So machst du KI-Agenten DSGVO-konform

Was bedeutet DSGVO-Konformität für KI-Agenten?

DSGVO-Konformität heißt für KI-Agenten: Sie dürfen personenbezogene Daten nur auf einer Rechtsgrundlage, zweckgebunden, sparsam und sicher verarbeiten, und Betroffene müssen ihre Rechte auch gegenüber dem Agenten ausüben können. Hinzu kommen schrittweise die Pflichten aus dem EU AI Act.

KI-Agenten verändern die Arbeitsweise moderner Unternehmen. Von autonomen Chatbots bis zu intelligenten Tools zur Datenanreicherung – KI wird zunehmend in alltägliche SaaS-Prozesse eingebettet. Sobald dabei personenbezogene Daten im Spiel sind, bringt die Automatisierung eine große Verantwortung mit sich: Jede automatisierte Interaktion muss die Privatsphäre der Nutzer:innen respektieren und die Pflichten der DSGVO erfüllen.

Die DSGVO legt strenge Regeln für die Erhebung, Verarbeitung und Speicherung personenbezogener Daten fest. Ob ein KI-Agent auf Anfragen reagiert, Leads segmentiert oder Inhalte personalisiert: Sobald er personenbezogene Daten nutzt, gelten diese Regeln.

Einen DSGVO-konformen KI-Agenten zu entwickeln, ist keine einmalige Aufgabe, sondern ein Prozess von der Planung über die Einführung bis zur laufenden Überwachung. Zentral ist dabei der Grundsatz „Datenschutz durch Technikgestaltung“ (Art. 25 DSGVO): Der Datenschutz muss von Anfang an in die Struktur des Agenten eingebaut sein und lässt sich nicht nachträglich ergänzen.

In diesem Leitfaden erfährst du, was DSGVO-Konformität für KI-Agenten bedeutet, welche rechtlichen und technischen Grundsätze gelten und wie du auch unter dem EU AI Act den Überblick behältst.

Müssen KI-Agenten DSGVO-konform sein?

Ja. Wenn dein KI-Agent personenbezogene Daten verarbeitet und dein Unternehmen in der EU tätig ist oder Nutzer:innen in der EU anspricht, muss er DSGVO-konform sein.

Ein KI-Agent ist ein System, das auf Grundlage von Eingaben, Regeln und Training eigenständig Aufgaben ausführt. Anders als statische Skripte lernen KI-Agenten, passen sich an und treffen Entscheidungen, oft ohne direktes Eingreifen von Menschen. In SaaS-Unternehmen übernehmen solche Agenten zum Beispiel:

• die Beantwortung von Kundenanfragen
• die Anreicherung von CRM-Daten
• die Verarbeitung von Einwilligungen
• Empfehlungen auf Grundlage des Nutzungsverhaltens

Dabei verarbeiten sie häufig personenbezogene Daten wie Namen, E-Mail-Adressen, Verhaltensprotokolle oder IP-Adressen. Da die DSGVO personenbezogene Daten weit fasst, fällt auch eine indirekte Verarbeitung unter die Verordnung.

Unternehmen müssen deshalb verstehen, welche Folgen der Einsatz von KI-Agenten für ihre Compliance hat. Die folgenden Abschnitte zeigen die Grundsätze und Schutzmaßnahmen, auf die es ankommt.

7 Grundsätze der DSGVO für KI-Agenten

Damit deine KI-Agenten DSGVO-konform arbeiten, musst du die Grundsätze aus Art. 5 DSGVO direkt in ihre Funktionsweise einbauen.

1. Rechtmäßigkeit, Fairness, Transparenz

KI-Agenten dürfen personenbezogene Daten nur auf einer Rechtsgrundlage, auf faire Weise und für Nutzer:innen nachvollziehbar verarbeiten. Nutzer:innen sollten nicht nur wissen, dass ihre Daten verwendet werden – sie sollten auch verstehen, wie und warum.

So setzt du das um:

• Bestimme und dokumentiere für jede Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO, z. B. Vertragserfüllung, berechtigtes Interesse oder Einwilligung.
• Erkläre in deiner Datenschutzerklärung verständlich, wann KI-Agenten im Einsatz sind, welche Daten sie nutzen und zu welchem Zweck.
• Informiere Nutzer:innen klar, wenn sie mit einem KI-System interagieren, z. B. mit „Du chattest jetzt mit unserem virtuellen Assistenten.“ Der EU AI Act macht diesen Hinweis für Chatbots ohnehin zur Pflicht.

