Was eine Datenschutzerklärung beantworten sollte
Aktualisiert am 23. September 2026: Die frühere Auswertung von zehn Datenschutzerklärungen ist entfernt, weil Datum und Methode nicht dokumentiert waren. Die Muster stehen jetzt als Prüfhinweise, Aussagen über namentlich genannte Anbieter stützen sich auf deren eigene Dokumentation.
Dieser Beitrag zeigt, welche Angaben Sie in der Datenschutzerklärung eines KI-Anbieters finden sollten, und gibt Ihnen eine 7-Fragen-Checkliste für Ihre Prüfung an die Hand.
Die Fragen dahinter sind einfach: Welches Sprachmodell wird genutzt? Wohin fließen die Daten? Wer hat Zugriff?
In manchen Datenschutzerklärungen stehen dazu nur allgemeine Formulierungen statt konkreter Namen: „Externe KI-Dienstleister“ ohne Namen oder „Drittlandtransfers können nicht ausgeschlossen werden“, weit hinten im Text. Auf der Startseite steht zugleich in großen Buchstaben: DSGVO-konform.
Kein Geschäftsführer sollte sich durch 15 Seiten Juristendeutsch kämpfen müssen, um herauszufinden, ob seine Kundendaten bei einem Modellanbieter außerhalb der EU landen.
Was hinter dem Begriff DSGVO-konform stehen sollte
Der Begriff DSGVO-konform ist verbreitet. Entscheidend ist, welche Angaben und Unterlagen ihn stützen: Sprachmodell, Verarbeitungsorte, Auftragsverarbeitungsvertrag und Verzeichnis der Dienstleister.
Manchmal steht hinter dem Begriff vor allem eine Aussage zum Serverstandort in der EU. Das ist eine wichtige Angabe, beantwortet aber noch nicht, wer die Daten verarbeitet.
Denn EU-Hosting allein macht eine Verarbeitung nicht DSGVO-konform. Läuft das Sprachmodell über die API eines Anbieters mit Sitz in den USA, ist dieser Anbieter Empfänger der Daten, auch wenn er europäische Regionen anbietet. OpenAI beschreibt für berechtigte Kunden eine europäische Datenresidenz mit produktspezifischen Voraussetzungen (OpenAI: Introducing data residency in Europe). Ob eine konkrete Installation sie nutzt, muss der Plattformanbieter belegen. Für Anbieter, die US-Recht unterliegen, gilt zugleich der CLOUD Act (18 U.S.C. § 2713), unabhängig davon, wo die Daten gespeichert sind.
Art. 13 und 14 DSGVO verlangen, dass Betroffene über die Empfänger oder Kategorien von Empfängern ihrer Daten informiert werden. Konkrete Unternehmen mit Sitz und Zweck machen die Verarbeitung für Sie nachvollziehbar.
Prüfen Sie deshalb, ob die Datenschutzerklärung Ihres Anbieters das Sprachmodell und dessen Anbieter beim Namen nennt.
Die 5-Minuten-Checkliste: 7 Fragen an jeden KI-Anbieter
Bevor Sie einen KI-Anbieter beauftragen, stellen Sie diese sieben Fragen. Wenn Sie auf mehr als zwei keine klare Antwort bekommen, ist das ein Warnsignal.
1. Welches Sprachmodell (LLM) nutzen Sie? Wenn die Antwort „proprietär“ oder „das können wir aus wettbewerblichen Gründen nicht sagen“ lautet, fragen Sie nach. Ohne diese Angabe lässt sich die Verarbeitung nicht einordnen.
2. Wo sitzt der LLM-Anbieter? Sitzt der Anbieter in den USA, gilt der US CLOUD Act (18 U.S.C. § 2713): US-Behörden können die Herausgabe von Daten verlangen, auch wenn diese in der EU gespeichert sind.
3. Werden Kundendaten für KI-Training verwendet? „Nicht von uns“ reicht nicht. Was macht der LLM-Anbieter mit den Daten?
4. Wo werden Sprach- und Textdaten verarbeitet? „EU-Server“ allein beantwortet die Frage nicht, wenn der API-Aufruf trotzdem an einen Anbieter außerhalb der EU geht. Fragen Sie konkret: Verlassen meine Daten zu irgendeinem Zeitpunkt den Rechtsraum der EU?
5. Gibt es einen AVV mit dem LLM-Anbieter? Art. 28 Abs. 4 DSGVO verlangt, dass Ihr Anbieter jedem weiteren Auftragsverarbeiter dieselben Datenschutzpflichten vertraglich auferlegt. Das gilt nicht nur für den Chatbot-Anbieter, der Ihre Rechnung schreibt, sondern auch für das Unternehmen, das das Sprachmodell betreibt.
6. Ist die Sub-Processor-Liste öffentlich? Wenn nicht: Warum nicht? Jeder seriöse Anbieter kann Ihnen in 30 Sekunden sagen, welche Unternehmen Zugriff auf Ihre Daten haben. Wer das nicht kann oder will, hat ein Transparenzproblem.
7. Können Sie mir in einem Satz sagen, wo meine Daten landen? Wenn die Antwort länger als 30 Sekunden dauert oder Formulierungen wie „grundsätzlich“, „in der Regel“ oder „je nach Konfiguration“ enthält, fragen Sie nach.
Zum Mitnehmen: Nehmen Sie die sieben Fragen mit ins nächste Anbietergespräch oder leiten Sie sie an Ihre Geschäftsführung, Ihren Datenschutzbeauftragten oder den Einkauf weiter.
