Ein Leitfaden zur Umsetzung von DSGVO-Vorgaben bei KI-Agenten

KI-Agenten und ihre autonome Verarbeitung personenbezogener Daten

Bei einem KI-Agenten endet die Datenverarbeitung nicht mit einer einzelnen Eingabe. Der Agent kann Informationen aus mehreren Systemen zusammenführen, Zwischenergebnisse speichern und daraus neue Aktionen ableiten. Genau diese Kette macht die DSGVO-Prüfung anspruchsvoll.

Für die Praxis zählt daher nicht nur, welche Daten der Agent sieht. Entscheidend ist auch, was er daraus macht. Eine Kundennummer kann etwa mit einem Gesprächsverlauf, einer Lieferadresse und einer internen Risikoeinschätzung verknüpft werden. Selbst wenn der Agent keine Namen ausgibt, bleibt der Datensatz unter Umständen einer Person zuordenbar.

Unternehmen sollten jede autonome Verarbeitung in einzelne Vorgänge zerlegen:

• Aufnahme von Eingaben aus Formularen, E-Mails, Telefonmitschnitten oder Schnittstellen
• Abgleich mit Kunden-, Personal- oder Geschäftsdaten
• Erstellung eines Profils, einer Bewertung oder einer Handlungsempfehlung
• Weitergabe von Informationen an andere Systeme oder Dienstleister
• Auslösung einer Aktion, etwa eine Nachricht, eine Änderung im Kundenkonto oder eine Bestellung
• Speicherung von Prompts, Zwischenschritten, Ergebnissen und Fehlermeldungen

Besonders kritisch sind sogenannte Ableitungsdaten. Dazu gehören zum Beispiel eine vermutete Kaufabsicht, eine Bonitätsstufe, eine Krankheitsannahme oder eine Einschätzung der Arbeitsleistung. Solche Werte stehen oft nicht ausdrücklich in einer Datenbank. Der Agent erzeugt sie dennoch aus vorhandenen Informationen. Datenschutzrechtlich verschwinden sie dadurch nicht vom Radar.

Auch scheinbar harmlose Betriebsdaten können personenbezogen sein. Dazu zählen Sitzungskennungen, Geräteinformationen, IP-Adressen, Zeitstempel und Protokolle mit Nutzerbezug. Werden diese Angaben mit Agentenaktionen verbunden, lässt sich häufig nachvollziehen, welche Person eine Entscheidung ausgelöst oder erhalten hat.

Eine belastbare Dokumentation sollte deshalb für jede Agentenfunktion festhalten:

• welche Datenquelle angesprochen wird,
• welche Datenfelder gelesen oder verändert werden,
• welche Ableitungen entstehen,
• wie lange Eingaben und Ergebnisse bestehen bleiben,
• welche Folgeaktionen möglich sind und
• ob Daten an ein Modell, ein Plugin oder ein verbundenes Fachsystem fließen.

Ein wichtiger Prüfpunkt ist die Zweckbindung. Ein Agent, der Supportanfragen bearbeitet, darf Kundendaten nicht nebenbei für eine völlig andere Auswertung verwenden. Der technische Zugriff kann zwar bequem sein. Rechtlich bleibt er trotzdem an den festgelegten Zweck gebunden. Jede autonome Aktion braucht daher einen klaren Datenzweck, einen nachvollziehbaren Auslöser und einen begrenzten Wirkungskreis.

Einsatzbereich, Datenflüsse und Verantwortlichkeiten festlegen

Definieren Sie vor dem Start exakt, in welchem Geschäftsprozess der KI-Agent eingesetzt wird. Eine allgemeine Freigabe für „Kundenservice“ reicht nicht aus. Beschreiben Sie den konkreten Zweck, etwa die Bearbeitung von Lieferanfragen, und grenzen Sie ihn von Zahlungen, Vertragsänderungen oder Personalentscheidungen ab. Je enger der Zweck, desto leichter lassen sich spätere Prüfungen durchführen.

Ordnen Sie den Agenten außerdem einer festen Prozessklasse zu. Für die DSGVO-Praxis macht es einen Unterschied, ob er nur Informationen vorsortiert, einen Vorschlag erstellt oder selbst eine rechtsverbindliche Handlung auslöst. Diese Abstufung sollte in einer kurzen Einsatzbeschreibung stehen:

• Welche Aufgabe übernimmt der Agent?
• In welchem System arbeitet er?
• Welche Entscheidungen darf er vorbereiten?
• Welche Handlungen bleiben ausgeschlossen?
• Wann endet sein Auftrag?

Erstellen Sie danach eine Prozesskarte. Sie zeigt den Weg jeder Information: vom Eingang über interne Verarbeitungsschritte bis zur Ausgabe. Zeichnen Sie dabei auch Nebenpfade ein. Dazu gehören etwa Rückfragen an andere Systeme, Übergaben an externe Dienstleister, Wiederholungsversuche und automatische Eskalationen. Gerade diese kleinen Abzweigungen werden sonst gern übersehen.

