Warum lokale LLMs zur DSGVO-Notwendigkeit werden

Die Datenschutz-Grundverordnung wurde 2026 acht Jahre alt. Sie wurde zu einer Zeit geschrieben, als Machine-Learning-Modelle vergleichsweise klein waren und die Vorstellung einer konversationellen KI, die Millionen personenbezogener Datenpunkte in Echtzeit verarbeitet, Science-Fiction war. Und dennoch lassen sich die DSGVO-Grundsätze bemerkenswert gut auf LLM-Deployments anwenden — oft auf eine Weise, die Organisationen, die Cloud-KI-APIs nutzen, vor erhebliche Compliance-Probleme stellt.

Das grundlegende DSGVO-Problem bei Cloud-LLMs

Art. 5 DSGVO legt sechs Grundsätze für die Verarbeitung personenbezogener Daten fest. Schauen wir uns an, wie Cloud-LLM-APIs dabei abschneiden:

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz. Wissen Ihre Nutzer, dass ihre Daten an einen Drittanbieter-KI-Dienstleister gesendet werden? Gibt es eine Rechtsgrundlage für diese Übermittlung? Viele Organisationen, die KI-Chatbots einsetzen, haben sich nicht ernsthaft damit befasst, ob sie dies in ihren Datenschutzerklärungen offengelegt haben.

Zweckbindung. Für einen Zweck erhobene Daten sollten nicht für einen anderen verwendet werden. Wenn ein Cloud-Anbieter Ihre API-Anfragen zur Verbesserung seines Modells nutzt, ist das mit den Zwecken vereinbar, für die Ihre Nutzer Ihnen ihre Daten anvertraut haben? Mit an Sicherheit grenzender Wahrscheinlichkeit nicht.

Datensparsamkeit. Es sollten nur Daten verarbeitet werden, die „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt" sind. Vollständige Gesprächsverläufe an eine Cloud-API zu senden, wenn eine Zusammenfassung ausreichen würde, verstößt gegen diesen Grundsatz.

Richtigkeit. Für LLMs weniger relevant, aber erwähnenswert: KI-generierte Ausgaben können ungenaue Datensätze erzeugen, wenn sie zurück in Datensysteme gespeist werden.

Speicherbegrenzung. Daten sollten nicht länger als notwendig aufbewahrt werden. Die Aufbewahrungsrichtlinien von Cloud-Anbietern für API-Call-Logs stimmen möglicherweise nicht mit Ihren Aufbewahrungspflichten überein.

Integrität und Vertraulichkeit. Es müssen angemessene Sicherheitsmaßnahmen vorhanden sein. Das Senden sensibler Daten über das Internet an einen ausländischen Cloud-Anbieter schafft eine Sicherheitsoberfläche, die Sie nicht kontrollieren.

Art. 28 DSGVO: Auftragsverarbeitungsverträge

Verarbeitet ein Cloud-KI-Anbieter personenbezogene Daten in Ihrem Auftrag, ist er Auftragsverarbeiter gemäß Art. 28 DSGVO. Sie benötigen einen Auftragsverarbeitungsvertrag (AVV). Die meisten großen Cloud-Anbieter bieten Standard-AVVs an, aber diese sind oft Einheitsdokumente, die die Besonderheiten der LLM-Verarbeitung nicht berücksichtigen — insbesondere in Bezug auf das Modelltraining.

Lesen Sie das Kleingedruckte. Viele AVVs schließen Modelltraining und -verbesserung explizit aus ihren Datenverarbeitungsbeschränkungen aus. Diese Ausnahme bedeutet, dass der Anbieter auf den Daten Ihrer Nutzer trainieren kann — und der AVV schützt Sie nicht davor.

Grenzüberschreitende Übermittlungen: Art. 44–49 DSGVO

Die Übermittlung personenbezogener Daten an einen Anbieter in den USA oder anderswo außerhalb des EWR erfordert einen Rechtsbehelf nach Kapitel V der DSGVO. Der EU-US-Datenschutzrahmen deckt viele US-Übermittlungen ab, aber:

• Er erfasst nur Anbieter, die im Rahmen zertifiziert sind
• Er wurde rechtlich angefochten und könnte für ungültig erklärt werden (wie seine Vorgänger)
• Er deckt keine Übermittlungen an Anbieter in anderen Drittländern ab

Für Organisationen, die das Risiko durch Übermittlungsmechanismen nicht tolerieren können, ist die einzig sichere Lösung, die Verarbeitung innerhalb des EWR zu halten.

Die Antwort: lokale LLMs

Den Betrieb eines LLM lokal — auf eigenen Servern, in einem EU-Rechenzentrum — zu führen, beseitigt die meisten dieser Probleme strukturell:

• Kein Drittanbieter-Auftragsverarbeiter. Kein AVV für die Inferenzschicht erforderlich (Sie sind gleichzeitig Verantwortlicher und Verarbeiter).
• Keine grenzüberschreitende Übermittlung. Daten verlassen den EWR nie.
• Kein Training mit Ihren Daten. Die Modellgewichte sind statisch; Ihre Daten fließen nirgendwo zurück.
• Aufbewahrung unter Ihrer Kontrolle. Logs gehören Ihnen; Aufbewahrungsrichtlinien gelten so, wie Sie sie konfigurieren.

Die übrigen DSGVO-Pflichten — Rechtsgrundlage, Transparenz, Betroffenenrechte — gelten weiterhin. Aber Sie fügen keine weitere Ebene von Auftragsverarbeiter- und Übermittlungs-Compliance hinzu.

Praktische Überlegungen

Modellauswahl. EULLM Hub bietet vorab spezialisierte Modelle mit AI-Act-Konformitätskarten. Die Nutzung eines Modells mit dokumentierter Trainingsdatenprovenienz ist eine gute Praxis im Sinne des Rechenschaftspflicht-Grundsatzes der DSGVO.

Audit-Protokollierung. EULLM Engine enthält integrierte Audit-Protokollierung. Das Führen von Verzeichnissen der Verarbeitungstätigkeiten (Art. 30 DSGVO) ist unkompliziert, wenn Sie den Inference-Stack kontrollieren.

Betroffenenanfragen. Wenn ein Nutzer fragt, welche Daten Sie über ihn haben, oder deren Löschung verlangt, macht lokale Infrastruktur das handhabbar. Sie wissen genau, was wo gespeichert ist.

Das Fazit: Für Organisationen, die personenbezogene Daten mit KI verarbeiten — was fast alle KI-Anwendungsfälle in Unternehmen betrifft — ist lokale LLM-Infrastruktur nicht nur technisch machbar. In vielen Kontexten ist sie die einzige DSGVO-konforme Option.

EULLM Engine läuft vollständig in Ihrer eigenen Infrastruktur. Das Projekt auf GitHub ansehen.