Beispiel: Ein Onboarding-Agent, der auf Bewerbungsdaten zugreift, zeigt einen kurzen Hinweis an wie: „Dieser Assistent verwendet die von dir bereitgestellten Daten, um dich durch den Bewerbungsprozess zu begleiten.“

2. Zweckbindung

Personenbezogene Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden. Für einen neuen Zweck braucht es eine neue Prüfung und gegebenenfalls eine neue Rechtsgrundlage.

So setzt du das um:

• Lege klar fest, wozu der Agent dient, und dokumentiere das intern und in deiner Datenschutzerklärung.
• Beschränke den Zugriff des Agenten auf die Daten, die er für seine Hauptfunktion braucht.
• Vermeide neue Integrationen oder Funktionen ohne erneute Prüfung.
• Prüfe regelmäßig, ob sich der Einsatzzweck schleichend verschoben hat.

Beispiel: Ein Support-Bot, der Tickets bearbeitet, greift nicht auf Marketingdaten zu, solange es dafür keine Rechtsgrundlage gibt.

3. Datenminimierung

Es dürfen nur so viele Daten verarbeitet werden wie unbedingt nötig. Das senkt das Risiko und stärkt den Datenschutz.

So setzt du das um:

• Gib dem Agenten nur Zugriff auf die Datenfelder, die er wirklich braucht.
• Entferne überflüssige oder sensible Felder wie Geburtsdatum oder Telefonnummer, wenn sie nicht zwingend nötig sind.
• Überprüfe regelmäßig die Datenflüsse, um unnötige Erhebungen zu vermeiden.

Beispiel: Ein Chatbot zum Zurücksetzen von Passwörtern braucht nur die E-Mail-Adresse – nicht den vollen Namen, die Anschrift oder den Einkaufsverlauf.

4. Richtigkeit

Der Agent muss mit korrekten Daten arbeiten und darf keine falschen Schlüsse ziehen.

So setzt du das um:

• Prüfe Eingabedaten auf Plausibilität und Aktualität.
• Richte Feedbackschleifen ein, damit Fehler gemeldet und schnell korrigiert werden können.
• Plane regelmäßige Aktualisierungen für wichtige Felder wie Jobtitel oder Kontaktdaten.

Beispiel: Ein CRM-Agent aktualisiert regelmäßig die Position von Kontakten, damit keine falschen Empfehlungen entstehen.

5. Speicherbegrenzung

Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden.

So setzt du das um:

• Lege je nach Zweck klare Speicherfristen fest.
• Richte automatische Löschungen ein, z. B. nach 30 oder 60 Tagen.
• Nenne die Speicherfristen in deiner Datenschutzerklärung.

Beispiel: Speichert ein Chatbot Unterhaltungen zu Schulungszwecken, werden sie nach 60 Tagen automatisch gelöscht – außer, es gibt eine Rechtsgrundlage für eine längere Speicherung.

6. Integrität und Vertraulichkeit

Personenbezogene Daten müssen vor unbefugtem Zugriff, Verlust und Missbrauch geschützt sein.

So setzt du das um:

• Verschlüssele Daten bei der Übertragung und im Ruhezustand (z. B. TLS und AES-256).
• Setze rollenbasierte Zugriffskontrollen ein, etwa über ein Identity & Access Management.
• Überwache den Agenten auf verdächtige Aktivitäten.
• Trenne sensible Daten in eigenen Systemen oder Datenbanken.

Beispiel: Ein Empfehlungsagent hat keinen Zugriff auf Kreditkartendaten – eine saubere Trennung ist Pflicht.

7. Rechenschaftspflicht

Du musst jederzeit nachweisen können, dass deine Agenten DSGVO-konform arbeiten.

So setzt du das um:

• Halte fest, wann und wie der Agent Daten verarbeitet.
• Dokumentiere Entscheidungslogik, Eingaben, Modelle und Lernprozesse des Agenten.
• Prüfe, ob eine Datenschutz-Folgenabschätzung (DSFA) nötig ist, und aktualisiere sie zusammen mit Datenflussdiagrammen und Risikobewertungen.
• Benenne intern eine verantwortliche Person für den Agenten.

Beispiel: Ein KI-Agent, der Vertragsentwürfe erstellt, dokumentiert genau, welche Daten er verwendet und welche Version wann entstanden ist.

