DSGVO-konforme KI für deutsche Unternehmen: So funktioniert es
Die meisten KI-Tools schicken Ihre Daten auf US-Server. So betreiben Sie private KI auf europäischer Infrastruktur — und was die DSGVO wirklich verlangt.
Ihre Datenschutzbeauftragte stellt eine Frage, die im Raum niemand beantworten kann: Ist Ihr KI-Anbieter Auftragsverarbeiter im Sinne der DSGVO — und wenn ja, haben Sie einen Auftragsverarbeitungsvertrag mit ihm geschlossen? Wenn die Antwort ein Zögern enthält, verstoßen Sie vermutlich gerade dagegen. Nicht, weil Sie etwas falsch gemacht haben, sondern weil die meisten KI-Tools nie für diese Frage gebaut wurden.
Der deutsche Mittelstand zwischen 20 und 500 Mitarbeitenden sitzt dabei in einer besonderen Klemme. Enterprise-Plattformen von SAP oder Microsoft kosten sechsstellig und brauchen Monate bis zur Konfiguration. Verbrauchertools wie ChatGPT verarbeiten Daten auf Servern in den USA. Dazwischen — ein System in Ihrer Größenordnung, auf europäischer Infrastruktur, tatsächlich DSGVO-konform — war lange wenig.
Zuerst die unbequeme Klarstellung: „Hosting in Deutschland ist Pflicht" stimmt nicht
Diesen Satz finden Sie auf sehr vielen Anbieterseiten. Er ist falsch, und Sie sollten ihn nicht glauben — auch nicht von uns.
Art. 44 DSGVO beschränkt die Übermittlung personenbezogener Daten an Drittländer, also an Staaten außerhalb der EU und des EWR. Innerhalb der EU gibt es diese Schranke nicht: Daten dürfen sich zwischen Mitgliedstaaten frei bewegen. Und Art. 45 DSGVO erlaubt Übermittlungen in Drittländer ausdrücklich dann, wenn ein Angemessenheitsbeschluss der Kommission vorliegt.
Es gibt also keine Rechtspflicht, in Deutschland zu hosten. Wer das behauptet, verkauft Ihnen ein Produktmerkmal als Gesetz.
Was stimmt, ist die Risikoabwägung dahinter: Ein Angemessenheitsbeschluss ist eine politische Entscheidung, und politische Entscheidungen sind widerrufbar. Safe Harbor fiel 2015, das Privacy Shield 2020 — beide Male stand die Datenverarbeitung tausender Unternehmen über Nacht auf einer neuen Rechtsgrundlage. Wer heute europäisch hostet, kauft sich gegen genau dieses Ereignis ab. Das ist ein guter Grund. Es ist nur kein Paragraf.
Für einen konkreten Fall bleibt es trotzdem eng: Lädt eine Stuttgarter Steuerkanzlei Mandantenunterlagen in einen US-gehosteten Dienst, ist das eine Drittlandsübermittlung. Enthalten die Unterlagen Namen, Finanzdaten oder Steuer-IDs — was sie tun —, braucht es dafür eine tragfähige Rechtsgrundlage, und die haben die wenigsten KI-Anbieter sauber dokumentiert.
Der AVV ist keine Formalie, und sein Inhalt ist vorgeschrieben
Art. 28 DSGVO ist der Paragraf, an dem KI-Projekte im Mittelstand tatsächlich scheitern. Absatz 1 verlangt, dass Sie nur mit Auftragsverarbeitern arbeiten, die „hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden", dass die Verarbeitung den Anforderungen der Verordnung entspricht.
Absatz 3 lässt Ihnen dabei keinen Spielraum: Der Vertrag muss dokumentierte Weisungen, Vertraulichkeit, die Sicherheitsmaßnahmen nach Art. 32, die Bedingungen für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Unterstützung bei Art. 32–36, Löschung oder Rückgabe der Daten und Prüfrechte regeln. Acht Punkte, a bis h.
Woran Sie einen ernsthaften Anbieter erkennen: Er legt Ihnen den AVV hin, ohne dass Sie fragen müssen. pretix — ein Ticketing-Anbieter, kein KI-Unternehmen, aber ein gutes Beispiel für den Standard — schreibt schlicht: „Wir treten als Auftragsverarbeiter des Veranstalters auf", und stellt den Vertrag im Kundenkonto zum Download bereit. „AVV auf Anfrage" liegt unter diesem Marktstandard.
Wenn Sie Berufsgeheimnisse verwalten, endet die DSGVO-Diskussion zu früh
Für Steuerberater, Rechtsanwälte, Ärzte und Wirtschaftsprüfer gilt eine zweite Rechtsordnung, die mit dem Datenschutz nichts zu tun hat und von ihm auch nicht erfüllt wird. Ein AVV nach Art. 28 DSGVO regelt den Umgang mit personenbezogenen Daten. § 203 StGB schützt fremde Geheimnisse. Das sind verschiedene Schutzgüter, und ein Vertrag über das eine sagt nichts über das andere.
