Die Technik ist selten das Problem. Das Problem ist die Frage, was Sie vorlegen, wenn jemand wissen will, auf welcher Grundlage Ihre KI personenbezogene Daten verarbeitet.
KI wird in den meisten Unternehmen bereits genutzt. Nur eben nebenbei, nicht als Projekt: Jemand lässt ein Angebot formulieren, jemand fasst ein Protokoll zusammen, jemand kopiert einen Vertragsentwurf in ein Chatfenster.
Datenschutzrechtlich ist das der ungünstigste Zustand überhaupt. Verarbeitet wird, aber niemand hat es bewertet, niemand dokumentiert, und niemand kann sagen, welche Daten wohin geflossen sind. Ein Verbot per Rundmail ändert daran wenig. Es verlagert die Nutzung nur auf die privaten Geräte.
Unsere Arbeit besteht darin, diesen Zustand in einen geordneten zu überführen: ein System, das die Leute freiwillig nutzen, weil es besser funktioniert – und das gleichzeitig sauber dokumentiert ist.
Eine DSGVO-konforme KI ist kein Produkt, sondern ein Zustand aus Technik und Unterlagen. Beides liefern wir.
Welche KI-Dienste werden genutzt, von wem, mit welchen Daten? Ohne diese Erhebung bewertet man einen Zustand, den es so nicht gibt.
Nicht „KI“ wird bewertet, sondern jeder einzelne Einsatz. Ein Support-Assistent steht rechtlich anders da als eine Auswertung von Bewerbungen.
Formuliert und übergabefertig, damit Ihre Datenschutzbeauftragte sie prüfen und übernehmen kann.
Für Systeme, die auf eigene Dokumente zugreifen, empfiehlt die Datenschutzkonferenz sie ausdrücklich. Wir bereiten sie vor, statt darauf zu warten, dass jemand danach fragt.
Berechtigungen, Protokollierung, Löschfristen, Netztrennung – umgesetzt und beschrieben, nicht nur zugesichert.
Eine verständliche Beschreibung dessen, was das System tut und was es ausdrücklich nicht tut. Meist der Punkt, an dem Einführungen hängenbleiben.
Der aufwendigste Teil jeder KI-Datenschutzprüfung ist die Frage, was mit den Daten außerhalb Ihres Hauses geschieht: bei welchem Anbieter sie liegen, welchem Recht dieser unterliegt, ob eine Übermittlung in ein Drittland stattfindet und worauf sie gestützt wird.
Läuft das Modell auf Hardware in Ihrem Netz, entfällt dieser gesamte Prüfungsblock. Nicht weil er gut beantwortet wäre, sondern weil es keine Übermittlung gibt, die zu prüfen wäre. Der Nachweis besteht dann aus der Netzwerkkonfiguration statt aus einer Vertragskette.
Das ist der Grund, warum wir bei vertraulichen Daten zu selbst betriebenen Systemen raten. Nicht aus Grundsatz, sondern weil es die Prüfung deutlich verkürzt. Die technische Seite steht unter KI & Datenschutz und KI selbst hosten.
Eigene Hardware macht nicht automatisch alles rechtmäßig. Diese Punkte bleiben in jedem Fall zu klären:
Im Oktober 2025 hat die Datenschutzkonferenz – der Zusammenschluss der deutschen Aufsichtsbehörden – eine Orientierungshilfe speziell zu KI-Systemen veröffentlicht, die auf eigene Dokumente zugreifen. Das ist genau die Bauweise, die wir umsetzen.
Der Kernpunkt darin ist praktisch bedeutsam: Weil die Inhalte in Ihren Dokumenten und in der Suchdatenbank liegen und nicht ins Modell eintrainiert werden, lassen sich einzelne Angaben gezielt löschen und berichtigen. Bei einem Modell, das die Daten mitgelernt hat, ist das technisch kaum verlässlich möglich.
Damit wird ein Recht erfüllbar, das sonst zum Problem wird: Verlangt jemand Löschung seiner Daten, können Sie dem nachkommen, ohne das System neu aufzubauen.
Beides bauen wir von Anfang an so. Nachträglich eingezogen wird es teuer.
Wer einer gesetzlichen Verschwiegenheitspflicht unterliegt, hat eine zweite Hürde neben dem Datenschutz. Die strafbewehrte Schweigepflicht knüpft nicht an eine Einwilligung an – ein Mandant kann sie entbinden, aber das ist eine andere Grundlage als ein Häkchen in einer Datenschutzerklärung.
Praktisch heißt das: Ein externer Dienst, der Mandats- oder Patientendaten verarbeitet, muss ausdrücklich einbezogen und verpflichtet werden. Ein System im eigenen Haus, auf das nur die eigenen Mitarbeitenden zugreifen, umgeht diese Konstruktion.
Wir arbeiten in diesen Branchen und kennen die Rückfragen, die dort kommen. Näheres unter KI für Kanzleien und KI für Praxen.
Wo ein Betriebsrat besteht, ist die Einführung eines KI-Systems in aller Regel mitbestimmungspflichtig – schon deshalb, weil sich damit Verhalten und Leistung von Beschäftigten überwachen ließen. Ob Sie das vorhaben, spielt keine Rolle; die Eignung genügt.
Wer den Betriebsrat früh einbindet, verliert Wochen. Wer es spät tut, verliert Monate. Wir liefern die technische Beschreibung, die für eine Betriebsvereinbarung gebraucht wird – insbesondere die Zusicherung, welche Auswertungen das System nicht ermöglicht.
Ein Punkt, der oft überrascht: Seit 2021 steht im Betriebsverfassungsgesetz, dass der Betriebsrat zur Beurteilung von KI einen externen Sachverständigen hinzuziehen darf – und dessen Erforderlichkeit gilt dabei als gegeben. Die Kosten trägt der Arbeitgeber. Wer das einkalkuliert, erlebt keine böse Überraschung im Verfahren.
