KI für die DSGVO: Automatisierung von Datenübermittlungen in Drittländer

Wenn Sie EU-Personendaten außerhalb des EWR übermitteln, kann KI bei der Routinearbeit helfen – aber sie trifft keine rechtlichen Entscheidungen für Sie.

Hier die Kurzfassung: Ich würde KI nutzen, um Datenflüsse zu kartieren, Anbieter und Unterauftragsverarbeiter zu überwachen, TIAs zu erstellen und Risikoveränderungen in Echtzeit zu melden. Aber die finale Verantwortung für Transferentscheidungen, SCC-Prüfungen und Freigaben läge weiterhin bei den Rechtsabteilungen, Datenschutz-Teams und dem DSB.

Einige Fakten machen das deutlich:

• Die DSGVO Kapitel V kommt zur Anwendung, wenn Personendaten an ein Drittland übermittelt werden oder dort zugänglich gemacht werden.
• Die 1,3-Milliarden-Dollar-Strafe von Meta durch die irische DPC im Mai 2023 zeigte, welche Kosten schwache SCC-Unterstützung und mangelhafte TIAs verursachen können.
• Das EU-U.S. Data Privacy Framework steht weiterhin unter gerichtlicher Prüfung, sodass dessen alleinige Nutzung Lücken hinterlassen kann.
• Schatten-KI-Nutzung, z. B. wenn Mitarbeiter Dateien in ChatGPT oder Claude einfügen, kann zu un dokumentierten Übermittlungen in Drittländer führen.
• Änderungen bei Unterauftragsverarbeitern, Hosting-Regionen oder Aufbewahrungsfristen können lange nach der Onboarding-Phase auftreten.

Die Hauptbotschaft ist einfach: Ein DSGVO Copilot eignet sich gut, um Übermittlungen in großem Umfang zu finden, zu verfolgen und zu dokumentieren. Die rechtliche Bewertung, ob eine Übermittlung zulässig ist und welche Schutzmaßnahmen ausreichen, obliegt jedoch weiterhin den Verantwortlichen.

Wenn ich dies in die Praxis umsetzen würde, würde ich mich zunächst auf fünf Aufgaben konzentrieren:

• Kartierung der Wege, auf denen Personendaten über SaaS, Cloud-Tools, APIs und KI-Dienste fließen
• Überwachung von Änderungen bei Anbietern, Regionen, Aufbewahrungsfristen und Tool-Nutzung
• Erstellung von RoPA-Einträgen, TIA-Inputs und Übermittlungsdokumenten
• Umsetzung von Kontrollen wie Pseudonymisierung, EWR-Routing, Null-Aufbewahrung und EU-Schlüsselverschlüsselung
• Auslösung von Prüfungen, wenn sich Unterauftragsverarbeiter, Gesetze oder Zertifizierungen ändern

Eine einfache Denkhilfe:

Was KI leisten kann	Was weiterhin Menschen erledigen müssen
Auffinden von Datenflüssen	Auswahl zwischen DPF, SCCs, BCRs oder Ausnahmen nach Art. 49 DSGVO
Melden neuer Übermittlungsrisiken	Bewertung des Zugriffsrisikos durch ausländische Regierungen
Erstellen von TIA-Inputs	Entscheidung, ob zusätzliche Schutzmaßnahmen ausreichen
Verfolgen des DPF-Zertifizierungsstatus	Freigabe von TIAs und Transferentscheidungen
Synchronisierung von Aufzeichnungen	Übernahme von rechtlichen und unternehmerischen Risiken

Fazit: Ich würde KI als Überwachungs- und Entwurfs-Schicht behandeln, nicht als rechtlichen Entscheidungsträger. So bleiben Transferaufzeichnungen aktuell, ohne dass sich die Datenkartei von Verträgen, TIAs und der Realität der Anbieter entfernt.

