Nicht pauschal. Entscheidend sind Tarif, AVV, Serverstandort, Trainingsnutzung und euer konkreter Anwendungsfall. Enterprise- und API-Tarife mit AVV sind meist die Basis – Free-Accounts für Kundendaten sind es nie.
DSGVO-Leitfaden für KI-AutomatisierungKI-Automatisierung
KI-Automatisierung
DSGVO-konform
Wie ich Automatisierungen für Ingenieur- und Architekturbüros baue, damit ihr sie mit Blick auf die DSGVO einsetzen könnt – transparent, realistisch und ohne leere Versprechen.
Kein RechtsersatzFür Ingenieur- & ArchitekturbürosPraxisnah
01 · Grundlagen
Warum DSGVO bei KI-Automatisierung wichtig ist
Sobald eine Automation E-Mails beantwortet, Angebote erstellt oder Protokolle zusammenfasst, verarbeitet sie personenbezogene Daten – von Bauherren, Ansprechpartnern, Nachunternehmern und euren eigenen Mitarbeitenden. Dafür gelten dieselben DSGVO-Regeln wie für jede andere Verarbeitung, plus neue Pflichten aus dem EU AI Act.
Was euch dieser Leitfaden bringt
- Orientierung, was bei KI im Planungsbüro datenschutzrechtlich zu beachten ist
- Konkrete Checklisten und Regeln, die ihr direkt übernehmen könnt
- Ehrliche Grenzen: Dieser Leitfaden ist keine Rechtsberatung – die Bewertung gehört zu eurem DSB oder Fachanwalt
02 · Grundlagen
Wo Datenschutz im Büroalltag steckt
Personenbezogene Daten stecken in fast jedem Arbeitsschritt eines Planungsbüros – oft unauffälliger, als man denkt.
Angebote & Leistungsverzeichnisse
Kontaktdaten von Bauherren und Ansprechpartnern in Deckblättern, Adressfeldern und Verteilern.
E-Mail-Kommunikation
Der Schriftverkehr mit Bauherren, Behörden, Fachplanern und Nachunternehmern ist voller Namen und Kontaktdaten.
Ausschreibung & Vergabe
Bieterlisten, Referenzprojekte mit Ansprechpartnern und Nachunternehmererklärungen.
Protokolle & Besprechungen
Teilnehmerlisten, Aussagen einzelner Personen, Zuständigkeiten und Fristen.
Rechnungen & Projektdaten
Bankverbindungen, Stundennachweise und Ansprechpartner in Projekt- und CRM-Systemen.
Personal & Bewerbungen
Bewerbungsunterlagen, Zeiterfassung und interne E-Mails sind Beschäftigtendaten mit besonderem Schutzbedarf.
03 · Grundlagen
Welche Daten überhaupt betroffen sind
Nicht alles in euren Projekten fällt unter die DSGVO. Die Unterscheidung entscheidet, welche Regeln greifen.
Personenbezogene Daten
DSGVO gilt
- Namen und Kontaktdaten von Bauherren und Ansprechpartnern
- E-Mail-Verläufe und Protokolle mit Teilnehmern
- Bieter- und Nachunternehmerlisten mit Referenzen
- Bewerbungen, Zeiterfassung und andere Beschäftigtendaten
Projektdaten & Geschäftsgeheimnisse
DSGVO greift meist nicht
- Pläne, Modelle und statische Berechnungen
- LV-Positionen, Massen und Kalkulationen
- Bauzeitenpläne und technische Berichte
Trotzdem schützenswert: Diese Daten unterliegen Vertraulichkeitsvereinbarungen und dem Geschäftsgeheimnisschutz – sie gehören genauso wenig in beliebige KI-Tools.
Achtung: Sobald im Plankopf, Schriftfeld oder LV Namen und Kontaktdaten stehen, wird aus Projektdaten ein DSGVO-Thema.
