Dürfen wir personenbezogene Daten an eine US-KI senden? Datenübermittlung nach der DSGVO
Kurze Antwort
Ja, aber nur auf einer Grundlage. Nimmt der US-Anbieter am EU-US Data Privacy Framework teil (Angemessenheitsbeschluss der Kommission vom Juli 2023), kann die Übermittlung darauf gestützt werden. Sonst nutzt man Standardvertragsklauseln mit einer Prüfung der Übermittlung. Das Gericht der EU hat das Data Privacy Framework im September 2025 bestätigt, doch dagegen ist ein Rechtsmittel beim EuGH anhängig. Der sicherste Weg: Die echten Namen bleiben in der EU. Pseudonymisieren Sie, bevor Daten gesendet werden, und behalten Sie den Schlüssel bei sich.
Drei Wege
| Weg | Was nötig ist | Risiko |
|---|---|---|
| Data Privacy Framework | Der Anbieter nimmt am Framework teil | Hängt vom Verfahren beim EuGH ab |
| Standardvertragsklauseln | Vertrag und Prüfung der Übermittlung | Kostet Arbeit und Dokumentation |
| Namen bleiben in der EU | Pseudonymisierung in der EU, bevor die KI etwas sieht | Am geringsten – aber für Sie weiterhin personenbezogene Daten |
So hält GoalCube die Namen in der EU
| Kunde | Ort | Thema | |
|---|---|---|---|
| Katharina Wolf | katharina.wolf@beispiel.de | Freiburg | Rückerstattung |
| Felix Hoffmann | felix.hoffmann@beispiel.de | Regensburg | Lieferung |
| Sabine Huber | sabine.huber@example.com | Graz | Reklamation |
| Laura Schmit | laura.schmit@example.com | Esch-sur-Alzette | Lieferung |
| Stefan Gruber | stefan.gruber@beispiel.de | Münster | Rückerstattung |
Anfrage Guten Tag, mein Name ist Katharina Wolf. Ich habe die Bestellung 7012345678 vor zwei Wochen zurückgeschickt, aber noch kein Geld erhalten. Bitte überweisen Sie es auf DE45 7605 0000 1234 5678 90. Viele Grüße, Katharina
| Kunde | Ort | Thema | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Rückerstattung |
| [PERSON_2] | [EMAIL_2] | [STED] | Lieferung |
| [PERSON_3] | [EMAIL_3] | [STED] | Reklamation |
| [PERSON_4] | [EMAIL_4] | [STED] | Lieferung |
| [PERSON_5] | [EMAIL_5] | [STED] | Rückerstattung |
Anfrage Guten Tag, mein Name ist [PERSON_1]. Ich habe die Bestellung [ID_1] vor zwei Wochen zurückgeschickt, aber noch kein Geld erhalten. Bitte überweisen Sie es auf [IBAN_1]. Viele Grüße, [PERSON_1]
Katharina Wolf und Stefan Gruber warten auf eine Rückerstattung und sollten heute eine Antwort bekommen. Laura Schmit wartet seit 10 Tagen auf ein Paket. Antwortvorschlag an Katharina Wolf: "Guten Tag Katharina Wolf, vielen Dank für Ihre Geduld. Das Geld ist unterwegs und innerhalb von 5 Werktagen auf Ihrem Konto."
[PERSON_1] und [PERSON_5] warten auf eine Rückerstattung und sollten heute eine Antwort bekommen. [PERSON_4] wartet seit 10 Tagen auf ein Paket. Antwortvorschlag an [PERSON_1]: "Guten Tag [PERSON_1], vielen Dank für Ihre Geduld. Das Geld ist unterwegs und innerhalb von 5 Werktagen auf Ihrem Konto."
| Kandidat | Geboren | ID-Nummer | Arbeitgeber | Erfahrung |
|---|---|---|---|---|
| Claudia Neumann | 1985-03-12 | 47036892816 | Schwarzwald Holz GmbH | 12 |
| Daniel Krüger | 1992-11-02 | 58217430965 | Weser Logistik GmbH | 4 |
| Andrea Steiner | 1988-06-21 | 3847 210688 | Steirische Metallwerke GmbH | 9 |
| Matthias Becker | 1979-01-30 | 71938046250 | Rheinpharma AG | 18 |
Lebenslauf Claudia Neumann arbeitet seit 12 Jahren mit Budgetplanung und Monatsberichten bei der Schwarzwald Holz GmbH. Sie hat ein neues ERP-System eingeführt und leitet ein Team von drei Personen. Kontakt: claudia.neumann@beispiel.de.
| Kandidat | Geboren | ID-Nummer | Arbeitgeber | Erfahrung |
|---|---|---|---|---|
| [PERSON_1] | 40–49 Jahre | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 Jahre | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 Jahre | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 Jahre | [ID_4] | [VIRKSOMHED_4] | 18 |
Lebenslauf [PERSON_1] arbeitet seit 12 Jahren mit Budgetplanung und Monatsberichten bei der [VIRKSOMHED_1]. Sie hat ein neues ERP-System eingeführt und leitet ein Team von drei Personen. Kontakt: [EMAIL_1].
Claudia Neumann und Andrea Steiner haben mehr als 5 Jahre Erfahrung und sollten zum Gespräch eingeladen werden; fragen Sie Andrea Steiner nach Erfahrung mit ERP-Systemen. Daniel Krüger hat 4 Jahre Erfahrung; gefordert sind 5. Die Entscheidung trifft ein Mensch.