::: @figure {Rollen von KI und Menschen bei der DSGVO-konformen Datenübermittlung in Drittländer} :::

Wo KI die größten Lücken bei der DSGVO-konformen Datenübermittlung schließt

KI-gestützte Kartierung von Datenflüssen über Systeme und Anbieter hinweg

Die erste Lücke, die KI schließt, ist die Transparenz. Automatisierte Erkennung kann Personendaten über SaaS-, Cloud- und KI-Anbieter hinweg kartieren – einschließlich Übermittlungswegen, die manuelle Prüfungen oft übersehen [6][8].

Das umfasst mehr als nur offensichtliche Systeme. Auch Unterauftragsverarbeiter, Protokolle, Backups und API-Zwischenschritte gehören dazu. Jeder kann mit dem jeweiligen Übermittlungsmechanismus verknüpft werden. Eine nützliche Karte sollte Folgendes zeigen:

• Den genutzten Dienst
• Die betroffenen Daten
• Den Übermittlungsmechanismus
• Die Region des Unterauftragsverarbeiters

KI hilft, das Übermittlungsrisiko zu senken, weil sie die Karte aktuell hält – nicht, weil sie Daten einmal findet und dann aufhört. Sobald die Karte erstellt ist, kann KI Abweichungen erkennen und Änderungen in Echtzeit melden.

Kontinuierliche Erkennung neuer Übermittlungsrisiken

Anstatt auf geplante Prüfungen zu warten, können Teams Änderungen bei Unterauftragsverarbeitern, Hosting-Regionen, Aufbewahrungsfristen und Tool-Nutzung in Echtzeit überwachen [6][7].

Der Punkt ist einfach: Übermittlungsprobleme erkennen, sobald sie auftreten. Dazu gehören das Melden neuer, nicht genehmigter SaaS- oder KI-Tools, das Erkennen von Änderungen bei Hosting-Regionen von Anbietern, das Auffangen von Aktualisierungen bei Aufbewahrungseinstellungen und das Finden neuer Kategorien von Personendaten in Prompts [4][6].

Wenn das System eine Änderung erkennt, kann es eine Prüfung einleiten, das Ziel klassifizieren, einen Übermittlungsmechanismus vorschlagen und die Angelegenheit zur Freigabe an einen Menschen weiterleiten – z. B. mit ISMS Copilot EU [7].

Automatisierte Dokumentation und Beweissammlung

RoPA, Anbieterbewertungen und Übermittlungsdokumente müssen synchron bleiben, da sie alle dieselbe Übermittlungsentscheidung stützen. KI-Plattformen helfen dabei, indem sie RoPA-Einträge automatisch aus den entdeckten Datenflüssen ausfüllen und jeden Eintrag mit dem jeweiligen Unterauftragsverarbeiter, Standort und Übermittlungsmechanismus verknüpfen [1][2].

Wenn ein Anbieter seine Unterauftragsverarbeiterliste aktualisiert, kann das System erkennen, ob die Änderung nachteilig ist – was eine 30-tägige Prüfungsfrist und eine Aktualisierung der TIA auslösen würde – oder ob sie neutral ist, z. B. wenn ein bereits geprüfter Anbieter zu einer bestehenden Allowlist mit Null-Aufbewahrung hinzugefügt wird [2].

Für KI-Agenten-Interaktionen mit hoher Frequenz können Laufzeitprüfprotokolle grenzüberschreitende Übermittlungen in Echtzeit verifizieren und Prüfprotokolle für solche Übermittlungen generieren [9].

Wenn Karte und Aufzeichnungen aktuell sind, geht es darum, jeden Datenfluss dem richtigen Übermittlungsmechanismus und der richtigen TIA zuzuordnen.

Automatisierung von DSGVO-Übermittlungsmechanismen und Bewertungen

Auswahl des richtigen Übermittlungsmechanismus

Sobald KI eine Übermittlung kartiert hat, kann sie den Fluss dem passenden rechtlichen Weg zuweisen.

