Datenschutzbeauftragter mit ChatGPT?
Die Frage wird ernst gemeint gestellt: Ein Sprachmodell kennt die DSGVO, formuliert schneller als jeder Mensch und kostet einen Bruchteil. Warum also noch jemanden bestellen? Die Antwort liegt nicht in der Qualität der Antworten, sondern in der Konstruktion des Amtes. Der Datenschutzbeauftragte ist nach Art. 37 DSGVO eine benannte Person mit Fachkunde, geschützter Stellung und einer Meldung an die Aufsichtsbehörde — Eigenschaften, die ein Dienst nicht haben kann. Diese Seite trennt sauber, was zwingend an der Person hängt und was Sie sinnvollerweise an KI abgeben.
Was an der Person hängt — und was nicht
| Kriterium | Bestellte Person, unterstützt durch CIVAC | Allgemeiner KI-Chatdienst |
|---|---|---|
| Benennung nach Art. 37 DSGVO | Eine benannte Person — Beschäftigte oder auf Grundlage eines Dienstleistungsvertrags (Art. 37 Abs. 6 DSGVO). Die Benennung ist ein Rechtsakt mit Adressat. | Nicht möglich. Ein Dienst ist kein Adressat einer Benennung; ihm können weder Fachkunde noch Aufgaben nach Art. 39 DSGVO zugewiesen werden. |
| Fachkunde und Eignung | Nachzuweisen über berufliche Qualifikation und Fachwissen im Datenschutzrecht und in der Praxis, bemessen an der Komplexität der Verarbeitungen (Art. 37 Abs. 5 DSGVO). | Ein Modell hat keine Qualifikation im Rechtssinn. Es kann Fachwissen wiedergeben, aber nicht Träger der Anforderung sein. |
| Unabhängigkeit | Keine Weisungen zur Aufgabenerfüllung, Benachteiligungsverbot, direkte Berichtslinie zur höchsten Managementebene (Art. 38 Abs. 3 DSGVO). | Ein Dienst folgt der Eingabe. Wer die Frage stellt, bestimmt den Rahmen — Unabhängigkeit im Sinne des Art. 38 Abs. 3 DSGVO entsteht dabei nicht. |
| Anlaufstelle nach außen | Kontaktdaten sind zu veröffentlichen und der Aufsichtsbehörde mitzuteilen (Art. 37 Abs. 7). Betroffene können sich an die Person wenden (Art. 38 Abs. 4), die Behörde ebenfalls (Art. 39 Abs. 1 lit. e). | Es gibt niemanden, den eine Aufsichtsbehörde anschreiben oder eine betroffene Person zu Rate ziehen könnte. |
| Verantwortung | Die Rechenschaftspflicht bleibt beim Verantwortlichen (Art. 5 Abs. 2, Art. 24 DSGVO); der Beauftragte überwacht und berät und ist Ansprechpartner in der Prüfung. | Keine Verantwortung, keine Haftung, keine Rolle in einem Verfahren. Der Verantwortliche trägt das Ergebnis der Nutzung allein. |
| Eingabe personenbezogener Daten | Verarbeitung ausschließlich in der EU (Google-Cloud-Region Frankfurt), mit Auftragsverarbeitungsvertrag, offengelegten Unterauftragsverarbeitern und ohne Modelltraining auf Kundendaten. | Die Eingabe ist selbst eine Verarbeitung. Ohne Vertrag nach Art. 28 DSGVO und ohne Transfergrundlage nach Art. 44 ff. DSGVO ist sie für personenbezogene Daten nicht zulässig — die konkreten Bedingungen unterscheiden sich je Dienst und Tarif. |
| Belegbarkeit der Antwort | Jede KI-Antwort trägt Quellenangabe und ausgewiesene Konfidenz; heikle Fälle lassen sich per Klick an eine externe Kanzlei eskalieren. | Antworten ohne verlässliche Fundstelle sind im Streitfall nicht verwertbar. Ob Quellen mitgeliefert und ob sie korrekt sind, muss in jedem Einzelfall geprüft werden. |
| Fristen und Wiedervorlage | Fristen wie die 72 Stunden nach Art. 33 DSGVO laufen als überwachter Vorgang mit Zuständigen, Eskalation und Historie. | Ein Chat merkt sich keine Frist und meldet sich nicht. Der Anstoß muss immer von einem Menschen kommen. |
| Nachweis im Audit | Aufgaben, Schulungen, Audits und Dokumentation liegen in einem Datenmodell; der Monatsbericht wird daraus erzeugt und ist exportierbar. | Ein Gesprächsverlauf ist kein Nachweis im Sinne der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. |
Hinweis zu den Angaben: Diese Seite dient der Orientierung und ist keine Rechtsberatung. Die Ausführungen zu KI-Diensten beziehen sich auf die Kategorie allgemeiner Chatdienste, nicht auf ein bestimmtes Produkt: Vertrags-, Verarbeitungs- und Hostingbedingungen unterscheiden sich je Anbieter und Tarif und ändern sich laufend — maßgeblich sind allein die jeweils aktuellen Bedingungen des Anbieters, Stand dieser Seite: August 2026. Genannte Marken gehören ihren jeweiligen Inhabern; die Nennung dient allein der Identifikation.
