DSGVO-konforme KI-Lösungen & EU-Hosting

DSGVO-Konformität ist eine Eigenschaft des gesamten Verarbeitungsszenarios, nicht eines Modells oder Serverstandorts. Dazu gehören eine Rechtsgrundlage und ein klarer Zweck, ein dokumentierter Datenfluss, ein Auftragsverarbeitungs-Vertrag (AVV) mit jedem Anbieter, geklärte Datenresidenz und Aufbewahrung, technische und organisatorische Maßnahmen (TOMs), passende Berechtigungen, eine Grundlage für einen etwaigen Drittlandtransfer und die Möglichkeit, Betroffenenrechte (Auskunft, Löschung, Widerspruch) auszuüben. Ein EU-Serverstandort allein reicht dafür nicht.

Mit Consumer-Konten ist das für personenbezogene Daten kaum darstellbar. Über Enterprise- und Cloud-Zugänge ist ein DSGVO-konformer Einsatz möglich, etwa GPT-Modelle über Azure OpenAI oder Claude über AWS Bedrock oder Google Vertex AI. Die Modelle selbst hostet dabei der jeweilige Anbieter, nicht CODING 9. Wo Daten gespeichert und wo sie verarbeitet werden, hängt von Produkt und Konfiguration ab: Bei Azure etwa bleibt bei einem Data-Zone-EU-Deployment die Inferenz in der EU, bei einem Global-Deployment nicht. Bei Bedrock gilt das Entsprechende für EU- und Global-Inference-Profile. Diese Einstellungen wählen und dokumentieren wir zusammen mit AVV und Trainings-Ausschluss. Wo Daten Ihr Netzwerk gar nicht verlassen sollen, setzen wir selbst gehostete Open-Weight-Modelle ein (Llama, Mistral, Qwen).

Ja, wenn die Verarbeitung personenbezogener Daten eine Rechtsgrundlage hat, ein AVV mit dem Anbieter besteht und die Daten in der EU oder mit geeigneten Garantien verarbeitet werden. Für besondere Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten, und für sensible Personaldaten empfehlen wir selbst gehostete Modelle, bei denen die Daten Ihr Netzwerk nicht verlassen. Welche Daten bei Ihnen in welches System dürfen, legen wir gemeinsam mit Ihrem Datenschutzbeauftragten fest.

Das hängt vom Weg ab. Bei selbst gehosteten Open-Weight-Modellen laufen Modell und Daten in unserem Hosting in Frankfurt oder direkt in Ihrer Infrastruktur, ein externer Modellanbieter ist nicht beteiligt. Bei GPT oder Claude über eine Cloud bedeutet EU-Hosting, dass der Anbieter Speicherung und, je nach Deployment-Typ, auch die Verarbeitung in EU-Regionen zusagt. Hat der Anbieter seinen Sitz in den USA, gehört die Frage nach dem Drittlandtransfer (Data Privacy Framework, Standardvertragsklauseln) trotzdem in die Bewertung.

Nein. Bei den von uns eingesetzten Enterprise-Zugängen ist die Trainingsnutzung vertraglich ausgeschlossen, bei selbst gehosteten Modellen verlassen die Daten Ihre Umgebung nicht. Wie lange ein Anbieter Eingaben speichert, etwa zur Missbrauchskontrolle, regeln seine Bedingungen. Wir prüfen diese Fristen, nutzen Zero-Retention-Optionen, wo verfügbar, und halten die Aufbewahrung im Projekt fest.

Empfehlenswert ist eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO für die geplante KI-Nutzung. Unser „DSGVO-KI-Audit" ist die technisch-organisatorische Vorarbeit dazu (Tool-Inventar, AVV-Check, EU-Hosting-Prüfung, Maßnahmen-Plan) - keine zertifizierte Auditierung und kein DSB-Testat. Die rechtsverbindliche Bewertung läuft mit Ihrem Datenschutzbeauftragten oder externen Auditoren; unsere Doku dient dabei als Grundlage.

Ja. Über unser Produkt BaseGPT betreiben wir Open-Weight-Modelle (Llama, Mistral, Qwen, DeepSeek von 7B bis 120B Parametern) direkt auf Ihrer Infrastruktur - bare-metal oder im Kubernetes-Cluster. Ihre Daten verlassen Ihr Netzwerk nicht.

Seit 2. August 2026 gelten die Transparenzpflichten: Chatbots und KI-generierte Inhalte müssen als solche erkennbar sein. Die Pflichten für General-Purpose-AI-Modelle gelten bereits seit August 2025. Für Hochrisiko-Systeme (Risikomanagement, Daten-Governance, Logging, menschliche Aufsicht) hat der Digital Omnibus die Frist verschoben: auf den 2. Dezember 2027 für KI in Personalprozessen, Kreditentscheidungen oder kritischer Infrastruktur und auf den 2. August 2028 für KI in regulierten Produkten. CODING 9 begleitet die Klassifizierung Ihrer Use-Cases und stellt die nötigen Compliance-Artefakte bereit.

Eine Pilot-Implementierung mit OpenWebUI oder einer Custom-UI auf einem Endpunkt mit EU-Datenverarbeitung ist in 4-6 Wochen produktionsreif. Wir richten Single-Sign-On, AVV, TOM-Dokumentation und Audit-Logs ein und schulen Ihre Power-User. Bestandsdaten bleiben dabei auf Wunsch on-premises.

Wir arbeiten mit drei Paket-Stufen: einem schriftlichen DSGVO-KI-Audit als technisch-organisatorischer Bestandsaufnahme (keine zertifizierte Auditierung, keine DSFA), einer Pilot-Implementierung für einen konkreten Use-Case und einem unternehmensweiten Rollout mit ERP-/CRM-Anbindung. Welches Paket zu Ihnen passt, besprechen wir im Erstgespräch, danach bekommen Sie einen Festpreis-Vorschlag, mit dem Sie planen können. API-Verbrauch und EU-Hosting laufen separat verbrauchsbasiert.

Für die meisten Mittelständler reichen Modelle der Mistral- und Qwen-Familie zwischen 7B und 32B Parametern auf einer einzelnen GPU (z. B. Nvidia L40S oder H100). Für anspruchsvolle Tasks setzen wir größere Llama- oder DeepSeek-Modelle ein. Welches Modell zu Ihrem Use-Case passt, entscheiden wir gemeinsam mit Ihnen, und vor der Produktion führen wir Benchmark-Tests durch.

Ja. KI-Systeme zur Bewerber-Vorauswahl gelten unter dem EU AI Act als Hochrisiko-Systeme. Sie benötigen Risikomanagement, Daten-Governance, technische Dokumentation, Logging und menschliche Aufsicht. Zusätzlich greifen § 26 BDSG und Mitbestimmungsrechte. CODING 9 implementiert solche Systeme nur mit Datenschutzbeauftragten und Betriebsrat im Boot - und liefert die geforderten Compliance-Artefakte mit.