz-Probleme gibt es bei KI?
Die häufigsten sind ein weiterer Anbieter, der Daten verarbeitet, die Übermittlung in Drittländer, Antworten ohne nachvollziehbare Herkunft und die Möglichkeit, Beschäftigte auszuwerten. Dazu kommt bei manchen Diensten das Training mit Eingaben. Alle lassen sich lösen, wenn Datenfluss, Verträge und Speicherung vor dem Start geklärt sind.
Verlassen Daten mit RAGSuite unsere Umgebung?
In der RAGSuite Engine verarbeiten wir Ihre Daten in einem Rechenzentrum in Deutschland, auf Grundlage eines AVV. Self-hosted bleiben Dokumente, Suchindex und Verlauf auf Ihren Servern; mit einem lokalen Modell gibt es keinen ausgehenden Datenverkehr. An ein externes Sprachmodell gehen nur die Frage und passende Textstellen.
Brauchen wir für einen KI-Assistenten eine Datenschutz-Folgenabschätzung?
Das hängt vom Risiko ab. Verarbeitet der Assistent personenbezogene Daten in größerem Umfang oder besondere Kategorien, ist eine DSFA nach Art. 35 DSGVO meist nötig. Unser kostenloses DSFA-Muster hilft beim Entwurf. Die Entscheidung trifft Ihr Datenschutzbeauftragter: dokumentieren Sie die Prüfung vor dem Start.
Muss der Betriebsrat zustimmen?
Wenn eine Software geeignet ist, Leistung oder Verhalten von Beschäftigten zu überwachen, hat der Betriebsrat ein Mitbestimmungsrecht. Bei KI-Assistenten ist das häufig der Fall. RAGSuite erleichtert die Einigung: keine Telemetrie, abschaltbare Speicherung, Löschfristen und ein KI-Hinweis im Widget. Binden Sie ihn früh ein.
Macht RAGSuite uns automatisch datenschutzkonform?
Nein, das kann keine Software, denn die DSGVO betrifft auch Ihre Prozesse. RAGSuite nimmt die größten Hürden ab: Daten in Deutschland oder bei Ihnen, Löschfristen, Audit-Log und Quellenangaben sind eingebaut. Zweck, Rechtsgrundlage, Verzeichnis und Folgenabschätzung bleiben Ihre Aufgabe als Verantwortlicher.
KI mit echten Daten, mit Datenschutz an Bord.
Prüfen Sie Ihren Stand mit dem kostenlosen DSGVO-Check, oder gehen Sie die Fragen Ihres Datenschutzbeauftragten mit uns durch.