Angemessenheitsbeschlüsse nach Artikel 45 DSGVO sind der einfachste Weg. Wenn das Zielland von der EU als ausreichend geschützt eingestuft wurde – wie das Vereinigte Königreich, Japan, Südkorea oder nach dem DPF zertifizierte US-Unternehmen – ist kein zusätzlicher Vertrag nötig. Dennoch ist es ratsam, Angemessenheit als praktische Erleichterung zu behandeln und SCCs sowie TIAs als Backup bereit zu halten [3].

Standardvertragsklauseln (SCCs) nach Artikel 46 DSGVO sind die häufigste Alternative für Übermittlungen in Länder ohne Angemessenheitsbeschluss. Die 2021 aktualisierten SCCs nutzen ein modulares System, das verschiedene Übermittlungsszenarien abdeckt [10].

SCC-Modul	Übermittlungsrichtung	Typischer Anwendungsfall
Modul 1	Verantwortlicher → Verantwortlicher	Zwei Verantwortliche, die Daten teilen
Modul 2	Verantwortlicher → Auftragsverarbeiter	Ein EU-Verantwortlicher nutzt einen nicht-europäischen Auftragsverarbeiter
Modul 3	Auftragsverarbeiter → Auftragsverarbeiter	Ein Auftragsverarbeiter nutzt einen nicht-europäischen Unterauftragsverarbeiter
Modul 4	Auftragsverarbeiter → Verantwortlicher	Ein Auftragsverarbeiter gibt Daten an einen Verantwortlichen zurück

Verbindliche Unternehmensregelungen (BCRs) sind die langfristigste Option für gruppeninterne Übermittlungen. Sie hängen nicht von Angemessenheitsbeschlüssen ab und können auch genutzt werden, wenn diese entfallen. Der Nachteil: Sie erfordern viel Aufwand und Zeit für die Umsetzung [3].

Ausnahmen nach Artikel 49 DSGVO sind enge Ausnahmen, z. B. ausdrückliche Einwilligung, Vertragserfüllung oder lebenswichtige Interessen. Sie gelten nur für gelegentliche, nicht-wiederkehrende Übermittlungen.

KI kann jeden entdeckten Datenfluss klassifizieren und ihn basierend auf Zielland, Empfängertyp und Wohnsitzregeln dem passenden Mechanismus zuweisen. Damit wird ein rechtlicher Entscheidungsbaum zu einem automatisierten Routing-Schritt [1]. Von dort aus fließt diese Entscheidung in die TIA und die unterstützenden Aufzeichnungen ein.

KI zur Beschleunigung von Transfer Impact Assessments (TIAs)

KI entwirft. Menschen genehmigen. Das ist die Grenze.

SCCs funktionieren nicht allein. Wie Dr. Thiébaut Devergranne, Gründer von Legiscope, erklärt:

„Standardvertragsklauseln sind kein Ersatz für Due Diligence – sie bilden die vertragliche Grundlage, auf der Transfer Impact Assessments, ergänzende Maßnahmen und laufende Überwachung aufbauen.“ [10]

Ein Transfer Impact Assessment (TIA) ist Teil der Due Diligence, die bei SCCs für Übermittlungen in Länder ohne Angemessenheitsbeschluss erforderlich ist. KI kann Risikosignale abrufen, Schutzmaßnahmen aus DPAs extrahieren, besondere Kategorien von Daten markieren und einen juristisch vorbereiteten TIA-Entwurf erstellen. Die finale Freigabe bleibt jedoch einem qualifizierten Prüfer vorbehalten.

Das ist wichtig. Die 1,2-Milliarden-Euro-Strafe der irischen DPC gegen Meta im Mai 2023 war auf ein schwaches TIA zurückzuführen, das die Überwachungsexposition der USA nicht ausreichend berücksichtigte [3]. KI wird nicht jede Durchsetzungsmaßnahme verhindern, aber sie hilft, die Dokumentationslücken zu schließen, die Aufsichtsbehörden häufig zuerst beanstanden.