Für jeden Verarbeitungsschritt sollte ein verantwortliches Unternehmen feststehen. Der Betreiber des Agenten ist nicht automatisch mit jedem beteiligten Dienstleister gleichzusetzen. Prüfen Sie daher, wer über Zweck und wesentliche Mittel entscheidet und wer lediglich technische Leistungen nach Weisung erbringt. Bei gemeinsam festgelegten Abläufen kann eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO relevant werden.

Benennen Sie neben dem datenschutzrechtlich Verantwortlichen auch interne Rollen für den Betrieb:

• Fachverantwortung: definiert den erlaubten Geschäftsprozess und die fachlichen Grenzen.
• Systemverantwortung: pflegt Schnittstellen, Berechtigungen und technische Einstellungen.
• Datenschutzfunktion: bewertet die Verarbeitung und begleitet die Dokumentation.
• Freigabestelle: entscheidet über Änderungen am Einsatzbereich.
• Störungsstelle: nimmt Fehlermeldungen entgegen und koordiniert die Reaktion.

Diese Rollen sollten nicht nur in einem Organigramm stehen. Hinterlegen Sie Namen oder Funktionen, Vertretungen, Entscheidungsbefugnisse und Reaktionsfristen. Ein Eintrag wie „IT ist zuständig“ ist zu vage. Besser ist: „Die Systemverantwortung sperrt eine betroffene Schnittstelle innerhalb von zwei Stunden nach bestätigtem Fehlverhalten.“

Regeln Sie auch Änderungen am Agenten. Ein neues Datenfeld, ein weiteres angeschlossenes System oder ein größerer Handlungsspielraum kann den ursprünglichen Prozess deutlich verändern. Deshalb sollte jede Erweiterung vor der Freischaltung eine erneute Prüfung auslösen. Das gilt selbst dann, wenn der Anbieter die Änderung als bloßes Update bezeichnet.

Für die laufende Zuständigkeit hilft ein einfaches Entscheidungsmodell: Der Agent darf innerhalb eines vorher beschriebenen Korridors arbeiten. Verlässt er diesen Korridor, muss der Vorgang an eine benannte Stelle gehen oder technisch beendet werden.

DSGVO-Prüfpunkte für den Einsatz von KI-Agenten

Personenbezogene Daten im KI-Agenten vollständig erfassen

Erfassen Sie nicht nur die sichtbaren Eingabefelder. Ein KI-Agent verarbeitet häufig zusätzliche Informationen, die in einer normalen Prozessbeschreibung fehlen. Dazu gehören Gesprächsverläufe, Dateiinhalte, Kalenderdaten, Standortangaben, Gerätekennungen und interne Notizen.

Prüfen Sie deshalb jede Datenquelle einzeln. Auch ein Dokument ohne Namen kann personenbezogen sein, wenn sich der Inhalt einer Person zuordnen lässt. Das gilt etwa für Bewerbungsunterlagen, Supporttickets, Rechnungen oder Bilder mit erkennbaren Gesichtern.

• Benutzerkonten und Kundennummern
• E-Mail-Adressen, Telefonnummern und Postanschriften
• IP-Adressen, Cookie-Kennungen und Geräte-IDs
• Freitexte, Anhänge, Audioaufnahmen und Bilder
• Standort-, Nutzungs- und Zugriffsdaten
• Bewertungen, Prognosen und automatisch erzeugte Profile
• Protokolle mit Zeitstempel und Nutzerbezug

Trennen Sie direkt erhobene Daten von abgeleiteten Daten. Der Agent kann aus mehreren Angaben neue Werte berechnen, etwa eine Kaufwahrscheinlichkeit oder eine Prioritätsstufe. Diese Ergebnisse gehören ebenfalls in das Verzeichnis der Verarbeitungstätigkeiten, wenn sie einer Person zugeordnet werden können.

Achten Sie besonders auf Daten nach Art. 9 DSGVO. Gesundheitsangaben, biometrische Merkmale, Gewerkschaftszugehörigkeit, religiöse Überzeugungen oder Informationen zur sexuellen Orientierung dürfen nicht unbemerkt in einen Agenten gelangen. Prüfen Sie auch, ob Daten über Straftaten oder strafrechtliche Verurteilungen verarbeitet werden. Hier gelten zusätzliche Vorgaben nach Art. 10 DSGVO.

Markieren Sie Daten außerdem nach ihrer Herkunft. Stammt eine Information von der betroffenen Person, aus einem internen System oder von einem externen Partner? Diese Unterscheidung hilft später bei der Erfüllung von Informationspflichten und bei Berichtigungsanfragen.

Ein praktisches Dateninventar sollte mindestens folgende Angaben enthalten:

• Bezeichnung und Beispiel des Datenfelds
• Quelle und Erhebungsweg
• Bezug zu einer Person oder Personengruppe
• Einordnung als normaler oder besonders geschützter Datentyp
• Verwendungszweck im Agenten
• Speicherort und technische Kopien
• Verknüpfungen mit weiteren Datensätzen
• zuständige Lösch- oder Änderungsroutine

Vergessen Sie Testdaten nicht. Echte Kundendaten in Entwicklungsumgebungen sind ein häufiger blinder Fleck. Verwenden Sie dort synthetische Datensätze oder anonymisierte Beispiele. Eine bloße Umbenennung reicht nicht, wenn Kombinationen wie Alter, Ort und Beruf weiterhin Rückschlüsse erlauben.

