KI-Agenten und Datenschutz: Was die DSGVO verlangt

KI-Agenten handeln selbstständig, führen Datenquellen zusammen und lösen Aktionen aus. Für Unternehmen, die solche Systeme einsetzen, und für Nutzerinnen und Nutzer, deren Daten dabei verarbeitet werden, stellt sich damit neu die Frage nach dem Datenschutz. Dieser Beitrag ordnet ein, welche Rechtsgrundlagen beim Einsatz von KI-Agenten greifen und wo die Aufsicht genauer hinsieht.

Was unterscheidet KI-Agenten von klassischen KI-Systemen?

Ein klassisches KI-System beantwortet eine Anfrage und endet dort. KI-Agenten gehen einen Schritt weiter: Sie zerlegen ein Ziel in Teilschritte, wählen eigenständig Werkzeuge aus, rufen Schnittstellen auf, lesen Dokumente, schreiben in Systeme und wiederholen diesen Ablauf, bis das Ziel erreicht scheint. Das Bayerische Landesamt für Datenschutzaufsicht beschreibt den Unterschied in ähnlicher Weise: Anders als klassische KI-Anwendungen könnten solche Systeme zunehmend eigenständig Informationen verarbeiten, verschiedene Datenquellen zusammenführen und Handlungen ausführen. Der Mensch gibt damit den Auftrag, nicht mehr jeden einzelnen Verarbeitungsschritt.

Diese Verschiebung ist der Kern der datenschutzrechtlichen Diskussion. Bei herkömmlicher Software lässt sich jeder Datenfluss vorab beschreiben: Eingabe, Verarbeitung, Ausgabe, Speicherort. Bei agentischen Systemen entsteht der konkrete Ablauf erst zur Laufzeit. Welche Daten tatsächlich verarbeitet werden, hängt davon ab, welchen Weg der Agent im Einzelfall wählt.

Für die rechtliche Bewertung bedeutet das: Die Verarbeitung muss auf Ebene der möglichen Handlungsräume beschrieben werden, nicht nur auf Ebene eines einzelnen Ablaufs. Maßgeblich ist, welche Datenquellen und Systeme der Agent überhaupt erreichen kann, welche Berechtigungen er besitzt und wo seine Grenzen technisch verankert sind. Dass dieser Perspektivwechsel aufsichtsrechtlich Gewicht hat, zeigt die Ankündigung des BayLDA, den Einsatz von KI-Agenten im Jahr 2027 zu einem Schwerpunkt seiner Arbeit und zum Gegenstand einer thematischen Prüfreihe zu machen.

Welche Rechtsgrundlagen gelten für KI-Agenten?

Ein eigenes Datenschutzrecht für KI-Agenten gibt es nicht. Es gilt die DSGVO, ergänzt durch die KI-Verordnung, die als Produkt- und Marktregulierung daneben tritt und den Datenschutz nicht ersetzt. Auch die Fragen, die das BayLDA in diesem Zusammenhang benennt, sind vertraut: Zweckbindung, Transparenz, Zugriffsberechtigungen und wirksame menschliche Kontrolle. Neu ist nicht der Prüfungsmaßstab, sondern der Aufwand bei der Sachverhaltsaufklärung.

Die wesentlichen Prüfpunkte lassen sich in vier Schritten ordnen:

• Rollenklärung:
  Wer ist Verantwortlicher, wer Auftragsverarbeiter? Entscheidend ist, wer über Zweck und Mittel bestimmt. Modellanbieter, Plattformbetreiber und einsetzendes Unternehmen können unterschiedliche Rollen einnehmen, auch nebeneinander.
• Zweckbindung:
  Für welchen konkreten Zweck handelt der Agent? Ein pauschaler Zweck wie Prozessunterstützung genügt nicht, wenn der Agent faktisch Bewerbungen vorsortiert, Kundenanfragen bewertet oder Vertragsdaten zusammenführt.
• Rechtsgrundlage:
  Vertragserfüllung, berechtigtes Interesse, Einwilligung oder gesetzliche Pflicht. Bei Beschäftigtendaten und besonderen Kategorien personenbezogener Daten ist die Hürde erkennbar höher.
• Transparenz und Betroffenenrechte:
  Informationspflichten müssen auch dann erfüllbar sein, wenn der Agent Daten aus mehreren Quellen zusammenträgt. Auskunft, Löschung und Berichtigung müssen über alle beteiligten Komponenten hinweg umsetzbar sein. Grundsätzlich muss die Einhaltung der Datenschutzgrundsätze jederzeit gewährleistet sein.

Besondere Aufmerksamkeit verdient Art. 22 DSGVO. Ein Agent, der Vorschläge erzeugt, bleibt unkritisch, solange eine inhaltliche menschliche Prüfung stattfindet. Wird der Vorschlag in der Praxis regelmäßig unverändert übernommen, rückt eine automatisierte Entscheidung näher, als es die Prozessbeschreibung vermuten lässt.