04 · Grundlagen
Rechtsgrundlagen: Warum ihr verarbeiten dürft
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO – auch die automatisierte. Für Büro-Automationen sind meist diese drei relevant:
Vertragserfüllung (Art. 6 Abs. 1 lit. b)
Deckt die Verarbeitung von Auftraggeber- und Bauherrendaten ab, soweit sie für die Projektabwicklung nötig ist – z. B. automatisierte Angebots- oder Rechnungserstellung.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f)
Typische Grundlage für interne Effizienz-Automationen. Voraussetzung ist eine dokumentierte Interessenabwägung – die Interessen der Betroffenen dürfen nicht überwiegen.
Einwilligung (Art. 6 Abs. 1 lit. a)
Die Ausnahme im Projektgeschäft, z. B. für Newsletter. Einwilligungen müssen freiwillig, dokumentiert und jederzeit widerrufbar sein.
Welche Rechtsgrundlage für welche Automation greift, wird im VVT dokumentiert. Die rechtliche Einordnung übernimmt euer DSB oder Anwalt.
05 · Umsetzung
Risiko richtig einschätzen
Nicht jede Automation braucht das volle Programm. Ich ordne jeden Anwendungsfall vorab einer von drei Stufen zu – daran hängt der Aufwand.
Stufe 1 – Niedriges Risiko
Interne Recherche, Textentwürfe und Berichte ohne personenbezogene Daten. Schnell umsetzbar, geringe Auflagen.
Stufe 2 – Mittleres Risiko
Kundenkommunikation ohne sensible Daten – mit klaren Freigabeschritten, bevor etwas das Haus verlässt.
Stufe 3 – Höheres Risiko
Automationen mit Kunden- oder Beschäftigtendaten: nur mit AVV, DSB-Abstimmung und vollständiger Dokumentation.
06 · Umsetzung
KI-Tools richtig auswählen
Bevor ein Tool produktiv läuft, sollten sechs Fragen beantwortet und intern dokumentiert sein.
- 1Wo stehen die Server – EU oder Drittland?
- 2Gibt es einen Auftragsverarbeitungsvertrag (AVV)?
- 3Werden eure Daten für KI-Training genutzt?
- 4Wie lange werden Daten gespeichert – und wie werden sie gelöscht?
- 5Welche Sub-Dienstleister sind im Einsatz, und sind sie offengelegt?
- 6Wie lassen sich Auskunft und Löschung (Betroffenenrechte) umsetzen?
Drei Kategorien statt Tool-Hype
Enterprise- oder Team-Tarife mit AVV
Für Kundendaten geeignet, wenn Vertrag und technische Schutzmaßnahmen sauber umgesetzt sind.
Self-hosted oder EU-Modelle
Sinnvoll bei besonders sensiblen Daten und erhöhten Compliance-Anforderungen.
Free-Tarife ohne AVV
Nur für interne Aufgaben ohne personenbezogene Daten.
07 · Umsetzung
So fließen eure Daten
Für jede Automation wird der Datenfluss vorab definiert, dokumentiert und technisch begrenzt – in fünf Schritten.
- 1
Eingang
Daten kommen aus definierten Quellen wie E-Mail, Formular oder Dokumenten-Upload.
- 2
Vorverarbeitung
Filter, Prüfung und bei Bedarf Pseudonymisierung, bevor Daten eine KI erreichen.
- 3
Verarbeitung
Nur in freigegebenen Systemen und APIs mit klar begrenzten Berechtigungen.
- 4
Rückgabe
Ergebnisse werden kontrolliert ins Zielsystem übertragen – z. B. CRM, E-Mail oder Dokument.
- 5
Speicherung & Löschung
Nach definierten Fristen und dokumentierten Verantwortlichkeiten.
08 · Umsetzung
KI-Einsatz & Datenminimierung
KI läuft nur in klar definierten und kontrollierten Prozessschritten – nach festen Regeln.
