--- title: "KI-Beschaffung DSGVO: AI-Act-Compliance vor dem Rollout (2026)" description: "KI-Beschaffung DSGVO in Deutschland: So prüfen Unternehmen AVV, SCC, DSFA und AI-Act-Pflichten vor Pilot, Einkauf und Go-live." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/compliance/dsgvo-ki-beschaffung/" language: "de" --- ![KI-Beschaffung DSGVO Workflow für deutsche Unternehmen](https://compound.law/assets/images/compliance/compliance_2.webp) Leitfäden # KI-Beschaffung DSGVO: AI-Act-Compliance vor dem Rollout (2026) 21\. Mai 2026 KI-Beschaffung: Die Kurzantwort KI-Beschaffung unter der DSGVO bedeutet, dass deutsche Unternehmen einen KI-Anbieter vor Pilot, Einkauf oder Rollout rechtlich prüfen müssen. Dazu gehören die Rollenklärung nach Art. 4 DSGVO, AVV- und SCC-Prüfung, DSFA-Screening nach Art. 35 DSGVO sowie die Verankerung von AI-Act-Pflichten nach Art. 25 und 26 KI-VO im Beschaffungsprozess. - Der Rechtscheck muss vor Testzugang, Proof of Concept oder produktivem Einsatz starten. - Auftragsverarbeiter, Verantwortlicher oder gemeinsamer Verantwortlicher führt zu unterschiedlichen Vertrags- und Haftungsfolgen. - US- oder sonstige Drittlandanbieter erfordern fast immer eine Prüfung von SCC, Subprozessoren und Fernzugriffen. - Mit Vertragsschluss ist die KI-Beschaffung nicht beendet: Go-live-Freigabe, Löschung und Monitoring müssen dokumentiert bleiben. **KI-Beschaffung unter der DSGVO** bedeutet, dass deutsche Unternehmen einen KI-Anbieter **vor** Pilot, Einkauf oder Rollout prüfen müssen. Dazu gehören mindestens die Rollenklärung nach **Art. 4 DSGVO**, die Bewertung eines **Auftragsverarbeitungsvertrags (AVV)** nach **Art. 28 DSGVO**, ein **DSFA-Screening** nach **Art. 35 DSGVO**, die Prüfung von **SCC** und Drittlandtransfers sowie die Frage, welche **AI-Act-Pflichten** nach **Art. 25 und 26 KI-VO** schon im Beschaffungsprozess abgesichert werden müssen. Wer diese Prüfung erst nach Vertragsunterschrift oder nach einem schnellen Proof of Concept beginnt, ist regelmäßig zu spät. Sobald ein KI-Tool Mitarbeiterdaten, Kundendaten, Vertragsdokumente, Support-Tickets oder interne Kommunikation verarbeitet, greifen in Deutschland nicht nur die **DSGVO**, sondern häufig auch **BDSG**, **BetrVG** und je nach Use Case die **EU-KI-Verordnung**. Diese Seite richtet sich an Rechtsabteilung, Einkauf, Datenschutz, IT und Fachbereiche in deutschen Unternehmen. Sie bietet allgemeine Informationen und ersetzt keine Beratung zum konkreten Einzelfall. ## Direkte Antwort: Was bedeutet KI-Beschaffung unter DSGVO und AI Act? Im Unternehmensalltag heißt **KI-Beschaffung DSGVO-konform**: Der Rechtscheck startet nicht beim Go-live, sondern beim Intake des Tools. Vor Freigabe müssen Unternehmen wissen, **welche Daten** in das System gelangen, **welche Rolle** der Anbieter einnimmt, **wo** Daten verarbeitet werden, **welche vertraglichen Kontrollen** gelten und ob das System im Sinne des **EU AI Act** als bloßes Assistenztool, GPAI-basierte Anwendung oder potenziell **Hochrisiko-KI** einzuordnen ist. Die folgende Kurzmatrix eignet sich für die erste Einordnung: | Prüffrage | Warum sie im Einkauf wichtig ist | | ------------------------------------------------------------ | ----------------------------------------------------------- | | Werden personenbezogene Daten verarbeitet? | Einstieg in die DSGVO-Prüfung, AVV- und DSFA-Fragen | | Nutzt der Anbieter Daten nur auf Weisung? | Entscheidet über AVV oder komplexere Rollenverteilung | | Gibt es Drittlandtransfers oder Fernzugriffe? | Löst Kapitel-V-DSGVO-Prüfung, SCC und Transferbewertung aus | | Beeinflusst das Tool Mitarbeiter- oder Kundenentscheidungen? | Erhöht DSFA-, Art.