DSGVO KI Verarbeitungsverzeichnis: Muster-Eintrag nach Art. 30 für KI-Systeme

Ein DSGVO KI Verarbeitungsverzeichnis ist für jedes Unternehmen Pflicht, das KI-Systeme einsetzt, die personenbezogene Daten verarbeiten. Art. 30 DSGVO verlangt ein Verzeichnis aller Verarbeitungstätigkeiten mit klar definierten Pflichtangaben. Viele Unternehmen haben zwar ein Verarbeitungsverzeichnis, aber KI-basierte Verarbeitungen fehlen darin häufig oder sind unzureichend dokumentiert.

Dieser Artikel liefert einen vollständigen Muster-Eintrag für ein KI-System, erklärt alle Pflichtfelder nach Art. 30 DSGVO und zeigt, worauf Sie bei KI-Verarbeitungen besonders achten müssen.

Pflichtfelder nach Art. 30 Abs. 1 DSGVO

Das Verarbeitungsverzeichnis muss für jede Verarbeitungstätigkeit folgende Angaben enthalten:

1. Name und Kontaktdaten des Verantwortlichen (ggf. des gemeinsam Verantwortlichen, des Vertreters und des Datenschutzbeauftragten)
2. Zwecke der Verarbeitung
3. Kategorien betroffener Personen
4. Kategorien personenbezogener Daten
5. Kategorien von Empfängern (einschließlich Empfänger in Drittländern)
6. Übermittlungen in Drittländer (einschließlich Dokumentation geeigneter Garantien)
7. Vorgesehene Löschfristen (wenn möglich)
8. Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO (wenn möglich)

Muster-Eintrag: KI-gestützter Kundenservice-Chatbot

Das folgende Muster zeigt einen vollständigen Eintrag für einen KI-Chatbot, der Kundenanfragen beantwortet und klassifiziert. Verwenden Sie das als Vorlage für Ihre eigenen KI-Systeme.

1. Name und Kontaktdaten des Verantwortlichen

2. Bezeichnung der Verarbeitungstätigkeit

KI-gestützte Klassifikation und Beantwortung von Kundenanfragen.

3. Zwecke der Verarbeitung

• Automatisierte Erstbeantwortung eingehender Kundenanfragen per Chat und E-Mail
• Klassifikation von Anfragen nach Thema und Dringlichkeit zur Weiterleitung
• Qualitätssicherung durch Analyse von Kundenzufriedenheit und Antwortzeiten

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Beantwortung von Anfragen bestehender Kunden. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) für Klassifikation und Qualitätssicherung. Das berechtigte Interesse besteht in der effizienten Bearbeitung von Kundenanfragen und der Verbesserung der Servicequalität.

4. Kategorien betroffener Personen

• Bestandskunden
• Interessenten (potenzielle Kunden)
• Geschäftskontakte (B2B-Anfragen)

5. Kategorien personenbezogener Daten

• Kontaktdaten: Name, E-Mail-Adresse, ggf. Telefonnummer
• Kommunikationsinhalte: Text der Anfrage, Chatverläufe
• Vertragsdaten: Kundennummer, Vertragsstatus (bei Bestandskunden)
• Technische Daten: IP-Adresse, Zeitstempel, Geräteinformationen
• KI-generierte Daten: Klassifikation der Anfrage (Thema, Dringlichkeit, Stimmung), Konfidenzwert der KI-Antwort

Besondere Datenkategorien nach Art. 9 DSGVO werden nicht gezielt erhoben. Kunden können jedoch in Freitextfeldern freiwillig Gesundheitsdaten oder andere besondere Kategorien mitteilen. Für diesen Fall ist eine automatische Erkennung und Eskalation an einen menschlichen Mitarbeiter eingerichtet.