TIAs sind auch keine einmalige Aufgabe. Sie sollten jährlich überprüft werden oder immer dann, wenn sich ein Unterauftragsverarbeiter ändert oder sich die Gesetze im Zielland ändern [10][3]. Automatisierte Auslöser für Neubewertungen halten die TIA aktuell, ohne sich auf manuelle Erinnerungen zu verlassen, die übersehen werden könnten.

Aktualität von SCCs und Übermittlungsdokumentation sicherstellen

Sobald die TIA erstellt ist, geht es darum, Verträge, Anhänge und Live-Datenflüsse synchron zu halten.

KI hilft, Abweichungen zu erkennen, indem sie Vertragsbedingungen kontinuierlich mit den Live-Datenflüssen vergleicht. Praktisch bedeutet das, dass sie erkennen kann, wenn ein US-Unterauftragsverarbeiter ohne die richtigen Modul-2-SCCs hinzugefügt wird, wenn sich eine Speicherregion ändert, ohne dass die TIA aktualisiert wird, oder wenn Anhänge Details wie bestimmte Datenkategorien oder technische Sicherheitsmaßnahmen fehlen.

Wenn eine Aktualisierung der Unterauftragsverarbeiterliste eines Anbieters nachteilig ist, kann das System eine 30-tägige Prüfungsfrist auslösen und eine TIA-Aktualisierung einplanen. Wenn die Änderung die Kontrolllage nicht beeinträchtigt, kann sie schneller bearbeitet werden [2].

Für Organisationen, die das DPF nutzen, kann KI auch den Zertifizierungsstatus von Empfängern auf dataprivacyframework.gov verfolgen und automatische Warnungen bei Ablauf ausgeben. Wenn diese Zertifizierung erlischt, entfällt die rechtliche Grundlage für die Übermittlung [10]. Die parallele Nutzung von Modul-2-SCCs neben der DPF-Zertifizierung bietet einen Backup-Pfad, falls die Angemessenheit später angefochten wird [3].

Kontrollen zur Reduzierung des Übermittlungsrisikos in Drittländer

Pseudonymisierung, Verschlüsselung und Datensparsamkeit

Sobald der Übermittlungsmechanismus festgelegt ist, lautet die nächste Maßnahme: Weniger Daten übermitteln.

Je weniger Personendaten den EWR verlassen, desto geringer ist das Übermittlungsrisiko. KI-gestützte Redaktionsworkflows können persönliche Identifikatoren wie Namen, E-Mails, Telefonnummern und Organisationsnamen erkennen und maskieren, bevor Daten einen internationalen KI-Anbieter erreichen [1][5]. Diese Maskierung senkt das Risiko, macht die Daten aber nicht anonym [11].

Bei höherem Risiko ist die Verschlüsselung mit EU-verwalteten Schlüsseln eine starke zusätzliche Schutzmaßnahme. Wenn Entschlüsselungsschlüssel nur in der EU verbleiben, bleiben die gespeicherten Daten selbst bei Zwangsmaßnahmen durch ausländische Behörden unbrauchbar [3]. Und wo möglich, kann das Routing nur im EWR mit Null-Aufbewahrung den Übermittlungsschritt für einige KI-Workflows vollständig entfallen lassen, sodass sie außerhalb des Anwendungsbereichs von Kapitel V liegen [1][5].

Zugriffskontrollen, Überwachung und Durchsetzung von Richtlinien

Zugriffskontrollen und KI-Compliance-Assistenten helfen, menschliche Fehler zu reduzieren, die zu undokumentierten Übermittlungen führen.

Row-Level Security (RLS) und Workspace-Isolation halten Daten separater Kunden oder Abteilungen getrennt, was unerlaubten Cross-Zugriff während der Verarbeitung verhindert [11].

Auch Schatten-KI-Erkennung ist wichtig. Wenn ein Mitarbeiter HR-Dateien oder Prüfberichte in ein nicht genehmigtes Verbraucher-KI-Tool einfügt, kann dies zu einer undokumentierten Übermittlung in ein Drittland führen [4]. Browser- und Netzwerkschicht-Überwachung kann diese nicht genehmigten Übermittlungen erkennen, bevor sie zu Vorfällen werden.

