DSGVO-konforme KI im Maschinenbau
DSGVO-konform ist eine KI-Lösung im Maschinenbau, wenn fünf Merkmale erfüllt sind: Verarbeitung in Deutschland oder der EU mit Auftragsverarbeitungsvertrag nach Artikel 28, kein Training fremder Modelle mit Ihren Daten, gespiegelte Berechtigungen aus den Quellsystemen, Quellenangabe zu jeder Antwort und ein Löschkonzept für die Indizes. Ein Wissenssystem mit Personenbezug braucht zusätzlich eine Datenschutz-Folgenabschätzung nach Artikel 35. Datenschutzbeauftragter und Betriebsrat gehören in Woche 1 an den Tisch.
DSGVO KI Industrie
Für KI in der Industrie gilt die DSGVO an drei Stellen: bei der Rechtsgrundlage nach Artikel 6, beim Auftragsverarbeitungsvertrag nach Artikel 28 mit dem Betreiber und bei der Datenresidenz, sobald Index, Verarbeitung und Modell außerhalb der EU liegen würden. Maschinendaten selbst tragen selten Personenbezug, Tickets, E-Mails und Schichtbücher dagegen fast immer, weil Namen im Text stehen. Deshalb liest ein Wissenssystem praktisch immer Personendaten mit, und die Datenschutzkonferenz hat 2018 die Zusammenführung mehrerer Quellen als Fall für eine Folgenabschätzung benannt. Sechs Bausteine decken das ab: Rechtsgrundlage, Auftragsverarbeitung, Datenresidenz, Berechtigungen, Nachvollziehbarkeit je Antwort und Folgenabschätzung. Wer sie vor dem Pilot abarbeitet, verhandelt später mit Rechtsabteilung und Betriebsrat über Details statt über das Ob.
EU-Hosting KI-Lösung
EU-Hosting bedeutet, dass Index, Verarbeitung und Modellaufruf in der EU bleiben, vertraglich abgesichert durch einen Auftragsverarbeitungsvertrag nach Artikel 28 mit benannten Sub-Prozessoren. Der Speicherort allein reicht als Kriterium jedoch nicht aus: Im Juni 2026 deaktivierte ein US-Anbieter nach einer Exportkontrollanordnung seine Spitzenmodelle achtzehn Tage lang für alle Kunden weltweit, unabhängig davon, auf welchem Kontinent die Daten lagen. Datenhoheit hat deshalb zwei Fragen: Wer kann auf die Daten zugreifen, und wer kann den Dienst abschalten. Vier Betriebsformen beantworten sie unterschiedlich, von der öffentlichen Schnittstelle über EU-Regionen der großen Anbieter bis zu Modellen im eigenen Rechenzentrum. Für den Maschinenbau ist die Kombination aus EU-Region und austauschbarem Modell meist der tragfähige Mittelweg.
Datenschutz KI Fertigung
In der Fertigung löst sich die Datenschutzfrage, wenn Sie drei Datenarten trennen: Rohdaten aus der Steuerung bleiben ohnehin lokal, aggregierte Prozessdaten sind die interessante Ebene für KI, Dokumente bergen Nutzen und Personenbezug zugleich. Die eigentliche Grenze verläuft zwischen Verarbeitung und Verbleib: Was verarbeitet wird, muss danach beim Anbieter gelöscht werden können, und ein Löschkonzept für die Indizes gehört in den Vertrag. Das größere Risiko sitzt oft anderswo: Mitarbeiter kopieren Angebote oder Konstruktionsdaten in öffentliche Chatdienste, weil die interne Suche versagt. Ein Verbot treibt das in den Untergrund, eine sichere interne Alternative mit EU-Hosting und Quellenangabe beendet es. Der Betriebsrat entscheidet nach BetrVG mit und braucht den schriftlichen Ausschluss von Leistungskontrolle.
Welche KI-Lösungen sind DSGVO-konform?
DSGVO-konform sind KI-Lösungen, die alle fünf Merkmale nachweisen: EU-Verarbeitung mit Auftragsverarbeitungsvertrag und benannten Sub-Prozessoren, kein Training fremder Modelle mit Ihren Daten, gespiegelte Berechtigungen aus SharePoint, ERP und Ticketsystem, Quellenangabe zu jeder Antwort und ein Löschkonzept bei Vertragsende. Fehlt eines davon, ist die Lösung im Maschinenbau schwer freigabefähig, unabhängig von der Qualität des Modells. Bei den Berechtigungen zählt die Technik: Ein eigenes Rechtekonzept im neuen System veraltet nach Monaten, tragfähig ist die Abfrage im Namen des Nutzers über delegierte Zugriffe wie OAuth2. Wer ein Dokument heute nicht öffnen darf, sieht es auch in der Antwort nicht. Der Anbieter muss dafür ein Merkblatt für das Verzeichnis der Verarbeitungstätigkeiten liefern.
Wie hoste ich KI-Systeme rechtskonform?
Rechtskonformes Hosting folgt vier Säulen: Berechtigungen, die bis in die Antwort gelten, Datenresidenz in der EU mit Auftragsverarbeitung nach Artikel 28, Quellenpflicht für jede Aussage und ein Zugriffsprotokoll mit Nutzer, Zeit, Frage, gelesenen Passagen, Antwort und Modellversion. Prüfen Sie vor dem Start in drei Schritten, ob eine Datenschutz-Folgenabschätzung nötig ist: Personenbezug je Quelle, Risikohöhe nach Artikel 35 und DSK-Liste, dann die Maßnahmen. Für Modelle stehen EU-Regionen bereit, etwa die AWS European Sovereign Cloud, die im Januar 2026 in Brandenburg in Betrieb ging. Halten Sie das Modell austauschbar, damit eine Abschaltung beim Anbieter den Betrieb verschont. Nach dem EU AI Act fällt ein Wissens-Hub in die Klasse mit geringem oder begrenztem Risiko; dokumentieren Sie die Einstufung.
Systeme
Art. 28Wie hoste ich KI-Systeme rechtskonform?
KI-Systeme rechtskonform hosten: vier Betriebsformen, die Vertragsbausteine nach DSGVO, der Datenfluss bis zum Modell und was der Auditor sehen will.
02.09.2026 · 9 Min
KI im MittelstandDSGVODSGVO-konforme KI-Lösungen: die fünf Merkmale, auf die es ankommt
Hosting, AVV, Berechtigungen, Trainingsausschluss, Löschkonzept: die Kaufkriterien, mit denen KI durch jede Datenschutzprüfung kommt.
30.07.2026 · 6 Min
KlartextEUDatenschutz ist kein Showstopper. Er ist ein Standard.
DSGVO wird oft als Grund genannt, KI nicht zu nutzen. Richtig gebaut, schafft sie Vertrauen bei Legal und Betriebsrat. Sechs Bausteine, eine Datenklassifizierung, ein Vier-Wochen-Ablauf und der Freigabebogen zum Ausdrucken.
02.06.2026 · 7 MinSystemeArt. 35DSFA für KI-Wissenssysteme: Wann sie Pflicht ist und wie sie steht
Datenschutz-Folgenabschätzung für ein KI-Wissenssystem: wann Art. 35 DSGVO sie verlangt, welche drei Prüfschritte genügen und welche Maßnahmen der Auditor sehen will.
11.09.2026 · 8 MinKlartexteddaedda und der Datenschutz: Berechtigungen, EU-Hosting, Betriebsrat
Die drei Fragen, die IT-Leitung, Datenschutzbeauftragte und Betriebsrat an einen Wissensassistenten stellen und die Antworten dazu.
28.07.2026 · 6 Min
Frag ByteEU„Bleiben unsere Daten in Deutschland?“
Die häufigste Frage aus dem Mittelstand, und die wichtigste. Was DSGVO, EU-Hosting und ‚kein Training mit Ihren Daten' konkret bedeuten.
19.06.2026 · 3 MinLokale KI18 TageDatenhoheit bei KI: vier Betriebsformen im Vergleich
Datenhoheit bei KI entscheidet sich an der Betriebsform. Vier Modelle im Vergleich, nach Zugriffsrisiko, Abschaltrisiko und Betriebsaufwand.
27.08.2026 · 6 Min
WissensmanagementRAGArchitekturen für sichere RAG-Systeme im Unternehmen
Retrieval-Augmented Generation macht Firmenwissen abfragbar. Sicher wird das System aber erst durch Architektur: Berechtigungen, Datenresidenz, Quellenpflicht, Audit-Trail. Sieben Schichten, zwei Wege für Rechte, die typischen Fehler und der Prüfbogen zum Ausdrucken.
12.07.2026 · 8 Min
WissensmanagementDatenrisikoSchatten-IT: warum Ihre Mitarbeiter heimlich ChatGPT nutzen
Während die Geschäftsführung über KI diskutiert, nutzt die halbe Belegschaft längst öffentliche Chatbots, mit Betriebsdaten. Was das für Ihre Daten heißt und wie Sie es lösen.
18.02.2026 · 7 MinWissensmanagementBausteinIm Namen des Nutzers: wie edda Berechtigungen spiegelt statt sie neu zu erfinden
Die Frage, an der Wissensprojekte in der IT-Prüfung scheitern und die technische Antwort, die in einen Satz passt.
31.07.2026 · 6 MinSystemeSicherheitBerechtigungen als Systemgrenze: warum die Rechtefrage über den Projekterfolg entscheidet
Das häufigste Ausschlusskriterium in der IT-Prüfung ist die Frage, wer was sehen darf, nicht die Technik. Wie man sie richtig löst.
31.07.2026 · 6 Min
ProduktionSouveränitätMaschinendaten nutzen ohne Cloud-Zwang: was wirklich das Haus verlassen muss
Die Sorge um Produktionsdaten ist berechtigt. Welche Verarbeitung lokal bleiben kann und wo die Grenze tatsächlich verläuft.
31.07.2026 · 6 MinTrendEU AI ActEU AI Act für Produktionsbetriebe: was jetzt zu tun ist
Der EU AI Act ist in Kraft und betrifft auch Mittelständler, die KI nur nutzen. Was das für Produktionsbetriebe praktisch bedeutet, ohne Panik und ohne Verharmlosung.
17.02.2026 · 8 MinBegriffe zum Thema
- Auftragsverarbeitungsvertrag (AVV)
- Vertrag nach Artikel 28 DSGVO zwischen Betrieb und KI-Anbieter: Weisungsbindung, benannte Sub-Prozessoren, Löschkonzept, kein Training fremder Modelle mit Ihren Daten.
- Datenschutz-Folgenabschätzung (DSFA)
- Prüfung nach Artikel 35 DSGVO, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt. Bei Wissenssystemen meist Pflicht, weil mehrere Quellen mit Personenbezug zusammengeführt werden.
- Datenresidenz
- Ort, an dem Index, Verarbeitung und Modellaufruf stattfinden. In der EU, sonst greifen die Regeln für Drittlandübermittlung nach Artikel 44 ff.
- Datenhoheit
- Zwei Fragen: Wer kann auf die Daten zugreifen, und wer kann den Dienst abschalten. Die zweite Frage entscheidet über die Betriebsform.
- Delegierter Zugriff (OAuth2)
- Der Assistent fragt Quellsysteme mit den Rechten der fragenden Person ab, ohne eigenes Sammelkonto. Was jemand heute nicht öffnen darf, erscheint auch in keiner Antwort.
- Zugriffsprotokoll
- Aufzeichnung je Anfrage mit Nutzer, Zeit, Frage, gelesenen Passagen, Antwort und Modellversion, damit sich jede Antwort später nachvollziehen lässt.
Wie wir Hosting, Berechtigungen und Betrieb in Deutschland umsetzen, steht auf der Leistungsseite Hosting und Wartung.
Welche Betriebsform passt zu Ihren Daten?
Rozalia Karbowniczek klärt im Erstgespräch, welche Ihrer Quellen Personenbezug tragen und welches Hosting Rechtsabteilung und Betriebsrat freigeben.
Erstgespräch mit Rozalia Karbowniczek →