-22-DSGVO- und AI-Act-Risiken | | Ist das System in einem Anhang-III-Bereich einsetzbar? | Relevant für Art. 25/26 KI-VO, Dokumentation und Aufsicht | Für die vertiefte Anbieterprüfung auf Vertragsebene ist unsere [DSGVO-Checkliste für KI-Tools](https://compound.law/de-DE/compliance/dsgvo-checkliste-ki-tools/) der passende Anschluss. Für die Fristen und Pflichten des EU AI Act ab dem **2. August 2026** siehe unsere [AI-Act-Checkliste für Unternehmen in Deutschland](https://compound.law/de-DE/compliance/eu-ai-act-august-2026-frist-checkliste/). Wie DSGVO, KI-VO, Haftung und Arbeitsrecht zusammenwirken, erläutern wir außerdem in unserem Leitfaden zu [KI-Rechtsrisiken für Unternehmen in Deutschland](https://compound.law/de-DE/compliance/ki-rechtsrisiken-unternehmen/). ## Wann der Rechtscheck vor Pilot oder Einkauf starten muss Die häufigste Fehlannahme in Unternehmen lautet: “Wir testen erst einmal und machen die Rechtsprüfung später.” Genau das ist bei KI-Tools riskant. Schon ein Pilot kann echte Personaldaten, Kundenkorrespondenz oder vertrauliche Dokumente in ein externes System übertragen. **Praktische Regel:** Der Beschaffungsprozess muss beginnen, sobald ein Fachbereich ein Tool mit echten Unternehmensdaten testen, anbinden oder beschaffen will. Nicht erst bei produktiver Nutzung. Frühzeitig geprüft werden sollten: - geplanter Anwendungsfall und betroffene Geschäftsbereiche - Datenkategorien, einschließlich möglicher Daten nach **Art. 9 DSGVO** - interne oder externe Nutzung - Auswirkungen auf Mitarbeiter, Bewerber, Kunden oder andere Betroffene - Standardvertrag, AVV, Sicherheitsunterlagen und Datenflüsse des Anbieters Wenn der anfragende Fachbereich nicht sauber erklären kann, welche Daten in das Tool gelangen und wie Outputs verwendet werden, ist die Prüfung noch nicht entscheidungsreif. ## Schritt 1: Use Case und Datenkategorien dokumentieren Jede **KI-Beschaffung** beginnt mit dem konkreten Use Case. Die erste Frage lautet nicht, ob der Anbieter einen AVV hat. Die erste Frage lautet: **Was soll das Tool im Unternehmen tatsächlich tun?** Dokumentieren Sie mindestens: 1. den Fachbereich, etwa HR, Legal, Vertrieb, Support oder Engineering 2. die Eingabedaten: Prompts, Uploads, Metadaten, Anhänge, Logdaten 3. mögliche personenbezogene Daten, Geschäftsgeheimnisse und vertrauliche Inhalte 4. die geplante Nutzung der Ergebnisse: Entwurfshilfe, Recherche, Priorisierung oder Entscheidungsunterstützung 5. Schnittstellen zu anderen Systemen, etwa CRM, Ticketsystem, Google Workspace oder Microsoft 365 Diese Vorarbeit entscheidet, ob Sie einen eher einfachen Assistenten prüfen oder ein Tool, das Profiling, Scoring oder Monitoring unterstützt. Für dokumentenlastige Systeme ist auch unser Leitfaden zu [Enterprise Search und DSGVO](https://compound.law/de-DE/compliance/enterprise-search-dsgvo/) relevant, weil dort ähnliche Fragen zu Indexierung, Mitarbeiterinformation und Zugriffskonzepten auftreten. ## Schritt 2: Rolle des Anbieters prüfen Viele Einkaufsprozesse unterstellen automatisch, dass jeder KI-Anbieter **Auftragsverarbeiter** ist. Das ist rechtlich zu grob. Unter der DSGVO kommt es darauf an, **wer über Zwecke und wesentliche Mittel der Verarbeitung entscheidet**. Typische Rollenbilder: - **Auftragsverarbeiter:** Der Anbieter verarbeitet Daten nur auf dokumentierte Weisung. - **Verantwortlicher:** Der Anbieter nutzt Daten teilweise für eigene Zwecke, etwa Produktanalyse oder Modellverbesserung. - **Gemeinsam Verantwortliche:** Beide Seiten prägen die Zwecke gemeinsam. Gerade bei KI-Anbietern ist die heikle Frage, ob Prompts, Uploads, Outputs oder Telemetriedaten für **Modelltraining**, **Produktverbesserung**, **Missbrauchserkennung** oder **Benchmarking** verwendet werden dürfen. Stellen Sie daher mindestens diese Fragen: 1. Verarbeitet der Anbieter Daten ausschließlich zur Leistungserbringung? 2. Darf er Kundendaten oder Metadaten für eigene Zwecke nutzen? 