Automatisierte Datenschutz-Checks

Das echte Ausmaß des Problems

Acht Jahre nach Geltungsbeginn der DSGVO (Mai 2018) ist die Aufsichtspraxis kein theoretisches Risiko mehr. Der GDPR Enforcement Tracker der Kanzlei CMS sammelt die öffentlich bekannten Bußgelder der Aufsichtsbehörden in EU und EWR. Stand 18. September 2026 listet er 3.270 Verfahren mit zusammen rund 7,15 Milliarden Euro (enforcementtracker.com). Eine belastbare Durchschnittszahl für den deutschen Mittelstand ergibt sich daraus nicht, die Millionenstrafen gegen Konzerne verzerren jeden Mittelwert. Wer wissen will, wofür Behörden tatsächlich sanktionieren, filtert die Liste nach Land und Verstoßart. Das ist aussagekräftiger als jede Kennzahl, die wir hier hinschreiben könnten.

Das Hauptproblem ist kein Böswille, sondern fehlende Systematik. Die DSGVO hat 99 Artikel, und die dokumentationspflichtigen darunter sind genau die, die im Alltag untergehen: Auftragsverarbeitungsvereinbarung (AVV) nach Art. 28, Verzeichnis von Verarbeitungstätigkeiten nach Art. 30, technische und organisatorische Maßnahmen nach Art. 32, Datenschutz-Folgenabschätzung nach Art. 35 und die Übermittlung in Drittländer nach Art. 44 ff. Kleine und mittlere Unternehmen haben selten die Kapazität, all diese Anforderungen kontinuierlich zu überwachen. Dokumente werden einmal erstellt und vergessen. Prozesse ändern sich, ohne dass die Datenschutzdokumentation nachgezogen wird.

Ein weiteres Problem: Datenschutz-Checks sind reaktiv. Ein neuer Vertrag mit einem Dienstleister wird unterzeichnet, ohne geprüft zu werden, ob der Auftragsverarbeiter EU-Standardvertragsklauseln hat. Eine neue Software wird eingeführt, ohne die Datenschutz-Folgenabschätzung zu prüfen. KI-gestützte Checks drehen diese Logik um: systematisch, proaktiv, vor dem Schaden.

Mit vs. ohne KI, ein ehrlicher Vergleich

Einschätzung auf einen Blick

Zeitersparnis, mittel (3/5) Datenschutz-Checks sind nicht die häufigste tägliche Aufgabe, eher regelmäßig wiederkehrend (neue Dienstleister, neue Prozesse, jährliche Prüfungen). Die Zeitersparnis je Prüfung ist spürbar, eine belastbare Prozentzahl dafür haben wir nicht gefunden und erfinden auch keine. Stoppe die Prüfzeit für zehn Dokumente vorher und zehn danach, das ist die einzige Zahl, die für dich gilt. Die Gesamtfrequenz ist ohnehin geringer als bei Vertragsanalyse oder Mandantenkommunikation.

Kosteneinsparung, niedrig (2/5) Die direkte Kosteneinsparung entsteht durch schnellere Prüfung. Die wichtigere Einsparung ist die vermiedene Bußgeldschuld, aber die ist schwer monetarisierbar, weil das Schadensereignis selten ist. Vergleichbar mit der Haftungslogik beim Fristenmanagement: Du zahlst wenig, um etwas Teures zu verhindern.

Schnelle Umsetzung, mittel (3/5) Ein Pilot mit einem Dokumenttyp (z. B. nur AVV-Prüfung) ist in 1–2 Wochen möglich. Die volle Integration in einen kontinuierlichen Compliance-Prozess braucht 4–8 Wochen. Mittelfeldposition im Portfolio.

ROI-Sicherheit, niedrig (2/5) Der Nutzen ist real, aber schwer präzise zu beziffern, weil er im Nicht-Eintreten eines Bußgelds liegt. Kanzleien, die Datenschutz-Compliance als Mandatsdienstleistung anbieten, haben einen klareren ROI: KI reduziert ihren eigenen Aufwand bei gleichem Mandantsservice.