Ein Beispiel: Ein Agent sichtet eingehende Bewerbungen, kennzeichnet sie als geeignet oder ungeeignet und erzeugt passende Absageentwürfe. Werden diese Entwürfe bei hoher Fallzahl nur noch freigegeben, liegt die Entscheidung faktisch beim System, auch wenn formal ein Mensch bestätigt. Genau hier setzt die Frage nach wirksamer menschlicher Kontrolle an: Sie muss nicht nur vorgesehen, sondern im Arbeitsalltag auch tatsächlich leistbar sein. Das BayLDA geht auf seiner thematischen KI-Übersichtsseite im Abschnitt zu Einzelfragen zu KI-Agenten unter anderem auf diese Norm sowie auf Fragen der Verantwortlichkeit ein.

Wo entstehen die größten Risiken im laufenden Betrieb?

Die typischen Problemstellen liegen weniger im Modell selbst als in seiner Anbindung. Ein Agent ist nur so datenschutzfreundlich wie die Rechte, die er erhält, und die Systeme, in die er schreiben darf. Dass Zugriffsberechtigungen in den Fragestellungen der Aufsicht ausdrücklich auftauchen, deckt sich mit dem häufigsten Befund in der Praxis: zu weit gefasste Rechte.

Besondere Aufmerksamkeit verdienen folgende Punkte:

• Berechtigungsumfang: Agenten erben oft die Rechte eines technischen Nutzers und sehen dadurch mehr als der auftraggebende Mensch sehen dürfte.
• Gedächtnis und Kontext: Gespeicherte Zwischenergebnisse, Verlaufsdaten und Vektorindizes sind eigenständige Verarbeitungen mit eigener Löschfrist.
• Zusammenführung von Datenquellen: Einzeln harmlose Bestände können kombiniert ein Persönlichkeitsprofil ergeben, das so nie beabsichtigt war.
• Werkzeugaufrufe nach außen: Jede Schnittstelle zu einem Drittdienst kann eine Übermittlung darstellen, auch wenn sie im Protokoll nur als technischer Aufruf erscheint.
• Fremdeingaben: Inhalte aus E-Mails, Dokumenten oder Webseiten können Anweisungen enthalten, die der Agent als Auftrag missversteht und die zu unbeabsichtigten Datenabflüssen führen.
• Protokollierung: Logs sind für Nachvollziehbarkeit nötig, enthalten aber häufig genau die personenbezogenen Daten, die sonst minimiert werden sollen.

Die Risikobewertung sollte diese Punkte nicht einzeln, sondern im Zusammenspiel betrachten. Ein weit berechtigter Agent mit persistentem Gedächtnis und Zugriff auf externe Dienste erreicht schnell eine Eingriffstiefe, die eine Datenschutz-Folgenabschätzung nahelegt. Dass die Einzelkomponenten jeweils unauffällig wirken, ändert daran nichts.

Wie lässt sich Verantwortung bei KI-Agenten dokumentieren?

Nachweisbarkeit entsteht nicht durch Erklärungen zur Funktionsweise des Modells, sondern durch belegbare Grenzen. Unternehmen sollten vor allem den Zweck des Agenten, seine erlaubten Werkzeuge und Datenquellen sowie die vergebenen Berechtigungen dokumentieren. Auch die Speicherorte und Löschfristen seiner Zwischenergebnisse sowie die Stellen, an denen eine menschliche Prüfung vorgesehen ist, sind elementar. Ebenso gehört dazu, was der Agent ausdrücklich nicht tun darf.

Hilfreich ist eine Denkweise aus dem Berechtigungsmanagement: Ein Agent wird wie eine Rolle behandelt, nicht wie ein Werkzeug. Er erhält eine beschriebene Aufgabe, ein eng gefasstes Rechtepaket, eine zuständige Fachabteilung und eine regelmäßige Überprüfung. Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge und technische Konfiguration müssen dabei dasselbe Bild ergeben. Weichen sie voneinander ab, ist in der Regel die Konfiguration maßgeblich, nicht das Papier.

Einordnend bleibt festzuhalten: KI-Agenten erfordern keine neue Dogmatik, aber eine deutlich genauere Sachverhaltsarbeit. Die bekannten Instrumente der DSGVO greifen, sie müssen jedoch auf dynamische Abläufe statt auf feste Prozesse angewendet werden. Das BayLDA sieht präventiven Datenschutz nach eigener Darstellung gerade in Phasen gewichtig, in denen sich neue Technologien betrieblich etablieren, und will Risiken früh sichtbar machen sowie Orientierung geben. Mit dem Schwerpunkt und der Prüfreihe für 2027 dürfte sich die Prüfpraxis in diesem Feld weiter ausdifferenzieren. Wer die Handlungsräume seiner Agenten schon jetzt kennt, begrenzt und dokumentiert, verschafft sich dafür eine geordnete Ausgangslage.