DSGVO-konforme KI-Agenten in Deutschland – So geht es richtig

DSGVO-konforme KI-Agenten: Geht das überhaupt?

Die kurze Antwort: Ja – aber nur, wenn du es richtig machst. Die meisten KI-Tools (ChatGPT, Claude, Gemini) laufen auf US-Servern. Jede Eingabe verlässt den EU-Raum. Für Unternehmen im DACH-Raum, die personenbezogene Daten verarbeiten, ist das ein Problem.

OpenClaw löst dieses Problem, indem es auf deinem eigenen Server läuft – zum Beispiel bei Hetzner in Falkenstein oder Nürnberg.

Warum Cloud-KI ein DSGVO-Problem ist

Wenn du ChatGPT oder Claude im Browser nutzt, passiert Folgendes:

1. Deine Eingabe (möglicherweise mit Kundennamen, E-Mail-Adressen, Vertragsdaten) wird an Server in den USA gesendet.
2. OpenAI/Anthropic verarbeitet die Daten – und behält sich oft vor, sie für Training zu verwenden.
3. Du hast keine Kontrolle über Speicherdauer, Zugriffsrechte oder Löschung.

Das verstößt gegen mehrere DSGVO-Grundsätze: Datenminimierung, Zweckbindung, Speicherbegrenzung und potenziell die Drittlandübermittlung (Art. 44-49 DSGVO).

Die Self-Hosting-Lösung mit OpenClaw

Mit OpenClaw auf einem deutschen Server (z.B. Hetzner CX22 für ~5€/Monat) sieht die Situation anders aus:

Was auf deinem Server bleibt

• Alle Konversationen zwischen dir und dem Agenten
• Dateien und Dokumente, die der Agent verarbeitet
• Memory-Dateien (MEMORY.md) mit Langzeitgedächtnis
• Konfiguration (Soul.md, User.md, Identity)
• Skills und Tool-Definitionen

Was an den KI-Anbieter geht

• Nur der aktuelle Prompt-Kontext – also die Nachricht, die der Agent gerade verarbeitet
• Das passiert über die API, nicht das Consumer-Produkt → andere (bessere) Datenschutzbedingungen
• Anthropic's API Terms: Keine Nutzung von API-Daten für Modelltraining

Warum das einen Unterschied macht

| Aspekt | Cloud-KI (ChatGPT/Claude) | OpenClaw (Self-Hosted) | | --- | --- | --- | | Datenspeicherung | US-Server | Dein Server (DE) | | Training mit deinen Daten | Möglich (je nach Plan) | Nein (API Terms) | | Löschkontrolle | Eingeschränkt | Vollständig | | AV-Vertrag | Kompliziert | Standard (Hetzner DE) | | Art. 28 DSGVO | Schwierig nachweisbar | Klar dokumentierbar |

Checkliste: DSGVO-konformer KI-Agent

Wenn du OpenClaw DSGVO-konform betreiben willst, beachte diese Punkte:

1. Server-Standort Deutschland wählen

Hetzner Cloud mit Standort Falkenstein oder Nürnberg. Beide Rechenzentren liegen in Deutschland. AV-Vertrag mit Hetzner abschließen (online verfügbar).

2. API-Anbieter prüfen

• Anthropic API: Hat ein Data Processing Addendum (DPA). API-Daten werden laut Terms nicht für Training verwendet.
• OpenAI API: Ebenfalls DPA verfügbar. API-Daten werden nicht für Training genutzt (seit März 2023).
• Wichtig: Consumer-Produkte (ChatGPT Plus, Claude Pro) haben andere Bedingungen als die API.

3. Zugriffsschutz einrichten

• Authentifizierung aktivieren (Standard bei OpenClaw)
• Allowlist für berechtigte Nutzer
• SSH-Zugang zum Server mit Key-Auth (kein Passwort)
• Firewall mit fail2ban

4. Datensparsamkeit im Soul.md

Konfiguriere deinen Agenten so, dass er sensible Daten minimiert:

## Datenschutz-Regeln
- Speichere niemals Kreditkartennummern oder Bankdaten
- Verwende in Zusammenfassungen keine vollen Namen von Dritten
- Lösche sensible Informationen aus dem Kontextverlauf nach Verarbeitung

5. Dokumentation führen

• Verarbeitungsverzeichnis (Art. 30 DSGVO) aktualisieren
• Rechtsgrundlage für KI-Verarbeitung festlegen (typisch: Art. 6 Abs. 1 lit. f – berechtigtes Interesse)
• Technische und organisatorische Maßnahmen (TOMs) dokumentieren

6. Keine sensiblen Daten in Voice-Messages

Sprachnachrichten werden ggf. von Drittanbietern transkribiert (z.B. Groq). Für besonders sensible Inhalte: Text verwenden.

Branchen mit besonderem Bedarf

Anwaltskanzleien

Mandantendaten unterliegen dem Berufsgeheimnis (§ 43a BRAO). Cloud-KI ist hier besonders kritisch. OpenClaw auf eigenem Server ist eine der wenigen Optionen, KI überhaupt nutzen zu können.

Arztpraxen und Gesundheitswesen

Patientendaten sind besonders schützenswerte Daten nach Art. 9 DSGVO. Self-Hosting ist hier Pflicht, wenn KI mit Patienteninformationen arbeiten soll.

Steuerberater

Mandantendaten mit Steuerbezug. Ähnlich wie bei Anwälten: Cloud-KI nur mit extremer Vorsicht, Self-Hosting bevorzugt.

Agenturen mit Kundendaten

Marketing-Agenturen verarbeiten Kundendaten ihrer Auftraggeber. Ein AV-Vertrag mit einem US-KI-Anbieter ist meist nicht ausreichend – Self-Hosting eliminiert das Problem.

Fazit

DSGVO-konforme KI-Agenten sind kein Wunschdenken – sie erfordern nur die richtige Architektur. OpenClaw auf einem deutschen Server gibt dir:

• Volle Datensouveränität über Konversationen und Dateien
• Klare Verantwortlichkeiten (du bist der Verantwortliche, Hetzner der Auftragsverarbeiter)
• Dokumentierbare Compliance für Behörden und Mandanten

In unserem OpenClaw Kurs haben wir ein komplettes Modul zu DSGVO & Sicherheit, das dich Schritt für Schritt durch die Einrichtung führt.