So machst Du KI-Agenten DSGVO-konform

Ja, wenn Dein KI-Agent personenbezogene Daten verarbeitet und Du in der EU tätig bist oder Nutzer:innen in der EU ansprichst, muss er DSGVO-konform sein.

Ein KI-Agent ist ein System, das auf der Grundlage von Eingaben, Logik und Training autonom Aufgaben ausführt. Im Gegensatz zu statischen Skripten lernen KI-Agenten, passen sich an und treffen Entscheidungen, oft ohne explizite Nutzereingriffe. In SaaS können diese Agenten beispielsweise folgende Aufgaben übernehmen:

• Beantwortung von Kundendienstanfragen
• Anreicherung von CRM-Daten
• Verarbeitung von Einwilligungserklärungen
• Empfehlung von Inhalten auf Grundlage des Verhaltens

Diese Agenten interagieren häufig mit personenbezogenen Daten wie Namen, E-Mails, Verhaltensprotokollen oder IP-Adressen, oft um personalisierte Dienste oder Erkenntnisse zu liefern. Und da die DSGVO personenbezogene Daten weit definiert, fällt auch die indirekte Verarbeitung solcher Daten in den Geltungsbereich der Verordnung.

Daher ist es für Unternehmen unerlässlich, die Auswirkungen der Bereitstellung von KI-Agenten auf die Compliance zu verstehen. In den nächsten Abschnitten erläutern wir die Grundsätze und Sicherheitsvorkehrungen, die zur effektiven Erfüllung der DSGVO-Anforderungen erforderlich sind.

Damit Deine KI-Agenten DSGVO-konform arbeiten, musst Du die Grundprinzipien der DSGVO direkt in ihre Funktionsweise einbetten.

1. Rechtmäßigkeit, Fairness, Transparenz

Diese Grundsätze stellen sicher, dass KI-Agenten personenbezogene Daten mit einem legitimen Zweck, auf faire Weise und für Nutzer:innen nachvollziehbar verarbeiten. Nutzer:innen sollten nicht nur wissen, dass ihre Daten verwendet werden  sie sollten auch verstehen, wie und warum.

So stellst Du die Einhaltung sicher:

• Identifiziere und dokumentiere für jede Art der Datenverarbeitung eine gültige Rechtsgrundlage (z. B. Einwilligung, Vertragserfüllung, berechtigtes Interesse).
• Deine Datenschutzerklärung muss verständlich machen, wann KI-Agenten im Spiel sind, welche Daten sie nutzen und zu welchem Zweck.
• Informiere Nutzer:innen klar, wenn sie mit einem KI-System interagieren  z. B. mit „Du chattest jetzt mit unserem virtuellen Assistenten.“

Beispiel: Ein Onboarding-Agent, der auf Bewerbungsdaten zugreift, sollte eine kurze Info anzeigen wie:
„Dieser Assistent verwendet die von Dir bereitgestellten Daten, um Dich durch den Bewerbungsprozess zu begleiten.“

2. Zweckbindung

Personenbezogene Daten dürfen nur für den ursprünglichen Zweck verwendet werden, für den sie erhoben wurden. Sie dürfen nicht zweckentfremdet oder anderweitig verwendet werden, wenn kein neuer legitimer Zweck und keine neue Einwilligung vorliegen.

So stellst Du die Einhaltung sicher:

• Definiere klar, wozu der Agent dient, und dokumentiere dies intern und in Deiner Datenschutzerklärung.
• Begrenze den Zugriff des Agenten auf die Daten, die für seine Hauptfunktion erforderlich sind.
• Vermeide unnötige Integrationen oder Funktionsausweitungen ohne neue Prüfung und Transparenz.
• Führe regelmäßig Audits durch, um sicherzustellen, dass keine „Zweckverschiebung“ stattgefunden hat.

Beispiel: Ein Support-Bot, der Tickets bearbeitet, sollte nicht auf Marketingdaten zugreifen, es sei denn, Nutzer:innen haben dem ausdrücklich zugestimmt.

3. Datenminimierung

Es dürfen nur so viele Daten wie unbedingt notwendig verarbeitet werden. Dies verringert das Risiko und stärkt den Datenschutz.

So stellst Du die Einhaltung sicher:

• Gib dem Agenten nur Zugriff auf die für seine Funktion wirklich benötigten Datenfelder.
• Entferne überflüssige oder sensible Felder (z. B. Geburtsdatum, Telefonnummer), wenn diese nicht zwingend erforderlich sind.
• Überprüfe regelmäßig die Datenflüsse, um unnötige Erhebungen zu vermeiden.