3. Lassen sich Trainings- oder Analyseverwendungen technisch oder vertraglich abschalten? 4. Sind “de-identifizierte” oder aggregierte Nutzungen so weit gefasst, dass faktisch ein eigener Datenzweck entsteht? Wenn die Rolle nicht klar ist, reicht ein AVV allein nicht. Für eine konkrete Fallgruppe mit LLM-Anbietern kann unsere Seite zu [Anthropic und DSGVO-Compliance](https://compound.law/de-DE/compliance/anthropic-dsgvo-compliance/) ein nützlicher Vergleichspunkt sein. ## Schritt 3: AVV, SCC und Drittlandtransfer bewerten Steht fest, dass der Anbieter als **Auftragsverarbeiter** agiert, folgt die Vertrags- und Transferprüfung. Hier ist **Art. 28 DSGVO** die Mindestschwelle, nicht die ganze Lösung. Prüfen Sie im **AVV** insbesondere: - Gegenstand, Dauer und Zweck der Verarbeitung - Datenkategorien und Betroffenengruppen - Subprozessoren und Änderungsmechanismus - technisch-organisatorische Maßnahmen - Löschfristen, Rückgabe und Nachweise zur Datenlöschung - vertraglichen Ausschluss von unerwünschtem Modelltraining Für Anbieter außerhalb des EWR oder mit Supportzugriffen aus Drittländern kommt die Transferprüfung hinzu. Dann müssen Unternehmen sauber dokumentieren: - wo Daten gespeichert werden - von wo aus Fernzugriffe stattfinden - welche Subprozessoren Daten erhalten - ob das **EU-U.S. Data Privacy Framework**, **SCC** oder andere Transfermechanismen herangezogen werden - ob zusätzliche technische oder organisatorische Maßnahmen erforderlich sind Gerade bei verbreiteten LLM-Anbietern sollten Einkauf und Datenschutz nicht nur die Marketingaussage “EU Hosting” übernehmen. Entscheidend ist die vollständige Verarbeitungskette. Wenn Sie einen konkreten Anbieter wie Claude bewerten, hilft auch unser Überblick zum [Claude-AVV](https://compound.law/de-DE/tools/claude-avv/). Für einen maschinellen Übersetzungsdienst zeigt das [DeepL-AVV-Anwendungsbeispiel](https://compound.law/de-DE/compliance/dsgvo-ki-beschaffung/#anwendungsbeispiel-der-deepl-avv-im-detail) unten, wie eine solche AVV- und Transferprüfung im Ergebnis aussieht. ## Schritt 4: AI-Act-Pflichten im Beschaffungsprozess verankern **KI-Beschaffung DSGVO** ist heute selten nur eine Datenschutzfrage. Seit Inkrafttreten der **KI-Verordnung am 1. August 2024** und mit dem Hauptanwendungsdatum **2. August 2026** müssen Unternehmen zusätzlich prüfen, welche Pflichten aus dem **EU AI Act** im Einkauf vorbereitet werden müssen. Für Unternehmenskäufer ist vor allem relevant, dass sie meistens **Betreiber (Deployer)** sind. Damit verschiebt sich ein Teil der Compliance in den Vertrag mit dem Anbieter. Im Beschaffungsprozess sollte deshalb geklärt werden: - Fällt das System möglicherweise unter **Anhang III** der KI-Verordnung? - Gibt es **Nutzungsanweisungen**, Dokumentation und Informationen zur menschlichen Aufsicht? - Welche vertraglichen Zusagen macht der Anbieter zu Logging, Vorfällen und Korrekturmaßnahmen? - Gibt es Transparenzpflichten nach **Art. 50 KI-VO**, wenn Nutzer direkt mit KI interagieren? Für potenzielle **Hochrisiko-KI** sollte das Beschaffungspaket außerdem regeln: 1. Bereitstellung relevanter technischer Dokumentation 2. klare Vorgaben zur menschlichen Aufsicht im Unternehmen 3. Eskalationswege bei schwerwiegenden Vorfällen 4. Abstimmung zwischen Datenschutz- und KI-Compliance Die vollständige Fristenlogik und die Betreiberpflichten ab **2. August 2026** haben wir in der [EU-AI-Act-Checkliste](https://compound.law/de-DE/compliance/eu-ai-act-august-2026-frist-checkliste/) vertieft dargestellt. ## Schritt 5: Betriebsrat, HR oder Fachbereich einbeziehen Sobald **Mitarbeiterdaten** betroffen sind, wird KI-Beschaffung in Deutschland regelmäßig arbeitsrechtlich sensibler. Dann reicht die reine DSGVO-Prüfung nicht aus. Besondere Aufmerksamkeit verdienen Tools für: - Recruiting und Bewerbervorauswahl - Leistungsanalyse