Für Steuerberater steht der maßgebliche Paragraf nicht im Strafgesetzbuch, sondern im Berufsrecht. § 62a StBerG (gelesen am 04.08.2026) erlaubt die Einschaltung von Dienstleistern ausdrücklich — aber an vier kumulative Bedingungen geknüpft:
Erforderlichkeit. Absatz 1 erlaubt den Zugang zu geschützten Tatsachen nur, „soweit dies für die Inanspruchnahme der Dienstleistung erforderlich ist". Ein Modell, das mehr sieht als es für die Aufgabe braucht, ist von dieser Erlaubnis nicht gedeckt.
Sorgfältige Auswahl — und laufende Überwachung. Absatz 2: „Steuerberater und Steuerbevollmächtigte sind verpflichtet, den Dienstleister sorgfältig auszuwählen. Die Zusammenarbeit muss unverzüglich beendet werden, wenn die Einhaltung der dem Dienstleister gemäß Absatz 3 zu machenden Vorgaben nicht gewährleistet ist." Das ist keine einmalige Prüfung beim Einkauf, sondern eine Dauerpflicht.
Textform mit Belehrung. Absatz 3 verlangt einen Vertrag in Textform, in dem der Dienstleister „unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit zu verpflichten" ist. Ein AVV enthält diese Belehrung nicht — er ist dafür nicht gemacht.
Einwilligung, wenn die Leistung einem einzelnen Mandat dient. Absatz 5: Bei Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen, darf der Zugang zu fremden Geheimnissen „nur dann eröffnet werden, wenn der Mandant darin eingewilligt hat". Und Absatz 6 stellt klar, dass die Pflichten aus Absatz 2 und 3 auch dann bestehen bleiben, wenn eingewilligt wurde.
Der Punkt, den die Compliance-Ratgeber übergehen
§ 62a StBerG wurde am 9. November 2017 eingeführt und seitdem nicht geändert (Stand der Fassung laut dejure.org, gelesen am 04.08.2026). Die Norm ist älter als jedes generative Sprachmodell am Markt. Sie erwähnt künstliche Intelligenz mit keinem Wort — und das ist kein Versehen, das repariert werden müsste, sondern der Grund, warum sie überhaupt anwendbar ist.
Der Gesetzgeber von 2017 hatte Schreibbüros, Rechenzentren, IT-Wartungsfirmen und Aktenvernichter vor Augen. Er hat deshalb nie gefragt, ob eine Technologie künstliche Intelligenz ist. Er hat gefragt: Bekommt ein Dritter Zugang zu fremden Geheimnissen, und ist er darauf verpflichtet? Ein Sprachmodell mit API-Zugriff auf Mandantenakten ist nach dieser Systematik schlicht ein Dienstleister — nicht mehr, aber auch keinen Deut weniger.
Praktisch heißt das zweierlei. Erstens: Sie brauchen keine KI-Sondergesetzgebung abzuwarten, um heute rechtssicher zu handeln — der Rahmen steht seit acht Jahren. Zweitens: Genau deshalb hilft Ihnen ein Anbieter nicht weiter, der nur DSGVO-Konformität zusichert. Die Fragen aus Absatz 2, 3 und 5 muss er trotzdem beantworten, und die meisten Standardverträge am Markt beantworten sie nicht.
Der FAQ-Katalog „KI im steuerberatenden Berufsstand" der Bundessteuerberaterkammer vom 27. Januar 2026 verbietet Cloud-KI übrigens nicht. Er verweist auf das Berufsgeheimnis als das, worauf besonderes Augenmerk zu legen ist. Beachten Sie beim Lesen die Selbstauskunft der Kammer: Die Antworten basieren auf dem Rechtsstand Juli 2025 und erheben keinen Anspruch auf Vollständigkeit.
Die Architektur, nicht das Dokument
Der Vertrag ist das eine. Was technisch mit den Daten passiert, ist das andere — und es passiert unabhängig davon, was im Vertrag steht.
Loopwise läuft auf Hetzner Cloud in Nürnberg und Falkenstein, beide in Deutschland und damit deutschem und europäischem Recht unterworfen. Auf der Modellebene ist das System bewusst nicht festgelegt: Claude von Anthropic, wo Loopwise Mitglied im Claude Partner Network ist, oder eine EU-gehostete Alternative — Mistral in Frankreich oder ein selbst gehostetes offenes Modell auf derselben Hetzner-Infrastruktur. Wo Inferenz zwingend in der EU stattfinden muss, deployen wir die EU-Variante.