Beispiel: Ein Chatbot zur Passwort-Zurücksetzung benötigt nur die E-Mail-Adresse  nicht den vollen Namen, Adresse oder Einkaufsverlauf.

4. Richtigkeit (Accuracy)

Der Agent muss mit korrekten Daten arbeiten und darf keine falschen Schlüsse ziehen.

So stellst Du die Einhaltung sicher:

• Prüfe Eingabedaten auf Plausibilität und Aktualität.
• Erstelle Feedbackschleifen, damit Fehler gemeldet und schnell korrigiert werden können.
• Plane regelmäßige Datenaktualisierungen für kritische Felder (z. B. Jobtitel, Kontaktdaten).

Beispiel: Ein CRM-Agent sollte regelmäßig die berufliche Position von Kontakten aktualisieren, um Fehleinschätzungen zu vermeiden.

5. Speicherbegrenzung

Personenbezogene Daten dürfen nicht unbegrenzt gespeichert werden.

So stellst Du die Einhaltung sicher:

• Lege klare Speicherfristen fest, je nach Zweck der Verarbeitung.
• Implementiere automatisierte Löschmechanismen (z. B. Löschung nach 30 oder 60 Tagen).
• Erkläre Nutzer:innen die Speicherfristen in der Datenschutzerklärung.

Beispiel: Wenn ein Chatbot Konversationen zu Schulungszwecken speichert, sollten diese z. B. nach 60 Tagen automatisch gelöscht werden  außer die Nutzer:innen haben einer längeren Speicherung zugestimmt.

6. Integrität und Vertraulichkeit

Sorge dafür, dass personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Missbrauch geschützt sind.

So stellst Du die Einhaltung sicher:

• Nutze moderne Verschlüsselung (z. B. AES-256) für Daten im Ruhezustand und bei Übertragung.
• Setze rollenbasierte Zugriffskontrollen ein (z. B. über Identity & Access Management).
• Überwache den Agenten auf verdächtige Aktivitäten.
• Isoliere sensible Daten in eigenen Systemen oder Datenbanken.

Beispiel: Ein Empfehlungsagent darf keinen Zugriff auf Kreditkartendaten haben  sichere Segmentierung ist Pflicht.

7. Rechenschaftspflicht (Accountability)

Du musst jederzeit belegen können, dass Deine Agenten DSGVO-konform agieren.

So stellst Du die Einhaltung sicher:

• Halte genau fest, wann und wie der Agent Daten verarbeitet.
• Dokumentiere die Entscheidungslogik, Eingaben, Modelle und Lernprozesse des Agenten.
• Aktualisiere regelmäßig DSFA (Datenschutz-Folgenabschätzungen), Datenflussdiagramme und Risikobewertungen.
• Weise intern eine verantwortliche Person für den Agenten zu.

Beispiel: Ein KI-Agent, der Vertragsentwürfe generiert, sollte genau dokumentieren, welche Daten er verwendet und welche Versionen wann erzeugt wurden.

Die DSGVO gewährt Einzelpersonen eine Reihe von Rechten über ihre personenbezogenen Daten, wie z. B. das Recht auf Auskunft, Berichtigung, Löschung oder Widerspruch gegen deren Verwendung. KI-Agenten müssen so gestaltet sein, dass diese Rechte gewahrt bleiben und den Nutzer:innen Mechanismen zur Ausübung dieser Rechte zur Verfügung stehen.

1. Recht auf Auskunft (Art. 15)

Nutzer:innen haben das Recht zu erfahren, welche personenbezogenen Daten erfasst werden, wie sie verwendet werden und von wem, einschließlich der Logik hinter KI-gestützten Entscheidungen.

Was Du tun solltest:

• Führe strukturierte Protokolle über die Arten von Daten, die der KI-Agent verarbeitet oder generiert.
• Erstelle verständliche Datenberichte, die erklären, welche Daten gespeichert werden, wie lange und zu welchem Zweck.
• Erläutere (wenn relevant), wie Entscheidungen zustande kommen  z. B. warum ein:e Nutzer:in bestimmte Inhalte empfohlen bekommt.
• Stelle ein Webformular oder ein Dashboard bereit, über das Nutzer:innen Zugriffsanfragen einreichen können.

2. Recht auf Berichtigung (Art. 16)

Wenn personenbezogene Daten fehlerhaft oder unvollständig sind, können Nutzer:innen eine Korrektur verlangen.