Betroffenenrechte bei KI-Agenten umsetzen

Die DSGVO gibt Betroffenen eine Reihe von Rechten über ihre Daten, etwa auf Auskunft, Berichtigung, Löschung oder Widerspruch. KI-Agenten müssen so gestaltet sein, dass diese Rechte gewahrt bleiben und Nutzer:innen sie einfach ausüben können.

1. Recht auf Auskunft (Art. 15)

Nutzer:innen haben das Recht zu erfahren, welche personenbezogenen Daten verarbeitet werden, wofür und von wem – bei automatisierten Entscheidungen auch die zugrunde liegende Logik.

Was du tun solltest:

• Führe strukturierte Protokolle darüber, welche Daten der KI-Agent verarbeitet oder erzeugt.
• Erstelle verständliche Auskunftsberichte: welche Daten, wie lange, zu welchem Zweck.
• Erkläre, wenn relevant, wie Entscheidungen zustande kommen, z. B. warum jemand bestimmte Inhalte empfohlen bekommt.
• Biete ein Formular oder Dashboard an, über das Nutzer:innen Auskunft verlangen können.

2. Recht auf Berichtigung (Art. 16)

Sind personenbezogene Daten falsch oder unvollständig, können Nutzer:innen eine Korrektur verlangen.

Was du tun solltest:

• Sorge dafür, dass Korrekturen in allen Systemen zeitnah ankommen.
• Bearbeite Korrekturanfragen vorrangig, wenn falsche Daten zu falschen Entscheidungen führen können.
• Passe Modelle und Entscheidungslogik an, wenn sich veraltete Daten häufen.

Beispiel: Ändert jemand die Berufsbezeichnung, berücksichtigt der KI-Agent das bei künftigen Empfehlungen.

3. Recht auf Löschung (Art. 17)

Unter bestimmten Voraussetzungen können Nutzer:innen verlangen, dass ihre Daten gelöscht werden („Recht auf Vergessenwerden“).

Was du tun solltest:

• Richte vollständige Löschprozesse ein – auch für Logs, Backups und Trainingsdaten.
• Schließe gelöschte Daten von künftigen Modelltrainings aus. Warum das bei KI-Modellen besonders schwierig ist, erklärt unser Artikel zum Recht auf Vergessenwerden bei KI.
• Biete einen einfachen Prozess für Löschanfragen an – mit zeitnaher Bestätigung.

Beispiel: Verlangt eine Kundin die Löschung, nutzt die KI ihre bisherige Nutzung nicht mehr für Empfehlungen.

4. Widerspruchsrecht (Art. 21)

Nutzer:innen können der Verarbeitung ihrer Daten widersprechen, wenn sie auf berechtigtem Interesse beruht, und Direktwerbung einschließlich Profiling jederzeit ablehnen.

Was du tun solltest:

• Biete Opt-out-Möglichkeiten direkt in der Interaktion an.
• Berücksichtige die Einstellungen aus deinem Consent-Management.
• Passe das Verhalten des Agenten bei Widerspruch an: keine Personalisierung, gegebenenfalls Anonymisierung der Eingaben.
• Führe systemweite Widerspruchslisten.

Beispiel: Widerspricht jemand dem Profiling, macht der Empfehlungsagent allgemeine statt personalisierte Vorschläge.

5. Recht, nicht ausschließlich automatisierten Entscheidungen unterworfen zu werden (Art. 22)

Entscheidungen, die ohne menschliches Zutun getroffen werden und rechtliche oder ähnlich erhebliche Auswirkungen haben, sind nur in Ausnahmefällen zulässig. Betroffene können dann ein Eingreifen eines Menschen verlangen und die Entscheidung anfechten.

Was du tun solltest:

• Informiere offen, wenn eine automatisierte Entscheidung vorliegt – inklusive der zugrunde liegenden Logik.
• Biete eine einfache Möglichkeit, Entscheidungen von Menschen überprüfen zu lassen („Human in the Loop“).
• Richte einen leicht zugänglichen Einspruchsweg ein, z. B. über den Support oder ein Formular.
• Vermeide vollautomatisierte Entscheidungen in sensiblen Bereichen, außer es gibt eine gesetzliche Grundlage, einen Vertrag oder eine ausdrückliche Einwilligung.

Beispiel: Lehnt ein KI-Agent Bewerber:innen automatisch ab, muss eine menschliche Nachprüfung möglich sein.

Laufende Compliance und Monitoring

DSGVO-Compliance endet nicht mit dem Go-live eines KI-Agenten. Es braucht eine laufende Steuerung, damit deine Systeme auch nach Weiterentwicklungen rechtlichen und ethischen Anforderungen gerecht werden.