Skalierbarkeit, hoch (4/5) Mehr Mandanten, mehr Dokumente, mehr Prozesse, das System skaliert gut ohne proportionale Kostensteigerung. Besonders für Kanzleien, die Datenschutz-Compliance als Pauschalleistung anbieten, ist das der entscheidende Hebel.

Richtwerte, stark abhängig von Dokumentenvolumen und Compliance-Komplexität des Unternehmens.

Was das System konkret macht

Ein KI-gestützter Datenschutz-Check funktioniert in drei Ebenen:

Ebene 1, Einzeldokumenten-Check: Ein Vertrag, eine Prozessbeschreibung oder eine Datenschutzrichtlinie wird geprüft auf: Fehlende Pflichtinhalte (z. B. AVV ohne Technische-und-Organisatorische-Maßnahmen-Beschreibung), DSGVO-widrige Klauseln (z. B. unzulässige Einwilligungsformulierungen), Drittlandübermittlungen ohne Rechtsgrundlage.

Ebene 2, Prozess-Scan: Eine Prozessbeschreibung (z. B. “Wie sammeln wir Kundendaten im Online-Shop?”) wird gegen den DSGVO-Anforderungskatalog gespiegelt: Rechtsgrundlage für jede Verarbeitung vorhanden? Betroffenenrechte berücksichtigt? Löschfristen definiert?

Ebene 3, Portfolio-Monitoring: Für Kanzleien, die mehrere Mandanten betreuen: Automatische Verfolgung, welche Mandanten welche Compliance-Dokumente haben, welche aktualisiert werden müssen, welche fehlen.

Was KI nicht übernimmt: Die abschließende rechtliche Einschätzung, ob eine Verarbeitung DSGVO-konform ist. Das erfordert Kontextwissen über das Unternehmen, seine Branche und die spezifische Verarbeitungssituation. KI findet die Lücken, der Datenschutzexperte bewertet und entscheidet.

Rechtliche Besonderheiten

Beim Einsatz von KI für Datenschutz-Checks besteht eine selbstreferenzielle Besonderheit: Das Tool, das Datenschutzprobleme findet, muss selbst datenschutzkonform sein. Fünf Normen, und was sie für das Prüftool bedeuten:

Für Kanzleien kommt das Berufsrecht obendrauf. Prüfst du Dokumente eines Mandanten, sind sie Mandatsgeheimnis nach § 43a Abs. 2 BRAO, und der KI-Anbieter ist Dienstleister im Sinne von § 43e BRAO. Der AVV nach Art. 28 DSGVO deckt das nicht ab. § 43e Abs. 3 BRAO verlangt einen Vertrag in Textform, der den Anbieter unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichtet, Abs. 4 bei Verarbeitung im Ausland einen dem Inland vergleichbaren Geheimnisschutz. Weil die Prüfung eines konkreten Mandantendokuments unmittelbar einem einzelnen Mandat dient, braucht es nach Abs. 5 außerdem die Einwilligung des Mandanten. Wer nicht dafür sorgt, dass der Anbieter zur Geheimhaltung verpflichtet ist, riskiert Strafbarkeit nach § 203 Abs. 4 StGB. Für externe Datenschutzbeauftragte ohne Anwaltszulassung gilt § 43e BRAO nicht, ihre Vertraulichkeitspflicht folgt aus Art. 38 Abs. 5 DSGVO und dem Beratungsvertrag.

Drittlandtransfer und das EU-US Data Privacy Framework. Die meisten LLM-Anbieter sitzen in den USA, und dieser Punkt wird am häufigsten falsch dargestellt. Der Stand: Die EU-Kommission hat am 10. Juli 2023 einen Angemessenheitsbeschluss für die USA erlassen, der auf Organisationen beschränkt ist, die am EU-US Data Privacy Framework teilnehmen. Die Kommission führt ihn in ihrer Übersicht der Angemessenheitsbeschlüsse weiterhin als geltend (abgerufen am 18.09.2026). Für einen zertifizierten Anbieter ist die Übermittlung damit nach Art. 45 Abs. 1 DSGVO zulässig und braucht keine gesonderte Genehmigung.