Führen Sie zum Abschluss einen Abgleich zwischen Dateninventar und tatsächlichem Systemverhalten durch. Nutzen Sie dafür Testfälle mit verschiedenen Dateitypen, Freitexten und Anhängen. So zeigt sich, ob der Agent Daten einliest, die im Konzept nie vorgesehen waren.

Rechtsgrundlage nach der DSGVO prüfen und dokumentieren

Bestimmen Sie die Rechtsgrundlage für jede einzelne Verarbeitung des KI-Agenten. Eine pauschale Freigabe für den gesamten Einsatz genügt nicht. Das Einlesen eines Kundenkontakts, die Erstellung einer Priorisierung und der Versand einer Nachricht können rechtlich verschiedene Zwecke haben.

Prüfen Sie zunächst, ob die Verarbeitung für die Erfüllung eines Vertrags nach Art. 6 Abs. 1 Buchst. b DSGVO objektiv erforderlich ist. „Nützlich“ oder „schneller“ reicht dafür nicht. Erforderlich bedeutet: Ohne die konkrete Verarbeitung lässt sich die geschuldete Leistung nicht oder nur wesentlich anders erbringen.

Eine Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO muss freiwillig, informiert, eindeutig und widerrufbar sein. Koppeln Sie eine Leistung nicht unnötig an die Zustimmung zu einer zusätzlichen KI-Auswertung. Der Widerruf muss ebenso einfach möglich sein wie die Erteilung.

Beim berechtigten Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO dokumentieren Sie eine dreistufige Prüfung:

• Welches konkrete Interesse verfolgt das Unternehmen?
• Warum ist die Verarbeitung dafür geeignet und erforderlich?
• Überwiegen die Interessen oder Grundrechte der betroffenen Personen?

Beziehen Sie dabei die besondere Autonomie des Agenten ein. Ein Vorgang, der selbstständig Nachrichten versendet oder Konten verändert, kann stärker in Rechte eingreifen als eine rein interne Auswertung. Die Erwartung der betroffenen Person, die Reichweite der Aktion und die Möglichkeit eines Nachteils gehören in die Abwägung.

Für Beschäftigtendaten ist zusätzlich das nationale Arbeitsrecht zu prüfen. In Deutschland kommt insbesondere § 26 BDSG in Betracht. Bei einer Einwilligung im Arbeitsverhältnis muss die tatsächliche Freiwilligkeit besonders kritisch bewertet werden. Besteht ein Betriebsrat, können außerdem Beteiligungsrechte nach dem Betriebsverfassungsgesetz greifen.

Verarbeitet der Agent Gesundheitsdaten, biometrische Daten oder andere besondere Kategorien, reicht Art. 6 DSGVO allein nicht aus. Dann benötigen Sie zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO. Für Daten über Straftaten gelten die engeren Vorgaben von Art. 10 DSGVO.

Halten Sie die Entscheidung in einer belastbaren Rechtsgrundlagen-Matrix fest. Sie sollte mindestens enthalten:

• konkreten Verarbeitungsvorgang,
• verfolgten Zweck,
• gewählte Rechtsgrundlage,
• Begründung der Erforderlichkeit,
• Abwägung entgegenstehender Interessen,
• zusätzliche Voraussetzung bei sensiblen Daten,
• Beginn und geplante Neubewertung.

Verknüpfen Sie jeden Eintrag mit einer Version des Agenten und seiner Prozessbeschreibung. Ändert sich das Modell, der Prompt, eine Schnittstelle oder der zulässige Aktionsumfang, prüfen Sie die Rechtsgrundlage erneut. Bewahren Sie außerdem Nachweise auf: Einwilligungstexte, Widerrufe, Interessenabwägungen, interne Freigaben und rechtliche Prüfvermerke.

Daten minimieren und besondere Kategorien geschützt verarbeiten

Datenminimierung bedeutet bei einem KI-Agenten mehr als ein kleineres Eingabeformular. Prüfen Sie für jeden Prozessschritt, ob ein Datenfeld wirklich benötigt wird. Reicht eine Altersgruppe statt des Geburtsdatums? Kann eine interne Vorgangsnummer den Namen ersetzen? Solche Abkürzungen senken das Risiko spürbar.

Nutzen Sie, wo möglich, Pseudonymisierung. Der Agent arbeitet dann mit einer Kennung, während die Zuordnungstabelle getrennt bleibt. Eine Pseudonymisierung ist jedoch keine Anonymisierung. Bleibt eine Person mit Zusatzwissen bestimmbar, gilt die DSGVO weiterhin.

• Entfernen Sie Namen, Kontaktdaten und Freitext, wenn sie für die Aufgabe nicht nötig sind.
• Ersetzen Sie direkte Identifikatoren durch zufällige Vorgangskennungen.
• Übergeben Sie nur die relevanten Textpassagen statt kompletter Akten.
• Trennen Sie Identitätsdaten von Sachinformationen.
• Verhindern Sie, dass sensible Inhalte automatisch in Lern- oder Testbestände gelangen.