Warum ein Modell nicht bestellt werden kann
Die DSGVO beschreibt den Datenschutzbeauftragten nicht als Funktion, sondern als Stellung. Art. 37 Abs. 5 knüpft die Benennung an berufliche Qualifikation und Fachwissen. Art. 38 Abs. 3 verbietet Weisungen zur Aufgabenerfüllung, untersagt Benachteiligung wegen der Amtsausübung und verlangt eine Berichtslinie zur höchsten Managementebene. Art. 38 Abs. 5 verpflichtet zur Verschwiegenheit. Art. 37 Abs. 7 verlangt, die Kontaktdaten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen. Jede dieser Vorschriften setzt jemanden voraus, der Adressat einer Pflicht sein kann.
Deshalb ist die Frage nach dem Ersatz falsch gestellt. Ein Sprachmodell konkurriert nicht mit dem Amt, sondern allenfalls mit einzelnen Arbeitsschritten darin. Wer die Benennung unterlässt, obwohl eine Pflicht besteht, riskiert nach Art. 83 Abs. 4 lit. a DSGVO ein Bußgeld von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes — und ändert daran nichts dadurch, dass die fachlichen Fragen gut beantwortet werden.
Die Eingabe ist selbst eine Verarbeitung
Der Punkt wird in der Praxis am häufigsten übersehen. Wer eine Bewerberliste, ein Kündigungsschreiben, einen Vorfallsbericht oder ein Verarbeitungsverzeichnis in einen Chat kopiert, verarbeitet personenbezogene Daten. Damit stellen sich sofort die üblichen Fragen: Gibt es eine Rechtsgrundlage? Ist der Anbieter Auftragsverarbeiter, und liegt ein Vertrag nach Art. 28 DSGVO vor? Werden Daten in ein Drittland übermittelt, und wenn ja, auf welcher Grundlage nach Art. 44 ff. DSGVO? Werden die Inhalte zum Training verwendet? Ist die Nutzung im Verarbeitungsverzeichnis abgebildet und in der Datenschutzinformation erwähnt?
Die Antworten hängen vom konkreten Dienst und vom gebuchten Tarif ab und ändern sich; pauschale Aussagen über einzelne Anbieter helfen deshalb nicht weiter. Belastbar ist nur der Grundsatz: Ohne geklärte Rechtsgrundlage, ohne Auftragsverarbeitungsvertrag und ohne Transfermechanismus gehören personenbezogene Daten nicht in ein allgemeines Chatfenster. Hinzu kommt seit dem 2. Februar 2025 die Pflicht aus Art. 4 der KI-Verordnung, für ein ausreichendes Maß an KI-Kompetenz bei den Personen zu sorgen, die solche Systeme im Unternehmen einsetzen.
Wofür KI im Datenschutz tatsächlich taugt
Nichts davon spricht gegen den Einsatz von KI — im Gegenteil. Sprachmodelle sind stark beim ersten Entwurf einer Richtlinie, beim Zusammenfassen langer Verträge, beim Gegenlesen einer Datenschutzinformation, beim Sortieren eines unübersichtlichen Sachverhalts und beim schnellen Einstieg in eine Fragestellung, die man anschließend selbst prüft. Genau in dieser Rolle — Vorarbeit, nicht Entscheidung — ist der Nutzen groß und gut belegt.
CIVAC setzt KI deshalb an denselben Stellen ein, aber in einem Rahmen, der die obigen Fragen vorab beantwortet: gehostete Modelle in unserer EU-Infrastruktur statt eines öffentlichen Chatkontos, kein Training auf Kundendaten, keine Weitergabe von Prompts oder Dokumenten zwischen Mandanten, Quellenangabe und ausgewiesene Konfidenz an jeder Antwort und ein Eskalationsweg an eine externe Kanzlei, wenn es heikel wird. Fünf Checks lesen Website, Pflichtenlage und Audit-Reife gegen Gesetzestext und Norm; jeder Befund wird mit einem Klick zur Aufgabe mit Frist und Zuständigem. Die Entscheidung trifft weiterhin die bestellte Person.
Aufgabenteilung, die trägt
Nur die bestellte Person kann …
- als Datenschutzbeauftragter benannt und der Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO mitgeteilt werden.
- Anlaufstelle für Betroffene (Art. 38 Abs. 4) und für die Aufsichtsbehörde (Art. 39 Abs. 1 lit. e) sein.
- die Einhaltung der Vorschriften überwachen und die Geschäftsleitung weisungsfrei beraten.
- bei der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO beraten und deren Durchführung begleiten.
- in einer Prüfung Rede und Antwort stehen und Entscheidungen verantworten.
Ein Sprachmodell hilft wirklich bei …
- Erstentwürfen für Richtlinien, Betroffenenauskünfte, Schulungsunterlagen und Vertragsklauseln.
- dem Zusammenfassen langer Verträge, Gutachten oder Behördenschreiben.
- dem Gegenlesen von Texten auf Verständlichkeit, Lücken und Widersprüche.
