Weitergabe personenbezogener Daten: Ablauf, Beteiligte, Speicherung
Wer Daten an Dritte weitergibt, braucht dafür eine Grundlage und eine Dokumentation. Seit Beschäftigte KI-Tools nutzen, geschieht diese Weitergabe oft nebenbei.
Diese Seite erklärt, was nach der DSGVO als Weitergabe personenbezogener Daten zählt, wie lange Sie Daten speichern dürfen, wann ein Empfänger Dritter und wann Auftragsverarbeiter ist und was sich ändert, wenn Mitarbeitende personenbezogene Daten in KI-Tools eingeben. Sie gibt eine Orientierung. Sie ersetzt keine Prüfung Ihres Einzelfalls.
1. Was unter Weitergabe personenbezogener Daten fällt
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO). Das sind Name und E-Mail-Adresse, je nach Fall aber auch Kundennummern, IP-Adressen oder Bewerbungsunterlagen.
Die DSGVO kennt „Weitergabe“ nicht als eigenen Begriff. Sie spricht von Verarbeitung. Zur Verarbeitung zählen unter anderem die Speicherung, die Offenlegung durch Übermittlung und die Bereitstellung (Art. 4 Nr. 2 DSGVO). Wenn Sie Daten an Dritte weitergeben, ist das also eine Verarbeitung und braucht eine Rechtsgrundlage nach Art. 6 DSGVO.
Eine Weitergabe liegt auch vor, wenn niemand sie „versendet“. Typische Fälle:
- Sie schicken eine Kundenliste per E-Mail an einen Dienstleister.
- Sie speichern Kundendaten in einem Cloud-Dienst, auf den der Anbieter Zugriff hat.
- Sie geben ein Konto in einem Werbe- oder Analysewerkzeug frei.
- Ein Mitarbeiter fügt Text mit Namen in ein KI-Tool ein.
Der Ablauf in vier Fragen
- Welche Daten? Sind es personenbezogene Daten, und welche Kategorien?
- An wen? Ist der Empfänger Auftragsverarbeiter, Dritter oder ein gemeinsam Verantwortlicher?
- Auf welcher Grundlage? Welche Rechtsgrundlage nach Art. 6 DSGVO trägt die Weitergabe?
- Wohin? Bleiben die Daten in der EU, oder gelangen sie in ein Drittland?
Halten Sie die Antworten schriftlich fest. Sie sind die Grundlage für Ihr Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) und für Ihre Datenschutzhinweise gegenüber Betroffenen (Art. 13 und 14 DSGVO).
2. Speicherung und Aufbewahrung
Für die Speicherung von Daten gilt der Grundsatz der Speicherbegrenzung. Personenbezogene Daten dürfen nur so lange in einer Form gespeichert werden, die die Identifizierung der Person ermöglicht, wie es für den Zweck der Verarbeitung erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO).
Für das Speichern von personenbezogenen Daten heißt das in der Praxis:
- Zweck festlegen. Ohne klaren Zweck lässt sich keine Speicherdauer begründen.
- Frist je Datenkategorie festlegen. Bewerbungsunterlagen, Kundendaten und Protokolle brauchen unterschiedliche Fristen.
- Gesetzliche Aufbewahrungspflichten beachten. Sie können eine längere Speicherung erfordern, zum Beispiel im Steuer- und Handelsrecht. Welche Frist für Ihre Unterlagen gilt, klären Sie im Einzelfall.
- Löschen, wenn der Zweck entfällt. Betroffene können unter den Voraussetzungen des Art. 17 DSGVO die Löschung verlangen.
- Kopien mitdenken. Backups, Exporte und Daten bei Dienstleistern gehören zur Speicherung.
Die Dauer der Speicherung oder, falls das nicht möglich ist, die Kriterien für ihre Festlegung gehören außerdem in die Information an die Betroffenen (Art. 13 Abs. 2 lit. a DSGVO; bei Daten, die Sie nicht bei der Person erheben, Art. 14 Abs. 2 lit. a DSGVO).
3. Weitergabe an Dritte
Auftragsverarbeiter oder Dritter?