oder Produktivitätsmessung - Schichtplanung und Personalsteuerung - interne Such- und Assistenzsysteme mit Zugriff auf Mitarbeiterkommunikation - Risiko- oder Verhaltensprofile Hier können parallel relevant werden: - **§ 26 BDSG** für Beschäftigtendaten - **Art. 35 DSGVO** für eine **DSFA** - **Art. 22 DSGVO** bei automatisierten Entscheidungen - **§ 87 Abs. 1 Nr. 6 BetrVG** bei mitbestimmungspflichtigen technischen Einrichtungen **Praktische Folge:** HR, Datenschutz, Rechtsabteilung und gegebenenfalls der **Betriebsrat** müssen vor Freigabe eingebunden werden. Eine Betriebsvereinbarung ersetzt keine DSGVO-Prüfung, kann aber ein zentraler Baustein des Rollout-Konzepts sein. ## Schritt 6: Go-live-Freigabe, Löschkonzept und Monitoring festhalten Mit unterschriebenem Vertrag ist die **KI-Beschaffung** nicht abgeschlossen. Vor dem produktiven Start braucht es eine dokumentierte **Go-live-Freigabe**. Vor Freigabe sollten Unternehmen festhalten: - welche Daten eingegeben werden dürfen und welche tabu sind - ob Trainingsopt-outs oder Admin-Einstellungen aktiviert wurden - wer intern Owner für Re-Assessment und Vorfälle ist - wie Löschung, Offboarding und Export im Exit-Fall funktionieren - ob das Tool im **Verzeichnis der Verarbeitungstätigkeiten** nach Art. 30 DSGVO erfasst wurde Danach beginnt die Governance-Phase: - Subprozessor-Änderungen überwachen - Nutzungsausweitung erneut prüfen - Lösch- und Aufbewahrungsfristen kontrollieren - Dokumentation bei neuen Modulen oder Integrationen aktualisieren Genau an dieser Stelle scheitern viele Unternehmen: Die Anfangsprüfung ist ordentlich, aber später wachsen Scope, Datenmengen und Nutzerkreise unkontrolliert. ## Anwendungsbeispiel: Der DeepL-AVV im Detail **Ja — die DeepL SE stellt für alle bezahlten Pro-Dienste einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO bereit, und nach den aktuellen DeepL Pro-Bedingungen ist dieser AVV integraler Vertragsbestandteil, der automatisch mit Vertragsabschluss verbindlich wird. Eine gesonderte Unterschrift ist nicht nötig.** Veröffentlicht ist der AVV im [DeepL Trust Center](https://deepl.safebase.us/) — zusammen mit der Unterauftragsverarbeiter-Liste, die seit 2026 **AWS** enthält, den Sicherheitsmaßnahmen (TOMs) und den **Standardvertragsklauseln (SCCs)**. Die folgende Annotation (geprüft: Oktober 2026) zeigt, was eine dokumentenbezogene Anbieterprüfung in der Praxis erzeugt. ### Die Eckdaten für die Vendor-Akte | Punkt | Was DeepL dokumentiert (Stand Oktober 2026) | | ------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Vertragspartner | DeepL SE, Maarweg 165, 50825 Köln, Deutschland | | Verankerung | Integraler Bestandteil der DeepL Pro-Bedingungen, verbindlich mit Abschluss (Abschnitt 8.1.5) | | Rollen | Ihr Unternehmen = Verantwortlicher; DeepL SE = Auftragsverarbeiter; AWS = Unterauftragsverarbeiter | | Transfermechanismus | EU-US Data Privacy Framework + SCCs; Transfer Impact Assessment im Trust Center | | Standard-Verarbeitungsort | Globale AWS-Regionen (EU, USA, Japan) plus DeepL-Server in Europa; standardmäßig flüchtig | | Speicherfristen | Flüchtig im Standard; verschlüsselte Debugging-Ausnahme bis 72 Stunden; angeforderte Speicherung (z. B. gespeicherte Übersetzungen) gelöscht bis 90 Tage nach Vertragsende | | Sicherheitsnachweise | ISO/IEC 27001:2022, SOC 2 Type 2, BSI-C5-Attest (Type 2), dazu TOM-Dokument im Trust Center | | Gratis-Produkte | Die kostenlose API darf Inhalte unbefristet speichern; personenbezogene Daten sind dort verboten (Abschnitte 3.3.2, 8.3.11) | ### Bezug des AVV und Prüfpunkte 1. **Dokumentenset über das Trust Center beziehen.** Der Legal-Bereich führt den Data Processing Agreement zusammen mit „DPA Sub-Processors”, dem TOM-Dokument und den International Transfer Clauses auf. Der Download läuft über eine Zugriffsanfrage; archivieren Sie das Set zusammen mit den Pro-Bedingungen und dem Bestellformular. 