- der schnellen Orientierung in einem unbekannten Sachverhalt, die anschließend fachlich geprüft wird.
- wiederkehrenden Prüfschritten mit klaren Kriterien — etwa dem Abgleich einer Website gegen Pflichtangaben.
Häufige Fragen
- Kann ChatGPT den Datenschutzbeauftragten ersetzen?
- Nein. Der Datenschutzbeauftragte ist nach Art. 37 DSGVO eine benannte Person mit nachgewiesener Fachkunde, deren Kontaktdaten zu veröffentlichen und der Aufsichtsbehörde mitzuteilen sind. Nach Art. 38 Abs. 3 DSGVO darf sie in der Aufgabenerfüllung keine Weisungen erhalten und wegen ihres Amtes nicht benachteiligt werden; sie berichtet unmittelbar der höchsten Managementebene. Ein Dienst kann nicht Adressat dieser Pflichten sein, keiner Aufsichtsbehörde gegenüber Rede und Antwort stehen und nicht als Anlaufstelle für Betroffene dienen. Ein Sprachmodell kann die Arbeit der bestellten Person unterstützen, nicht aber ihre Stellung übernehmen.
- Darf ich personenbezogene Daten in einen KI-Chat eingeben?
- Nur unter denselben Bedingungen wie bei jeder anderen Verarbeitung. Sie brauchen eine Rechtsgrundlage, in aller Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter und, falls Daten in ein Drittland gelangen, einen Transfermechanismus nach Art. 44 ff. DSGVO. Zusätzlich gehört die Nutzung ins Verarbeitungsverzeichnis und in die Datenschutzinformation, und es ist zu klären, ob Inhalte zum Training verwendet werden. Die Bedingungen unterscheiden sich je Anbieter und Tarif und ändern sich; prüfen Sie sie vor der Freigabe und regeln Sie die Nutzung in einer internen Richtlinie.
- Wir haben keinen Datenschutzbeauftragten — reicht ein KI-Werkzeug?
- Das sind zwei getrennte Fragen. Ob Sie benennen müssen, richtet sich nach Art. 37 Abs. 1 DSGVO und § 38 BDSG: unter anderem, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt sind, bei umfangreicher regelmäßiger Überwachung, bei umfangreicher Verarbeitung besonderer Kategorien oder wenn Verarbeitungen einer Folgenabschätzung nach Art. 35 DSGVO unterliegen. Besteht die Pflicht, ersetzt kein Werkzeug die Benennung; ein Verstoß kann nach Art. 83 Abs. 4 lit. a DSGVO geahndet werden. Besteht sie nicht, bleiben die materiellen Pflichten trotzdem bestehen — dann hilft ein Werkzeug beim Erfüllen, nicht beim Vermeiden.
- Was unterscheidet die KI in CIVAC von einem allgemeinen Chatdienst?
- Der Rahmen, nicht die Grundtechnik. Die Modelle laufen gehostet in unserer EU-Infrastruktur statt über ein öffentliches Chatkonto; Kundendaten werden nicht zum Modelltraining verwendet, und Prompts, Dokumente und Antworten werden nicht zwischen Mandanten geteilt. Jede Antwort trägt eine Quellenangabe auf das zugrundeliegende Dokument sowie eine ausgewiesene Konfidenz, und heikle Fälle lassen sich per Klick an eine externe Kanzlei eskalieren. Vor allem endet die Antwort nicht im Chatverlauf: Jeder Befund wird zur Aufgabe mit Frist, Zuständigem und Historie — und landet damit im Nachweis.
- Kann KI eine Datenschutz-Folgenabschätzung erstellen?
- Sie kann zuarbeiten, nicht abschließen. Art. 35 Abs. 2 DSGVO verlangt, dass der Verantwortliche bei der Durchführung den Rat des Datenschutzbeauftragten einholt; die Bewertung der Risiken für die Rechte und Freiheiten natürlicher Personen und die Entscheidung über Abhilfemaßnahmen sind Bewertungsakte des Verantwortlichen. Sinnvoll ist der Einsatz bei der Vorarbeit: Beschreibung der Verarbeitung strukturieren, Risikoszenarien sammeln, Maßnahmen aus vorhandenen Dokumenten zusammentragen, Formulierungen glätten. Die fachliche Prüfung, die Abwägung und die Freigabe bleiben bei den Menschen, die dafür einstehen.
- Gibt es Pflichten allein aus dem Einsatz von KI?
- Ja. Seit dem 2. Februar 2025 gilt Art. 4 der KI-Verordnung: Anbieter und Betreiber müssen für ein ausreichendes Maß an KI-Kompetenz der Personen sorgen, die in ihrem Auftrag mit KI-Systemen arbeiten — das ist eine Schulungs- und Organisationspflicht, unabhängig von der Risikoklasse des Systems. Datenschutzrechtlich kommen die Pflichten aus der Verarbeitung hinzu: Rechtsgrundlage, Auftragsverarbeitungsvertrag, gegebenenfalls Transfermechanismus, Aufnahme ins Verarbeitungsverzeichnis, Transparenz gegenüber Beschäftigten und, je nach Risiko, eine Folgenabschätzung nach Art. 35 DSGVO.