Legen Sie für jede Datenart eine Aufbewahrungsfrist fest. Eingabedaten, Zwischenergebnisse, Gesprächskontext und technische Sicherungskopien können unterschiedliche Fristen benötigen. Löschen Sie Daten nicht nur in der sichtbaren Anwendung. Prüfen Sie auch Caches, Exportdateien, Sicherungen und Suchindizes.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verlangen eine zusätzliche Schutzstufe. Dazu zählen unter anderem Gesundheitsdaten, genetische und biometrische Daten zur eindeutigen Identifizierung sowie Angaben zur Religion, politischen Haltung oder Gewerkschaftszugehörigkeit. Der Agent sollte solche Inhalte standardmäßig abweisen oder in einen gesonderten, streng begrenzten Prozess übergeben.

Technische Filter helfen, ersetzen aber keine rechtliche Prüfung. Ein Filter kann eine Krankheitsangabe übersehen, wenn sie umschrieben ist. Testen Sie deshalb auch Varianten wie Umgangssprache, Tippfehler, Bilder und Anlagen.

Für sensible Daten sollten Sie zusätzliche Regeln festlegen:

• gesonderte Freigabe vor jeder Verarbeitung,
• kleiner Nutzerkreis mit dokumentiertem Bedarf,
• verschlüsselte Übertragung und Speicherung,
• keine Nutzung für allgemeine Modellverbesserungen,
• kurze, klar begründete Speicherfristen,
• sofortige Sperre bei unklarer Datenqualität oder Zweckänderung.

Bei pseudonymisierten Datensätzen muss der Schlüssel getrennt geschützt werden. Liegt er im selben System wie die Agentendaten, schrumpft der Sicherheitsgewinn schnell zusammen. Legen Sie außerdem fest, wer eine Re-Identifizierung auslösen darf und in welchen Ausnahmefällen. Dokumentieren Sie jede Ausnahme von der Minimierungsregel, damit der Grund nachvollziehbar bleibt.

Transparenz, Informationspflichten und Betroffenenrechte umsetzen

Transparenz muss bei einem KI-Agenten den gesamten Verarbeitungsvorgang abbilden. Eine knappe Aussage wie „Wir nutzen künstliche Intelligenz“ genügt meist nicht. Betroffene sollten erkennen können, welche Rolle der Agent spielt, welche Folgen seine Tätigkeit hat und an wen sie sich wenden können.

Überarbeiten Sie die Datenschutzhinweise nach den Anforderungen der Art. 13 und 14 DSGVO. Die Informationen sollten leicht zugänglich, verständlich und passend zum jeweiligen Kontaktpunkt sein. Teilen Sie umfangreiche Hinweise deshalb in Ebenen auf: eine kurze Erklärung direkt im Prozess und weiterführende Details über einen gut sichtbaren Link.

• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten, sofern vorhanden
• Zwecke und Rechtsgrundlagen der Verarbeitung
• Kategorien der verwendeten Daten
• Empfänger oder Empfängerkategorien
• geplante Speicherdauer oder Kriterien für ihre Festlegung
• Hinweis auf die Rechte der betroffenen Person
• Information über eine mögliche automatisierte Entscheidungsfindung nach Art. 22 DSGVO

Erklären Sie den Agenten nicht mit Fachbegriffen aus der Entwicklung. Sagen Sie konkret, was geschieht: „Der digitale Dienst ordnet Ihre Anfrage einer Kategorie zu und schlägt eine Antwort vor.“ Bei einem Vertragsabschluss, einer Ablehnung oder einer vergleichbaren erheblichen Folge muss die Information deutlich machen, ob der Agent nur vorbereitet oder selbst entscheidet.

Erfolgt die Erhebung nicht direkt bei der betroffenen Person, greifen regelmäßig die Informationspflichten nach Art. 14 DSGVO. Dann gehören auch Angaben zur Datenquelle in den Hinweis. Eine Ausnahme wegen unverhältnismäßigen Aufwands sollte nicht vorschnell angenommen und stets nachvollziehbar begründet werden.

Planen Sie einen eigenen Kanal für Betroffenenanfragen ein. Dieser Kanal sollte Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit zuverlässig an die zuständige Stelle weiterleiten.

Für Auskunftsanfragen benötigen Sie Suchregeln, die auch Agentenprotokolle, Gesprächskontexte und erzeugte Bewertungen erfassen. Prüfen Sie vor der Herausgabe die Rechte anderer Personen und schützen Sie Geschäftsgeheimnisse. Eine automatisierte Suche darf die rechtliche Einzelfallprüfung nicht ersetzen.

Bei einer Berichtigung genügt es nicht, nur das Ursprungssystem zu ändern. Prüfen Sie, ob der fehlerhafte Wert bereits in einen Agentenkontext, eine Bewertung oder eine Folgeaktion übernommen wurde. Hält eine betroffene Person die Verarbeitung für unrechtmäßig, definieren Sie einen Status für offene Rechteanfragen und sperren Sie betroffene Folgeaktionen, bis die Prüfung abgeschlossen ist.