- Jeder KI-Schritt hat einen konkreten Zweck – z. B. zusammenfassen, klassifizieren, Entwürfe schreiben.
- Keine kompletten Rohdatensätze ungeprüft an externe KI-Systeme.
- Personenbezug wird vor der Verarbeitung entfernt, reduziert oder pseudonymisiert, wo er nicht nötig ist.
- API-Nutzung nur mit deaktivierter Trainingsnutzung und dokumentiertem Verarbeitungszweck.
- Tests laufen ausschließlich mit Pseudo- oder anonymisierten Daten.
Der Mensch behält die Entscheidung (Art. 22 DSGVO)
Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung – etwa Bewerberauswahl oder Bieterwertung – trifft nie die KI allein. Ich baue Automationen so, dass ein Mensch prüft und freigibt. Und wo Menschen direkt mit KI interagieren (z. B. ein Chatbot), wird das gekennzeichnet – ab August 2026 Pflicht nach Art. 50 EU AI Act.
09 · Umsetzung
Technische Schutzmaßnahmen (TOMs)
So setze ich Datenschutz auf Systemebene um – dokumentiert als Grundlage für eure TOM-Übersicht.
- Verschlüsselte Verbindungen (TLS) für alle Datenübertragungen
- Zugriffsrechte nach Least-Privilege: Jede Automation sieht nur, was sie braucht
- API-Keys im Secret-Store, nie im Klartext
- Logging und Monitoring aller Automationsläufe
- Regelmäßige Reviews von Datenflüssen und Berechtigungen
Sonderfall Prompt Injection
KI-Agenten mit Zugriff auf Dateien und E-Mails können durch manipulierte Inhalte fremdgesteuert werden. Dagegen helfen:
- Eingaben validieren und riskante Inhalte filtern
- Tool-Rechte für Agenten strikt begrenzen
- Keine automatische Datei- oder Mailfreigabe bei offenen Agent-Läufen
- Review-Schritt bei sensiblen Ergebnissen
10 · Pflichten
Diese Dokumente braucht euer Büro
Fünf Dokumente bilden eure Compliance-Basis. Ich liefere die technischen und organisatorischen Grundlagen – die rechtliche Bewertung macht euer DSB oder Anwalt.
VVT (Art. 30 DSGVO)
Verzeichnis von Verarbeitungstätigkeiten – Zweck, Datenkategorien und Speicherdauer je Verarbeitung.
AVV (Art. 28 DSGVO)
Auftragsverarbeitungsverträge mit allen relevanten Dienstleistern – auch mit mir.
TOMs (Art. 32 DSGVO)
Dokumentierte technische und organisatorische Schutzmaßnahmen.
Interne KI-Richtlinie
Klare Regeln, welche Tools Mitarbeitende wofür nutzen dürfen – und welche nicht.
DSFA (Art. 35 DSGVO)
Datenschutz-Folgenabschätzung bei Automationen mit voraussichtlich hohem Risiko – ich liefere die technische Grundlage, die Bewertung erfolgt durch euren DSB.
11 · Pflichten
Betroffenenrechte & Meldepflichten
Automationen müssen so gebaut sein, dass die Rechte der Betroffenen jederzeit umsetzbar bleiben.
- Auskunft (Art. 15 DSGVO): Dokumentierte Datenflüsse machen nachvollziehbar, wo welche Daten liegen.
- Löschung (Art. 17 DSGVO): Löschkonzept mit definierten Fristen und Verantwortlichkeiten je Automation.
- Widerspruch und Einschränkung der Verarbeitung (Art. 18, 21 DSGVO) bleiben technisch abbildbar.
- Datenpannen: Als Auftragsverarbeiter melde ich Vorfälle unverzüglich an euch (Art. 33 Abs. 2 DSGVO) – ihr habt ab Kenntnis 72 Stunden für die Meldung an die Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO).
- Unterstützung bei euren Pflichten aus Art. 33 und 34 DSGVO – Meldung und Benachrichtigung Betroffener.