Die Unterscheidung bestimmt, was Sie vertraglich brauchen.
| Empfänger | Rolle | Was Sie brauchen |
|---|---|---|
| Auftragsverarbeiter, zum Beispiel Hosting, Lohnabrechnung, Newsletter-Versand | Verarbeitet Daten in Ihrem Auftrag (Art. 4 Nr. 8 DSGVO) und nur auf Ihre dokumentierte Weisung (Art. 28 Abs. 3 lit. a DSGVO) | Einen Vertrag oder ein anderes Rechtsinstrument nach Art. 28 Abs. 3 DSGVO |
| Dritter, zum Beispiel ein Unternehmen, das Daten für eigene Zwecke nutzt | Nutzt die Daten für eigene Zwecke und wird dafür in der Regel selbst Verantwortlicher. Dritter ist jede Stelle außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter deren unmittelbarer Verantwortung befugt sind, die Daten zu verarbeiten (Art. 4 Nr. 10 DSGVO) | Eine eigene Rechtsgrundlage nach Art. 6 DSGVO für die Weitergabe |
| Gemeinsam Verantwortlicher | Legt mit Ihnen Zwecke und Mittel gemeinsam fest | Eine Vereinbarung nach Art. 26 DSGVO |
Die Weitergabe von Daten an Dritte ist nicht verboten. Sie braucht aber eine Rechtsgrundlage, und Sie müssen die Betroffenen über die Empfänger informieren (Art. 13 Abs. 1 lit. e und Art. 14 Abs. 1 lit. e DSGVO). Der Verantwortliche darf nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO).
Weitergabe in ein Drittland
Gelangen Daten in ein Land außerhalb der EU oder des EWR, gelten zusätzlich die Regeln über Übermittlungen an Drittländer (Art. 44 ff. DSGVO). Die Übermittlung braucht eine zusätzliche Grundlage, etwa einen Angemessenheitsbeschluss der Kommission (Art. 45 DSGVO) oder geeignete Garantien wie Standardvertragsklauseln (Art. 46 DSGVO).
Ein Drittlandbezug entsteht auch dann, wenn ein EU-Anbieter Unterauftragnehmer außerhalb der EU einsetzt oder aus einem Drittland auf die Daten zugreift. Fragen Sie Ihre Anbieter danach.
4. Weitergabe an KI-Tools
Geben Mitarbeitende personenbezogene Daten in ein externes KI-Tool ein, ist das in der Regel eine Weitergabe im Sinne dieser Seite. Alle Fragen aus den Abschnitten 1 bis 3 gelten unverändert: Rechtsgrundlage, Rolle des Anbieters, Speicherung, Drittland.
Was sich beim Einsatz von KI-Tools ändert
- Die Weitergabe wird unsichtbar. Ein eingefügter Absatz mit Namen und Kundendaten ist schnell passiert und taucht in keinem Versandprotokoll auf.
- Die Rolle des Anbieters ist unklar. Ob ein KI-Anbieter Auftragsverarbeiter oder Dritter ist, hängt von seinen Bedingungen ab. Dient die Verarbeitung nur Ihren Zwecken und nach Ihrer Weisung, spricht das für eine Auftragsverarbeitung. Nutzt der Anbieter Eingaben für eigene Zwecke, etwa zum Training seiner Modelle, spricht das für einen eigenen Zweck. Lesen Sie dazu die Vertragsbedingungen, und klären Sie die Frage, bevor Sie das Tool freigeben.
- Die Speicherung liegt beim Anbieter. Eingaben und Verläufe können dort gespeichert werden. Prüfen Sie Speicherdauer und Löschmöglichkeiten.
- Der Serverstandort ist oft offen. Das betrifft die Drittlandfrage nach Art. 44 ff. DSGVO.
- Private Konten laufen an Ihren Freigaben vorbei. Für ein Tool, das Ihr Unternehmen nicht kennt, gibt es keinen Vertrag.
Wo sich AI Act und DSGVO treffen
Die KI-Verordnung (Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung) ersetzt die DSGVO nicht. Beide Regelwerke gelten nebeneinander, und für personenbezogene Daten in KI-Tools müssen Sie beide im Blick behalten.