Verlangen Sie bei ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung besondere Vorsicht. Nach Art. 22 DSGVO bestehen hierfür enge Voraussetzungen und Schutzrechte. Dazu gehört insbesondere die Möglichkeit, eine menschliche Intervention zu verlangen, den eigenen Standpunkt darzulegen und die Entscheidung anzufechten.

Testen Sie die Verständlichkeit der Hinweise mit echten Nutzergruppen. Wenn Personen nach dem Lesen nicht sagen können, was der Agent tut und wie sie widersprechen können, ist die Erklärung zu kompliziert.

Auftragsverarbeitung, Drittlandtransfer und Verträge rechtssicher gestalten

Prüfen Sie zuerst, ob ein externer Dienstleister personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet. Entscheidend ist nicht die Bezeichnung im Vertrag, sondern die tatsächliche Leistung. Ein Anbieter kann etwa Modellzugriff, Hosting, Speicher, Protokollierung oder Support übernehmen. Für jeden dieser Bausteine muss die datenschutzrechtliche Rolle klar sein.

Liegt eine Auftragsverarbeitung vor, benötigen Sie einen Vertrag nach Art. 28 DSGVO. Er sollte den Agentenbetrieb konkret beschreiben und nicht nur eine allgemeine Standardklausel enthalten. Nehmen Sie unter anderem folgende Punkte auf:

• Gegenstand, Dauer und Zweck der Verarbeitung
• Art der personenbezogenen Daten und betroffene Personengruppen
• zulässige Weisungen und Grenzen der Nutzung
• Regeln für Unterauftragnehmer
• Unterstützung bei Auskunfts-, Lösch- und Berichtigungsanfragen
• Verfahren bei Datenschutzverletzungen
• Rückgabe oder Löschung nach Vertragsende
• Prüf- und Nachweismöglichkeiten des Auftraggebers

Bei KI-Diensten ist die Regelung zur Eigennutzung von Eingaben und Ergebnissen besonders wichtig. Schließt der Anbieter eine Verwendung zur Modellverbesserung aus? Werden Prompts, Ausgaben oder Metadaten für Produktanalysen gespeichert? Eine Formulierung wie „Daten können zur Optimierung verarbeitet werden“ lässt zu viel offen. Verlangen Sie klare Zwecke, Fristen und Löschregeln.

Erstellen Sie eine aktuelle Liste aller Unterauftragnehmer. Dazu können Rechenzentrumsbetreiber, Sicherheitsdienste, Supportunternehmen oder Anbieter von Moderations- und Speicherfunktionen gehören. Regeln Sie, wie neue Unterauftragnehmer angekündigt werden und innerhalb welcher Frist Sie widersprechen dürfen. Prüfen Sie Änderungen tatsächlich; eine E-Mail im Sammelpostfach ersetzt keine Bewertung.

Ein Drittlandtransfer liegt nicht nur vor, wenn ein Server außerhalb des Europäischen Wirtschaftsraums steht. Auch Fernzugriff durch Personal in einem Drittland oder die Übermittlung an eine dort ansässige Konzerngesellschaft kann relevant sein. Prüfen Sie deshalb:

• Standort der gespeicherten Daten
• Standort des technischen Supports
• Fernzugriffe und Wartung
• Ort von Sicherungen und Protokollen
• Weitergabe an verbundene Unternehmen

Für Übermittlungen kommen unter anderem ein Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO in Betracht, etwa Standardvertragsklauseln. Die Klauseln allein reichen nicht immer. Bewerten Sie zusätzlich die Rechtslage und die tatsächliche Zugriffsmöglichkeit im Empfängerland. Falls nötig, ergänzen Sie technische Maßnahmen wie Verschlüsselung mit eigener Schlüsselverwaltung.

Dokumentieren Sie eine Transferprüfung für jeden relevanten Dienst. Sie sollte den Datenweg, die eingesetzte Übermittlungsgrundlage, mögliche Behördenzugriffe und ergänzende Schutzmaßnahmen festhalten. Ändert sich der Speicherort oder ein Unterauftragnehmer, muss die Prüfung erneut auf den Tisch.

Vereinbaren Sie außerdem Service- und Sicherheitsanforderungen, die zum Agenten passen. Dazu gehören eine Frist für die Meldung von Vorfällen, erreichbare Ansprechpartner, Wiederherstellungszeiten, Nachweise zu Sicherheitsprüfungen und ein verbindlicher Prozess für die Beendigung des Dienstes. Wichtig ist auch die Portabilität: Lassen sich Eingaben, Ergebnisse und Konfigurationsdaten in einem brauchbaren Format exportieren?

Vor der Freigabe sollte eine Vertragsakte vollständig vorliegen. Sie enthält den Auftragsverarbeitungsvertrag, die Unterauftragnehmerliste, die Transferbewertung, technische Anlagen und die interne Freigabe.