Zwei Einschränkungen, die zur ehrlichen Darstellung gehören. Erstens: Der Beschluss gilt nur für Unternehmen, die tatsächlich auf der Liste unter dataprivacyframework.gov stehen, und nur für die dort angemeldeten Datenkategorien. Das ist eine Prüfung von zwei Minuten, die fast niemand macht. Zweitens: Die beiden Vorgängerregelungen, Safe Harbor und Privacy Shield, wurden vom EuGH gekippt, und auch das Data Privacy Framework wird vor den EU-Gerichten angegriffen. Wer seine gesamte Transferstrategie darauf stützt, hat keinen Plan B. Standardvertragsklauseln nach Art. 46 zusätzlich zu vereinbaren kostet wenig und trägt auch dann, wenn der Beschluss fällt.

Haftungsfreizeichnung: KI-generierte Datenschutz-Checks ersetzen keine datenschutzrechtliche Rechtsberatung. Im Verhältnis zum Mandanten sollte klar kommuniziert werden, dass KI als Hilfsmittel eingesetzt wird und die rechtliche Einschätzung durch den Datenschutzbeauftragten oder Anwalt erfolgt.

Konkrete Werkzeuge, was wann passt

Claude mit DSGVO-Prüfkatalog, Gut geeignet für Dokumentenprüfungen. DSGVO-Anforderungen als strukturierter Prompt, Dokument als Input, Prüfbericht als Output. Pro kostet 20 US-Dollar im Monat, Team Standard 25 US-Dollar je Sitz. Einschränkung: Kein automatisches Portfolio-Monitoring, keine Integration mit Compliance-Management-Systemen. Vor dem ersten echten Dokument gilt der Drittlandabschnitt oben.

ChatGPT , Ähnlich wie Claude. Den DSGVO-Prüfkatalog hinterlegst du dauerhaft als Anweisung eines ChatGPT-Projekts. Einen Custom GPT solltest du dafür nicht mehr neu anlegen, OpenAI hat am 11. September 2026 angekündigt, Custom GPTs in allen Plänen auslaufen zu lassen. Plus kostet 23 Euro im Monat in Deutschland, Go 8 Euro. Für Teams, die bereits ChatGPT nutzen, der natürliche Einstieg.

OneTrust , Die bekannteste Privacy-Management-Plattform, modular lizenziert. Listenpreise veröffentlicht OneTrust nicht, alles läuft über den Vertrieb. Marktdaten von Vendr nennen einen typischen Jahresvertrag um 11.500 US-Dollar im Median, mit sehr breiter Spanne je nach Modulauswahl. Für eine einzelne Kanzlei und typische Mittelstands-Mandate ist das überdimensioniert.

Securiti , Spezialisiert auf die automatische Erkennung personenbezogener Daten in Datenbanken und Systemen. Nützlich, wenn nicht Dokumente, sondern IT-Systeme auf DSGVO-Konformität geprüft werden sollen. Ebenfalls ausschließlich Enterprise-Pricing auf Anfrage.

Zusammenfassung:

• Dokumentenprüfung, Budget knapp → Claude oder ChatGPT mit eigenem Prüfkatalog
• Portfolio-Monitoring für mehrere Mandanten → Middleware-Eigenentwicklung mit Make.com + Claude
• IT-System-Compliance → Securiti oder OneTrust

Datenschutz und Datenhaltung

Das Datenschutz-Check-Tool verarbeitet selbst Datenschutz-relevante Dokumente, ein selbstreferenzielles Datenschutzproblem. Praktische Lösung:

