DSGVO-konforme KI
DSGVO-konforme KI gibt es nicht als Stempel, sondern als Setup.
Kein KI-Tool ist für sich genommen DSGVO-konform. Konform ist immer die Kombination aus Anbieter, Vertrag, Datenstandort, Modellanbindung und eurem eigenen Betrieb. Diese Seite zeigt, welche Fragen ein Datenschutzbeauftragter stellt, wie sich die drei Betriebswege unterscheiden und wie Pharen Hub damit umgeht.
Kurzantwort
Was bedeutet DSGVO-konforme KI für Unternehmen?
DSGVO-konforme KI ist kein Produktmerkmal, das ein Anbieter einfach zusichern kann. Die DSGVO regelt, wie personenbezogene Daten verarbeitet werden, und verpflichtet euch als Verantwortliche, nicht den Softwarehersteller. Ein KI-Tool kann diese Verarbeitung erleichtern oder erschweren; konform wird sie erst durch das gesamte Setup: Wer betreibt die Software, wo liegen die Daten, welche Modelle sehen welche Inhalte, gibt es einen Auftragsverarbeitungsvertrag, wie werden Daten gelöscht, wer darf was und was wird protokolliert. Ein Werbeversprechen wie „DSGVO-konforme KI“ bedeutet in der Praxis meist nur: Der Anbieter hat seine Seite der Verarbeitung so gestaltet, dass ihr eine Chance habt, die Anforderungen zu erfüllen. Den Rest, also Rechtsgrundlage, Zweckbindung, Betroffenenrechte und interne Prozesse, müsst ihr selbst abdecken. Für einen Mittelständler in Sachsen, der Bewerbungsunterlagen, Kundenmails oder Lieferantenverträge mit KI auswerten will, heißt das: Erst klären, welche Daten überhaupt in ein Modell fließen dürfen, dann Anbieter und Betriebsweg wählen, dann den Prozess dokumentieren. Pharen Hub ist so gebaut, dass diese Entscheidungen bei euch bleiben: Managed Cloud auf Hetzner in der EU, Self-Hosting per Docker oder Betrieb in eurer eigenen Cloud. Workspace-Daten werden nicht zum Training von Modellen verwendet. Ob euer Setup am Ende alle Anforderungen erfüllt, hängt weiterhin von Konfiguration, Verträgen, Modellanbietern und Prozessen ab.
Einordnung
Die sechs Fragen, die euer Datenschutzbeauftragter stellt
Der Begriff ist der Einstieg in ein Arbeitsmodell, das Menschen, Daten, Workflows und KI-Agenten im Alltag verbindet.
Auftragsverarbeitung: Wer verarbeitet in wessen Auftrag?
Sobald ein Anbieter personenbezogene Daten für euch verarbeitet, braucht ihr einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, inklusive aller Unterauftragsverarbeiter. Fragt konkret: Welche Subdienstleister sind beteiligt, in welchem Land sitzen sie und was ändert sich, wenn ein Modellanbieter dazukommt? Beim Self-Hosting betreibt eure IT den Workspace selbst; externe Modelle bleiben trotzdem eigene Verarbeiter, die separat geprüft werden müssen.
Datenstandort: Wo liegen die Daten tatsächlich?
EU-Rechenzentrum klingt gut, sagt aber nichts über Support-Zugriffe, Backups oder den Standort des Modellanbieters. Klärt, wo Workspace-Daten, Backups und Logs gespeichert werden und ob Prompts oder Dokumente das Rechenzentrum verlassen, sobald ein Modell antwortet. Pharen betreibt die Managed Cloud auf Hetzner Cloud in der EU; im Self-Hosting bestimmt ihr den Standort selbst.
Training: Lernt das Modell aus unseren Daten?
Viele Consumer-KI-Angebote nutzen Eingaben standardmäßig zur Modellverbesserung. Für Unternehmen ist das ein Ausschlusskriterium, sobald Kundendaten, Personalunterlagen oder Vertragsinhalte betroffen sind. Verlangt eine schriftliche Zusage, dass eure Inhalte nicht ins Training fließen, und prüft, ob das auch für angebundene Drittanbieter gilt. Bei Pharen Hub werden Workspace-Daten nicht zum Training eigener oder allgemein verfügbarer Modelle verwendet; für Drittanbieter gelten deren Bedingungen.
Löschkonzept: Wie werden Daten wieder entfernt?
Art. 17 DSGVO verlangt, dass ihr Daten löschen könnt, wenn der Zweck entfällt oder Betroffene es verlangen. Bei KI-Tools stellt sich die Frage doppelt: Werden Dokumente, Chatverläufe und Suchindizes gelöscht, und wie lange bleiben Kopien in Backups oder beim Modellanbieter? Im Self-Hosted Setup von Pharen Hub bestimmt ihr Speicherort, Zugriff und Löschzeitpunkt selbst. Aufbewahrung und Backups folgen euren eigenen Vorgaben.
Rollen und Freigaben: Wer darf was sehen und auslösen?
KI macht Informationen leichter auffindbar. Das ist ein Vorteil, bis eine Assistenz plötzlich Gehaltslisten zusammenfasst, die sie nie sehen sollte. Rollen und Berechtigungen müssen für Menschen und Agents gleichermaßen gelten. In Pharen Hub steuern Rollen, welche Inhalte und Werkzeuge erreichbar sind, und kritische Aktionen lassen sich an Freigabeschritte durch Menschen binden.
Protokollierung: Können wir später nachvollziehen, was passiert ist?
Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO heißt: Ihr müsst zeigen können, welche Daten wie verarbeitet wurden. Bei Agents ist das entscheidend, weil sie Schritte ohne direkte Eingabe ausführen. Fragt, ob ein Agent-Lauf mit Quellen, Ergebnis und Freigabe sichtbar bleibt. In Pharen Hub bleiben Aufgaben, Entscheidungen und Workflows im Workspace-Kontext nachvollziehbar; Logs können im Self-Hosting nach euren Vorgaben organisiert werden.
DSGVO-konforme KI
Checkliste: Das solltet ihr vor dem ersten KI-Einsatz geklärt haben
Diese Situationen sind gute Startpunkte, weil sie bereits heute Reibung im Betrieb erzeugen.
- Verarbeitungsverzeichnis um den KI-Einsatz ergänzt und Rechtsgrundlage je Datenkategorie benannt
- Auftragsverarbeitungsvertrag inklusive Unterauftragsverarbeitern und Modellanbietern geprüft
- Speicherort für Workspace-Daten, Backups und Logs schriftlich festgehalten
- Zusage eingeholt, dass eure Inhalte weder bei der Software noch bei angebundenen Modellen ins Training fließen
- Löschfristen und Löschweg für Dokumente, Chats und Suchindizes definiert
- Rollenmodell festgelegt: Welche Daten dürfen Menschen und Agents sehen, welche Aktionen brauchen eine Freigabe?
- Datenschutz-Folgenabschätzung geprüft, sobald Bewerber-, Gesundheits- oder Kundendaten in größerem Umfang betroffen sind
- Mitarbeitende informiert und Betriebsrat eingebunden, wenn KI Leistungs- oder Verhaltensdaten berühren könnte
Vorgehen
Self-Hosting, Managed Cloud oder US-SaaS: drei Betriebswege im Vergleich
Ein begrenzter, überprüfbarer Einstieg schafft mehr Klarheit als ein breites AI-Projekt ohne Prozessverantwortung.
01 · US-SaaS mit Standardvertrag
Schnell gestartet, aber die Daten verlassen die EU oder werden über Konzernstrukturen erreichbar. Ihr braucht Standardvertragsklauseln oder eine Zertifizierung nach dem Data Privacy Framework, eine Transfer-Folgenabschätzung und meist ein Opt-out aus dem Training. Für Marketingtexte oft vertretbar, für Personal- oder Kundendaten häufig nicht.
02 · Managed Cloud in der EU
Ein europäischer Anbieter betreibt die Software in einem EU-Rechenzentrum und übernimmt Updates, Backups und Wartung. Ihr braucht einen AV-Vertrag und Klarheit über angebundene Modelle. Pharen Hub läuft in dieser Variante multi- oder single-tenant auf Hetzner Cloud in der EU. Guter Einstieg für Teams ohne eigene Betriebskapazität.
03 · Self-Hosting oder eigene Cloud
Eure IT betreibt Pharen Hub per Docker im eigenen Rechenzentrum, im Kubernetes-Cluster oder in eurer Azure-, AWS-, Google-Cloud- oder Hetzner-Umgebung. Speicherort, Zugriff, Löschung und Logs liegen vollständig bei euch. Das vereinfacht die Bewertung, weil weniger externe Parteien beteiligt sind, ersetzt sie aber nicht: Backups, Updates und Monitoring gehören dann zu eurem Betriebskonzept.
04 · Modelle getrennt bewerten
Unabhängig vom Betriebsweg entscheidet die Modellanbindung über die Datenflüsse. Pharen Hub kann je nach Setup mit ausgewählten, kundeneigenen, self-hosted oder OpenAI-kompatiblen Modellen arbeiten. Ein self-hosted Workspace mit US-Modell ist datenschutzrechtlich etwas anderes als derselbe Workspace mit einem Modell in eurer Infrastruktur.
Produktbelege
Wie Pharen Hub mit diesen Fragen umgeht
FAQ
Häufige Fragen zu DSGVO und KI
Kurze Antworten für die Auswahl, den Pilot und den späteren Betrieb.
Ist Pharen Hub DSGVO-konform?
Das hängt vom gesamten Setup ab. Pharen richtet Prozesse und Deployments DSGVO-konform aus; ein externer Review ist für Q1 2027 geplant. Self-Hosting gibt euch mehr Kontrolle über Speicherort, Zugriff und Löschung. Eure Konfiguration, angebundene Modelle, Verträge und interne Prozesse bestimmen, ob die Anforderungen erfüllt sind.
Reicht ein EU-Rechenzentrum für DSGVO-konforme KI aus?
Nein. Der Standort ist eine notwendige, keine hinreichende Bedingung. Modellanbieter, Support-Zugriffe, Unterauftragsverarbeiter, Löschkonzept und eure eigene Rechtsgrundlage entscheiden mit. Ein EU-Server mit einem US-Modell dahinter ändert am Datentransfer wenig.
Brauchen wir für KI eine Datenschutz-Folgenabschätzung?
Wahrscheinlich, sobald ihr systematisch personenbezogene Daten auswertet, etwa Bewerbungen, Kundenkommunikation oder Mitarbeiterdaten. Die DSFA dokumentiert Risiken und Maßnahmen. Sie ist kein Hindernis, sondern der Ort, an dem die sechs Fragen dieser Seite beantwortet werden.
Können wir mit Managed Cloud starten und später selbst hosten?
Ja. Viele Teams starten in der Managed Cloud auf Hetzner in der EU und wechseln zu Self-Hosting, sobald Kunden-, Datenschutz- oder IT-Anforderungen konkreter werden. Die Produktrichtung bleibt dieselbe; plant den Wechsel früh mit uns.
Nächster Schritt
Den passenden Einstieg gemeinsam klären.
DSGVO-konforme KI ist kein Stempel, sondern ein Setup: die sechs Fragen des Datenschutzbeauftragten, Self-Hosting vs. Cloud vs. US-SaaS und eine Checkliste.