2. **Art.-28-Kernpunkte prüfen.** Dokumentierte Weisungen und Pflichten zur rechtmäßigen Erhebung (Abschnitt 8.1.5), Verschlüsselung bei Übertragung und in Ruhe mit Schlüsselkontrolle durch DeepL, Subprozessoren-Transparenz mit Widerspruchsmechanismus sowie die Verantwortlichen-Unterstützung über Datenflussdiagramm und Anbieter-TIA. 3. **Speicherbedingungen präzise festhalten.** Standardmäßig flüchtige Verarbeitung, die 72-Stunden-Ausnahme für verschlüsseltes Debugging und die Löschung angeforderter Speicherung bis 90 Tage nach Vertragsende — konkrete Bedingungen, die sich für das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO zitieren lassen. 4. **Den Einbezug-Automatismus bestätigen.** Abschnitt 8.1.5 bindet den AVV mit Abschluss des Pro-Abonnements; Enterprise-Kunden erhalten das Paket über ihr Account-Team, zusammen mit etwaigen Datenresidenz-Bedingungen. ### Was die AWS-Umstellung 2026 für die Freigabe bedeutet Seit dem 1. Januar 2026 verarbeitet DeepL Business- und Enterprise-Inhalte auf **AWS** zusätzlich zu den eigenen europäischen Rechenzentren, mit AWS als dokumentiertem Unterauftragsverarbeiter. Kundeninhalte können ohne vertragliche Steuerung über globale AWS-Regionen (EU, USA, Japan) verarbeitet werden. Das **Datenresidenz-Add-on** legt die Verarbeitung auf eine gewählte Region fest — für sales-unterstützte Team-, Business- und API-for-Business-Kunden, im Tarif DeepL for Enterprise standardmäßig. EU-only-Verarbeitung ist damit ein gekaufter Vertragseffekt, nicht mehr der Standard. Kunden, die den AWS-Bedingungen widersprechen, können den Dienst bis zum Ende der laufenden Abrechnungsperiode nutzen; die Inhalte bleiben bis zum Vertragsende auf DeepL-Infrastruktur. DeepL ist damit ein Lehrbuchbeispiel für den Transferprüfungsschritt dieser Seite: „EU Hosting”-Aussagen, Fernzugriffe und die Subprozessorenkette stehen in den Unterlagen, nicht auf der Marketingseite. Der AVV ersetzt zudem nicht die eigenen Pflichten: Berufsgeheimnisse, die Hochrisiko-Einschätzung nach dem EU-KI-Gesetz (Abschnitt 8.1.2) und die eigene Verarbeitung von Nutzungsdaten (Abschnitt 3.1.10) bleiben beim Unternehmen — und der Gratis-Tarif liegt vollständig außerhalb dieses AVV-Regelkreises. ## Checkliste: 10 Fragen vor Freigabe eines KI-Anbieters 1. **Ist der Use Case dokumentiert?** Fachbereich, Zweck, Nutzer und Datenflüsse müssen klar sein. 2. **Sind personenbezogene Daten betroffen?** Ohne diese Frage gibt es keine belastbare DSGVO-Einordnung. 3. **Ist die Rolle des Anbieters geklärt?** Auftragsverarbeiter, Verantwortlicher oder Mischmodell. 4. **Liegt ein belastbarer AVV vor?** Art. 28 DSGVO muss vertraglich sauber abgedeckt sein. 5. **Sind SCC und Drittlandtransfers geprüft?** Speicherort allein reicht nicht; auch Fernzugriffe und Subprozessoren zählen. 6. **Ist eine DSFA erforderlich?** Profiling, Monitoring, Mitarbeiterdaten und sensible Daten sauber screenen. 7. **Ist Modelltraining mit Unternehmensdaten ausgeschlossen oder kontrolliert?** Gerade bei GenAI-Tools zentral. 8. **Sind AI-Act-Pflichten bewertet?** Art. 25, Art. 26, Art. 50 KI-VO und Anhang III mitdenken. 9. **Sind Betriebsrat oder HR einzubeziehen?** Vor allem bei Beschäftigtendaten und Monitoring-Risiken. 10. **Ist die Go-live-Governance dokumentiert?