Was Du tun solltest:

• Sorge dafür, dass Daten in Echtzeit korrigiert und synchronisiert werden können.
• Priorisiere Korrekturanfragen  insbesondere wenn falsche Daten zu schlechten Entscheidungen führen.
• Aktualisiere Modelle und Entscheidungslogiken, wenn sich veraltete Daten häufen.

Beispiel: Wenn ein:e Nutzer:in ihre Berufsbezeichnung ändert, sollte der KI-Agent diese Information für zukünftige Empfehlungen berücksichtigen.

3. Recht auf Löschung (Art. 17)

Auch bekannt als „Recht auf Vergessenwerden“: Nutzer:innen können unter bestimmten Voraussetzungen verlangen, dass ihre Daten gelöscht werden.

Was Du tun solltest:

• Implementiere vollständige Löschprozesse  auch für Logs, Backups und Trainingsdaten.
• Sorge dafür, dass gelöschte Daten aus künftigen Modelltrainings ausgeschlossen werden.
• Stelle einen einfachen Prozess für Löschanfragen bereit  mit zeitnaher Bestätigung an die betroffene Person.

Beispiel: Wenn ein:e Kund:in eine Löschung verlangt, sollte die KI keine Empfehlungen mehr auf Basis ihrer bisherigen Nutzung machen.

4. Widerspruchsrecht (Art. 21)

Nutzer:innen können der Verarbeitung ihrer Daten jederzeit widersprechen, vor allem bei Direktmarketing oder Profiling.

Was Du tun solltest:

• Stelle Opt-out-Möglichkeiten bereit  direkt in der Nutzer:inneninteraktion.
• Respektiere „Do Not Track“-Signale oder Consent-Management-Einstellungen.
• Passe das Verhalten des Agenten bei Widerspruch an: keine Personalisierung, ggf. Anonymisierung der Eingaben.
• Pflege systemweite Widerspruchslisten.

Beispiel: Widerspricht jemand dem Profiling, sollte der Empfehlungsagent generische statt personalisierte Vorschläge machen.

5. Recht, nicht ausschließlich automatisierten Entscheidungen unterworfen zu werden (Art. 22)

Wenn Entscheidungen ohne menschliches Zutun rechtliche oder ähnlich bedeutsame Auswirkungen haben, dürfen Nutzer:innen diese ablehnen oder eine menschliche Überprüfung verlangen.

Was Du tun solltest:

• Informiere offen, wenn eine automatisierte Entscheidung vorliegt  inkl. der zugrunde liegenden Logik.
• Biete eine einfache Möglichkeit, Entscheidungen überprüfen zu lassen („Human in the Loop“).
• Stelle einen zugänglichen Einspruchsprozess bereit (z. B. Support-Kanal, Online-Formular).
• Vermeide vollautomatisierte Systeme in Hochrisikobereichen  außer es gibt eine gesetzliche Grundlage oder Einwilligung.

Beispiel: Wenn ein KI-Agent Bewerber:innen automatisch ablehnt, muss eine menschliche Nachprüfung möglich sein.

DSGVO-Compliance endet nicht mit dem Go-Live eines KI-Agenten. Eine kontinuierliche Governance ist notwendig, damit Deine Systeme auch bei Weiterentwicklungen gesetzlichen und ethischen Anforderungen gerecht werden.

Vendor Risk & Pflichten von Auftragsverarbeiter:innen

Wenn Dein KI-Agent externe APIs oder Dienste nutzt, gelten diese Anbieter als Auftragsverarbeiter:innen im Sinne der DSGVO.

Was Du tun solltest:

• Schließe mit jedem Drittanbieter einen Data Processing Agreement (DPA) ab.
• Der DPA sollte regeln: Zweck, Art, Dauer, Art der Datenverarbeitung, Sicherheitsmaßnahmen.
• Bevorzuge datenschutzfreundliche Anbieter:innen und führe regelmäßige Audits durch.
• Nutze ein Vendor Risk Management Tool (z. B. von heyData), um Risiken zu dokumentieren und Compliance zu bewerten.

Monitoring & Logging

Nur durch systematische Überwachung kannst Du nachweisen, dass Deine KI-Agenten DSGVO-konform agieren.