12 · Pflichten
EU AI Act: Was wann gilt
Die KI-Verordnung ist seit August 2024 in Kraft und gilt gestaffelt. Zwei Pflichten betreffen Planungsbüros schon heute.
Februar 2025gilt bereits
Verbote bestimmter KI-Praktiken und KI-Kompetenz-Pflicht (Art. 4): Wer KI beruflich einsetzt, muss Mitarbeitende nachweisbar schulen.
August 2025gilt bereits
Pflichten für Anbieter von General-Purpose-KI-Modellen (z. B. GPT, Claude, Gemini).
August 2026
Hauptteil inklusive Hochrisiko-Systeme und Transparenzpflichten (Art. 50): KI-Interaktion und KI-generierte Inhalte müssen gekennzeichnet werden.
August 2027
Vollständige Anwendbarkeit aller Regelungen.
Typische Büro-Automationen fallen nicht in die Hochrisiko-Klasse. Schulungs- und Transparenzpflichten gelten trotzdem – für die KI-Kompetenz nach Art. 4 biete ich passende Schulungen an.
13 · Praxis
Die 5 häufigsten Fehler
Diese Fehler sehe ich in der Praxis am öftesten – und alle fünf sind vermeidbar.
- 1Kundendaten in kostenlose KI-Tools kopieren – ohne AVV ist das ein Verstoß.
- 2Keinen AVV mit Dienstleistern abschließen, obwohl sie Daten verarbeiten.
- 3Datenflüsse und Zuständigkeiten nicht dokumentieren – bei einer Auskunftsanfrage fehlt dann jede Grundlage.
- 4Mitarbeitende nutzen private KI-Accounts, weil klare Vorgaben fehlen.
- 5Sensible Daten ungeprüft automatisieren, statt mit Risikostufen zu arbeiten.
14 · Praxis
So arbeite ich: Meine Datenschutz-Zusagen
Wenn ihr mit mir automatisiert, gelten diese Punkte in jedem Projekt – ohne Aufpreis, ohne Kleingedrucktes.
- AVV vor Projektstart (Art. 28 DSGVO) – mit klaren Rollen: ihr Verantwortlicher, ich Auftragsverarbeiter.
- Dokumentierter Datenfluss für jede Automation – als Grundlage für euer VVT.
- Vollständige Transparenz über alle eingesetzten Sub-Dienstleister.
- EU-Hosting als Standard. US-Anbieter nur mit AVV, Standardvertragsklauseln (SCC) oder Data-Privacy-Framework-Zertifizierung und dokumentierter Risikoabwägung.
- Keine Nutzung eurer Daten für KI-Training – bei API- und Enterprise-Tarifen vertraglich abgesichert.
- Klar definierter Zweck pro Verarbeitung – keine Automation auf Vorrat.
- TOM-Übersicht als Baustein für eure DSGVO-Dokumentation.
- Abstimmung mit eurem Datenschutzbeauftragten auf Wunsch.
15 · Nachschlagen
FAQ – häufige Fragen
Die Fragen, die mir Ingenieur- und Architekturbüros am häufigsten stellen.
Nicht, wenn die Entscheidung rechtliche oder ähnlich erhebliche Wirkung für eine Person hat (Art. 22 DSGVO) – etwa Bewerberauswahl oder Bieterwertung. Deshalb baue ich Automationen mit menschlichem Prüf- und Freigabeschritt.
Meist nicht – Pläne, Massen und Kalkulationen sind Projektdaten. Personenbezogen wird es bei Schriftfeldern, Ansprechpartnern und Bieterlisten. Als Geschäftsgeheimnisse sind Projektdaten trotzdem schützenswert und gehören nicht in beliebige Tools.
In vielen Fällen ja – Stichwort Informationspflichten (Art. 13 DSGVO). Was konkret gilt, sollte mit eurem Datenschutzbeauftragten geprüft werden.
