Kurz gesagt: eine BI-Plattform, die personenbezogene Daten in der EU (oder in Ihrem eigenen Rechenzentrum) hält, ihre KI ohne Aufruf eines fremden LLM betreibt und die Audit-Logs, Auftragsverarbeitungsverträge und DSFA-Unterlagen liefert, die DSGVO und KI-Verordnung verlangen. Dieser Leitfaden zeigt, wie Sie das vor der Unterschrift prüfen.
Zuletzt geprüft: Juli 2026
Zwei Regelwerke bestimmen KI-Datenanalyse in der EU. Die DSGVO (Verordnung (EU) 2016/679) gilt seit 2018 und regelt jede Verarbeitung personenbezogener Daten — Rechtsgrundlage, Betroffenenrechte, Sicherheit (Artikel 32), Auftragsverarbeitung (Artikel 28) und Folgenabschätzungen (Artikel 35). Die KI-Verordnung (Verordnung (EU) 2024/1689) legt eine zweite, produktsicherheitsähnliche Ebene darüber.
Am 2. August 2026 wird der Kern der KI-Verordnung anwendbar, einschließlich der Pflichten für „Hochrisiko"-KI-Systeme aus Anhang III. Analyse- und BI-Software ist nicht automatisch hochriskant: Sie fällt nur dann unter diese Regeln, wenn sie für einen Anhang-III-Zweck eingesetzt wird, etwa zur Auswahl von Bewerbern, zur Bonitätsbewertung oder zur Entscheidung über den Zugang zu wesentlichen Diensten. Verbotene Praktiken gelten seit dem 2. Februar 2025, Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025.
Berührt Ihre BI einen Hochrisiko-Einsatz, verlangt Artikel 12, dass das System über seine gesamte Lebensdauer automatische Protokolle führt — neben Risikomanagement, Daten-Governance und menschlicher Aufsicht. Auch außerhalb von Hochrisiko-Fällen gehören genau diese Audit-Logs zu den stärksten Nachweisen der DSGVO-Rechenschaftspflicht.
“Hochrisiko-KI-Systeme müssen technisch die automatische Aufzeichnung von Ereignissen (Protokollierung) während ihrer gesamten Lebensdauer ermöglichen.”
Die wichtigste Compliance-Frage ist nicht das Werkzeug, sondern die Aufgabe, die Sie ihm geben. Dasselbe Dashboard ist gewöhnliche Analyse, wenn es Umsätze verfolgt, und Hochrisiko-KI, wenn es Bewerber bewertet. Ordnen Sie jeden KI-Anwendungsfall Anhang III zu, bevor Sie von den strengeren Pflichten ausgehen.
Höchste Geldbuße der KI-Verordnung für die schwersten Verstöße — bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99).
KI-Verordnung, Artikel 99Bevor Sie einen Anbieter für KI-Datenanalyse in die engere Wahl nehmen, prüfen Sie jeden dieser Punkte. Sie entsprechen unmittelbar den DSGVO- und KI-VO-Pflichten für mittelständische Käufer in der EU.
Klären Sie, wo personenbezogene Daten gespeichert und verarbeitet werden. Für den EU-Mittelstand ist die sichere Voreinstellung eine Speicherung in der EU/im EWR oder auf eigener Infrastruktur, damit die Frage der Drittlandübermittlung gar nicht erst entsteht.
Viele „KI-Analyse"-Tools leiten Ihre Daten an eine externe Modell-API weiter. Fragen Sie, ob Prompts, Datensätze oder Schemata Ihre Umgebung jemals verlassen. Selbst gehostete oder On-Premise-Modelle halten die Inferenz lokal.
Ist Ihr Anwendungsfall nach Anhang III hochriskant, muss das System über seine Lebensdauer automatische Ereignisprotokolle führen. Auch sonst sind Audit-Logs ein starker Nachweis der Rechenschaftspflicht nach DSGVO Art. 5 Abs. 2.
Bei risikoreicher Verarbeitung müssen Sie eine Datenschutz-Folgenabschätzung durchführen. Ein guter Anbieter liefert die technische Dokumentation, Datenflussdiagramme und Modellinformationen, die Sie dafür brauchen.
Jeder Anbieter, der in Ihrem Auftrag personenbezogene Daten verarbeitet, muss einen AVV nach DSGVO Art. 28 mit dokumentierten Unterauftragsverarbeitern unterzeichnen. Prüfen Sie die Liste und wie Sie über Änderungen informiert werden.