Kontrollzweck	KI-gestützte Umsetzung	Reduzierung des Übermittlungsrisikos	Aufwand
Datenresidenz	Routing nur im EWR	Hoch – Übermittlungsschritt entfällt	Gering
Datensparsamkeit	Automatisierte PII-Redaktion	Hoch – reduziert den Umfang sensibler Daten	Gering
Ergänzende Schutzmaßnahme	Verschlüsselung mit EU-verwalteten Schlüsseln	Hoch – Daten ohne EU-Schlüssel unbrauchbar	Hoch
Richtliniendurchsetzung	Schatten-KI-Überwachung	Mittel – erkennt nicht genehmigte Flüsse	Mittel
Zugriffstrennung	Row-Level Security (RLS)	Mittel – verhindert interne Leaks	Mittel
Speicherbegrenzung	API-Tiers mit Null-Aufbewahrung	Mittel – reduziert Datenvolumen	Gering

Governance von Anbietern und KI-Modellen

Diese Kontrollen sind besonders wichtig, wenn externe KI-Anbieter Routing, Aufbewahrung und Unterauftragsverarbeiter kontrollieren.

Drittanbieter-Verarbeiter und KI-Dienste sind oft die Hauptquellen für Übermittlungsrisiken. KI-Anbieter können Inferenzanfragen in Echtzeit über mehrere Gerichtsbarkeiten und Unterauftragsverarbeiter leiten [8][4]. Was wie eine einzelne Anbieterbeziehung aussieht, kann in der Praxis mehrere Verarbeitungsstandorte umfassen, jeder mit eigenem rechtlichem Risiko.

Die Due-Diligence-Prüfung von KI-Diensten muss über klassische DPA-Checklisten hinausgehen. Die wichtigsten Fragen sind einfach:

• Wo läuft die Inferenz tatsächlich?
• Wo werden Protokolle gespeichert?
• Nutzt der Anbieter Prompt-Daten zum Trainieren von Modellen?
• Wie sehen die Standard-Aufbewahrungsfristen aus und können sie auf Null gesetzt werden?
• Wie sieht der Löschzeitplan aus?
• Gibt es eine dokumentierte Verpflichtung zur Incident Response bei grenzüberschreitender Exposition?

Wenn ein Anbieter Infrastruktur in einer neuen Gerichtsbarkeit hinzufügt oder seine Unterauftragsverarbeiterliste in einer nachteiligen Weise ändert, sollte dies eine automatische TIA-Prüfung auslösen [1][5][8].

Der nächste Schritt besteht darin, diese Kontrollen in ein wiederholbares Übermittlungsprogramm zu überführen, z. B. mit einem ISMS-Assistenten für mehrere Frameworks.

Aufbau eines KI-gestützten DSGVO-Übermittlungsprogramms

Praktische Implementierungsreihenfolge

Das Ziel ist es, Entdeckung, rechtliche Zuweisung und Kontrollen in einen wiederholbaren Übermittlungs-Workflow zu überführen.

In der Praxis bedeutet das, einer festen Rollout-Reihenfolge zu folgen, anstatt auf ein perfektes Tool zu warten. Beginnen Sie mit der Inventarisierung aller Personendaten. Kartieren Sie dann jeden Übermittlungsweg nach Empfänger, Zielland und Datenkategorie. Markieren Sie Artikel-9-Daten priorisiert, da sie die strengsten Kontrollen erfordern.

Weisen Sie anschließend jedem Pfad einen rechtmäßigen Übermittlungsmechanismus zu. Führen Sie SCCs parallel zum DPF durch, falls rechtliche Risiken die Kontinuität der Übermittlung gefährden könnten. Automatisieren Sie TIA-Inputs, indem Sie Risikosignale aus DPAs extrahieren, das Risiko nach Zielland bewerten und ergänzende Maßnahmen entwerfen. Wenden Sie dann Schutzmaßnahmen auf Dienstebene an und lösen Sie TIA-Neubewertungen aus, wenn sich ein Anbieter oder die Rechtslage ändert.

