KI und DSGVO im Unternehmen: Konformität in Luxemburg

Im Überblick

• ✅ Eine Unternehmens-KI fällt unter die DSGVO, sobald sie personenbezogene Daten verarbeitet: eine Kunden-E-Mail, ein Lebenslauf, eine Akte oder eine Sprachaufnahme genügen, um Ihre Pflichten auszulösen.
• ✅ Vier Pflichten werden aktiv, sobald ein KI-Projekt startet: eine Rechtsgrundlage festlegen, die betroffenen Personen informieren, das Verarbeitungsverzeichnis führen und eine Datenschutz-Folgenabschätzung (DSFA) durchführen, wenn die Verarbeitung ein hohes Risiko birgt.
• ✅ Der wirklich harte Punkt bleiben die Drittlandtransfers: Ein Consumer-Tool exportiert Daten oft in die USA, wo der Cloud Act gilt. Ein Hosting in Europa durch einen nicht US-amerikanischen Anbieter schließt diese Tür.
• ✅ In Luxemburg ist die CNPD die Aufsichtsbehörde. Die DSGVO und die KI-Verordnung (AI Act) sind zwei getrennte Rahmen: Hier behandeln wir die DSGVO-Konformität der Daten, nicht die KI-Verordnung.

Einleitung: Ihre KI verarbeitet Daten, also kommt die DSGVO ins Spiel

Sie planen ein KI-Projekt: einen internen Assistenten, einen Chatbot, einen Agenten, der Ihre Dokumente sortiert. Die erste Frage vor der Unterschrift: Was löst das unter der DSGVO aus?

Die Antwort passt in einen Satz: Sobald Ihre KI personenbezogene Daten berührt, fallen Sie in den Anwendungsbereich der DSGVO, mit konkreten Pflichten. Dieser Artikel zeigt das Vorgehen in Luxemburg, kein Jurastudium, sondern eine Roadmap. Die DSGVO regelt die Daten; sie ist ein vom KI-Recht (der KI-Verordnung, dem AI Act) getrennter Rahmen, den wir gesondert in unserem Vergleich zu AI Act, Cloud Act und DSGVO behandeln.

1. Warum eine Unternehmens-KI unter die DSGVO fällt (und genau wann)

Eine Unternehmens-KI fällt unter die DSGVO, sobald sie personenbezogene Daten verarbeitet. Im Sinne der EU-Verordnung 2016/679 ist ein personenbezogenes Datum jede Information, die sich auf eine identifizierte oder identifizierbare natürliche Person bezieht: ein Name, eine E-Mail, eine Aktennummer, eine aufgezeichnete Stimme, ein Foto.

In der Praxis berührt fast jedes KI-Projekt im Unternehmen diesen Bereich: ein Assistent, der Kunden-E-Mails zusammenfasst, ein Chatbot, der Nachrichten von Interessenten sammelt, ein Agent, der Lebensläufe liest, verarbeiten alle personenbezogene Daten. Die Frage ist also nicht, ob Ihre KI betroffen ist, sondern wie Sie sie konform machen.

Die Schwelle ist niedrig, und der richtige Zeitpunkt für diese Fragen liegt vor dem Einsatz, nicht nach einer Kontrolle. Wenn Ihre Mitarbeiter bereits Consumer-Tools ohne Rahmen nutzen, lesen Sie unseren Leitfaden zum Schutz Ihrer Geschäftsdaten beim KI-Einsatz.

2. Die 4 DSGVO-Pflichten, die ein KI-Projekt auslöst

Wenn Ihre KI personenbezogene Daten verarbeitet, werden vier Pflichten aktiv, in der folgenden Tabelle zusammengefasst und anschließend erläutert.

Die 4 DSGVO-Pflichten, die ein KI-Projekt im Unternehmen auslöst, mit dem jeweiligen Referenzartikel.

Pflicht 1: eine Rechtsgrundlage festlegen

Bevor Sie eine KI an einen Datenstrom anbinden, müssen Sie wissen, welche der sechs Grundlagen aus Artikel 6 der DSGVO gilt: oft der Vertrag oder das berechtigte Interesse bei einem Support-Chatbot, die Einwilligung beim Marketing. Diese Einordnung bestimmt, was Sie mit den Daten tun dürfen.

Pflicht 2: die betroffenen Personen informieren

Die Personen, deren Daten durch Ihre KI laufen, müssen informiert werden (Artikel 13 und 14 der DSGVO): über Ihre Datenschutzerklärung und durch einen klaren Hinweis, wenn ein Besucher mit einem KI-Assistenten statt mit einem Menschen spricht.

Pflicht 3: das Verarbeitungsverzeichnis führen

Das Verzeichnis von Verarbeitungstätigkeiten (Artikel 30 der DSGVO) erfasst jede Verarbeitung im Unternehmen. Ein KI-Projekt ist eine neue: Es muss dort erscheinen, oder die Erstellung des Verzeichnisses rechtfertigen, wenn es noch keines gibt.

