Heabsy
Leistung · Datenschutz

KI einführen, ohne dass Ihre Daten die EU verlassen

Die DSGVO verbietet keine KI — sie verlangt Rechtsgrundlage, Zweckbindung und Kontrolle darüber, wo verarbeitet wird. Wir bauen Systeme, bei denen die Inferenz auf unserer eigenen Infrastruktur in der EU läuft, und liefern die Unterlagen mit, die Ihre Datenschutzbeauftragte dafür braucht. Damit entfällt der aufwendigste Prüfpunkt: die Drittlandsübermittlung.

Bestandsaufnahme anfragenGrundlagen nachlesen
EU
Verarbeitungsort der Inferenz
0
Ihrer Daten im Modelltraining
2–3 Wochen
bis Regel und Nachweis stehen

Warum scheitert der Datenschutz meist nicht am Modell?

In der Praxis liegen die Probleme selten dort, wo sie vermutet werden. Vier Punkte entscheiden über die Zulässigkeit — und drei davon haben mit dem Modell nichts zu tun.

Kein Auftragsverarbeitungsvertrag. Bei kostenlosen Konten existiert er nicht, und damit ist jede Eingabe personenbezogener Daten eine Übermittlung ohne Grundlage.
Unklarer Verarbeitungsort. Ohne Antwort auf «wo genau läuft das» braucht es Standardvertragsklauseln und ein Transfer Impact Assessment — Aufwand, der bei EU-Verarbeitung schlicht entfällt.
Daten fließen ins Modelltraining. In Geschäftstarifen meist abschaltbar, in kostenlosen Konten regelmäßig nicht.
Niemand hat festgelegt, was hineingegeben werden darf. Das ist die häufigste Lücke — und die einzige, die sich an einem Nachmittag schließen lässt.

Was liefern wir dafür?

Ein laufendes System und die Unterlagen, mit denen es eine Prüfung übersteht.

Verarbeitung in der EU

Die Inferenz läuft auf unserer eigenen Infrastruktur, nicht als weitergereichter Zugang zu einem US-Anbieter. Verarbeitungsorte und Unterauftragsverarbeiter sind offengelegt, nicht zugesichert.

Vertrag und Verzeichnis

Auftragsverarbeitungsvertrag und der Eintrag ins Verzeichnis der Verarbeitungstätigkeiten für genau diesen Einsatz — vorbereitet, nicht als Hausaufgabe zurückgegeben.

Rollen, Rechte, Löschfristen

Wer sieht welche Dokumente, wie lange bleiben Eingaben und Protokolle gespeichert, was passiert bei einem Auskunftsersuchen. Technisch umgesetzt, nicht nur beschrieben.

Nutzungsregel und Einweisung

Eine Seite für die Mitarbeiter: erlaubte Werkzeuge, erlaubte Daten, Tabus, Zuständigkeit bei Zweifeln. Die Einweisung erfüllt zugleich die Schulungspflicht nach Artikel 4 des EU AI Act.

Wie gehen wir vor?

01

Bestandsaufnahme

3–5 Tage

Welche KI-Werkzeuge laufen tatsächlich im Haus, mit welchen Daten, auf wessen Konten. Ohne Sanktionsandrohung, sonst bekommen Sie keine ehrliche Liste.

02

Erlaubte Alternative

1–2 Wochen

Ein System mit Vertrag und EU-Verarbeitung, das die Aufgaben abdeckt, für die heute private Konten benutzt werden.

03

Regeln und Unterlagen

1 Woche

Nutzungsregel, Verzeichniseintrag, Rollen- und Löschkonzept, technische Beschreibung für eine etwaige Folgenabschätzung.

04

Einweisung und Übergabe

2–3 Tage

Schulung an Ihren Werkzeugen und Ihren Daten, dokumentiert. Danach ist die unkontrollierte Nutzung durchsetzbar zu beenden.

Wann sind wir nicht die Richtigen?

Wenn eine rechtliche Bewertung erwartet wird: wir liefern die technische Seite und die Nachweise, die Bewertung bleibt bei Ihrer Datenschutzbeauftragten oder Kanzlei.
Wenn die Daten Russland oder ein anderes Drittland nicht verlassen dürfen — unsere Infrastruktur steht in der EU, andere Anforderungen können wir nicht erfüllen.
Wenn nur ein Dokumentenpaket ohne System gesucht wird. Papier ohne funktionierende Alternative ändert an der Schattennutzung nichts.
Wenn das Projektvolumen deutlich unter 25.000 € liegen soll.

FAQ

Ist KI überhaupt DSGVO-konform einsetzbar?+
Ja — die Verordnung verbietet keine Technologie, sie verlangt Rechtsgrundlage, Zweckbindung und Kontrolle über den Verarbeitungsort. Entscheidend ist nicht, ob KI im Spiel ist, sondern ob ein Auftragsverarbeitungsvertrag besteht, wo verarbeitet wird und ob Ihre Daten ins Modelltraining fließen.
Was ändert sich, wenn die Inferenz in der EU läuft?+
Die Drittlandsübermittlung entfällt als Prüfpunkt — mit ihr die Diskussion über Standardvertragsklauseln und Transfer Impact Assessment. Übrig bleiben die normalen Fragen jeder Auftragsverarbeitung: Vertrag, Löschfristen, Rollen und Rechte, Protokollierung.
Können wir nicht einfach einen Geschäftstarif nehmen?+
Das ist ein sinnvoller erster Schritt und deckt den Vertragsteil ab. Offen bleiben Verarbeitungsort, Unterauftragsverarbeiter und die Frage, wer im Haus welche Daten hineingeben darf — Punkte, die kein Tarif für Sie beantwortet.
Was liefern Sie am Ende ab?+
Ein laufendes System plus die Unterlagen dazu: Auftragsverarbeitungsvertrag, Verzeichnis der Verarbeitungstätigkeiten für diesen Einsatz, offengelegte Unterauftragsverarbeiter mit Verarbeitungsort, Rollen- und Rechtekonzept, Löschkonzept und die Einweisung der Mitarbeiter.
Brauchen wir eine Datenschutz-Folgenabschätzung?+
Das hängt vom Anwendungsfall ab, nicht von der Technologie. Bei Beschäftigtendaten, systematischer Bewertung von Personen oder besonderen Kategorien ist sie regelmäßig fällig. Wir liefern die technische Beschreibung, die Ihre Datenschutzbeauftragte dafür braucht.
Unsere Mitarbeiter nutzen längst ChatGPT. Was jetzt?+
Erst eine erlaubte Alternative bereitstellen, dann die Regeln setzen, dann die unkontrollierte Nutzung beenden. Ein Verbot ohne Alternative verlagert dieselbe Arbeit nur auf private Konten, wo weder Vertrag noch Protokoll greifen.
Wie lange dauert die Umsetzung?+
Bestandsaufnahme und Nutzungsregel zwei bis drei Wochen. Ein System mit Anbindung an Ihre Ablagen weitere vier bis acht Wochen, abhängig von Integrationstiefe und Rechtekonzept.

Der ehrlichste erste Schritt

Eine anonyme Umfrage mit drei Fragen im Team: welche KI-Werkzeuge werden beruflich genutzt, wofür, mit welchen Daten. Das Ergebnis ist unbequem und genau deshalb brauchbar — es beendet die Diskussion darüber, ob es das Thema im Haus überhaupt gibt.

Bestandsaufnahme anfragenPreise ansehen