Verlangen Sie Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrollen und unabhängige Nachweise wie ISO 27001 oder einen SOC-2-Bericht. Vage Aussagen zu „bankentauglicher Sicherheit" sind kein Nachweis.
Gelangen Daten in ein Land ohne Angemessenheitsbeschluss, brauchen Sie Standardvertragsklauseln plus Transfer-Folgenabschätzung und zusätzliche Maßnahmen. Daten in der EU zu halten, vermeidet dies vollständig.
Finanzunternehmen müssen DORAs Vorgaben für IKT-Drittdienstleister erfüllen; Schweizer Käufer das revidierte DSG (revDSG). Klären Sie, ob der Anbieter ein rechenschaftsfähiger IKT-Dienstleister sein kann und Schweizer Datenhaltung unterstützt.
Nutzen Sie diese Tabelle in Anbietergesprächen. Die mittlere Spalte ist die Frage; die rechte Spalte ist die Antwort, bei der Sie besser gehen.
| Bewertungskriterium | Was Sie den Anbieter fragen | Warnsignal |
|---|---|---|
| Datenstandort | Wo genau werden unsere Daten gespeichert und verarbeitet, und können wir „nur EU" oder Selbst-Hosting wählen? | „Das liegt in der Cloud" ohne benannte Region oder Land. |
| Hosting des KI-Modells | Läuft die KI auf eigenen Modellen, oder rufen Sie eine externe LLM-API auf? | Daten gehen an ein fremdes Modell und lassen sich nicht abschalten. |
| Daten für Training | Werden unsere Daten jemals zum Training oder Feintuning Ihrer Modelle verwendet? | Kundendaten trainieren standardmäßig gemeinsame Modelle. |
| Audit-Protokollierung | Können wir unveränderliche Protokolle jeder KI-Abfrage und jedes Datenzugriffs exportieren? | Keine Protokolle je Abfrage oder Logs, die sich nicht exportieren lassen. |
| AVV & Unterauftragsverarbeiter | Unterzeichnen Sie einen AVV nach Art. 28 und veröffentlichen Sie Ihre Unterauftragsverarbeiter? | Kein AVV oder eine unklare Kette von Unterauftragsverarbeitern. |
| Zertifizierungen | Können Sie ein ISO-27001-Zertifikat oder einen SOC-2-Bericht vorlegen? | Nur Marketingaussagen, kein unabhängiger Nachweis. |
| Preismodell | Ist der Preis fest und planbar oder pro Token bzw. pro Abfrage? | Kosten steigen mit der Nutzung, sodass umfangreiche Protokollierung teuer wird. |
Wo Ihre Daten liegen und wo das KI-Modell läuft, sind die zwei Entscheidungen, die den größten Teil Ihrer Compliance-Exposition bestimmen. Vier grobe Modelle, vom höchsten zum geringsten Risiko:
| Betriebsmodell | Datenstandort | Datenabfluss ans LLM | Compliance-Folge | Geeignet für |
|---|---|---|---|---|
| Öffentliche SaaS-Cloud-KI | Cloud des Anbieters, oft außerhalb der EU | Daten gehen an fremde LLM-APIs | Höchste Übermittlungs- und KI-VO-Exposition; SCC + TIA nötig | Wenig sensible Daten, schnelle Pilotprojekte |
| Cloud in EU-Region | Anbieter-Cloud, EU/EWR-Region | Ruft ggf. weiterhin externe Modelle auf | Datenhaltung gelöst; LLM-Abfluss & Unterauftragsverarbeiter prüfen | EU-Firmen mit Wunsch nach Managed Hosting |
| Selbst gehostet / On-Premise | Ihr Rechenzentrum oder Ihre Private Cloud | Keiner — Modelle laufen lokal | Starke Datenhoheit; Sie kontrollieren Logs & DSFA | Regulierter Mittelstand, Finanzen, Gesundheit |
| Air-Gapped | Isoliertes Netz, ohne Internet | Keiner — konstruktionsbedingt | Maximale Kontrolle für vertrauliche/kritische Daten | Hochsensible oder souveräne Workloads |
Adaptrix wurde für genau dieses Problem gebaut. Es ist eine Option unter mehreren — hier ehrlich zugeordnet zur obigen Checkliste.
KI-Agenten planen und beantworten analytische Fragen, ohne Ihre Daten an ein externes Modell zu senden.
