Top-Themen im Datenschutz:
Sechs Stolpersteine beim Launch einer KI- oder SaaS-Anwendung: Mit klaren Rollen, sauberen Verträgen und einem externen Datenschutzbeauftragten gelingt der Start datenschutzkonform.
Datenschutz in KI-Startups ist kein Hexenwerk: Auch ein kleines Team kann eine KI- oder SaaS-Anwendung datenschutzkonform an den Markt bringen. Dafür braucht es keine Rechtsabteilung, sondern ein sauberes Fundament und einen klaren Blick dafür, wo die echten Risiken liegen.
Viele Gründer verschieben ihren Launch, weil die DSGVO wie ein Minenfeld wirkt. In unserer Arbeit als externer Datenschutzbeauftragter für KI-Startups begegnen uns bei Datenschutz und KI immer wieder dieselben sechs Stolpersteine. Hier sind sie, mit der Rechtslage im Oktober 2026. Welche Unterlagen zum Launch gehören, zeigt die Checkliste der nötigen Datenschutz-Dokumente im Fazit.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenDie DSGVO verlangt keine Perfektion, sondern angemessene Maßnahmen. Art. 24 und Art. 32 DSGVO knüpfen an das Risiko der Verarbeitung an: Wer mehr Risiko erzeugt, muss mehr tun.
Für Gründer heißt das: zuerst die Pflichten mit dem größten Hebel erledigen, dann den Rest. Wer jedes Detail vor dem Launch perfektionieren will, lähmt sein Produkt, bevor es Nutzer hat.
Entscheidend ist der Unterschied zwischen Priorisieren und Weglassen. Was geprüft, begründet und dokumentiert zurückgestellt wird, ist eine Entscheidung. Was niemand geprüft hat, ist eine Lücke.
Nicht verschieben lassen sich die Grundpflichten. Vor dem Launch muss für jede Verarbeitung klar sein:
Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO) gehören in die Produktplanung, nicht erst in die Datenschutzerklärung.
Klären Sie Ihre Rolle. Für den Datenschutz bei SaaS gilt: Für eigene Nutzerkonten und Ihr Marketing sind Sie als SaaS-Anbieter selbst Verantwortlicher. Verarbeiten Sie Daten Ihrer Geschäftskunden nur nach deren Weisung, sind Sie insoweit Auftragsverarbeiter. Meist haben Sie beide Rollen. Davon hängt ab, wen Sie informieren müssen, wer welchen AVV braucht und wer Betroffenenanfragen beantwortet.
Claude Code, Codex, Cursor und ähnliche Tools gehören für viele Entwickler zum Alltag. Um KI datenschutzkonform einzusetzen, zählt vor allem, unter welchen Bedingungen der Account läuft.
Viele Anbieter trennen Verbraucher-Tarife von geschäftlichen Tarifen wie Team, Business, Enterprise oder API. Bei privaten Accounts fehlt der AVV meist, die Datenschutzrisiken privater KI-Accounts sind entsprechend hoch.
Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO für KI-Tools ist nicht schon deshalb vorhanden, weil Sie zahlen. Entscheidend sind die Bedingungen des gebuchten Tarifs.
Prüfen Sie deshalb vor dem ersten Kundenprojekt drei Punkte:
Bei einem reinen Eigenprojekt ohne personenbezogene Daten stellt sich die AVV-Frage nicht. Anders, sobald personenbezogene Daten in Prompts gelangen. Das sind nicht nur Kundendatensätze, sondern oft auch Tickets, Logs oder Quellcode mit echten Testdaten. Dann sollten Sie vier Fragen sauber trennen:
Arbeiten Sie im Auftrag eines Kunden, informieren Sie ihn unverzüglich. Die Meldung an die Behörde ist dann seine Aufgabe (Art. 33 Abs. 2 DSGVO). Dokumentieren müssen Sie jede Verletzung, auch wenn keine Meldepflicht besteht (Art. 33 Abs. 5 DSGVO). Praktische Hilfe bietet der Leitfaden des Europäischen Datenschutzausschusses zu Datenschutzverletzungen für KMU.