Muster, bei denen sich Nachfragen lohnt
Beim Lesen von Datenschutzerklärungen fallen einige Muster auf, bei denen eine genauere Nachfrage lohnt:
Muster 1: „Externe KI-Provider“ ohne Nennung. Die Datenschutzerklärung erwähnt „externe KI-Dienstleister“ oder „Drittanbieter für Sprachverarbeitung“, ohne sie namentlich zu benennen. Art. 13 Abs. 1 lit. e DSGVO verlangt die Angabe der Empfänger oder Kategorien von Empfängern. Konkrete Namen machen die Verarbeitung für Sie nachvollziehbarer.
Muster 2: „DSGVO-konform“ auf der Startseite, „Drittlandtransfers möglich“ in der Datenschutzerklärung. Die Startseite wirbt prominent mit DSGVO-Konformität, die Datenschutzerklärung hält im Kleingedruckten fest, dass „Datenübermittlungen in Drittländer nicht ausgeschlossen werden können“.
Muster 3: „Zero Data Retention verfügbar je nach Provider“. Klingt gut. Bedeutet: Es hängt davon ab, welches LLM genutzt wird und wie es konfiguriert ist. „Verfügbar“ heißt nicht „garantiert“. Und „je nach Provider“ heißt: Der Anbieter hat die Kontrolle nicht allein in der Hand.
Muster 4: Kein AVV, keine Sub-Processor-Liste, kein Verzeichnis. Auf der Website gibt es weder einen AVV zum Download noch eine öffentliche Liste der Unterauftragsverarbeiter. Art. 28 DSGVO macht den AVV zur Pflicht, nicht zur Option.
Muster 5: Ein Modell in der EU-Region eines US-Anbieters als „europäische Lösung“. Manche Anbieter nutzen Modelle über die EU-Region eines US-Cloud-Anbieters und bezeichnen das als „europäische KI-Lösung“. Microsoft beschreibt etwa für Modelle aus dem Azure-Modellkatalog eine Verarbeitung innerhalb der bei der Bereitstellung gewählten Geografie (Microsoft Learn: Data, privacy, and security for models through the Model Catalog, abgerufen am 23.09.2026). Das beantwortet die Frage nach dem Verarbeitungsort. Die Frage nach dem anwendbaren Recht bleibt davon getrennt: Für Anbieter mit Sitz in den USA gilt der CLOUD Act unabhängig vom Serverstandort.
Wie echte Transparenz aussieht
Transparenz ist nicht kompliziert. In einem Absatz muss klar sein: Welches LLM, wo gehostet, wer hat Zugriff, werden Daten für Training verwendet.
So machen wir es bei Nexoria: Dateien, Wissensindex und semantische Suche laufen auf dedizierten Servern in Deutschland. Die Antwortgenerierung durch Nex nutzt Mistral AI. Die von Nexoria an Mistral AI übermittelten Daten werden nicht für Modelltraining verwendet. Der Ausschluss ist im Auftragsverarbeitungsvertrag zwischen Nexoria und Mistral AI vereinbart. Die Aussage bezieht sich auf die Nexoria-Konfiguration und den Vertrag mit Mistral AI; sie ist keine allgemeine Aussage zu allen Angeboten von Mistral AI. ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google) und Langdock lassen sich optional an Nexoria anbinden. Nexoria funktioniert auch ohne diese Anbindungen. Bei einer Anbindung werden freigegebene Inhalte an den jeweiligen Anbieter übermittelt. Maßgeblich sind dessen Bedingungen, Verarbeitungsorte und Einstellungen. Weitere Dienste und aktivierte Integrationen stehen unter Sicherheit.
Dazu gehört außerdem:
- Liste der Unterauftragsverarbeiter: öffentlich im Verzeichnis von Verarbeitungstätigkeiten, mit Sitz und Zweck jedes Dienstleisters
- Auftragsverarbeitungsvertrag: öffentlich einsehbar unter AVV, ohne vorherige Anfrage
- Verarbeitungsverzeichnis: nach Art. 30 DSGVO, öffentlich zugänglich
- Datenschutz-Folgenabschätzung: nach Art. 35 DSGVO für die KI-basierte Verarbeitung dokumentiert und unter Datenschutz-Folgenabschätzung einsehbar
So können Sie diese Angaben selbst nachprüfen.
Warum das für Ihr Unternehmen wichtig ist
Ja, es gibt Bußgelder. Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist (Art. 83 Abs. 5 DSGVO).
Das Bußgeld ist dabei nicht das größte Risiko. Das größte Risiko ist der Vertrauensverlust.
Stellen Sie sich vor: Ihr KI-Chatbot verarbeitet Kundenanfragen. Vielleicht Reklamationen, vielleicht Vertragsdetails, vielleicht Gesundheitsdaten. Und dann stellt sich heraus, dass diese Daten bei einem Anbieter außerhalb der EU verarbeitet wurden, ohne dass Ihre Kunden davon wussten.
„Wir wussten nicht, welches LLM unser Anbieter nutzt“ ist keine Verteidigung. Nicht vor der Aufsichtsbehörde, nicht vor Ihren Kunden, nicht vor der Presse. Sie sind verantwortlich für die Dienstleister, die Sie beauftragen. Art. 28 DSGVO macht das unmissverständlich klar.
Die gute Nachricht: Sie können es besser machen. Es erfordert vor allem, die richtigen Fragen zu stellen, bevor Sie unterschreiben. Die Checkliste für DSGVO-konforme Chatbots hilft Ihnen dabei.