«DSGVO-konform» ist kein Produktmerkmal
Konformität ist eine Eigenschaft des Einsatzes, nicht des Werkzeugs. Dasselbe Programm ist zulässig, wenn Vertrag, Rechtsgrundlage, Rollen und Nutzungsregeln stimmen — und unzulässig, sobald Mitarbeiter dort ungeregelt Kundendaten eingeben. Sechs Kriterien entscheiden, und alle sechs gehören schriftlich beantwortet.
Welche sechs Kriterien entscheiden?
Der erste sortiert die meisten Kandidaten bereits aus.
Auftragsverarbeitungsvertrag
Nach Artikel 28, mit den Pflichtinhalten. Bei kostenlosen Konten existiert er nicht — das ist der erste und härteste Filter.
Verarbeitungsort der Inferenz
Nicht der Firmensitz und nicht der Ort der Oberfläche, sondern wo gerechnet wird. Die drei fallen häufig auseinander.
Unterauftragsverarbeiter
Vollständige Liste mit Zweck und Ort, plus ein Verfahren zur Ankündigung von Änderungen. Eine Liste ohne Ortsangabe beantwortet nichts.
Keine Nutzung zum Training
Vertraglich zugesichert, nicht als Schalter in den Einstellungen. Ein Schalter kann sich mit dem nächsten Update ändern.
Löschkonzept
Fristen für Eingaben, Ausgaben und Protokolle — und die Frage, ob eine Löschung auch Sicherungen erreicht.
Rollen und Rechte
Übernahme der bestehenden Berechtigungen. Ein System, das allen alles zeigt, ist kein Werkzeug, sondern ein Datenschutzvorfall mit Oberfläche.
Warum hilft ein Siegel auf der Produktseite nicht?
Weil die Verantwortung nicht übertragbar ist. Verantwortlich im Sinne der Verordnung bleibt Ihr Unternehmen — für die Rechtsgrundlage, die Zweckbindung, die Informationspflichten und die Frage, welche Daten überhaupt eingegeben werden dürfen. Ein Anbieter kann Ihnen die Auftragsverarbeitung vertraglich zusichern; er kann Ihnen nicht die Rolle des Verantwortlichen abnehmen.
Hinzu kommt, dass die meisten Werbeaussagen zur Konformität sich auf den Vertragsteil beziehen und den Einsatzteil weglassen. Ein Werkzeug mit tadellosem Auftragsverarbeitungsvertrag wird unzulässig eingesetzt, sobald jemand eine Bewerberakte hineinkopiert, ohne dass dafür eine Grundlage besteht.
Praktisch heißt das: Die Auswahl des Werkzeugs ist der kleinere Teil der Arbeit. Der größere ist die Festlegung, wer welche Daten eingeben darf — eine Seite Text, die in den meisten Häusern fehlt.
Was gehört in die Unterlagen?
Drei Dinge, nach denen bei einer Prüfung gefragt wird: die schriftlichen Antworten des Anbieters zu den sechs Kriterien, der Auftragsverarbeitungsvertrag und der Eintrag ins Verzeichnis der Verarbeitungstätigkeiten für genau diesen Einsatz.
Dazu die Nutzungsregel für die Mitarbeiter und der Nachweis der Einweisung — letzterer erfüllt zugleich die Schulungspflicht nach Artikel 4 des EU AI Act, die seit Februar 2025 gilt. Zwei Regelwerke, ein Dokument: das ist der pragmatische Grund, beides gemeinsam zu erledigen statt nacheinander.
Häufige Fragen
Gibt es DSGVO-konforme KI-Tools von der Stange?+
Konform ist kein Produktmerkmal, sondern eine Eigenschaft des Einsatzes. Dasselbe Werkzeug kann zulässig sein, wenn Vertrag, Rechtsgrundlage, Rollen und Nutzungsregeln stimmen — und unzulässig, wenn Mitarbeiter dort Kundendaten eingeben, ohne dass das geregelt wäre. Ein Siegel auf der Produktseite ersetzt diese Prüfung nicht.
Reicht ein Geschäftstarif des Anbieters?+
Er deckt den Vertragsteil ab und ist ein sinnvoller erster Schritt. Offen bleiben Verarbeitungsort, Unterauftragsverarbeiter und die Frage, wer im Haus welche Daten eingeben darf. Die letzte beantwortet kein Tarif — sie ist die häufigste Lücke.
Worauf achtet man bei der Auswahl zuerst?+
Auf den Auftragsverarbeitungsvertrag. Ohne ihn erübrigt sich alles Weitere, und er sortiert die kostenlosen Konten sofort aus, in denen der Großteil der ungeregelten Nutzung stattfindet.
Was ist mit europäischen Anbietern?+
Der Firmensitz sagt nichts über den Verarbeitungsort. Ein europäisches Unternehmen kann die Inferenz vollständig bei einem Drittanbieter einkaufen und weiterreichen. Fragen Sie nach dem Ort der Berechnung, nicht nach der Anschrift im Impressum.
Brauchen wir für jedes Werkzeug eine Folgenabschätzung?+
Nein, sie hängt vom Anwendungsfall ab, nicht vom Werkzeug. Bei Beschäftigtendaten, systematischer Bewertung von Personen oder besonderen Datenkategorien ist sie regelmäßig fällig. Für eine Suche über technische Dokumentation in aller Regel nicht.
Wie dokumentiert man die Auswahl?+
Mit den schriftlichen Antworten des Anbieters zu den sechs Kriterien, dem Vertrag und dem Eintrag ins Verzeichnis der Verarbeitungstätigkeiten. Diese drei Unterlagen sind das, wonach bei einer Prüfung gefragt wird — und sie nachträglich zu beschaffen ist deutlich aufwendiger.