Pflicht 4: eine Folgenabschätzung (DSFA) durchführen, wenn die Verarbeitung risikobehaftet ist

Die DSFA (Artikel 35 der DSGVO) ist verpflichtend, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Personen mit sich bringt. Die CNPD veröffentlicht die Liste der Verarbeitungen, für die in Luxemburg eine DSFA erforderlich ist (Liste aktualisiert 2019, ergänzt durch die Kriterien des Europäischen Datenschutzausschusses). Im Zweifel ist die DSFA der vorsichtige Reflex.

3. Der eigentlich harte Punkt: Datentransfers außerhalb der EU

Die vier oben genannten Pflichten sind mit Methode handhabbar. Der eigentlich harte Punkt liegt woanders: Wohin gehen die Daten wirklich?

Mit einem Consumer-KI-Tool, das auf einem US-Anbieter beruht, können Ihre Daten außerhalb der Europäischen Union verarbeitet oder für einen Anbieter nach US-Recht zugänglich werden. Die DSGVO regelt diese Drittlandtransfers streng (Kapitel V, Artikel 44 ff.): Sie sind nur unter Bedingungen zulässig, etwa durch einen Angemessenheitsbeschluss oder geeignete vertragliche Garantien.

Eine Feinheit, die viele Führungskräfte spät entdecken: Ein US-Anbieter kann seine Server in Europa hosten und dennoch dem Cloud Act unterliegen, denn dieses Gesetz folgt der Nationalität des Anbieters, nicht dem Standort des Rechenzentrums. Ein Server in Frankfurt, betrieben von einer Gesellschaft nach US-Recht, ist daher keine absolute Garantie. Wir erläutern dieses Zusammenspiel in unserer Analyse zu AI Act, Cloud Act und DSGVO: welches Recht gilt.

Der sauberste Ausweg bei sensiblen Daten ist struktureller Natur: die KI in Europa hosten, bei einem Anbieter, der nicht dem US-Recht unterliegt, mit Daten, die den kontrollierten Bereich nie verlassen. Das ist die Logik einer privaten KI für Unternehmen in Luxemburg: Der Drittlandtransfer findet schlicht nicht statt.

4. Die Rolle der CNPD in Luxemburg

In Luxemburg ist die Aufsichtsbehörde für die DSGVO die Commission nationale pour la protection des données (CNPD), die nationale Datenschutzkommission. Sie überwacht die Anwendung der Verordnung, veröffentlicht Leitlinien und bearbeitet Beschwerden und Kontrollen.

Was sie erwartet, ist die Fähigkeit, die Konformität nachzuweisen: dokumentierte Rechtsgrundlage, geführtes Verzeichnis, Information der Personen vorhanden, DSFA durchgeführt, wenn sie erforderlich war. Das ist der Grundsatz der Rechenschaftspflicht (Accountability): Sie müssen nicht nur konform sein, Sie müssen es belegen können.

Bei einer Kontrolle legt das Unternehmen, das vorausgeplant hat, eine saubere Akte vor; das improvisierte Unternehmen sucht im Nachhinein eine Rechtsgrundlage für eine bereits laufende Verarbeitung. Vorausplanung verwandelt eine Kontrolle in eine Routineprüfung.

5. DSGVO und AI Act: zwei Rahmen, nicht derselbe

Eine Klarstellung, die oft wiederkehrt: DSGVO und AI Act sind nicht derselbe Text und behandeln nicht dasselbe.

Die DSGVO (EU-Verordnung 2016/679, anwendbar seit 2018) regelt die personenbezogenen Daten: Erhebung, Verarbeitung, Verkehr. Das ist das Thema dieses Artikels.

Der AI Act (EU-Verordnung 2024/1689, vollständig anwendbar ab dem 2. August 2026) regelt das KI-System selbst, eingestuft nach seinem Risikograd. Das ist ein getrennter Rahmen, mit eigenen Pflichten.

Beide summieren sich: Ein und dieselbe Unternehmens-KI kann unter die DSGVO (personenbezogene Daten) und unter den AI Act (KI-System) fallen. Unser Überblick über KI-Agenten-Anwendungsfälle im Unternehmen verortet jede Pflicht an konkreten Beispielen; dieser Artikel bleibt auf die DSGVO fokussiert.

6. Wie eine souveräne KI Ihre DSGVO-Konformität vereinfacht

DSGVO-Konformität ist einfacher, wenn die Architektur von Anfang an für Sie arbeitet. Eine souveräne KI, in Europa gehostet und von einem nicht dem US-Recht unterliegenden Anbieter betrieben, verschiebt mehrere Hürden:

• Drittlandtransfers: Die Daten bleiben im europäischen Bereich; Kapitel V der DSGVO ist kein Kopfzerbrechen mehr.
• Daten werden nicht geteilt: Ihre Inhalte trainieren kein fremdes Modell, was die Rechtsgrundlage und die Information der Personen vereinfacht.
• Beherrschte Rechtsgrundlage: Sie wissen, wer was wo verarbeitet und mit welchen vertraglichen Garantien.
• Reversibilität: Sie behalten die Kontrolle über Ihre Daten und können sie zurückholen, eine Anforderung guter Governance.