Das gibt Teams einen einheitlichen Arbeitsablauf statt getrennter Prozesse für Rechtsabteilung, Sicherheit und Anbieter. Für Teams nach ISO 27001 und SOC 2 kann dieselbe Datenkarte auch RoPA und Prüfungsnachweise speisen.

Wie ISMS Copilot den Workflow unterstützen kann

Sobald der Workflow steht, besteht die nächste Herausforderung darin, Aufzeichnungen und Nachweise aktuell zu halten.

ISMS Copilot unterstützt Teams dabei, DSGVO-Übermittlungsdokumentation zu erstellen, TIA-Inputs mit vorgefertigten Vorlagen zu strukturieren, Kontrollen über ISO 27001, SOC 2, NIS 2 und DSGVO hinweg abzustimmen und RoPA sowie Nachweise für interne und externe Prüfungen synchron zu halten.

Wichtige Erkenntnisse für Sicherheits- und Compliance-Teams

Der Wert der Automatisierung liegt nicht in weniger Entscheidungen. Es geht um schnellere, besser unterstützte Entscheidungen.

KI kann Datenentdeckung, TIA-Vorbereitung, Anbieterprüfungen und kontinuierliche Überwachung übernehmen. Sie beschleunigt die Arbeit, aber die rechtliche Verantwortung und die Freigabe durch den DSB bleiben entscheidend. Nutzen Sie dokumentierte Schutzmaßnahmen, automatisierte Nachweise und geplante Prüfungen, um die DSGVO-konforme Übermittlung aktuell zu halten.

DSGVO-KI-Datenübermittlungen: Cloud-Regionen, Zugriff & Prüfungsnachweise | Modul 3.5

::: @iframe https://www.youtube.com/embed/eLZKdoNJv1k :::

FAQs

::: faq

Wann liegt eine grenzüberschreitende Übermittlung nach DSGVO vor?

Eine grenzüberschreitende Übermittlung nach DSGVO liegt vor, wenn Personendaten einem Empfänger in einem Drittland oder einer internationalen Organisation außerhalb des EWR zugänglich gemacht werden.

Das kann auf verschiedene Weise geschehen. Die Daten können direkt übermittelt, auf Systemen in einem anderen Land gespeichert oder verarbeitet oder von dort aus abgerufen werden. Und der Zugriff muss nicht absichtlich erfolgen. Selbst zufälliger Zugriff kann als Übermittlung gelten. :::

::: faq

Kann KI TIAs und SCC-Prüfungen vollständig automatisieren?

Ja. KI kann Transfer Impact Assessments (TIAs) und die Unterstützung von SCCs vollständig automatisieren, einschließlich mit Tools wie ISMS Copilot.

Sie kann TIAs automatisch basierend auf Übermittlungsrouten, rechtlichen Rahmenwerken und ergänzenden Maßnahmen generieren, aber menschliche Prüfung bleibt entscheidend. :::

::: faq

Was sollte eine neue Prüfung des Übermittlungsrisikos auslösen?

Eine neue Prüfung des Übermittlungsrisikos sollte ausgelöst werden, wenn sich die Art und Weise, wie Daten verarbeitet werden, oder die rechtliche Situation ändert.

Dazu gehören:

• Aktualisierungen bei Unterauftragsverarbeitern oder Datenflüssen
• Änderungen in US-Überwachungsgesetzen
• Neue Leitlinien von Aufsichtsbehörden
• Wesentliche Änderungen der Datenverarbeitungsaktivitäten
• Einführung neuer Tools, Anbieter oder Workflows

Kurz gesagt: Wenn sich der Datenpfad ändert, die rechtlichen Regeln verschärft werden oder eine neue Partei beteiligt ist, ist es Zeit für eine Neubewertung. ::