Was Du tun solltest:

• Erfasse alle relevanten Aktivitäten des KI-Agenten: Datenzugriffe, Verarbeitungen, Entscheidungen, Fehler.
• Speichere Protokolle manipulationssicher , beachte aber Speicherbegrenzungen.
• Reagiere schnell auf Anomalien oder Sicherheitsvorfälle.
• Halte Deine Dokumentation aktuell (Datenflussdiagramme, DPIAs, Risikobewertungen etc.).

Vorbereitung auf den EU-KI-Gesetz

Der kommende EU-KI-Gesetzt bringt zusätzliche Pflichten , insbesondere für Hochrisiko-KI-Systeme (z. B. in HR, Kreditvergabe, Gesundheitswesen).

Was Du tun solltest:

• Prüfe, ob Dein KI-Agent unter eine Risikokategorie des AI Acts fällt.
• Bereite Dich auf Konformitätsbewertungen, Transparenzanforderungen und Risikomanagementprozesse vor.
• Integriere AI-Act-Anforderungen frühzeitig, das spart Aufwand bei späteren Änderungen.
• Merke: Das KI Gesetz ergänzt die DSGVO, ersetzt sie aber nicht, beide müssen erfüllt werden. 

Regelmäßige Updates

Compliance ist ein kontinuierlicher Prozess , kein einmaliges Projekt.

Was Du tun solltest:

• Plane jährliche Überprüfungen von DSFA, Sicherheitsmaßnahmen und Datenverarbeitungsprozessen.
• Aktualisiere Trainingsdaten und Machine-Learning-Modelle verantwortungsvoll.
• Informiere Teams und Nutzer:innen transparent über Änderungen im Verhalten des KI-Agenten.
• Behalte neue Gesetze im Blick (z. B. ePrivacy-Verordnung) und passe Deine Governance entsprechend an.

Die Einhaltung der DSGVO für KI-Agenten ist komplex,  aber absolut notwendig.

Von rechtlicher Grundlage, Datenminimierung, Transparenz und Löschroutinen über die Achtung von Nutzer:innenrechten bis hin zu Monitoring und Vendor Management: Du trägst Verantwortung, die nicht mit der Inbetriebnahme endet.

Die Vorteile:

• Reduziertes rechtliches Risiko
• Gestärktes Vertrauen Deiner Nutzer:innen
• Verbesserte User Experience
• Signal für verantwortungsvolle Innovation

Wenn Du bereit bist, DSGVO- und KI-Gesetz-konforme KI-Systeme aufzubauen, bietet Dir heyData eine All-in-One-Compliance-Lösung, mit automatisierten Audits, DSFA-Vorlagen und Vendor Monitoring.

Fordere eine personalisierte Demo an und starte Deine Compliance-Reise!

Was ist KI-Agent-DSGVO-Konformität?
Das bedeutet, dass KI-Systeme, die personenbezogene Daten verarbeiten, den Anforderungen der DSGVO entsprechen, inkl. Rechtsgrundlage, Sicherheit, Transparenz und Nutzer:innenrechte.

Braucht mein KI-Agent eine DSFA (Datenschutz-Folgenabschätzung)?
Ja, wenn der Agent Profiling betreibt, sensible Daten verarbeitet oder automatisierte Entscheidungen trifft. Die DSFA hilft, Risiken frühzeitig zu erkennen und zu minimieren.

Dürfen KI-Agenten automatisierte Entscheidungen treffen?
Nur unter bestimmten Bedingungen laut Art. 22 DSGVO,  mit Einwilligung, vertraglicher Notwendigkeit oder gesetzlicher Erlaubnis. Es muss eine menschliche Überprüfung möglich sein.

Wie stelle ich sicher, dass mein KI-Agent Rechte respektiert?
Biete einfache Mechanismen für Auskunft, Berichtigung, Löschung und Widerspruch. Der Agent muss Datenverarbeitung anpassen können, wenn ein Recht geltend gemacht wird.

Welche Sicherheitsmaßnahmen sind Pflicht?
Dazu gehören: TLS/AES-Verschlüsselung, rollenbasierter Zugriff, Monitoring, Logging und Anomalie-Erkennung. Sensible Daten sollten segmentiert und gut geschützt sein.

Was ist mit Drittanbieter-Tools?
Wenn diese personenbezogene Daten verarbeiten, brauchst Du einen AVV und bleibst selbst verantwortlich für deren DSGVO-Konformität.

Worin unterscheidet sich der EU AI Act von der DSGVO?
Die DSGVO schützt personenbezogene Daten. Das KI-Gesetz regelt risikobasierte Anforderungen für KI-Systeme. Hochrisiko-Agenten müssen beide Vorschriften einhalten.