Dienstleister und Auftragsverarbeitung

Nutzt dein KI-Agent externe APIs oder Dienste, etwa ein Sprachmodell eines KI-Anbieters, sind diese Anbieter in der Regel Auftragsverarbeiter im Sinne der DSGVO.

Was du tun solltest:

• Schließe mit jedem dieser Anbieter einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ab.
• Der AVV regelt unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Sicherheitsmaßnahmen.
• Prüfe, ob Daten in Drittländer wie die USA übermittelt werden, und sichere diese Übermittlungen ab.
• Bevorzuge datenschutzfreundliche Anbieter und überprüfe sie regelmäßig, z. B. mit dem Vendor Risk Management von heyData.

Monitoring und Protokollierung

Nur mit systematischer Überwachung kannst du nachweisen, dass deine KI-Agenten DSGVO-konform arbeiten.

Was du tun solltest:

• Protokolliere alle relevanten Aktivitäten des Agenten: Datenzugriffe, Verarbeitungen, Entscheidungen, Fehler.
• Speichere Protokolle manipulationssicher, beachte aber auch für sie die Speicherbegrenzung.
• Reagiere schnell auf Auffälligkeiten und Sicherheitsvorfälle.
• Halte deine Dokumentation aktuell: Datenflussdiagramme, DSFA, Risikobewertungen.

Was der EU AI Act zusätzlich verlangt

Der EU AI Act ist seit August 2024 in Kraft und gilt schrittweise. Er ergänzt die DSGVO, ersetzt sie aber nicht – beide müssen erfüllt werden. Für Unternehmen, die KI-Agenten einsetzen, sind vor allem diese Punkte wichtig:

• Verbotene Praktiken (seit Februar 2025): Bestimmte KI-Anwendungen, etwa manipulative Techniken oder Emotionserkennung am Arbeitsplatz, sind untersagt.
• KI-Kompetenz (seit Februar 2025): Mitarbeitende, die KI-Systeme nutzen oder betreuen, brauchen ausreichende KI-Kompetenz (Art. 4).
• Transparenz (ab August 2026): Menschen müssen erkennen können, dass sie mit einem KI-System interagieren (Art. 50).
• Hochrisiko-KI: Agenten in Bereichen wie Personal, Kreditvergabe oder Gesundheit können als Hochrisiko-Systeme gelten. Dafür gelten strenge Anforderungen an Risikomanagement, Dokumentation und menschliche Aufsicht. Die EU plant mit dem Digital Omnibus, einen Teil dieser Fristen zu verschieben.

Was du tun solltest:

• Prüfe, in welche Risikoklasse dein KI-Agent fällt. Dabei hilft unsere Checkliste zur Klassifizierung von KI-Tools.
• Kläre, ob du Anbieter oder Betreiber des KI-Systems bist – davon hängen deine Pflichten ab.
• Lege Regeln für den Einsatz von KI-Agenten in einer KI-Richtlinie fest.

Regelmäßige Überprüfung

Compliance ist ein laufender Prozess, kein einmaliges Projekt.

Was du tun solltest:

• Plane jährliche Überprüfungen von DSFA, Sicherheitsmaßnahmen und Verarbeitungsprozessen.
• Aktualisiere Trainingsdaten und Modelle verantwortungsvoll.
• Informiere Teams und Nutzer:innen transparent über Änderungen am Verhalten des KI-Agenten.
• Behalte neue Vorgaben im Blick, etwa Leitlinien der Datenschutzbehörden zu KI, und passe deine Prozesse an.

Fazit

Die DSGVO-Konformität von KI-Agenten ist komplex – aber unverzichtbar.

Von der Rechtsgrundlage über Datenminimierung, Transparenz und Löschroutinen bis zu Betroffenenrechten, Monitoring und Dienstleistersteuerung: Deine Verantwortung endet nicht mit dem Go-live. Mit dem EU AI Act kommen zusätzliche Pflichten hinzu, die du von Anfang an mitdenken solltest.

Die Vorteile:

• geringeres rechtliches Risiko
• mehr Vertrauen deiner Nutzer:innen
• bessere Nutzererfahrung
• ein klares Signal für verantwortungsvolle Innovation

Mit der All-in-One-Compliance-Lösung von heyData setzt du DSGVO und EU AI Act für deine KI-Systeme strukturiert um – mit automatisierten Audits, DSFA-Vorlagen und Vendor Monitoring.

Mach den ersten Schritt zu DSGVO-konformen KI-Agenten. Buche jetzt eine Demo!