Datenschutz durch Technikgestaltung und Datensicherheit verankern

Verankern Sie Datenschutz nicht erst in einer nachträglichen Prüfung. Nach Art. 25 DSGVO muss der Schutz bereits bei der Planung und Gestaltung des KI-Agenten berücksichtigt werden. Entscheidend sind dabei konkrete Voreinstellungen: Der Agent sollte zunächst nur mit dem kleinsten nötigen Datenumfang arbeiten und keine zusätzlichen Funktionen ohne Freigabe aktivieren.

Trennen Sie Verarbeitungsschichten technisch voneinander. Ein Agent, der Kundendaten abruft, sollte nicht automatisch Zugriff auf Personalakten, Zahlungsdaten oder interne Entwicklungsbereiche erhalten. Nutzen Sie getrennte Rollen, Mandanten und Dienstkonten. Berechtigungen sollten zeitlich begrenzt sein und nach dem Prinzip „so wenig wie möglich, so viel wie nötig“ vergeben werden.

• Verwenden Sie für jede Schnittstelle eigene Zugangsdaten.
• Beschränken Sie Datenbankabfragen auf erlaubte Tabellen und Felder.
• Deaktivieren Sie nicht benötigte Plugins, Werkzeuge und Exportfunktionen.
• Verhindern Sie direkte Schreibzugriffe, wenn eine Freigabestufe genügt.
• Trennen Sie Entwicklungs-, Test- und Produktivumgebung.
• Hinterlegen Sie Ablaufzeiten für Tokens und temporäre Berechtigungen.

Schützen Sie Daten während der Übertragung und Speicherung. Eine Transportverschlüsselung allein reicht nicht, wenn unverschlüsselte Kopien in Protokollen, Zwischenspeichern oder Sicherungen liegen. Legen Sie daher fest, welche Schlüssel verwendet werden, wer sie verwaltet und wie ein kompromittierter Schlüssel gesperrt wird.

Protokollieren Sie sicherheitsrelevante Vorgänge manipulationsgeschützt. Dazu gehören Anmeldungen, Berechtigungsänderungen, ungewöhnliche Datenabfragen, fehlgeschlagene Aktionen und Änderungen an Agentenkonfigurationen. Speichern Sie dabei nicht mehr Klartext als erforderlich. Ein Protokoll darf nicht selbst zur neuen Datenhalde werden.

Schützen Sie den Agenten auch vor inhaltlichen Angriffen. Fremde Texte können versteckte Anweisungen enthalten, die den Agenten zu unerlaubten Datenabfragen oder Nachrichten verleiten. Trennen Sie deshalb Daten und Befehle technisch. Erlaubte Werkzeuge sollten nur strukturierte Parameter akzeptieren, statt beliebige Modelltexte direkt auszuführen.

Für externe Aktionen eignen sich Sicherheitsbarrieren:

• Prüfung des Empfängers vor dem Versand
• Limit für Anzahl und Wert von Aktionen
• Blockade ungewöhnlicher Datenübertragungen
• Vier-Augen-Freigabe für besonders sensible Vorgänge
• automatische Sperre bei wiederholten Fehlversuchen
• sofortige Deaktivierung kompromittierter Zugänge

Definieren Sie messbare Sicherheitsziele. Beispiele sind eine maximale Anzahl von Fehlversuchen, eine zulässige Datenmenge pro Sitzung oder eine feste Reaktionszeit bei einem Sicherheitsalarm. Prüfen Sie die Schutzmaßnahmen regelmäßig mit Wiederherstellungsübungen, Berechtigungstests und kontrollierten Angriffsszenarien. Ein erfolgreicher Funktionstest beweist noch keine Sicherheit.

Änderungen am Modell, an Plugins und an Schnittstellen sollten versioniert und freigegeben werden. Bewahren Sie die vorherige Konfiguration für eine begrenzte Zeit auf. So lässt sich eine fehlerhafte Neuerung zurücknehmen, ohne den gesamten Prozess stillzulegen.

Datenschutz-Folgenabschätzung für risikoreiche KI-Agenten durchführen

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Bei KI-Agenten sprechen mehrere Faktoren dafür: Sie verbinden große Datenbestände, erstellen Bewertungen oder lösen selbstständig weitere Vorgänge aus. Prüfen Sie die Pflicht deshalb vor dem produktiven Einsatz und nicht erst nach einem Vorfall.

Nutzen Sie zunächst die Positivlisten und Kriterien der zuständigen Datenschutzaufsicht. Typische Auslöser sind eine umfangreiche Verarbeitung besonderer Datenkategorien, systematische Überwachung, Profilbildung oder automatisierte Bewertungen mit spürbaren Folgen. Mehrere mittlere Risiken können sich zu einem hohen Gesamtrisiko verdichten.

Die Folgenabschätzung sollte den konkreten Agenten bewerten, nicht nur die zugrunde liegende Software. Beschreiben Sie dabei auch seine Werkzeuge, Schnittstellen, Entscheidungsspielräume und möglichen Folgeaktionen. Ein Modell kann in einem einfachen Suchprozess unkritisch sein, in einem Bewerbungs- oder Kreditprozess aber ein ganz anderes Risikoprofil haben.