** Owner, Löschung, Monitoring und Re-Assessment festhalten. ## Häufige Fehler bei der KI-Beschaffung Wiederkehrende Schwachstellen in deutschen Unternehmen sind: - Pilot mit Echtdaten vor Abschluss der Rechtsprüfung - AVV als einzige Prüffrage - keine saubere Rollenklärung des Anbieters - Blick nur auf Rechenzentrumsstandort, nicht auf Support- und Subprozessorstruktur - kein klares Verbot oder Opt-out für Modelltraining - fehlende Einbindung des Betriebsrats bei mitarbeiterbezogenen Tools - keine dokumentierte Go-live-Freigabe Wer diese Fehler vermeidet, verkürzt meist nicht nur das juristische Risiko, sondern auch die Beschaffungsdauer. Einkauf, IT und Legal arbeiten schneller, wenn der Prüfpfad standardisiert ist. ## Nächster Schritt für Unternehmen Wenn Ihr Team ein KI-Tool für HR, Legal, Support, Enterprise Search oder interne Assistenten beschaffen will, sollte die Rechtsprüfung vor dem ersten Datenupload beginnen. Auf unserer Seite zur [KI-Rechtsberatung für Unternehmen](https://compound.law/de-DE/compliance/ki-compliance-rechtsberatung/) zeigen wir, wie Compound Law KI-Beschaffung, AVV-Prüfung, KI-Verordnung, Vertragsverhandlung und Betriebsratsfragen in einem Beratungsmandat zusammenführt. Für die nächste Vertiefung empfehlen wir unsere Seiten zur [DSGVO-Checkliste für KI-Tools](https://compound.law/de-DE/compliance/dsgvo-checkliste-ki-tools/), zu den [EU-AI-Act-Fristen fuer KI-Beschaffungsteams](https://compound.law/de-DE/compliance/eu-ai-act-august-2026-frist-checkliste/) und zu [Anthropic DSGVO-Compliance](https://compound.law/de-DE/compliance/anthropic-dsgvo-compliance/). *** *Dieser Beitrag enthält allgemeine rechtliche Informationen zur KI-Beschaffung in Deutschland. Die Bewertung eines konkreten Tools hängt vom Use Case, den Datenflüssen, den Vertragsunterlagen und der tatsächlichen Rollenverteilung ab und erfordert gegebenenfalls individuelle Rechtsberatung.* ## Weitere Compliance-Guides [![EU KI-Verordnung Beschaffung vor 2027 fuer deutsche Einkaeufer](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [compliance](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) ### [EU KI-Verordnung Beschaffung vor 2027 Deutschland](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [EU KI-Verordnung Beschaffung vor 2027: Deutsche Einkaeufer sollten Vertragslogik und Betreiberunterstuetzung vor dem Rollout klaeren.](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [![KI-Rechtsberatung vs KI-Rechtsassistent fuer Unternehmen](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) [Leitfäden](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) ### [KI-Rechtsberatung vs KI-Rechtsassistent fuer Unternehmen](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) [Vergleichen Sie KI-Rechtsberatung mit einem KI-Rechtsassistenten fuer deutsche Unternehmen bei KI-Beschaffung, DSGVO, KI-Verordnung und Haftung.](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) [![EU AI Act Fristen Deutschland mit den Daten 2026 2027 und 2028](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) [compliance](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) ### [EU AI Act Fristen Deutschland: 2026, 2027 und 2028](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) [EU AI Act Fristen Deutschland: was am 2. August 2026, 2. Dezember 2027 und 2. August 2028 fuer KI-Beschaffung und Compliance zaehlt.](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) ## Häufige Fragen KI-Beschaffung unter der DSGVO bedeutet, dass ein KI-Tool vor dem Einkauf oder Rollout datenschutzrechtlich geprüft wird. Deutsche Unternehmen müssen insbesondere den Use Case dokumentieren, die Rolle des Anbieters bewerten, einen AVV nach Art. 28 DSGVO verhandeln, Drittlandtransfers prüfen und festlegen, welche organisatorischen Kontrollen vor dem Go-live gelten. Nein. Ein AVV ist erforderlich, wenn der Anbieter personenbezogene Daten im Auftrag des Unternehmens verarbeitet. Nutzt der Anbieter Daten für eigene Zwecke, etwa Produktverbesserung, Modelltraining oder eigene Analysen, kann er ganz oder teilweise Verantwortlicher oder gemeinsam Verantwortlicher sein. Dann reicht ein AVV allein nicht aus. Eine DSFA nach Art. 35 DSGVO ist erforderlich, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko für betroffene