[PERSON_1] und [PERSON_3] haben mehr als 5 Jahre Erfahrung und sollten zum Gespräch eingeladen werden; fragen Sie [PERSON_3] nach Erfahrung mit ERP-Systemen. [PERSON_2] hat 4 Jahre Erfahrung; gefordert sind 5. Die Entscheidung trifft ein Mensch.
| Lieferant | Ansprechpartner | Konto | Läuft aus |
|---|---|---|---|
| Allgäu Komponenten GmbH | Jürgen Maier | DE85 2004 0000 0628 7411 90 | 2027-01-31 |
| Donau Cloud GmbH | Petra Leitner | AT97 2011 1837 5400 1234 | 2026-12-31 |
| Neckar Präzisionstechnik GmbH | Simon Fischer | DE03 6005 0101 7492 0461 35 | 2028-06-30 |
| Lausitzer Verpackung GmbH | Nicole Braun | DE61 7905 0000 3581 9462 70 | 2027-03-31 |
Konditionen Allgäu Komponenten liefert Spezialkomponenten für Projekt Bergkristall. Der Preis wird jährlich um den Verbraucherpreisindex plus 3 % angepasst. Die Haftung ist auf 10 % des jährlichen Vertragswerts begrenzt. Bei Änderungen wenden Sie sich an Jürgen Maier.
| Lieferant | Ansprechpartner | Konto | Läuft aus |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Konditionen [VIRKSOMHED_1] liefert Spezialkomponenten für [PROJEKT_1]. Der Preis wird jährlich um den Verbraucherpreisindex plus 3 % angepasst. Die Haftung ist auf 10 % des jährlichen Vertragswerts begrenzt. Bei Änderungen wenden Sie sich an [PERSON_1].
Der Vertrag mit Allgäu Komponenten GmbH verlängert sich automatisch, wenn er nicht bis zum 31. Oktober gekündigt wird. Er ist wichtig für ein internes Projekt, also verhandeln Sie lieber den Preis neu, statt zu kündigen. Der Vertrag mit Lausitzer Verpackung GmbH verlängert sich ebenfalls automatisch; die Frist ist der 31. Dezember.
Der Vertrag mit [VIRKSOMHED_1] verlängert sich automatisch, wenn er nicht bis zum 31. Oktober gekündigt wird. Er ist wichtig für ein internes Projekt, also verhandeln Sie lieber den Preis neu, statt zu kündigen. Der Vertrag mit [VIRKSOMHED_4] verlängert sich ebenfalls automatisch; die Frist ist der 31. Dezember.
Fiktive Daten. Links, was in der EU bleibt; rechts, was die KI in den USA sieht.
Die KI in den USA sieht [PERSON_1], nicht Katharina Weber. Der Schlüssel liegt bei GoalCube in der EU, und die Namen werden erst bei Ihnen wieder in die Antwort eingesetzt.
So gehen Sie vor
- Klären Sie, wo die Daten verarbeitet werden.Sehen Sie in den Vertrag des Anbieters und in Ihren Tarif.
- Prüfen Sie die Grundlage.Teilnahme am Data Privacy Framework oder Standardvertragsklauseln.
- Senden Sie so wenig wie möglich.Namen, E-Mail-Adressen und Ausweisnummern sind selten nötig.
- Behalten Sie den Schlüssel in der EU.Mit Pseudonymisierung in der EU verlassen die echten Namen die EU nicht.
- Haben Sie einen Plan B.Fällt das Data Privacy Framework, müssen Sie weiterarbeiten können.
Das sagt das Gesetz
- Art. 44–49 DSGVO – Übermittlungen an Drittländer
- Übermittlung nur mit Angemessenheitsbeschluss, geeigneten Schutzmaßnahmen wie Standardvertragsklauseln oder Ausnahmen.
- Durchführungsbeschluss (EU) 2023/1795 – EU-US Data Privacy Framework
- Angemessenheitsbeschluss für teilnehmende US-Unternehmen vom 10. Juli 2023.
- Durchführungsbeschluss (EU) 2021/914 – Standardvertragsklauseln
- Standardklauseln für die Übermittlung in Drittländer.
Fragen und Antworten
Gilt das Data Privacy Framework noch?
Ja, Stand Oktober 2026. Das Gericht der EU hat eine Klage im September 2025 abgewiesen, dagegen wurde aber Rechtsmittel beim EuGH eingelegt (Rechtssache C-703/25 P). Behalten Sie das im Blick, und haben Sie einen Plan B.
Ist es eine Übermittlung, wenn die KI nur Pseudonyme sieht?
Pseudonymisierte Daten sind für Sie weiterhin personenbezogene Daten, die Regeln gelten also. Das Risiko für die Betroffenen ist aber viel geringer, wenn die echten Namen und der Schlüssel in der EU bleiben.
Was ist mit der EU Data Boundary von Microsoft?
Sie hält die meisten Daten in der EU, aber prüfen Sie Ausnahmen wie Flex Routing bei Copilot.
Quellen
- Durchführungsbeschluss (EU) 2023/1795 auf EUR-Lex
- Data Privacy Framework: Liste der teilnehmenden Unternehmen
Geschrieben von GoalCube-Redaktion. Zuletzt aktualisiert 11. Oktober 2026. GoalCube hilft Ihnen, die KI-Verordnung und die DSGVO einzuhalten. Es ist keine Rechtsberatung.
Seien Sie unter den Ersten.
Wir planen den Start im November 2026. Merken Sie sich vor, dann hören Sie von uns, sobald Sie loslegen können.