RAG DSGVO-konform: eigene Dokumente ohne Drittlandtransfer

Ist RAG datenschutzrechtlich ein Sonderfall?

Die Verordnung kennt keine Kategorie «KI-System». Geprüft werden dieselben Punkte wie bei jeder Auftragsverarbeitung: Gibt es einen Vertrag nach Artikel 28, wo wird verarbeitet, wer sind die Unterauftragsverarbeiter, wie lange werden Daten gespeichert, wer darf was sehen.

Das ist die gute Nachricht: Es braucht keine neue Systematik, sondern die vorhandene, angewandt auf einen neuen Fall. Die schlechte: Genau diese Punkte werden bei Pilotprojekten übersprungen, weil sie als Formalie gelten — und dann steht fertige Technik vor der Frage, ob sie überhaupt eingesetzt werden darf.

Zwei Besonderheiten hat das Verfahren trotzdem, und beide betreffen nicht die Technik, sondern die Buchführung darüber: Der Suchindex ist eine zweite Kopie Ihrer Inhalte, und jede Anfrage überträgt Ausschnitte an den Ort der Berechnung.

Die beiden Punkte, die dem Verfahren eigen sind

Der Suchindex enthält Ihre Inhalte. Ein RAG-Aufbau zerlegt Dokumente in Abschnitte und speichert sie zusammen mit ihrer numerischen Repräsentation. Das ist eine zweite Kopie der Inhalte, und sie wird bei Löschkonzepten regelmäßig vergessen: Wird nur das Originaldokument gelöscht, bleibt der Text im Index auffindbar.

Dasselbe gilt für Embeddings. Sie sind keine Anonymisierung — aus ihnen lassen sich Rückschlüsse auf den Ausgangstext ziehen. Zu behandeln sind sie wie die Dokumente selbst.

Jede Anfrage überträgt Inhalte. Bei jeder Frage gehen die gefundenen Abschnitte an den Ort der Berechnung. Nicht das gespeicherte Dokument entscheidet also über die datenschutzrechtliche Bewertung, sondern der Ort, an dem die Inferenz läuft — und das sind zwei verschiedene Orte, die häufig verwechselt werden.

Warum entscheidet der Verarbeitungsort mehr als das Modell?

Eine Übermittlung in ein Drittland ist nicht verboten, aber sie verlangt eine Grundlage: Angemessenheitsbeschluss, Standardvertragsklauseln mit ergänzender Prüfung oder eine der engen Ausnahmen. Dazu die Bewertung, ob behördliche Zugriffe im Zielland dem europäischen Schutzniveau entgegenstehen.

Dieser Aufwand fällt nicht einmalig an, sondern muss nachgehalten werden. Die beiden Vorgängerregelungen des heutigen Angemessenheitsbeschlusses wurden gerichtlich aufgehoben — eine Architektur, die darauf ruht, ist bei einem Wegfall unter Zeitdruck umzubauen, bei laufendem Betrieb.

Läuft die Inferenz in der EU, ist diese Frage nicht besser beantwortet: sie stellt sich nicht. Das ist der praktische Grund für diese Architektur, kein Bekenntnis.

Die Modellwahl dagegen ist datenschutzrechtlich fast nebensächlich. Ob ein offenes oder ein kommerzielles Modell rechnet, ändert an Vertrag, Löschfristen und Rollen nichts — es ändert nur, wo gerechnet wird, und genau darum geht es.

Was «Server in der EU» nicht beantwortet

Drei Dinge, und alle drei entscheiden über die Bewertung:

Wo läuft die Berechnung — nicht wo der Anbieter sitzt und nicht wo die Weboberfläche gehostet ist. Ein europäisches Unternehmen kann die Inferenz vollständig bei einem Drittanbieter einkaufen und weiterreichen.

Wo liegen Protokolle und Zwischenspeicher. Eingaben landen in Logs, Caches und Fehlermeldungen. Wenn die Inferenz in der EU läuft und die Protokollierung nicht, ist die Frage offen.

Wer kann im Support zugreifen. Ein Wartungszugriff aus einem Drittland ist eine Übermittlung, auch wenn die Daten physisch in der EU bleiben. Dieser Punkt wird am häufigsten übersehen.

Die brauchbare Frage an einen Anbieter lautet deshalb nicht «stehen die Server in der EU», sondern: Wo läuft die Berechnung, wo liegen die Protokolle, wer greift von wo aus zu. Wer eine dieser drei nicht schriftlich beantwortet, hat sie beantwortet.

Welcher Fehler bei Zugriffsrechten teuer wird

Die Zugriffsrechte müssen aus dem Bestandssystem übernommen werden — und zwar so, dass sie schon bei der Suche greifen, nicht erst beim Anzeigen des Ergebnisses.

Der Unterschied ist nicht theoretisch. Wird nachgelagert gefiltert, kann ein Treffer bereits in die formulierte Antwort geflossen sein: Der Nutzer sieht das Dokument nicht, wohl aber dessen Inhalt in der Zusammenfassung. Das ist ein Datenschutzvorfall, der bei der Abnahme nicht auffällt, weil die Oberfläche korrekt aussieht.

Prüfen lässt sich das mit einem einfachen Test: Zwei Konten mit unterschiedlichen Rechten stellen dieselbe Frage. Unterscheiden sich die Antworten nicht, greifen die Rechte nicht — unabhängig davon, was die Trefferliste anzeigt.

Muss es lokal laufen?

Nein — und diese Frage führt oft in die falsche Richtung. Verlangt wird Kontrolle über die Verarbeitung, nicht ein Server im eigenen Keller. Eigener Betrieb ist ein Weg dorthin, aber er verlagert die Arbeit: Wer selbst betreibt, verantwortet Verfügbarkeit, Updates, Modellwechsel und Skalierung.

Für die meisten Unternehmen ist die tragfähigere Antwort ein Anbieter, der den Verarbeitungsort offenlegt statt zusichert — mit Auftragsverarbeitungsvertrag, benannten Unterauftragsverarbeitern und dokumentierten Löschfristen.

Eigenbetrieb lohnt dort, wo besondere Anforderungen bestehen: Daten, die das eigene Netz nicht verlassen dürfen, oder Auflagen einer Aufsicht. Als Standardantwort auf «ist das sicher» ist er eine teure Beruhigung — und eine, die Verantwortung nicht abnimmt, sondern verschiebt.

Die Reihenfolge, die Zeit spart

Datenschutz gehört an den Anfang, nicht ans Ende. Konkret heißt das: Bevor der erste Pilot startet, sind Vertrag, Verarbeitungsort und Rollenkonzept geklärt — das kostet einige Tage und verhindert den häufigsten Abbruchgrund von Pilotprojekten überhaupt.

Die Bestandsaufnahme, die Sie dafür brauchen, brauchen Sie ohnehin auch für den EU AI Act. Zwei Regelwerke, ein Arbeitsschritt — und die Reihenfolge entscheidet darüber, ob am Ende ein System steht oder ein Prototyp, den niemand freigeben darf. Die Klärung kostet einige Tage, der Umbau eines fertigen Aufbaus kostet Wochen.

Die Prüfpunkte für die Anbieterauswahl stehen unter Datenstandort EU, das Verfahren selbst im Glossar unter RAG und Embedding.