Vier Schritte. Nach dem zweiten wissen Sie, ob sich der Rest lohnt – und können aussteigen, ohne etwas gekauft zu haben.
Ein halber Tag im Haus: Was wird genutzt, mit welchen Daten, an welchen Stellen drückt es. Ergebnis ist eine Liste, keine Präsentation.
Wir sagen Ihnen, welche Anwendungsfälle unproblematisch sind, welche Nachdokumentation brauchen und welche wir abschalten würden. Dazu die Empfehlung, welcher Betrieb passt – auch wenn das ein Cloud-Dienst ist.
Aufbau des Systems, Anbindung der Datenquellen, Berechtigungen, Protokollierung. Parallel entstehen die Unterlagen, damit sie am Ende nicht nachgereicht werden müssen.
Einweisung der Beschäftigten, Übergabe der Dokumentation. Den laufenden Betrieb übernehmen wir auf Wunsch – oder Ihre IT, dann mit Übergabe.
Für die Bestandsaufnahme und die Bewertung berechnen wir 1.500 € netto zum Festpreis. Sie können danach aufhören; die Unterlagen bleiben bei Ihnen und sind auch dann etwas wert, wenn Sie die Umsetzung anders lösen.
Wir bauen die Systeme und bereiten die Unterlagen vor. Die rechtsverbindliche Bewertung trifft Ihre Datenschutzbeauftragte oder Ihre Anwältin – und das ist auch richtig so.
In der Praxis arbeiten wir gut mit beiden zusammen: Was dort meist fehlt, ist nicht die juristische Einschätzung, sondern eine belastbare technische Beschreibung dessen, was das System tatsächlich tut. Genau die liefern wir.
Für die allermeisten unserer Kunden gilt: Ein interner Assistent, der Fragen zu eigenen Dokumenten beantwortet, fällt nicht in die streng regulierten Kategorien. Aufmerksamkeit verlangen Anwendungen rund um Personal, Bewerbung und Bewertung von Menschen.
Unabhängig davon gilt seit Februar 2025 eine Pflicht, die regelmäßig übersehen wird: Wer KI im Betrieb einsetzt, muss dafür sorgen, dass die damit arbeitenden Beschäftigten sie auch verstehen. Eine dokumentierte interne Einweisung genügt dafür; ein Zertifikat wird nicht verlangt.
Wir bringen diese Einweisung deshalb von vornherein mit, samt einer Teilnahmedokumentation, die Sie vorlegen können.
Nicht ein einzelnes Merkmal, sondern das Zusammenspiel aus Architektur und Dokumentation: eine Rechtsgrundlage je Anwendungsfall, ein Berechtigungskonzept, Löschfristen, ein Eintrag im Verarbeitungsverzeichnis und in aller Regel eine Datenschutz-Folgenabschätzung. Läuft das Modell im eigenen Netz, entfällt zusätzlich der gesamte Prüfblock zur Übermittlung in Drittländer — es gibt dann keine.
Bei einem KI-System, das auf eigene Dokumente mit Personenbezug zugreift, ist regelmäßig davon auszugehen. Die deutschen Aufsichtsbehörden empfehlen sie für solche Systeme ausdrücklich, weil Daten über mehrere Komponenten hinweg fließen — Suche, Datenbank, Sprachmodell. Wir bereiten sie mit vor; die abschließende Bewertung trifft Ihre Datenschutzbeauftragte.
Wo ein Betriebsrat besteht, ist die Einführung in aller Regel mitbestimmungspflichtig — schon deshalb, weil sich mit einem solchen System Verhalten und Leistung auswerten ließen. Auf Ihre Absicht kommt es dabei nicht an, die technische Eignung genügt. Hinzu kommt: Der Betriebsrat darf zur Beurteilung von KI einen externen Sachverständigen auf Kosten des Arbeitgebers hinzuziehen, und dessen Erforderlichkeit gilt gesetzlich als gegeben.
Bei einem RAG-System ja, und das ist einer seiner größten Vorteile. Die Inhalte liegen in Ihren Dokumenten und in der Suchdatenbank, nicht in den Gewichten des Modells — ein Eintrag lässt sich dort gezielt entfernen. Bei einem nachtrainierten Modell ist das technisch kaum verlässlich möglich. Wichtig: Die Ausgabe nur zu unterdrücken, genügt rechtlich nicht, der Eintrag muss tatsächlich verschwinden.
Ja, aber unter engeren Bedingungen als andere Unternehmen. Neben dem Datenschutz greift die strafbewehrte Schweigepflicht: Ein externer Dienstleister, der Mandanten- oder Patientendaten verarbeitet, muss ausdrücklich einbezogen und zur Verschwiegenheit verpflichtet werden. Läuft die KI vollständig im eigenen Haus und greift niemand von außen darauf zu, stellt sich diese Frage nicht in derselben Schärfe.
Die Bestandsaufnahme und die anschließende Bewertung kosten 1.500 € netto zum Festpreis. Darin enthalten sind die Erhebung im Haus, die Einordnung jedes Anwendungsfalls und die übergabefertigen Unterlagen. Sie können danach aufhören — die Unterlagen bleiben bei Ihnen und sind auch dann etwas wert, wenn Sie die Umsetzung mit jemand anderem lösen. Was eine spätere Umsetzung kostet, hängt an der Zahl der Anwendungsfälle und der Hardware.
Die Bestandsaufnahme beantwortet das in einem halben Tag – und Sie wissen danach, was zu tun ist.
Direkter Kontakt – ohne Umwege. Wir melden uns innerhalb eines Werktages.