| Frage | DSGVO | KI-Verordnung |
|---|---|---|
| Darf ich die Daten eingeben? | Rechtsgrundlage nach Art. 6, Rolle des Anbieters nach Art. 28 | Keine allgemeine Rechtsgrundlage für die Eingabe personenbezogener Daten. Art. 4a erlaubt nur eng begrenzt, besondere Kategorien personenbezogener Daten zur Erkennung und Korrektur von Verzerrungen (Bias) zu verarbeiten, unter strengen Bedingungen und zusätzlich zu den Regeln der DSGVO. |
| Wissen die Mitarbeitenden, was sie tun? | Weisungen und Schulung zum Datenschutz | Art. 4: Maßnahmen zur Förderung der KI-Kompetenz, gilt seit dem 2. Februar 2025 |
| Welche Pflichten hat mein Einsatz? | Informationspflichten nach Art. 13 und 14 | Pflichten je nach Risikostufe, zum Beispiel Art. 50 zur Transparenz (gilt seit dem 2. August 2026) und Art. 26 für Betreiber von Hochrisiko-Systemen (ab dem 2. Dezember 2027 für Anhang III, ab dem 2. August 2028 für Anhang I) |
Die KI-Kompetenz-Richtlinie behandelt die Maßnahmen nach Art. 4 der KI-Verordnung. Die Regeln dazu, welche Daten in welches Tool gehören, stehen sinnvoll in einer KI-Richtlinie (englisch). Welche Risikostufe Ihre Anwendungen haben, zeigt die Übersicht der Risikoklassen.
Praktischer Ausgangspunkt: Führen Sie eine Liste freigegebener KI-Tools. Legen Sie fest, welche Datenklassen in welches Tool dürfen. Schließen Sie, wo der Anbieter Auftragsverarbeiter ist, den Vertrag nach Art. 28 DSGVO ab. Schulen Sie Ihre Mitarbeitenden dazu und halten Sie das schriftlich fest.
Wissen Sie nicht, welche Pflichten der AI Act für Ihr Unternehmen auslöst? Der kostenlose Klassifizierer von Klariq zeigt in wenigen Minuten, welche Pflichten Sie sich ansehen sollten. Er ist eine Orientierung und keine Rechtsberatung.
5. Häufige Fragen
Was gilt als Weitergabe von Daten an Dritte?
Jede Offenlegung personenbezogener Daten an einen Empfänger, der weder Sie selbst noch Ihr Auftragsverarbeiter noch eine Ihnen unterstellte Person ist. Dritter ist nach Art. 4 Nr. 10 DSGVO jede Stelle außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter deren unmittelbarer Verantwortung befugt sind, die Daten zu verarbeiten. Auch ein Zugriff gilt als Offenlegung, es muss nichts versendet werden.
Darf ich Daten an Dritte weitergeben?
Ja, wenn Sie dafür eine Rechtsgrundlage nach Art. 6 DSGVO haben (bei besonderen Kategorien zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO) und die Betroffenen informiert sind. Gelangen die Daten in ein Drittland, kommen die Regeln der Art. 44 ff. DSGVO hinzu.
Wie lange darf ich personenbezogene Daten speichern?
So lange, wie es für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO). Eine feste Zahl nennt die DSGVO nicht. Gesetzliche Aufbewahrungspflichten können eine längere Speicherung verlangen. Entfällt der Zweck und besteht keine solche Pflicht, löschen Sie die Daten. Betroffene können die Löschung unter den Voraussetzungen des Art. 17 DSGVO verlangen.
Was ist der Unterschied zwischen Auftragsverarbeiter und Drittem?
Ein Auftragsverarbeiter verarbeitet Daten in Ihrem Auftrag (Art. 4 Nr. 8 DSGVO) und nur auf Ihre Weisung. Mit ihm schließen Sie einen Vertrag nach Art. 28 Abs. 3 DSGVO. Ein Dritter nutzt die Daten für eigene Zwecke und wird dafür in der Regel selbst Verantwortlicher. Sie brauchen für die Weitergabe eine Rechtsgrundlage, der Empfänger für seine weitere Verarbeitung eine eigene.
Ist die Eingabe personenbezogener Daten in ein KI-Tool eine Weitergabe?
Ja, in der Regel. Der Anbieter verarbeitet die Eingabe auf seinen Systemen. Sie müssen klären, ob er Auftragsverarbeiter oder Dritter ist, wie lange er speichert und wo er verarbeitet. Welche Rolle der Anbieter hat, hängt von seinen Vertragsbedingungen ab.
Ersetzt die KI-Verordnung die DSGVO?
Nein. Beide gelten nebeneinander. Die KI-Verordnung verlangt zum Beispiel Maßnahmen zur KI-Kompetenz nach Art. 4. Die Rechtsgrundlage für personenbezogene Daten in einem KI-Tool prüfen Sie weiterhin nach der DSGVO.