1. Dokumente anonymisieren, bevor sie ins Tool gehen: Unternehmensnamen und Personennamen ersetzen, bevor du zur DSGVO-Prüfung sendest, die KI braucht den Vertragstext, nicht die Identität
2. Vor dem ersten echten Dokument die Transfergrundlage klären: Steht der Anbieter auf der Data-Privacy-Framework-Liste, und für welche Datenkategorien? Falls nicht, Standardvertragsklauseln nach Art. 46 DSGVO
3. EU-Datenhaltung für produktive DSGVO-Check-Workflows bevorzugen, weil sie die Frage gar nicht erst aufwirft
4. Training des Anbieters mit euren Eingaben abschalten
5. Für echte Mandantendokumente nur Tarife mit AVV: Claude ab Team, ChatGPT ab Business, beide erst ab zwei Plätzen. Pro, Plus und Go sind Verbrauchertarife ohne AVV. In Kanzleien zusätzlich der Dienstleistervertrag und die Einwilligung nach § 43e BRAO, siehe oben

Was es kostet, realistisch gerechnet

Einmaliger Aufwand, und das ist der größere Posten

• DSGVO-Prüfkatalog entwickeln: 3–5 Tage (Datenschutzbeauftragter + Anwalt)
• Prompt-Kalibrierung mit realen Dokumenten: 1–2 Wochen
• AVV und Drittlandprüfung für den gewählten Anbieter: vor dem ersten echten Dokument, nicht danach
• Workflow-Integration (optional): 1–3 Tage Entwicklungsaufwand

Laufende Kosten (monatlich)

• Claude Pro: 20 US-Dollar je Person, Team Standard 25 US-Dollar je Sitz
• ChatGPT Plus: 23 Euro je Person in Deutschland, Go 8 Euro
• Make.com für Automatisierung: Core ab 9 US-Dollar im Monat (10.000 Operationen), Teams ab 29 US-Dollar, Abrechnung nach Operationen
• OneTrust und Securiti : Preis auf Anfrage, kein öffentliches Tarifmodell

Die Rechnung, mit offengelegten Annahmen Ein Rechenmodell, keine Messung: Ein Datenschutzbeauftragter prüft 20 Dokumente im Monat. Ohne KI zwei Stunden je Dokument, das sind 40 Stunden. Mit KI 40 Minuten je Dokument, das sind 13 Stunden. Bleiben 27 Stunden, bei einem internen Stundensatz von 150 Euro also 4.050 Euro im Monat, gegen Lizenzkosten im zweistelligen Bereich. Die beiden Zeitwerte sind Annahmen, nicht Messwerte. Setz deine eigenen ein, sonst rechnest du dir die Einführung schön.

Drei typische Einstiegsfehler

1. KI-Prüfbericht als abschließende Compliance-Bescheinigung verwenden. KI findet Lücken nach vordefinierten Kriterien, sie kann keine Risikobewertung im Kontext des spezifischen Unternehmens vornehmen. Wer den KI-Output unkommentiert an den Mandanten weitergibt als “Datenschutz-Check”, schafft eine falsche Sicherheit und übernimmt ein Haftungsrisiko, das er nicht kontrolliert.

2. DSGVO-Prüfkatalog einmalig erstellen und nie aktualisieren. Die DSGVO entwickelt sich durch Behördenentscheidungen, EuGH-Urteile und neue Leitlinien weiter. Ein Prüfkatalog von 2023 ist 2026 an mehreren Stellen überholt. Das deutlichste Beispiel ist der Drittlandtransfer: Ein Katalog, der noch Schrems II abbildet und nach Standardvertragsklauseln für jeden US-Anbieter fragt, übersieht den Angemessenheitsbeschluss vom Juli 2023 und prüft die falsche Frage. Dazu kommen die Überschneidungen mit der KI-Verordnung und neue technische Standards.

3. Das Tool für alle Dokumenttypen gleichzeitig einführen. Beginne mit einem Dokumenttyp, z. B. nur AVV-Prüfung. Kalibriere bis zur stabilen Qualität, dann erweitere. Wer alle DSGVO-Tatbestände auf einmal prüfen will, produziert unzuverlässige Ergebnisse, bis die Prompts für jeden Typ individuell kalibriert sind.