Offene Modelle, in deutschen Rechenzentren auf souveräner EU-Infrastruktur betrieben — Ihre Daten gehen nie an einen Drittanbieter-LLM. Betrieb auf Ihrer eigenen Hardware ist als Enterprise-Plus-Option auf der Roadmap.
Prompts, Datensätze und Schemata bleiben in der souveränen EU-Umgebung von Adaptrix; nichts geht an eine fremde Modell-API.
Für die sensibelsten Umgebungen ist ein vollständig vom Internet getrennter Betrieb als Enterprise-Plus-Option auf der Roadmap.
Jede KI-Abfrage und jeder Datenzugriff lässt sich protokollieren — als Unterstützung für DSGVO-Rechenschaft und Protokollierung im Sinne von Artikel 12.
Planbare Jahrespreise ohne Token-Gebühren, sodass umfassende Protokollierung Ihre Kosten nie in die Höhe treibt.
Nein. Die meiste Analyse und BI ist nicht hochriskant. Sie fällt nur dann unter die Hochrisiko-Pflichten, wenn sie für einen Anhang-III-Zweck genutzt wird — etwa zur Bewerberauswahl, zur Bonitätsbewertung oder zur Entscheidung über den Zugang zu wesentlichen Diensten. Außerhalb dieser Fälle greifen die Hochrisiko-Pflichten (einschließlich der Protokollierung nach Artikel 12) in der Regel nicht, die DSGVO jedoch immer.
An diesem Tag wird der Kern der KI-Verordnung anwendbar, einschließlich der Pflichten für Hochrisiko-KI-Systeme aus Anhang III: Risikomanagement, Daten-Governance, Protokollierung (Artikel 12), Transparenz und menschliche Aufsicht. Verbotene Praktiken gelten seit Februar 2025, Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025.
Möglicherweise, aber Sie übernehmen das Übermittlungsproblem, das der EuGH im Schrems-II-Urteil aufgeworfen hat. Sie brauchen Standardvertragsklauseln, eine Transfer-Folgenabschätzung und zusätzliche Maßnahmen und müssen prüfen, ob Daten an ein fremdes LLM gelangen. Daten und Inferenz in der EU zu halten, beseitigt den größten Teil dieser Last.
Selten. Es gibt kein einzelnes offizielles „DSGVO-Zertifikat". Achten Sie stattdessen auf einen unterzeichneten AVV nach Art. 28, eine veröffentlichte Liste der Unterauftragsverarbeiter, Sicherheitsnachweise nach Art. 32 wie ISO 27001 oder SOC 2 sowie klare Angaben zur Datenhaltung. Behandeln Sie „DSGVO-zertifiziert"-Siegel mit Vorsicht.
Das revidierte Schweizer DSG (revDSG), in Kraft seit dem 1. September 2023, ist eng an der DSGVO ausgerichtet, aber ein eigenes Gesetz mit eigenen Melde- und DSFA-Pflichten und Strafen von bis zu 250 000 CHF gegen verantwortliche Personen. Schweizer Käufer sollten Schweizer Datenhaltung und einen revDSG-fähigen Auftragsverarbeitungsvertrag bestätigen.
DORA, anwendbar seit dem 17. Januar 2025, behandelt Ihren Analyse-Anbieter als IKT-Drittdienstleister. Sie brauchen vertragliche Resilienz-, Melde- und Ausstiegsklauseln, und kritische Anbieter unterliegen der EU-Aufsicht. Fragen Sie, ob der Anbieter DORAs Anforderungen an IKT-Drittdienstleister erfüllen kann.
Sehen Sie, wie agentische Analyse auf souveräner EU-Infrastruktur läuft — ohne LLM-Datenabfluss und mit eingebauten Audit-Logs.
Jede rechtliche Aussage auf dieser Seite verlinkt eine Primärquelle. Prüfen Sie den aktuellen Wortlaut, bevor Sie Compliance-Entscheidungen treffen.
Dieser Kaufleitfaden ist eine allgemeine Information, keine Rechtsberatung. Gesetzestexte und Fristen ändern sich; prüfen Sie den aktuellen Stand anhand der oben verlinkten Primärquellen und mit eigener rechtlicher Beratung, bevor Sie Kauf- oder Compliance-Entscheidungen treffen. Angegebene Bußgeldbeträge stammen aus den zitierten Rechtsakten; illustrative Beispiele sind als solche gekennzeichnet.