Warum das eine Kaufentscheidung ist, keine reine Rechtsfrage

Wenn Sie ein Unternehmen in Slowenien, Kroatien oder der weiteren EU führen, ist „ist diese KI DSGVO-konform" eine der ersten Fragen, die Ihr Rechtsteam stellt und zunehmend auch Ihre Kunden. Eine falsche Antwort ist teuer. In regulierten Branchen wie Banken, Versicherungen und Gesundheitswesen kann sie einen Abschluss beenden, bevor er überhaupt beginnt.

Die gute Nachricht, direkt aus der Praxis der Aufsichtsbehörden: Die meisten KI-Systeme lassen sich mit den richtigen Schutzmaßnahmen DSGVO-konform betreiben. Die eigentliche Arbeit liegt darin, zu wissen, welche das sind, und zu prüfen, ob Ihr Anbieter sie tatsächlich erfüllt, statt nur „EU-basiert" zu behaupten.

Datenstandort ist nicht dasselbe wie Datenverarbeitung

Das ist der häufigste Fehler, den wir sehen. Ein Anbieter sagt, die Daten seien „in der EU gespeichert", und alle entspannen sich. Speicherung und Verarbeitung sind aber zwei verschiedene Dinge.

Ein konkretes Beispiel aus der Sprach-KI: Sie können jede Anrufaufzeichnung in einem EU-Rechenzentrum halten und trotzdem nicht konform sein, weil in dem Moment, in dem ein US-Dienst für Transkription oder KI dieses Audio während der Inferenz verarbeitet, personenbezogene Daten die EU verlassen haben. Die Aufnahme lag in der EU. Die Verarbeitung nicht.

Die Frage an einen Anbieter lautet also nicht „wo werden die Daten gespeichert". Sie lautet „wo werden die Daten verarbeitet, von Anfang bis Ende, einschließlich jedes Modells und jedes API-Aufrufs in der Pipeline".

Vandris Plattform vCore ist von Grund auf EU-first gebaut: Die Daten bleiben in der EU, und auch die Verarbeitung bleibt in der EU. Das ist eine bewusste Entscheidung, kein Marketingsatz.

Die vier Dinge, die KI DSGVO-konform machen

Nach aktuellen Leitlinien der Aufsichtsbehörden kann jedes KI-System konform betrieben werden, wenn Sie diese Punkte abdecken:

  1. Rechtsgrundlage und Datenminimierung. Sie brauchen einen klaren rechtlichen Grund, personenbezogene Daten zu verarbeiten, und sollten der KI nur die Daten geben, die sie wirklich braucht.
  2. Verarbeitung in der EU und klare Datenverträge. Auftragsverarbeitungsverträge mit jeder Partei in der Kette, und Verarbeitung, die in der EU bleibt, wo immer die Daten personenbezogen sind.
  3. Transparenz und Sicherheit. Menschen sollten wissen, wenn sie es mit KI zu tun haben und wie ihre Daten verwendet werden, gestützt auf echte Sicherheitskontrollen: Verschlüsselung, Zugriffskontrolle und Protokollierung.
  4. Governance, wo das EU-KI-Gesetz gilt. Wenn Ihr Anwendungsfall als hochriskant eingestuft ist, gelten zusätzliche Pflichten (siehe unten).

Was das EU-KI-Gesetz 2026 bedeutet

Das EU-KI-Gesetz legt eine weitere Schicht über die DSGVO. Die volle Durchsetzung für hochriskante KI-Systeme begann am 2. August 2026 und betrifft Kategorien wie Einstellungsalgorithmen, Bonitätsprüfung, biometrische Systeme und Notdienste. Die Strafen bei Verstößen reichen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Hochriskante Systeme benötigen jetzt dokumentierte Daten-Governance, ein über den gesamten Lebenszyklus des Systems gepflegtes Risikomanagement, automatische Protokollierung mit Aufbewahrungsfristen und Konformitätsbewertungen.

Die meisten Unternehmensassistenten, RAG-Tools und Kundenservice-Sprachagenten sind nicht hochriskant. Die Einstufung hängt aber vom Anwendungsfall ab, nicht von der Technologie. Es lohnt sich, das früh zu prüfen, statt es einfach anzunehmen.

Wo ISO 27001 dazugehört

ISO 27001 ist der internationale Standard für Informationssicherheits-Management. Er ist nicht dasselbe wie die DSGVO, wird aber zunehmend zur Grundvoraussetzung für den Verkauf an größere Kunden, besonders in Banken, Gesundheitswesen und Versicherungen, wo ein großer Teil der Ausschreibungen in regulierten Branchen heute ISO 27001 oder Gleichwertiges verlangt.

Wer nach den Prinzipien von ISO 27001 arbeitet (rollenbasierter Zugriff, Audit-Protokolle, dokumentierte Richtlinien), hat echte Antworten parat, wenn der Sicherheitsfragebogen eines Kunden eintrifft. Vandri baut über alle Systeme hinweg nach diesen Prinzipien.

Eine praktische Checkliste vor dem KI-Einsatz

Prüfen Sie jedes KI-Projekt, Ihr eigenes oder das eines Anbieters, mit dieser Liste:

  • Gibt es eine klare Rechtsgrundlage für jede Kategorie beteiligter personenbezogener Daten?
  • Werden die Daten bei jedem Schritt in der EU verarbeitet, einschließlich Modellen und APIs von Drittanbietern?
  • Bestehen Auftragsverarbeitungsverträge mit jeder Partei in der Kette?
  • Sind Zugriffskontrolle, Verschlüsselung, Audit-Protokollierung und rollenbasierter Zugriff tatsächlich vorhanden?
  • Haben Sie den Anwendungsfall gegen das EU-KI-Gesetz klassifiziert (hochriskant oder nicht)?
  • Können Sie eine Sicherheitshaltung (ISO-27001-Prinzipien oder Zertifizierung) vorweisen, wenn ein Kunde fragt?
  • Werden Menschen darüber informiert, wenn sie mit KI interagieren?

Wenn Sie eine dieser Fragen für ein Tool, das Sie prüfen, nicht beantworten können, ist genau das die Frage an den Anbieter.

Wie Vandri das angeht

Wir bauen EU-first. Die Daten bleiben in der EU, die Verarbeitung bleibt in der EU, und jedes System folgt den Prinzipien von DSGVO und ISO 27001 mit rollenbasiertem Zugriff und Audit-Protokollen. Wenn Ihr Rechts- oder Sicherheitsteam Fragen hat, geben wir lieber klare Antworten als ein Compliance-Abzeichen, das bei der zweiten Nachfrage zerbricht. Sehen Sie, wie das in unsere Plattform eingebaut ist.

Sprechen wir darüber

Wenn Sie ein KI-Projekt abwägen und Compliance eine Hürde ist, beschreiben Sie uns den Anwendungsfall. Wir sagen Ihnen ehrlich, wo er steht, welche Schutzmaßnahmen er braucht und ob er nach dem EU-KI-Gesetz als hochriskant gilt. Vereinbaren Sie ein Gespräch oder entdecken Sie unsere Lösungen.

Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung. Klären Sie ein konkretes Projekt mit Ihrem Datenschutzbeauftragten oder Ihrer Rechtsabteilung ab.