Deshalb empfehlen wir diesen Ansatz Organisationen, die sensible Daten verarbeiten. Siehe warum Sie sich für eine private KI entscheiden sollten, und den Vergleich mit einem Consumer-Tool auf unserer Seite zur ChatGPT-Alternative in Luxemburg für Unternehmen.

7. Ihre Konformitäts-Roadmap in der Praxis

1. Die Daten kartieren: Welche personenbezogenen Daten wird Ihre KI tatsächlich verarbeiten, und woher kommen sie?
2. Die Rechtsgrundlage einordnen: Einwilligung, Vertrag, berechtigtes Interesse? Ein Zweck, eine Grundlage.
3. Den Datenweg nachzeichnen: Wo wird sie verarbeitet, von wem, verlässt sie die EU? Hier entscheidet sich das Wesentliche.
4. Die Verarbeitung im Verzeichnis erfassen und die Information der Personen aktualisieren.
5. Über die DSFA entscheiden: risikobehaftete Verarbeitung? Wenn ja, führen Sie sie vor dem Produktivbetrieb durch.
6. Eine Architektur wählen, die das Ganze vereinfacht: Eine in Europa gehostete KI schließt die Transferfrage schon beim Entwurf.

Diese Abfolge ist nicht großen Strukturen vorbehalten: Eine luxemburgische KMU kann sie mit der passenden Begleitung umsetzen. Das ist das Feld, auf dem wir tätig sind, mit KI-Agenten für Unternehmen in Luxemburg, die von Anfang an auf Konformität ausgelegt sind.

Sie möchten wissen, was die DSGVO in Ihrem konkreten Fall bedeutet? Lassen Sie uns Ihren Anwendungsfall in einem Termin besprechen: Wir schauen uns gemeinsam Ihre Daten, Ihre Rechtsgrundlage und die einfachste Architektur an.

Häufig gestellte Fragen

Ist ChatGPT DSGVO-konform für mein Unternehmen?

Das hängt von der Nutzung ab. Ein Consumer-Tool, das auf einem US-Anbieter beruht, wirft zwei Fragen auf: Wohin gehen die Daten und wer kann darauf zugreifen. Bei gewöhnlichen Daten mit vertraglichem Rahmen lässt sich eine geregelte Nutzung erwägen. Bei sensiblen Daten (rechtlich, medizinisch, finanziell) ist eine in Europa von einem nicht US-amerikanischen Anbieter gehostete KI der sicherste Weg, weil sie die Frage der Drittlandtransfers schließt.

Braucht es eine DSFA für einen KI-Chatbot?

Nicht grundsätzlich. Die DSFA (Artikel 35 der DSGVO) ist verpflichtend, wenn die Verarbeitung ein hohes Risiko für die Personen darstellt. Ein einfacher FAQ-Chatbot auf wenig sensiblen Daten löst nicht zwingend eine aus; ein Chatbot, der Profiling betreibt, sensible Daten verarbeitet oder in großem Umfang arbeitet, sehr wohl. Die CNPD veröffentlicht die Liste der Verarbeitungen, für die in Luxemburg eine DSFA erforderlich ist: Das ist der erste Reflex, um die Frage zu klären.

Wer ist Verantwortlicher, ich oder der KI-Anbieter?

In der Regel Sie: Das Unternehmen, das über Zwecke und Mittel der Verarbeitung entscheidet, ist der Verantwortliche. Der Anbieter des KI-Tools ist meist Auftragsverarbeiter im Sinne der DSGVO (Artikel 28), was einen Auftragsverarbeitungsvertrag erfordert, der seine Pflichten regelt. Die Verantwortung für die Konformität lässt sich nicht vollständig an das Tool delegieren.

Reicht ein Hosting in Europa, um DSGVO-konform zu sein?

Wichtig, aber allein nicht ausreichend. Erstens, weil ein Anbieter nach US-Recht auch mit europäischen Servern dem Cloud Act unterliegt. Zweitens, weil die DSGVO-Konformität weit mehr als den Standort umfasst: Rechtsgrundlage, Information der Personen, Verzeichnis, Aufbewahrungsfristen, Rechte der Personen. Das europäische Hosting durch einen nicht US-amerikanischen Anbieter löst den harten Punkt der Transfers, nicht das Ganze.

Zusammengefasst

Eine KI einzuführen heißt, eine neue Verarbeitung personenbezogener Daten zu eröffnen, also die DSGVO zu aktivieren. Vier Pflichten greifen: Rechtsgrundlage, Information, Verzeichnis, DSFA bei Risiko. Der heikelste Punkt bleibt der Drittlandtransfer, den das europäische Hosting durch einen nicht US-amerikanischen Anbieter an der Quelle schließt. In Luxemburg ist die CNPD die maßgebliche Behörde, und die DSGVO bleibt vom AI Act getrennt. Vorausplanung vor dem Einsatz verwandelt Konformität in einen Vorteil. Lassen Sie uns Ihren Anwendungsfall besprechen.