Praxistipp: Nutzen Sie für Tests synthetische oder wirksam anonymisierte Daten. Nur sie fallen aus der DSGVO heraus. Pseudonymisierte Daten bleiben personenbezogen: Pseudonymisierung senkt das Risiko, ersetzt aber weder Rechtsgrundlage noch AVV. Schützen Sie außerdem Repositories, API-Keys, Prompt-Protokolle und die Zugänge zu Ihren KI-Tools.
Kein Gesetz verbietet US-Tools. Werden personenbezogene Daten aber in ein Drittland übermittelt oder von dort aus zugänglich gemacht, etwa per Fernzugriff, brauchen Sie eine Grundlage nach Kapitel V DSGVO. Prüfen Sie das pro Anbieter, einschließlich seiner Unterauftragsverarbeiter.
Die zwei gängigen Wege:
Der AVV selbst ist kein Übermittlungsinstrument. Er regelt, was der Dienstleister mit den Daten tun darf, nicht, ob sie in die USA gehen dürfen. Bei einem Auftragsverarbeiter brauchen Sie beides. Ist der Empfänger dagegen eigenständig verantwortlich, passt der AVV nicht: Dann brauchen Sie eine eigene Rechtsgrundlage für die Weitergabe.
Zum Restrisiko: Das Gericht der EU hat die Klage gegen das DPF am 3. September 2025 abgewiesen. Das Rechtsmittel beim EuGH (C-703/25 P) ist noch anhängig (Stand: 22. Oktober 2026). Dokumentieren Sie deshalb die DPF-Zertifizierung Ihrer Anbieter und klären Sie, welcher Übermittlungsmechanismus greift, falls das DPF fällt. SCC sind dafür kein Selbstläufer, auch sie brauchen die beschriebene Prüfung.
Und das beliebte Ausweichen auf Self-Hosting? Läuft die Datenbank auf eigener Hardware, ist kein Hoster beteiligt. Bei einem gemieteten EU-Server brauchen Sie dagegen einen AVV mit dem Hoster und sollten auch dort mögliche Zugriffe aus Drittländern prüfen. Updates, Backups, Zugriffsschutz und Verschlüsselung verantworten Sie in beiden Fällen selbst. Self-Hosting kann Datenflüsse vereinfachen, eine Abkürzung ist es nicht.
Setzen Sie die DSGVO-Anforderungen rechtssicher um – mit der strukturierten Vorlage nach Art. 28 DSGVO inkl. allen Pflichtbestandteilen und praxiserprobten Formulierungen für typische Verarbeitungstätigkeiten, kostenlos als Download.
Offene Modelle wie Llama oder Qwen ermöglichen datenschutzfreundliche Architekturen. Ob Ihre tatsächlich eine ist, entscheiden aber nicht Modellname oder Lizenz, sondern die Datenflüsse: wo das Modell läuft, wer Zugriff hat und ob Eingaben protokolliert oder für Feinabstimmung genutzt werden. Drei Betriebsarten kommen in der Praxis am häufigsten vor:
Mit dem Modellhersteller brauchen Sie in den ersten beiden Fällen keinen Vertrag, er sieht Ihre Eingaben nicht. Prüfen Sie aber, ob Telemetrie, automatische Updates oder Fernwartung doch Daten nach außen senden, und beachten Sie die Modelllizenz.
Wer SaaS für Geschäftskunden betreibt, braucht für den Datenschutz bei SaaS eine vollständige Liste seiner Unterauftragsverarbeiter und einen Prozess, um Kunden über Änderungen zu informieren (Art. 28 Abs. 2 DSGVO). Dazu gehören auch die Dienstleister, die der eigene Hoster einsetzt.
Wer einen Chatbot ins Produkt einbaut, muss mit Angaben rechnen, nach denen er nie gefragt hat. Schildert ein Hotelgast im Chat seine diagnostizierte Lebensmittelallergie, verarbeiten Sie ein Gesundheitsdatum nach Art. 9 DSGVO. Der bloße Wunsch nach einem laktosefreien Frühstück ist dagegen nicht automatisch eines.