Ja. Seit Februar 2025 verlangt Art. 4 EU AI Act nachweisbare KI-Kompetenz bei allen, die beruflich mit KI arbeiten. Eine interne KI-Richtlinie plus Schulung deckt das ab.
Dann entstehen schnell unkontrollierte Datenflüsse – zum Beispiel Kundendaten im privaten ChatGPT-Account. Eine klare interne KI-Richtlinie und freigegebene Alternativen sind deshalb Pflicht.
Das hängt von Unternehmensgröße und Art der Verarbeitung ab. Für viele Ingenieur- und Architekturbüros ist externe Begleitung die pragmatischste Lösung.
Nein, das wäre Rechtsberatung. Ich liefere die technischen und organisatorischen Grundlagen für eure DSGVO-Dokumentation – die rechtliche Bewertung übernimmt euer DSB oder Anwalt.
Das wird je Projekt transparent dokumentiert. Wo möglich setze ich auf EU-Server oder EU-hosted Varianten.
Dann gilt der Hauptteil der Verordnung, inklusive Transparenzpflichten für KI-Interaktion. Schulungspflicht (Art. 4) und erste Verbote gelten aber schon seit Februar 2025. Wer heute sauber dokumentiert, ist vorbereitet.
Das hängt von Risikostufe, Datenumfang und Integrationen ab. Im Erstgespräch kläre ich Aufwand, Maßnahmen und Priorität.
16 · Nachschlagen
Glossar – Begriffe kurz erklärt
Die wichtigsten Abkürzungen und Artikel – kurz und ohne Juristendeutsch.
Das Verzeichnis von Verarbeitungstätigkeiten dokumentiert, welche personenbezogenen Daten wie und warum verarbeitet werden.
Der Auftragsverarbeitungsvertrag regelt die datenschutzkonforme Zusammenarbeit mit Dienstleistern.
Technische und organisatorische Maßnahmen schützen Daten vor unbefugtem Zugriff und Verlust.
Eine Datenschutz-Folgenabschätzung prüft Risiken bei besonders sensiblen oder umfangreichen Verarbeitungen.
Der Datenschutzbeauftragte begleitet Unternehmen bei rechtskonformer Umsetzung und Bewertung.
Jede Verarbeitung personenbezogener Daten braucht eine gesetzliche Grundlage – z. B. Vertragserfüllung, berechtigtes Interesse oder Einwilligung.
Betroffene Personen müssen über Zwecke, Rechtsgrundlagen und Empfänger der Datenverarbeitung informiert werden.
Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung dürfen nicht ausschließlich automatisiert getroffen werden – ein Mensch muss eingebunden sein.
Von der EU-Kommission vorgegebene Vertragsklauseln, die Datentransfers in Drittländer wie die USA vertraglich absichern.
Angemessenheitsbeschluss der EU-Kommission: Datentransfers an zertifizierte US-Anbieter sind ohne zusätzliche Garantien zulässig.
Personenbezug wird durch Platzhalter ersetzt, sodass Daten ohne Zusatzwissen keiner Person zugeordnet werden können – ein zentrales Werkzeug der Datenminimierung.
Die KI-Verordnung der EU schafft zusätzliche Transparenz-, Dokumentations- und Schulungspflichten – gestaffelt seit Februar 2025.
Ergebnis für euer Büro
Ihr bekommt eine klare Entscheidungsgrundlage, ob und wie ihr KI-Automationen DSGVO-orientiert einsetzen könnt:
- Klar dokumentierte Datenflüsse und Verantwortlichkeiten
- Transparenter Einsatz von KI-Systemen
- DSGVO-orientierte Automationen, die nachvollziehbar und prüfbar sind
Dieser Leitfaden dient der Orientierung und ersetzt keine Rechtsberatung. Für rechtsverbindliche Prüfungen wendet euch an einen Datenschutzbeauftragten oder Fachanwalt.