Personen auslöst. Typische Auslöser bei KI-Tools sind Profiling, systematische Überwachung, Mitarbeiterdaten, sensible Daten nach Art. 9 DSGVO oder automatisierte Entscheidungen mit erheblichen Auswirkungen. Unternehmen sollten bereits im Einkauf prüfen, ob das System unter Anhang III der KI-Verordnung fallen kann, ob technische Dokumentation und Nutzungsanweisungen verfügbar sind und wie Art. 25 und 26 KI-VO vertraglich abgebildet werden. Bei Hochrisiko-KI gehören zudem Vorgaben zu menschlicher Aufsicht, Logging und Eskalation von Vorfällen in das Vertrags- und Freigabepaket. Ja. Die DeepL SE veröffentlicht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO in ihrem Trust Center. Nach den aktuellen DeepL Pro-Bedingungen (Abschnitt 8.1.5) ist dieser AVV integraler Bestandteil des Pro-Vertrags und wird automatisch mit dessen Abschluss verbindlich. Bezahlte Kunden müssen ihn also weder verhandeln noch gegenzeichnen; eine archivierte Kopie für den Vendor-Ordner bleibt trotzdem gute Praxis. In der Regel gar nicht separat. Abschnitt 8.1.5 der DeepL Pro-Bedingungen macht den im Trust Center abrufbaren AVV zum integralen Bestandteil des Vertrags, verbindlich mit dessen Abschluss. Enterprise-Kunden erhalten den AVV über ihren Account- oder Sales-Kontakt, zusammen mit etwaigen Datenresidenz-Bedingungen. Laden und archivieren Sie in beiden Fällen AVV, Subprozessoren-Liste, TOMs und Transferklauseln, bevor personenbezogene Daten übermittelt werden. Ja. Im Hybrid-Infrastrukturmodell 2026 verarbeitet DeepL Business- und Enterprise-Inhalte auf AWS neben den eigenen europäischen Rechenzentren, und AWS ist als Unterauftragsverarbeiter dokumentiert. Die Übersetzungsmodelle von DeepL laufen in einer von DeepL kontrollierten Umgebung. Die aktuelle Subprozessoren-Liste ist ein Rechtsdokument im Trust Center, und die Infrastruktur-Hinweise von DeepL beschreiben den Widerspruchspfad bei Änderungen. Ja, als vertragliches Add-on. Die Datenresidenz-Option steht sales-unterstützten Kunden der Tarife Team, Business und API for Business offen und ist im Tarif DeepL for Enterprise standardmäßig enthalten. Pro Organisation kann eine Region gewählt werden — EU, USA oder Japan — und die Option muss für alle Abonnements im Umfang erworben werden. Operatives Logging und Monitoring können außerhalb der Region laufen, enthalten nach DeepL-Angaben aber keine Kundeninhalte. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "KI-Beschaffung DSGVO: AI-Act-Compliance vor dem Rollout (2026)", "description": "KI-Beschaffung DSGVO in Deutschland: So prüfen Unternehmen AVV, SCC, DSFA und AI-Act-Pflichten vor Pilot, Einkauf und Go-live.", "image": "https://compound.law/assets/images/compliance/compliance_2.webp", "datePublished": "2026-05-21T00:00:00.000Z", "dateModified": "2026-05-21T00:00:00.000Z", "author": { "@type": "Person", "name": "Dr. Markus Dreißigacker", "image": "https://compound.law/assets/images/team/markusdreissigacker.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/compliance/dsgvo-ki-beschaffung/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "Compliance-Guides", "item": "https://compound.law/de-DE/compliance/" }, { "@type": "ListItem", "position": 3, "name": "KI-Beschaffung DSGVO: AI-Act-Compliance vor dem Rollout", "item": "https://compound.law/de-DE/compliance/dsgvo-ki-beschaffung/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Was bedeutet KI-Beschaffung unter der DSGVO?", "acceptedAnswer": { "@type": "Answer", "text": "KI-Beschaffung unter der DSGVO bedeutet, dass ein KI-Tool vor dem Einkauf oder Rollout datenschutzrechtlich geprüft wird. Deutsche Unternehmen müssen insbesondere den Use Case dokumentieren, die Rolle des Anbieters bewerten, einen AVV nach Art. 28 DSGVO verhandeln, Drittlandtransfers prüfen und festlegen, welche organisatorischen Kontrollen vor dem Go-live gelten." } }, { "@type": "Question", "name": "Braucht jedes KI-Tool einen AVV nach Art. 28 DSGVO?