Checkliste: Datenschutz-Fragen für Ihre KI-Plattform

1. Verträge und Rollen4 Fragen

Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Betreiber der Plattform?Gibt es einen solchen Vertrag auch mit jedem angebundenen Modellanbieter?Sind Unterauftragsverarbeiter bekannt, dokumentiert und freigegeben?Ist geklärt, wer im Haus Verantwortlicher ist und wer die Plattform fachlich verantwortet?

2. Datenwege und Standort4 Fragen

Ist dokumentiert, wo Oberfläche, Datenbank und Modell laufen?Sind externe Modelle in der Oberfläche als extern gekennzeichnet, sodass Nutzer wissen, wann Daten das System verlassen?Sind Anbieter, Verarbeitungsregion und Datenwege je Modell festgelegt?Ist bei Übermittlungen in Drittländer (Art. 44 ff. DSGVO) die Rechtsgrundlage geklärt, und gibt es einen Plan B, falls sie wegfällt?

3. Training und Speicherung4 Fragen

Ist vertraglich oder per Tarif ausgeschlossen, dass Eingaben zum Training von Modellen genutzt werden?Sind Speicher- und Löschfristen für Chats, Dateien und Logs festgelegt?Ist bekannt, wie lange Anbieter Eingaben vorhalten, und ist das bewertet?Sind Backups in das Löschkonzept einbezogen?

4. Zugriff und Rechte4 Fragen

Melden sich Mitarbeitende mit dem Firmenkonto an (Single Sign-on), idealerweise mit Mehrfaktor-Authentifizierung?Gibt es Rollen und Gruppen, und ist festgelegt, wer welche Modelle nutzen darf?Ist geregelt, ob und wann Administratoren Chats einsehen dürfen?Ist, falls vorhanden, der Betriebsrat eingebunden?

5. Sensible Daten4 Fragen

Ist festgelegt, welche Datenarten nie in ein externes Modell dürfen, zum Beispiel Gesundheitsdaten oder Personalakten?Gibt es eine technische Absicherung wie einen PII-Filter, der warnt, maskiert oder blockiert?Ist geprüft, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist?Gibt es für besonders sensible Fälle ein lokales Modell?

6. Wissensdatenbank und Dokumente4 Fragen

Greifen Wissensdatenbanken nur auf Dokumente zu, die der jeweiligen Gruppe freigegeben sind?Nennt die KI die Quelle jeder Antwort, damit Mitarbeitende sie prüfen können?Sind die Quelldokumente aktuell und widerspruchsfrei?Sind die Hinweise der Orientierungshilfe der Datenschutzkonferenz zu KI mit RAG-Methode (Oktober 2025) berücksichtigt?

7. Organisation und KI-Kompetenz4 Fragen

Gibt es eine verständliche Nutzungsrichtlinie, die sagt, was erlaubt ist und was nicht?Sind Mitarbeitende geschult, und ist das dokumentiert (Art. 4 KI-Verordnung)?Ist die Nutzung privater KI-Accounts geregelt, und gibt es ein offizielles Angebot als Alternative?Sind Ansprechpersonen für Fragen und Vorfälle benannt?

8. Betrieb und Sicherheit4 Fragen

Gibt es ein Logging-Konzept, das Nachvollziehbarkeit bietet, ohne unnötig Daten zu speichern?Sind API-Keys serverseitig geschützt und nie im Browser sichtbar?Gibt es Betriebsdokumentation sowie Regeln für Backup, Wiederherstellung und Updates?Ist ein Vorgehen bei Datenschutzvorfällen festgelegt, das die 72-Stunden-Meldefrist nach Art. 33 DSGVO einhält?

Kostenloses Erstgespräch

Offene Punkte gemeinsam klären

Wir gehen die Checkliste mit Ihnen durch und zeigen, wie sich offene Punkte mit einer eigenen KI-Plattform lösen lassen. Kostenlos und unverbindlich.

Termin buchen Kontakt aufnehmen

+49 40 743 023 37

Kostenlose ErstberatungKeine VerpflichtungAntwort innerhalb 24h

Weiterführend

Mehr zum Thema

DSGVO-konforme KI

Worauf es bei Vertrag, Datenwegen und Hosting ankommt. Zur Seite.

ChatGPT-Alternative

Vergleich von ChatGPT Business und eigener Plattform. Zur Seite.

Plattformen

Open WebUI, LibreChat und AnythingLLM im Überblick.

FAQ

Fragen zur Checkliste

Ersetzt die Checkliste eine Rechtsberatung?

Nein. Sie hilft, Themen zu sortieren und Gespräche mit Datenschutzteam und Anbietern vorzubereiten. Die Bewertung Ihres Einzelfalls bleibt bei Ihnen und Ihren Datenschutzverantwortlichen.

Für welche Plattformen gilt die Checkliste?

Für jede KI-Plattform im Unternehmen, ob ChatGPT Business, eine eigene Open-Source-Plattform wie Open WebUI, LibreChat oder AnythingLLM oder ein anderer Dienst.

Werden meine Haken gespeichert?

Nur lokal in Ihrem Browser, sofern er das erlaubt. Es werden keine Daten an DSGPT übertragen.

Quellen

DSGPT Wissen, DSGPT-Blog zur KI-Kompetenz, DSGPT-Blog zum Data Privacy Framework

Zuletzt aktualisiert: 29. Oktober 2026 · ADence GmbH, Hamburg. Diese Seite ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.

Datenschutz-Fragen für Ihre KI-Plattform