6. Kategorien von Empfängern

7. Übermittlungen in Drittländer

Ergänzende Maßnahmen: Transfer Impact Assessment durchgeführt. API-Aufrufe werden verschlüsselt (TLS 1.3). Personenbezogene Daten werden vor der API-Übergabe minimiert (Kundennummern statt Klarnamen, wo möglich).

8. Vorgesehene Löschfristen

9. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit: Verschlüsselung der Daten bei Übertragung (TLS 1.3) und Speicherung (AES-256). Zugangskontrolle, nur geschulte Mitarbeiter des Kundenservice haben Zugriff. Rollenbasiertes Berechtigungskonzept.

Integrität: Protokollierung aller Zugriffe und Änderungen. Automatische Versionierung der KI-Modellkonfiguration.

Verfügbarkeit: Redundante Hosting-Infrastruktur. Fallback auf menschliche Bearbeitung bei KI-Ausfall.

KI-spezifische Maßnahmen: Konfidenzwert-Schwelle, Anfragen mit KI-Konfidenz unter 80 Prozent werden an einen Menschen eskaliert. Regelmäßige Überprüfung der KI-Antworten auf Korrektheit (monatliches Sampling). Protokollierung aller KI-Entscheidungen (Input, Output, Konfidenz) für Nachvollziehbarkeit. Bias-Monitoring durch vierteljährliche Prüfung auf diskriminierende Muster.

Ergänzende Dokumentation für KI-Systeme

Über die Pflichtfelder des Art. 30 DSGVO hinaus empfiehlt sich für KI-Systeme eine erweiterte Dokumentation.

Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Wenn ein KI-System ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt, ist eine Datenschutz-Folgenabschätzung (DSFA) Pflicht. Das ist regelmäßig der Fall bei systematischer Bewertung persönlicher Aspekte (Profiling), automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, umfangreicher Verarbeitung besonderer Datenkategorien oder systematischer Überwachung öffentlich zugänglicher Bereiche. Die DSFA sollte im Verarbeitungsverzeichnis referenziert werden (z. B. "DSFA Nr. 2026-003, Stand 15.03.2026").

KI-spezifische Angaben

Ergänzen Sie den Verzeichniseintrag um Modelltyp (welches KI-Modell wird eingesetzt? z. B. GPT-4o via API, eigenes Fine-Tuning), Trainingsdaten (wurden eigene Daten zum Training oder Fine-Tuning verwendet? Falls ja: Rechtsgrundlage und Löschkonzept), Entscheidungslogik (wie kommt die KI zu ihren Ergebnissen? Allgemeine Beschreibung, keine Geschäftsgeheimnisse), menschliche Aufsicht (wie wird sichergestellt, dass ein Mensch die KI-Ergebnisse prüft?) und regelmäßige Überprüfung (wann und wie wird die Funktionsweise der KI geprüft?).

EU AI Act Dokumentation

Wenn Ihr KI-System als Hochrisiko eingestuft wird, verlangt der EU AI Act zusätzliche Dokumentation: ein Risikomanagementsystem, Angaben zur Datenqualität, Gebrauchsanweisungen und Protokollierungspflichten. Diese Dokumentation kann sinnvoll mit dem Verarbeitungsverzeichnis verknüpft werden. Die Pflichten für Hochrisiko-Systeme greifen ab August 2026 (durch den Digital Omnibus voraussichtlich auf Dezember 2027 verschoben, Stand Juni 2026 noch nicht formal verabschiedet). Die KI-Kompetenzpflicht nach Art. 4 KI-VO gilt bereits seit 02.02.2025 und sollte im Verzeichnis nicht fehlen.

Drei weitere Muster-Einträge

Muster 2: KI-gestützte E-Mail-Klassifikation (intern)

Muster 3: KI-gestützte Bewerbervorauswahl

Muster 4: KI-gestützte Textgenerierung (Marketing)

Werden in Prompts personenbezogene Daten eingegeben (z. B. Kundenrezensionen mit Namen), verschiebt sich die Risikobewertung erheblich. In diesem Fall ist eine DSFA erforderlich.