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Ein AVV ist erforderlich, wenn der Anbieter personenbezogene Daten im Auftrag des Unternehmens verarbeitet. Nutzt der Anbieter Daten für eigene Zwecke, etwa Produktverbesserung, Modelltraining oder eigene Analysen, kann er ganz oder teilweise Verantwortlicher oder gemeinsam Verantwortlicher sein. Dann reicht ein AVV allein nicht aus." } }, { "@type": "Question", "name": "Wann löst KI-Beschaffung eine DSFA in Deutschland aus?", "acceptedAnswer": { "@type": "Answer", "text": "Eine DSFA nach Art. 35 DSGVO ist erforderlich, wenn die geplante Verarbeitung voraussichtlich ein hohes Risiko für betroffene Personen auslöst. Typische Auslöser bei KI-Tools sind Profiling, systematische Überwachung, Mitarbeiterdaten, sensible Daten nach Art. 9 DSGVO oder automatisierte Entscheidungen mit erheblichen Auswirkungen." } }, { "@type": "Question", "name": "Welche AI-Act-Pflichten gehören in den Beschaffungsprozess?", "acceptedAnswer": { "@type": "Answer", "text": "Unternehmen sollten bereits im Einkauf prüfen, ob das System unter Anhang III der KI-Verordnung fallen kann, ob technische Dokumentation und Nutzungsanweisungen verfügbar sind und wie Art. 25 und 26 KI-VO vertraglich abgebildet werden. Bei Hochrisiko-KI gehören zudem Vorgaben zu menschlicher Aufsicht, Logging und Eskalation von Vorfällen in das Vertrags- und Freigabepaket." } }, { "@type": "Question", "name": "Hat DeepL einen AVV?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Die DeepL SE veröffentlicht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO in ihrem Trust Center. Nach den aktuellen DeepL Pro-Bedingungen (Abschnitt 8.1.5) ist dieser AVV integraler Bestandteil des Pro-Vertrags und wird automatisch mit dessen Abschluss verbindlich. Bezahlte Kunden müssen ihn also weder verhandeln noch gegenzeichnen; eine archivierte Kopie für den Vendor-Ordner bleibt trotzdem gute Praxis." } }, { "@type": "Question", "name": "Wie schließe ich den DeepL AVV ab?", "acceptedAnswer": { "@type": "Answer", "text": "In der Regel gar nicht separat. Abschnitt 8.1.5 der DeepL Pro-Bedingungen macht den im Trust Center abrufbaren AVV zum integralen Bestandteil des Vertrags, verbindlich mit dessen Abschluss. Enterprise-Kunden erhalten den AVV über ihren Account- oder Sales-Kontakt, zusammen mit etwaigen Datenresidenz-Bedingungen. Laden und archivieren Sie in beiden Fällen AVV, Subprozessoren-Liste, TOMs und Transferklauseln, bevor personenbezogene Daten übermittelt werden." } }, { "@type": "Question", "name": "Nutzt DeepL AWS oder andere Unterauftragsverarbeiter?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Im Hybrid-Infrastrukturmodell 2026 verarbeitet DeepL Business- und Enterprise-Inhalte auf AWS neben den eigenen europäischen Rechenzentren, und AWS ist als Unterauftragsverarbeiter dokumentiert. Die Übersetzungsmodelle von DeepL laufen in einer von DeepL kontrollierten Umgebung. Die aktuelle Subprozessoren-Liste ist ein Rechtsdokument im Trust Center, und die Infrastruktur-Hinweise von DeepL beschreiben den Widerspruchspfad bei Änderungen." } }, { "@type": "Question", "name": "Bietet DeepL EU-Datenresidenz?", "acceptedAnswer": { "@type": "Answer", "text": "Ja, als vertragliches Add-on. Die Datenresidenz-Option steht sales-unterstützten Kunden der Tarife Team, Business und API for Business offen und ist im Tarif DeepL for Enterprise standardmäßig enthalten. Pro Organisation kann eine Region gewählt werden — EU, USA oder Japan — und die Option muss für alle Abonnements im Umfang erworben werden. Operatives Logging und Monitoring können außerhalb der Region laufen, enthalten nach DeepL-Angaben aber keine Kundeninhalte." } } ] } ] ```