Eine Datenschutzerklärung allein löst das nicht. Sie informiert, schafft aber keine Rechtsgrundlage. Sie brauchen eine Rechtsgrundlage nach Art. 6 und für Gesundheitsdaten zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO. Deshalb kommt es auf Gestaltung und Technik an:
Seit dem 2. August 2026 gilt außerdem die KI-Kennzeichnungspflicht nach Art. 50 der KI-Verordnung (AI Act). Ein KI-System, das direkt mit Menschen interagiert, muss so gestaltet sein, dass Nutzer spätestens zu Beginn der Interaktion erkennen, dass sie mit einer KI sprechen, sofern das nicht offensichtlich ist. Diese Pflicht trifft den Anbieter.
Anbieter nach KI-Verordnung ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3 KI-VO).
Wer das fertige System eines Drittanbieters unter eigener Verantwortung nutzt, ist Betreiber nach KI-Verordnung. Das bloße Einbinden einer fremden Chatbot-Lösung macht Sie also nicht zum Anbieter. Bauen Sie dagegen auf einem Sprachmodell einen eigenen Assistenten und bieten ihn unter eigener Marke an, liegt die Anbieterrolle nahe.
Prüfen und dokumentieren Sie die Rolle deshalb für jedes Produkt. Die EU-Kommission erläutert die Pflichten in einer FAQ zu den Transparenzpflichten nach Art. 50 KI-Verordnung.
Verstöße gegen Art. 50 können mit bis zu 15 Mio. Euro oder 3 % des weltweiten Vorjahresumsatzes geahndet werden (Sanktionen nach Art. 99 Abs. 4 KI-VO). Für KMU einschließlich Startups gilt jeweils der niedrigere der beiden Beträge als Obergrenze (Art. 99 Abs. 6 KI-VO).
Häufiger Irrtum: Der Digital Omnibus zur KI (VO (EU) 2026/1744), in Kraft seit 27. Juli 2026, hat die KI-Verordnung an mehreren Stellen geändert, die Hinweispflicht für Chatbots aber nicht verschoben. Die wichtigsten Termine:
Entscheidet Ihre KI über Menschen? Bei Recruiting, Kreditwürdigkeitsprüfung oder ähnlich sensiblen Anwendungen prüfen Sie zweierlei: die Hochrisiko-Einstufung nach der KI-Verordnung und, unabhängig davon, die DSGVO-Regeln zu automatisierten Einzelentscheidungen (Art. 22 DSGVO). Ein gewöhnlicher Service-Chatbot ist dagegen keine Hochrisiko-KI. Für ihn muss vor allem der KI-Hinweis jetzt umgesetzt sein.
Datenschutzhinweise, AGB oder AVV per Prompt zu erstellen, ist verlockend. Das Ergebnis klingt juristisch, passt aber selten zum konkreten Produkt.
Sprachmodelle reproduzieren häufig veraltete, unpassende oder schlicht falsche Muster. Typische Fehler sind unzutreffende Rechtsgrundlagen, fehlende Angaben zu Drittlandtransfers und erfundene Unterauftragsverarbeiter. Für die Compliance bleiben Sie selbst verantwortlich, auch wenn der Entwurf aus einem KI-Tool stammt.
KI kann einen Entwurf beschleunigen. Prüfen muss ihn jemand, der zwischen plausibel und richtig unterscheiden kann. Das ist wie bei generiertem Code: Ob er wirklich trägt, sieht erst ein erfahrener Entwickler.
Das hängt von Teamgröße und Datenverarbeitung ab. Nach § 38 BDSG muss ein Unternehmen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Teamgröße gilt die Pflicht, wenn die Verarbeitung eine Datenschutz-Folgenabschätzung erfordert. Wer den Datenschutzbeauftragten benennen muss, sollte das früh klären, denn bei KI-Anwendungen kann schon ein einzelner Chatbot diese Schwelle auslösen. Die Bundesregierung plant, die 20-Personen-Schwelle abzuschaffen. Bis zu einer Gesetzesänderung gilt sie weiter.
Auch ohne Pflicht lohnt sich ein externer Datenschutzbeauftragter für Startups oft mehr als eine interne Lösung: Er bringt Erfahrung aus vielen Projekten mit, kostet keine Vollzeitstelle und vermeidet Interessenkonflikte. Gründer und Entwickler können ihre eigene Datenverarbeitung nur schwer neutral kontrollieren. Größere Kunden verlangen im Einkaufsprozess zudem oft Nachweise zum Datenschutz. Die Vor- und Nachteile von externem oder internem Datenschutzbeauftragten hängen vom Einzelfall ab.