Art. 35 Abs. 7 DSGVO verlangt insbesondere eine nachvollziehbare Darstellung von:

• Verarbeitungsvorgängen und Zwecken
• Notwendigkeit und Verhältnismäßigkeit
• Risiken für betroffene Personen
• geplanten Abhilfemaßnahmen und Schutzvorkehrungen

Bewerten Sie die Risiken aus Sicht der betroffenen Menschen. Fragen Sie nicht nur, ob ein System technisch ausfallen kann. Prüfen Sie auch, ob eine Person falsch eingeordnet, unangemessen beobachtet, benachteiligt oder dauerhaft mit einer fehlerhaften Bewertung verbunden werden kann.

Eine hilfreiche Risikomatrix betrachtet Eintrittswahrscheinlichkeit und Schadensschwere. Berücksichtigen Sie dabei auch schwer erkennbare Schäden, etwa den Verlust einer beruflichen Chance, eine ungerechtfertigte Kontrolle oder die Offenlegung einer Erkrankung. Ein seltener, aber gravierender Eingriff darf nicht durch einen niedrigen Durchschnittswert verharmlost werden.

Formulieren Sie für jedes wesentliche Risiko eine konkrete Gegenmaßnahme. „Mehr Sicherheit“ ist zu ungenau. Besser sind überprüfbare Angaben wie eine Begrenzung des Einsatzzeitraums, ein Ausschluss bestimmter Personengruppen oder ein verpflichtender Einspruchsweg bei nachteiligen Ergebnissen.

Holen Sie die Stellungnahme des Datenschutzbeauftragten ein, sofern Ihr Unternehmen einen solchen bestellt hat. Die Beteiligung sollte früh erfolgen, damit Änderungen am Verfahren noch möglich sind. Bleibt nach den Schutzmaßnahmen ein hohes Restrisiko bestehen, ist vor dem Start die vorherige Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO zu prüfen.

Halten Sie auch negative Ergebnisse fest. Wird der Agent zunächst nicht freigegeben, muss die Begründung ebenso nachvollziehbar sein wie eine Zustimmung. Aktualisieren Sie die Folgenabschätzung bei neuen Zwecken, erheblichen technischen Änderungen, auffälligen Vorfällen oder spätestens nach einem festgelegten Prüfintervall.

Die Bewertung nach der DSGVO ersetzt nicht die Einordnung nach der EU-KI-Verordnung. Beide Prüfungen verfolgen unterschiedliche Ziele. Zusammen liefern sie jedoch ein deutlich schärferes Bild davon, ob ein KI-Agent verantwortbar betrieben werden kann.

Menschliche Kontrolle, Protokollierung und Abschaltmechanismen einrichten

Richten Sie die menschliche Kontrolle so ein, dass sie tatsächlich eingreifen kann. Eine Person, die nur nachträglich einen Bericht abzeichnet, übt keine wirksame Aufsicht aus. Sie benötigt ausreichende Kenntnisse, Zeit, Befugnisse und einen direkten Zugang zum laufenden Vorgang.

Definieren Sie zunächst klare Eingriffspunkte. Der Agent sollte bei Unsicherheit, widersprüchlichen Daten, ungewöhnlichen Ergebnissen oder einer geplanten Handlung außerhalb des Normalbereichs an eine zuständige Person übergeben. Diese Übergabe darf nicht als stilles Überspringen des Vorgangs gestaltet sein.

• Der Agent kennzeichnet unklare oder widersprüchliche Fälle.
• Die zuständige Person erhält die relevanten Entscheidungsgrundlagen.
• Der Vorgang bleibt bis zur Prüfung angehalten.
• Die Person kann annehmen, ändern, ablehnen oder zurückweisen.
• Die Entscheidung und ihre Begründung werden getrennt erfasst.

Vermeiden Sie eine sogenannte Bestätigungsroutine. Wer täglich hunderte Vorschläge ohne echte Prüfung freigibt, kontrolliert nicht mehr, sondern klickt nur noch. Begrenzen Sie deshalb die Fallzahl, verwenden Sie Stichproben und wechseln Sie die Prüfmuster. Bei sensiblen Vorgängen kann eine zweite fachkundige Person erforderlich sein.

Protokollieren Sie nicht jede technische Kleinigkeit, sondern den Ablauf so, dass ein Vorgang später rekonstruiert werden kann. Ein brauchbarer Datensatz enthält etwa:

• Zeitpunkt und eindeutige Vorgangskennung
• verwendete Agenten- und Konfigurationsversion
• auslösender Anlass
• relevante Eingabe- und Ausgabekategorien
• aufgerufene Werkzeuge oder Systeme
• getroffene Entscheidung und ausgeführte Aktion
• menschliche Eingriffe, Korrekturen und Freigaben
• Fehler, Abbrüche und nachträgliche Änderungen

Schützen Sie diese Nachweise vor nachträglicher Manipulation. Verwenden Sie eine nachvollziehbare Zeitquelle, beschränken Sie Änderungsrechte und halten Sie fest, wer einen Eintrag ergänzt hat. Speichern Sie nur den Inhalt, der für Nachweis, Sicherheit oder Rechtsverteidigung erforderlich ist.

Ein Abschaltmechanismus braucht mehrere Ebenen. Eine einzelne Schaltfläche reicht nicht, wenn der Agent parallel über andere Schnittstellen weiterarbeiten kann. Planen Sie mindestens eine sofortige Sperre für neue Aufträge, eine Trennung aktiver Verbindungen und eine kontrollierte Stilllegung laufender Prozesse ein.

• Stufe eins: neue Aufgaben werden blockiert.
• Stufe zwei: externe Aktionen und Schreibrechte werden entzogen.
• Stufe drei: betroffene Sitzungen und Zugangstokens werden beendet.
• Stufe vier: ein Wiederanlauf erfolgt erst nach dokumentierter Freigabe.

Definieren Sie klare Auslöser für eine Sperre. Dazu zählen etwa ungewöhnlich viele Datenabfragen, wiederholte Fehlentscheidungen, ein Sicherheitsalarm, eine nicht erklärbare Änderung des Verhaltens oder ein Ausfall der Kontrollkomponente. Der Agent darf die eigene Abschaltung nicht verhindern oder allein wieder aufheben können.

Testen Sie Notfallverfahren regelmäßig unter realistischen Bedingungen. Prüfen Sie, ob Alarmmeldungen ankommen, Ersatzverantwortliche erreichbar sind und bereits gestartete Aktionen sicher beendet werden. Nach jedem Test sollten Sie die Wiederaufnahmebedingungen aktualisieren.

Bewahren Sie Protokolle nicht unbegrenzt auf. Legen Sie für Betriebs-, Prüf- und Sicherheitsnachweise unterschiedliche Fristen fest und begründen Sie diese.

Fazit: KI-Agenten vor dem Einsatz DSGVO-konform prüfen und laufend überwachen

Ein KI-Agent sollte erst produktiv arbeiten, wenn sein Einsatz rechtlich, technisch und organisatorisch nachvollziehbar freigegeben ist. Entscheidend ist dabei kein einzelnes Dokument, sondern ein belastbarer Nachweis: Das Unternehmen muss zeigen können, warum der Agent eingesetzt wird, welche Grenzen gelten und wie auf neue Risiken reagiert wird.

Für die Freigabe eignet sich ein kompakter Prüfvermerk mit vier Ergebnissen:

• Der Einsatz ist ohne weitere Auflagen zulässig.
• Der Einsatz ist nur mit klar benannten Bedingungen zulässig.
• Der Start wird bis zur Beseitigung offener Punkte verschoben.
• Der geplante Einsatz wird verworfen, weil das Restrisiko nicht vertretbar ist.

Nach dem Start sollte die Prüfung an messbare Anlässe geknüpft werden. Eine erneute Bewertung ist etwa sinnvoll, wenn sich die Fehlerquote erhöht, Beschwerden zunehmen, neue Datenquellen hinzukommen oder sich die Nutzung stark verändert. Auch ein Modellwechsel oder eine Änderung der Rechtslage kann eine neue Freigabe erfordern.

Führen Sie dafür ein Änderungsregister. Es sollte festhalten, was geändert wurde, wer die Änderung freigegeben hat, welche Tests stattfanden und ob sich die rechtliche Bewertung verschoben hat. Werten Sie außerdem Datenschutzvorfälle und Beinahefehler systematisch aus. Ein Agent, der eine falsche Nachricht noch rechtzeitig zurückhält, hat keinen Schaden verursacht. Der Vorgang liefert trotzdem einen wichtigen Hinweis auf eine Schwachstelle.

Ergänzen Sie die interne Dokumentation durch Schulungen für die betroffenen Fachbereiche. Mitarbeitende müssen wissen, welche Ergebnisse sie übernehmen dürfen, wann sie einen Vorgang melden müssen und welche Eingaben nicht in das System gehören. Kurze, konkrete Regeln wirken hier besser als ein langer Leitfaden, den niemand liest.

Der EU AI Act ergänzt die DSGVO um eigene Pflichten, etwa zu Risikoklasse, Kompetenz, Transparenz und Governance. Die genaue Anwendung hängt vom konkreten System und seiner Rolle in der Wertschöpfungskette ab. Prüfen Sie deshalb beide Regelwerke gemeinsam, aber behandeln Sie sie nicht als dasselbe Gesetz.

Die beste Schlusskontrolle lautet: Kann das Unternehmen den Einsatz auch Monate später noch erklären, belegen und bei Bedarf begrenzen? Wenn die Antwort lautet ja, ist die Grundlage solide. Wenn nicht, sollte der Agent nicht einfach weiterlaufen, nur weil er technisch funktioniert.

Dieser Beitrag ersetzt keine individuelle Rechtsberatung. Für risikoreiche Anwendungen, besondere Datenkategorien oder grenzüberschreitende Strukturen empfiehlt sich eine Prüfung durch qualifizierte Datenschutzfachleute.

FAQ zur DSGVO-konformen Nutzung von KI-Agenten