Häufige Fehler

KI-Verarbeitung nicht als eigene Tätigkeit erfasst

Viele Unternehmen listen den KI-Einsatz unter einer bestehenden Verarbeitungstätigkeit (z. B. "Kundenservice"), ohne die KI-spezifischen Aspekte zu dokumentieren. Besser: eigener Eintrag pro KI-System.

Drittlandtransfer nicht dokumentiert

Cloud-basierte KI-Dienste (OpenAI, Anthropic, Google) übertragen Daten in die USA. Die Rechtsgrundlage für den Transfer (EU-US DPF, Standardvertragsklauseln) muss im Verzeichnis stehen.

KI-generierte Daten vergessen

Die KI erzeugt neue Daten: Klassifikationen, Scores, Zusammenfassungen. Diese sind personenbezogen, wenn sie einer identifizierbaren Person zugeordnet werden können. Sie gehören in die Datenkategorien.

Löschfristen fehlen

"Unbefristet" ist keine zulässige Angabe. Definieren Sie konkrete Löschfristen oder Löschkriterien. Wenn eine exakte Frist nicht möglich ist, genügt eine Beschreibung der Kriterien.

Technische Maßnahmen zu allgemein

"Stand der Technik" reicht nicht. Benennen Sie konkrete Maßnahmen: Verschlüsselungsstandard, Zugriffskonzept, Monitoring-Verfahren.

Wir sehen in der Beratungspraxis regelmäßig, dass genau dieser Punkt bei Betriebsprüfungen auffällt. Eine Aufsichtsbehörde erwartet im Zweifel, einen KI-Chatbot mit einem Verzeichniseintrag nachvollziehen zu können, der Löschfristen pro Datenkategorie und konkrete TOMs benennt. Wer stattdessen "Stand der Technik" schreibt, handelt sich Rückfragen ein. Die lassen sich vermeiden.

Häufige Fragen

Muss jedes Unternehmen ein Verarbeitungsverzeichnis führen?

Art. 30 Abs. 5 DSGVO sieht eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern vor. Diese Ausnahme greift jedoch nicht bei risikobehafteten Verarbeitungen. Da KI-Systeme regelmäßig als risikobehaftet gelten, besteht die Pflicht faktisch für jedes Unternehmen, das KI mit personenbezogenen Daten einsetzt.

Brauche ich für jedes KI-Tool einen eigenen Eintrag?

Ja, wenn die KI-Tools unterschiedliche Zwecke verfolgen oder unterschiedliche Datenkategorien verarbeiten. Ein KI-Chatbot und ein KI-basiertes Recruiting-Tool erfordern getrennte Einträge.

Muss das Verarbeitungsverzeichnis öffentlich sein?

Nein. Das Verzeichnis muss der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden, ist aber kein öffentliches Dokument.

Wie oft muss ich das Verzeichnis aktualisieren?

Es gibt keine feste Frist. Das Verzeichnis muss den aktuellen Stand der Verarbeitungstätigkeiten widerspiegeln. Prüfen Sie bei jeder Einführung oder Änderung eines KI-Systems, ob der Eintrag angepasst werden muss. Ein vierteljährlicher Review ist empfehlenswert.

Was passiert, wenn mein Verarbeitungsverzeichnis unvollständig ist?

Ein fehlendes oder unvollständiges Verarbeitungsverzeichnis stellt einen Verstoß gegen Art. 30 DSGVO dar. Bußgelder bis zu 10 Mio. EUR oder 2 Prozent des Jahresumsatzes sind möglich (Art. 83 Abs. 4 lit. a DSGVO).

Kann ich eine Software für das Verarbeitungsverzeichnis nutzen?

Ja. Spezialisierte Datenschutz-Management-Tools erleichtern die Pflege erheblich. Alternativ genügt eine strukturierte Tabelle (z. B. in Excel). Entscheidend ist die Vollständigkeit, nicht das Format.