Darunter isoliert die Architektur auf drei Ebenen:
Datenbank-Isolation. Jeder Mandant bekommt ein eigenes PostgreSQL-Schema. Die Dokumente einer Kanzlei sind für Abfragen einer Personalberatung auf derselben Plattform strukturell nicht erreichbar — keine Zeilenfilterung, sondern eine Trennung in der Datenbank selbst.
Vektorspeicher. Embeddings liegen in PostgreSQL mit der pgvector-Erweiterung, 1024 Dimensionen, HNSW-Index. Fragt Ihr Team etwas, durchsucht das System ausschließlich Ihre Dokumente. Das Embedding-Modell ist pro Mandant konfigurierbar und läuft immer innerhalb der EU.
Kein Training mit Ihren Daten. Keiner der Modellanbieter, mit denen wir arbeiten, nutzt per API übermittelte Daten für das Training. Das beantwortet die Frage, die Mandanten am häufigsten stellen: Lernt die KI aus meinen Unterlagen und gibt das an andere Kunden weiter? Nein. Das Modell ist fix. Ihre Dokumente werden für eine Antwort herangezogen und nicht im Modell gespeichert.
Diese drei Punkte zusammen sind das, was eine Datenschutzbeauftragte prüfen und freigeben kann. Keine Marketingseite, sondern eine Architektur, die einer Prüfung standhält.
Was das im Alltag heißt
Die Compliance-Geschichte interessiert Recht und Datenschutz. Wer täglich damit arbeitet, hat eine direktere Frage: Funktioniert es?
Das Wissen eines mittelständischen Unternehmens liegt typischerweise an drei Orten — in Dokumenten auf einem Fileserver oder in SharePoint, in strukturierten Systemen wie DATEV, SAP oder einem CRM, und in den Köpfen der Leute.
Die erste Kategorie lässt sich direkt erschließen. Sie laden Ihre Dokumentenbibliothek einmal hoch, das System zerlegt jede Datei in Abschnitte, wandelt sie in Vektoren um und legt sie in Ihrer PostgreSQL-Instanz ab. Danach fragt Ihr Team auf Deutsch: „Was sagt unsere Betriebsvereinbarung zu Homeoffice-Regelungen?" Das System holt die passenden Stellen, gibt sie mit der Frage an das Modell und antwortet mit Quellenangaben. Die Antwort ist nur so gut wie Ihre Unterlagen — was genau richtig ist, denn das System rät nicht, es liest.
Für eine Steuerkanzlei mit 50 Mitarbeitenden heißt das: 3.000 Fachdokumente sofort durchsuchbar. Für einen Fertiger: Wartungshandbücher für 200 Maschinen, abrufbar vom Tablet in der Halle.
Ein Detail, das für Kanzleien praktisch wird: Bei den Aufbewahrungsfristen wird viel falsch abgeschrieben. § 147 Abs. 3 AO staffelt sie — zehn Jahre für die in Absatz 1 Nr. 1 und 4a genannten Unterlagen, acht Jahre für Buchungsbelege nach Nr. 4, sechs Jahre für die übrigen. Wer pauschal zehn Jahre archiviert, hält länger vor als nötig, und Datenminimierung ist nach Art. 5 DSGVO kein Nice-to-have.
Ehrliche Einschränkung: Ein dokumentenbasiertes System kennt nur, was Sie hineingegeben haben. Implizites Wissen, undokumentierte Entscheidungen und Daten in DATEV oder SAP brauchen zusätzliche Integrationsarbeit. Die Dokumentenebene ist für die meisten Unternehmen der richtige Anfang — aber sie ist ein Anfang.
Compliance-Anforderung und Produktanforderung sind dasselbe
DSGVO-konforme KI ist für den Mittelstand am Ende nützlicher als die nicht-konforme Alternative — nicht zufällig, sondern weil die Einschränkungen das System in die richtige Form zwingen.
Mandantentrennung heißt, dass Ihre Daten nicht mit fremden vermischt sind, was wiederum heißt, dass die Antworten ausschließlich auf Ihren Dokumenten beruhen. Dass niemand mit Ihren Daten trainiert, heißt, dass Ihre Wettbewerbsinformationen Ihre bleiben. Europäische Infrastruktur heißt niedrigere Latenz für deutsche Nutzer als bei US-Hosting.
Ein Anbieter, der für den globalen Consumer-Markt baut und den AVV nachträglich anklebt, muss die Lücken zwischen Systemverhalten und Vertragstext zukleistern. Ein System, das von der Architektur her für die DSGVO gebaut ist, hat keine Lücken zuzukleistern.
Demo buchen, 30 Minuten — wir fahren eine Live-Abfrage gegen Beispieldokumente aus Ihrer Branche und zeigen Ihnen genau, wo Ihre Daten in der Architektur liegen.