Welche Aufgaben des Datenschutzbeauftragten in der Praxis anfallen, reicht von der Pflege des Verarbeitungsverzeichnisses über die AVV-Prüfung bis zur Beratung bei der Datenschutz-Folgenabschätzung.
Beantworten Sie 6 Fragen – der Check dauert unter 2 Minuten.
Dieser Check ersetzt keine Rechtsberatung. Rechtsgrundlagen: Art. 37 DSGVO · § 38 BDSG · Rechtsstand: Oktober 2026
Hinweis: Die Bundesregierung hat angekündigt, § 38 Abs. 1 BDSG aufzuheben. Ein Gesetzentwurf liegt bislang nicht vor – bis zu einer Änderung gilt die 20-Personen-Schwelle unverändert.
Datenschutz ist für ein Startup kein Projekt mit Enddatum. Jedes neue Tool, jede KI-Funktion und jeder größere Kunde bringt neue Fragen mit. Als externer Datenschutzbeauftragter für Startups begleiten wir Gründer und Entwicklerteams laufend: vom AVV-Check für KI-Tools der ersten Stunde über den Chatbot-Launch bis zum ersten Audit durch einen Enterprise-Kunden.
Wer einen Partner sucht, sollte Erfahrung mit Softwareprodukten und KI-Projekten prüfen. Weitere Kriterien, um einen externen Datenschutzbeauftragten auszuwählen, nennt ein eigener Ratgeber.
Für den Start einer SaaS- oder KI-Anwendung braucht es eine überschaubare, aber produktbezogene Dokumentation. Welche Dokumente Pflicht sind, hängt von Ihren Daten, Ihrer Rolle und dem Risiko ab.
Ein Punkt gehört in die Architektur statt nur in ein Dokument: die Betroffenenrechte. Planen Sie Prozesse für die Betroffenenrechte nach DSGVO: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit. Legen Sie fest, wer Anfragen beantwortet, denn die Frist beträgt grundsätzlich einen Monat. Eine Exportfunktion in CSV oder JSON hilft bei Auskunft und Übertragbarkeit, auch wenn Art. 20 DSGVO nur unter bestimmten Voraussetzungen greift. Nachrüsten kostet ein Vielfaches.
Dokument / Nachweis | Für wen / wann | Grundlage und Zweck |
|---|---|---|
Rechtsgrundlagen- und Löschkonzept | intern, vor dem Launch | Art. 5, 6, 9, 25 DSGVO: Zwecke, Datenarten, Speicherfristen, Voreinstellungen |
Datenschutzhinweise der Anwendung | Nutzer | Art. 13/14 DSGVO, klar abgegrenzt von der Website-Datenschutzerklärung |
AVV | Dienstleister und, je nach Rolle, Kunden | Art. 28 DSGVO, inkl. Liste der Unterauftragsverarbeiter |
Prüfung von Dienstleistern und Drittlandtransfers | intern, bei externen Diensten | Kapitel V DSGVO: Empfänger, DPF oder SCC mit Transfer Impact Assessment |
Verzeichnis von Verarbeitungstätigkeiten (VVT) | intern, auf Anfrage Behörde | Art. 30 DSGVO; die Ausnahme für kleine Unternehmen greift selten |
Technische und organisatorische Maßnahmen (TOMs) | intern, oft auch Kunden | Art. 32 DSGVO: Zugriff, Verschlüsselung, Backups, Wiederherstellung, Tests |
Melde- und Incident-Prozess | intern, im Betrieb | Art. 33/34 DSGVO: Verletzungen erkennen, bewerten, dokumentieren, melden |
Datenschutz-Folgenabschätzung (DSFA) | intern, bei hohem Risiko | Art. 35 DSGVO |
KI-Hinweis im Interface | Nutzer, bei direkter KI-Interaktion | Art. 50 KI-Verordnung |
AGB | Kunden | Vertragliche Basis: Leistung, Haftung, Zahlung, Kündigung; keine DSGVO-Pflicht |
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen