KI-Beschaffung DSGVO: AI-Act-Compliance vor dem Rollout

KI-Beschaffung: Die Kurzantwort

KI-Beschaffung unter der DSGVO bedeutet, dass deutsche Unternehmen einen KI-Anbieter vor Pilot, Einkauf oder Rollout rechtlich prüfen müssen. Dazu gehören die Rollenklärung nach Art. 4 DSGVO, AVV- und SCC-Prüfung, DSFA-Screening nach Art. 35 DSGVO sowie die Verankerung von AI-Act-Pflichten nach Art. 25 und 26 KI-VO im Beschaffungsprozess.

• Der Rechtscheck muss vor Testzugang, Proof of Concept oder produktivem Einsatz starten.
• Auftragsverarbeiter, Verantwortlicher oder gemeinsamer Verantwortlicher führt zu unterschiedlichen Vertrags- und Haftungsfolgen.
• US- oder sonstige Drittlandanbieter erfordern fast immer eine Prüfung von SCC, Subprozessoren und Fernzugriffen.
• Mit Vertragsschluss ist die KI-Beschaffung nicht beendet: Go-live-Freigabe, Löschung und Monitoring müssen dokumentiert bleiben.

KI-Beschaffung unter der DSGVO bedeutet, dass deutsche Unternehmen einen KI-Anbieter vor Pilot, Einkauf oder Rollout prüfen müssen. Dazu gehören mindestens die Rollenklärung nach Art. 4 DSGVO, die Bewertung eines Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO, ein DSFA-Screening nach Art. 35 DSGVO, die Prüfung von SCC und Drittlandtransfers sowie die Frage, welche AI-Act-Pflichten nach Art. 25 und 26 KI-VO schon im Beschaffungsprozess abgesichert werden müssen.

Wer diese Prüfung erst nach Vertragsunterschrift oder nach einem schnellen Proof of Concept beginnt, ist regelmäßig zu spät. Sobald ein KI-Tool Mitarbeiterdaten, Kundendaten, Vertragsdokumente, Support-Tickets oder interne Kommunikation verarbeitet, greifen in Deutschland nicht nur die DSGVO, sondern häufig auch BDSG, BetrVG und je nach Use Case die EU-KI-Verordnung.

Diese Seite richtet sich an Rechtsabteilung, Einkauf, Datenschutz, IT und Fachbereiche in deutschen Unternehmen. Sie bietet allgemeine Informationen und ersetzt keine Beratung zum konkreten Einzelfall.

Direkte Antwort: Was bedeutet KI-Beschaffung unter DSGVO und AI Act?

Im Unternehmensalltag heißt KI-Beschaffung DSGVO-konform: Der Rechtscheck startet nicht beim Go-live, sondern beim Intake des Tools. Vor Freigabe müssen Unternehmen wissen, welche Daten in das System gelangen, welche Rolle der Anbieter einnimmt, wo Daten verarbeitet werden, welche vertraglichen Kontrollen gelten und ob das System im Sinne des EU AI Act als bloßes Assistenztool, GPAI-basierte Anwendung oder potenziell Hochrisiko-KI einzuordnen ist.

Die folgende Kurzmatrix eignet sich für die erste Einordnung:

Prüffrage	Warum sie im Einkauf wichtig ist
Werden personenbezogene Daten verarbeitet?	Einstieg in die DSGVO-Prüfung, AVV- und DSFA-Fragen
Nutzt der Anbieter Daten nur auf Weisung?	Entscheidet über AVV oder komplexere Rollenverteilung
Gibt es Drittlandtransfers oder Fernzugriffe?	Löst Kapitel-V-DSGVO-Prüfung, SCC und Transferbewertung aus
Beeinflusst das Tool Mitarbeiter- oder Kundenentscheidungen?	Erhöht DSFA-, Art.-22-DSGVO- und AI-Act-Risiken
Ist das System in einem Anhang-III-Bereich einsetzbar?	Relevant für Art. 25/26 KI-VO, Dokumentation und Aufsicht

Für die vertiefte Anbieterprüfung auf Vertragsebene ist unsere DSGVO-Checkliste für KI-Tools der passende Anschluss. Für die Fristen und Pflichten des EU AI Act ab dem 2. August 2026 siehe unsere AI-Act-Checkliste für Unternehmen in Deutschland. Wie DSGVO, KI-VO, Haftung und Arbeitsrecht zusammenwirken, erläutern wir außerdem in unserem Leitfaden zu KI-Rechtsrisiken für Unternehmen in Deutschland.

Wann der Rechtscheck vor Pilot oder Einkauf starten muss

Die häufigste Fehlannahme in Unternehmen lautet: “Wir testen erst einmal und machen die Rechtsprüfung später.” Genau das ist bei KI-Tools riskant. Schon ein Pilot kann echte Personaldaten, Kundenkorrespondenz oder vertrauliche Dokumente in ein externes System übertragen.

Praktische Regel: Der Beschaffungsprozess muss beginnen, sobald ein Fachbereich ein Tool mit echten Unternehmensdaten testen, anbinden oder beschaffen will. Nicht erst bei produktiver Nutzung.

Frühzeitig geprüft werden sollten:

• geplanter Anwendungsfall und betroffene Geschäftsbereiche
• Datenkategorien, einschließlich möglicher Daten nach Art. 9 DSGVO
• interne oder externe Nutzung
• Auswirkungen auf Mitarbeiter, Bewerber, Kunden oder andere Betroffene
• Standardvertrag, AVV, Sicherheitsunterlagen und Datenflüsse des Anbieters

Wenn der anfragende Fachbereich nicht sauber erklären kann, welche Daten in das Tool gelangen und wie Outputs verwendet werden, ist die Prüfung noch nicht entscheidungsreif.

Schritt 1: Use Case und Datenkategorien dokumentieren

Jede KI-Beschaffung beginnt mit dem konkreten Use Case. Die erste Frage lautet nicht, ob der Anbieter einen AVV hat. Die erste Frage lautet: Was soll das Tool im Unternehmen tatsächlich tun?

Dokumentieren Sie mindestens:

1. den Fachbereich, etwa HR, Legal, Vertrieb, Support oder Engineering
2. die Eingabedaten: Prompts, Uploads, Metadaten, Anhänge, Logdaten
3. mögliche personenbezogene Daten, Geschäftsgeheimnisse und vertrauliche Inhalte
4. die geplante Nutzung der Ergebnisse: Entwurfshilfe, Recherche, Priorisierung oder Entscheidungsunterstützung
5. Schnittstellen zu anderen Systemen, etwa CRM, Ticketsystem, Google Workspace oder Microsoft 365

Diese Vorarbeit entscheidet, ob Sie einen eher einfachen Assistenten prüfen oder ein Tool, das Profiling, Scoring oder Monitoring unterstützt. Für dokumentenlastige Systeme ist auch unser Leitfaden zu Enterprise Search und DSGVO relevant, weil dort ähnliche Fragen zu Indexierung, Mitarbeiterinformation und Zugriffskonzepten auftreten.

Schritt 2: Rolle des Anbieters prüfen

Viele Einkaufsprozesse unterstellen automatisch, dass jeder KI-Anbieter Auftragsverarbeiter ist. Das ist rechtlich zu grob. Unter der DSGVO kommt es darauf an, wer über Zwecke und wesentliche Mittel der Verarbeitung entscheidet.

Typische Rollenbilder:

• Auftragsverarbeiter: Der Anbieter verarbeitet Daten nur auf dokumentierte Weisung.
• Verantwortlicher: Der Anbieter nutzt Daten teilweise für eigene Zwecke, etwa Produktanalyse oder Modellverbesserung.
• Gemeinsam Verantwortliche: Beide Seiten prägen die Zwecke gemeinsam.

Gerade bei KI-Anbietern ist die heikle Frage, ob Prompts, Uploads, Outputs oder Telemetriedaten für Modelltraining, Produktverbesserung, Missbrauchserkennung oder Benchmarking verwendet werden dürfen.

Stellen Sie daher mindestens diese Fragen:

1. Verarbeitet der Anbieter Daten ausschließlich zur Leistungserbringung?
2. Darf er Kundendaten oder Metadaten für eigene Zwecke nutzen?
3. Lassen sich Trainings- oder Analyseverwendungen technisch oder vertraglich abschalten?
4. Sind “de-identifizierte” oder aggregierte Nutzungen so weit gefasst, dass faktisch ein eigener Datenzweck entsteht?

Wenn die Rolle nicht klar ist, reicht ein AVV allein nicht. Für eine konkrete Fallgruppe mit LLM-Anbietern kann unsere Seite zu Anthropic und DSGVO-Compliance ein nützlicher Vergleichspunkt sein.

Schritt 3: AVV, SCC und Drittlandtransfer bewerten

Steht fest, dass der Anbieter als Auftragsverarbeiter agiert, folgt die Vertrags- und Transferprüfung. Hier ist Art. 28 DSGVO die Mindestschwelle, nicht die ganze Lösung.

Prüfen Sie im AVV insbesondere:

• Gegenstand, Dauer und Zweck der Verarbeitung
• Datenkategorien und Betroffenengruppen
• Subprozessoren und Änderungsmechanismus
• technisch-organisatorische Maßnahmen
• Löschfristen, Rückgabe und Nachweise zur Datenlöschung
• vertraglichen Ausschluss von unerwünschtem Modelltraining

Für Anbieter außerhalb des EWR oder mit Supportzugriffen aus Drittländern kommt die Transferprüfung hinzu. Dann müssen Unternehmen sauber dokumentieren:

• wo Daten gespeichert werden
• von wo aus Fernzugriffe stattfinden
• welche Subprozessoren Daten erhalten
• ob das EU-U.S. Data Privacy Framework, SCC oder andere Transfermechanismen herangezogen werden
• ob zusätzliche technische oder organisatorische Maßnahmen erforderlich sind

Gerade bei verbreiteten LLM-Anbietern sollten Einkauf und Datenschutz nicht nur die Marketingaussage “EU Hosting” übernehmen. Entscheidend ist die vollständige Verarbeitungskette. Wenn Sie einen konkreten Anbieter wie Claude bewerten, hilft auch unser Überblick zum Claude-AVV.

Schritt 4: AI-Act-Pflichten im Beschaffungsprozess verankern

KI-Beschaffung DSGVO ist heute selten nur eine Datenschutzfrage. Seit Inkrafttreten der KI-Verordnung am 1. August 2024 und mit dem Hauptanwendungsdatum 2. August 2026 müssen Unternehmen zusätzlich prüfen, welche Pflichten aus dem EU AI Act im Einkauf vorbereitet werden müssen.

Für Unternehmenskäufer ist vor allem relevant, dass sie meistens Betreiber (Deployer) sind. Damit verschiebt sich ein Teil der Compliance in den Vertrag mit dem Anbieter. Im Beschaffungsprozess sollte deshalb geklärt werden:

• Fällt das System möglicherweise unter Anhang III der KI-Verordnung?
• Gibt es Nutzungsanweisungen, Dokumentation und Informationen zur menschlichen Aufsicht?
• Welche vertraglichen Zusagen macht der Anbieter zu Logging, Vorfällen und Korrekturmaßnahmen?
• Gibt es Transparenzpflichten nach Art. 50 KI-VO, wenn Nutzer direkt mit KI interagieren?

Für potenzielle Hochrisiko-KI sollte das Beschaffungspaket außerdem regeln:

1. Bereitstellung relevanter technischer Dokumentation
2. klare Vorgaben zur menschlichen Aufsicht im Unternehmen
3. Eskalationswege bei schwerwiegenden Vorfällen
4. Abstimmung zwischen Datenschutz- und KI-Compliance

Die vollständige Fristenlogik und die Betreiberpflichten ab 2. August 2026 haben wir in der EU-AI-Act-Checkliste vertieft dargestellt.

Schritt 5: Betriebsrat, HR oder Fachbereich einbeziehen

Sobald Mitarbeiterdaten betroffen sind, wird KI-Beschaffung in Deutschland regelmäßig arbeitsrechtlich sensibler. Dann reicht die reine DSGVO-Prüfung nicht aus.

Besondere Aufmerksamkeit verdienen Tools für:

• Recruiting und Bewerbervorauswahl
• Leistungsanalyse oder Produktivitätsmessung
• Schichtplanung und Personalsteuerung
• interne Such- und Assistenzsysteme mit Zugriff auf Mitarbeiterkommunikation
• Risiko- oder Verhaltensprofile

Hier können parallel relevant werden:

• § 26 BDSG für Beschäftigtendaten
• Art. 35 DSGVO für eine DSFA
• Art. 22 DSGVO bei automatisierten Entscheidungen
• § 87 Abs. 1 Nr. 6 BetrVG bei mitbestimmungspflichtigen technischen Einrichtungen

Praktische Folge: HR, Datenschutz, Rechtsabteilung und gegebenenfalls der Betriebsrat müssen vor Freigabe eingebunden werden. Eine Betriebsvereinbarung ersetzt keine DSGVO-Prüfung, kann aber ein zentraler Baustein des Rollout-Konzepts sein.

Schritt 6: Go-live-Freigabe, Löschkonzept und Monitoring festhalten

Mit unterschriebenem Vertrag ist die KI-Beschaffung nicht abgeschlossen. Vor dem produktiven Start braucht es eine dokumentierte Go-live-Freigabe.

Vor Freigabe sollten Unternehmen festhalten:

• welche Daten eingegeben werden dürfen und welche tabu sind
• ob Trainingsopt-outs oder Admin-Einstellungen aktiviert wurden
• wer intern Owner für Re-Assessment und Vorfälle ist
• wie Löschung, Offboarding und Export im Exit-Fall funktionieren
• ob das Tool im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO erfasst wurde

Danach beginnt die Governance-Phase:

• Subprozessor-Änderungen überwachen
• Nutzungsausweitung erneut prüfen
• Lösch- und Aufbewahrungsfristen kontrollieren
• Dokumentation bei neuen Modulen oder Integrationen aktualisieren

Genau an dieser Stelle scheitern viele Unternehmen: Die Anfangsprüfung ist ordentlich, aber später wachsen Scope, Datenmengen und Nutzerkreise unkontrolliert.

Checkliste: 10 Fragen vor Freigabe eines KI-Anbieters

1. Ist der Use Case dokumentiert? Fachbereich, Zweck, Nutzer und Datenflüsse müssen klar sein.
2. Sind personenbezogene Daten betroffen? Ohne diese Frage gibt es keine belastbare DSGVO-Einordnung.
3. Ist die Rolle des Anbieters geklärt? Auftragsverarbeiter, Verantwortlicher oder Mischmodell.
4. Liegt ein belastbarer AVV vor? Art. 28 DSGVO muss vertraglich sauber abgedeckt sein.
5. Sind SCC und Drittlandtransfers geprüft? Speicherort allein reicht nicht; auch Fernzugriffe und Subprozessoren zählen.
6. Ist eine DSFA erforderlich? Profiling, Monitoring, Mitarbeiterdaten und sensible Daten sauber screenen.
7. Ist Modelltraining mit Unternehmensdaten ausgeschlossen oder kontrolliert? Gerade bei GenAI-Tools zentral.
8. Sind AI-Act-Pflichten bewertet? Art. 25, Art. 26, Art. 50 KI-VO und Anhang III mitdenken.
9. Sind Betriebsrat oder HR einzubeziehen? Vor allem bei Beschäftigtendaten und Monitoring-Risiken.
10. Ist die Go-live-Governance dokumentiert? Owner, Löschung, Monitoring und Re-Assessment festhalten.

Häufige Fehler bei der KI-Beschaffung

Wiederkehrende Schwachstellen in deutschen Unternehmen sind:

• Pilot mit Echtdaten vor Abschluss der Rechtsprüfung
• AVV als einzige Prüffrage
• keine saubere Rollenklärung des Anbieters
• Blick nur auf Rechenzentrumsstandort, nicht auf Support- und Subprozessorstruktur
• kein klares Verbot oder Opt-out für Modelltraining
• fehlende Einbindung des Betriebsrats bei mitarbeiterbezogenen Tools
• keine dokumentierte Go-live-Freigabe

Wer diese Fehler vermeidet, verkürzt meist nicht nur das juristische Risiko, sondern auch die Beschaffungsdauer. Einkauf, IT und Legal arbeiten schneller, wenn der Prüfpfad standardisiert ist.

FAQ: KI-Beschaffung DSGVO, AVV, AI Act, Vendor Due Diligence

Was bedeutet KI-Beschaffung unter der DSGVO?

KI-Beschaffung unter der DSGVO bedeutet, dass ein KI-Tool vor Einkauf, Pilot oder Rollout datenschutzrechtlich geprüft wird. Dazu gehören Use-Case-Dokumentation, Rollenklärung, AVV-Prüfung, Transferbewertung, DSFA-Screening und die Festlegung von Nutzungsgrenzen vor dem Go-live.

Braucht jedes KI-Tool einen AVV?

Nein. Ein AVV nach Art. 28 DSGVO ist erforderlich, wenn der Anbieter personenbezogene Daten im Auftrag verarbeitet. Nutzt der Anbieter Daten auch für eigene Zwecke, etwa Training oder Produktverbesserung, muss die Rollenverteilung gesondert analysiert werden. Dann ist die Beschaffung rechtlich komplexer als ein Standard-AVV.

Wann ist bei KI-Beschaffung eine DSFA notwendig?

Eine DSFA ist nötig, wenn das Tool voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen erzeugt. Typische Indikatoren sind großflächige Mitarbeiter- oder Kundendaten, Profiling, sensible Daten, systematische Überwachung oder automatisierte Entscheidungen mit erheblichen Auswirkungen.

Welche Rolle spielt der EU AI Act im Einkauf von KI-Tools?

Der EU AI Act verschiebt einen Teil der Compliance bereits in den Beschaffungsprozess. Unternehmen müssen vor Freigabe prüfen, ob das Tool Transparenzpflichten auslöst, in einen Hochrisiko-Kontext nach Anhang III fallen kann und welche Informationen sie vom Anbieter benötigen, um ihre Pflichten als Betreiber nach Art. 26 KI-VO erfüllen zu können.

Nächster Schritt für Unternehmen

Wenn Ihr Team ein KI-Tool für HR, Legal, Support, Enterprise Search oder interne Assistenten beschaffen will, sollte die Rechtsprüfung vor dem ersten Datenupload beginnen. Auf unserer Seite zur KI-Rechtsberatung für Unternehmen zeigen wir, wie Compound Law KI-Beschaffung, AVV-Prüfung, KI-Verordnung, Vertragsverhandlung und Betriebsratsfragen in einem Beratungsmandat zusammenführt.

Für die nächste Vertiefung empfehlen wir unsere Seiten zur DSGVO-Checkliste für KI-Tools, zu den EU-AI-Act-Fristen fuer KI-Beschaffungsteams und zu Anthropic DSGVO-Compliance.

---

Dieser Beitrag enthält allgemeine rechtliche Informationen zur KI-Beschaffung in Deutschland. Die Bewertung eines konkreten Tools hängt vom Use Case, den Datenflüssen, den Vertragsunterlagen und der tatsächlichen Rollenverteilung ab und erfordert gegebenenfalls individuelle Rechtsberatung.