Was mit der Einführung wirklich passiert, und was nicht

Datenschutzbeauftragte reagieren auf KI-Unterstützung oft mit Interesse, weil sie die Dokumentenflut kennen und die Überlastung in der Praxis erleben. Der Widerstand kommt von Anwälten und Führungskräften, die befürchten, dass KI-Checks eine falsche Sicherheit suggerieren.

Was hilft: Den Prüfprozess klar kommunizieren. KI findet, Mensch bewertet. Kein Mandat verlässt die Kanzlei mit “von KI geprüft” auf dem Report, sondern “KI-unterstützte Vorabprüfung, rechtlich bewertet durch [Name].”

Realistischer Zeitplan mit Risikohinweisen

Häufige Einwände, und was dahintersteckt

„DSGVO ist zu komplex für KI.” KI prüft strukturierbare Anforderungen, und davon gibt es in der DSGVO viele. Was KI nicht kann: wägen und kontextualisieren. Was KI sehr gut kann: systematisch nachfragen, ob alle Pflichtangaben vorhanden sind.

„Wir haben einen Datenschutzbeauftragten dafür.” Datenschutzbeauftragte haben begrenzte Kapazität. KI entlastet bei der Routine-Dokumentenprüfung, so dass der DSB Zeit hat für das, was wirklich Expertise braucht: Bewertung, Beratung, Kommunikation mit Behörden.

„Das ist zu riskant, was wenn KI einen Fehler macht?” Das Risiko eines ungeprüften KI-Outputs ist real, aber kleiner als das Risiko einer gar nicht durchgeführten Prüfung, das in der Praxis häufiger vorkommt.

Woran du merkst, dass das zu dir passt

• Du oder dein Team führen regelmäßig DSGVO-Dokumentenprüfungen durch (AVVs, Datenschutzerklärungen, Verarbeitungsverzeichnisse)
• Neue Dienstleister werden selten systematisch auf Datenschutz-Konformität geprüft, bevor ein Vertrag unterzeichnet wird
• Compliance-Dokumentationen werden hauptsächlich reaktiv aktualisiert, nach Anfragen oder Audits, nicht proaktiv

Wer noch warten sollte:

• Kanzleien ohne Datenschutz-Mandat: der ROI entsteht nur bei regelmäßigen DSGVO-Checks
• Unternehmen ohne benannten Datenschutzbeauftragten: zuerst DSB, dann Tool
• Organisationen, die KI-Prüfberichte unverändert in Akten übernehmen wollen, DSGVO-Checks sind Expertenarbeit, KI liefert einen Analyseeinstieg, keine rechtsverbindliche Bewertung

Das kannst du heute noch tun

Nimm einen AVV, den du in den letzten Monaten unterzeichnet hast. Lade ihn (anonymisiert) in Claude oder ChatGPT und nutze den Prompt unten. Vergleiche das Ergebnis mit deiner eigenen Einschätzung, oder check, ob du ihn überhaupt geprüft hast.

Quellen & Methodik

• Art. 28 DSGVO, Auftragsverarbeitung: Genehmigungserfordernis für weitere Auftragsverarbeiter (Abs. 2), Pflichtinhalte des Vertrags in Abs. 3 lit. a bis h, von der dokumentierten Weisung über die Vertraulichkeit und die Maßnahmen nach Art. 32 bis zu Löschung, Rückgabe und Überprüfungsrechten (dsgvo-gesetz.de/art-28-dsgvo, abgerufen am 18.09.2026).
• Art. 30 Abs. 5 DSGVO, Ausnahme vom Verzeichnis für Einheiten unter 250 Beschäftigten, die entfällt, sobald ein Risiko besteht, die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Kategorien nach Art. 9 betroffen sind (dsgvo-gesetz.de/art-30-dsgvo, abgerufen am 18.09.2026).
• Art. 45 Abs. 1 DSGVO, Übermittlung auf Grundlage eines Angemessenheitsbeschlusses, die keiner besonderen Genehmigung bedarf (dsgvo-gesetz.de/art-45-dsgvo, abgerufen am 18.09.2026).
• § 43e BRAO, Inanspruchnahme von Dienstleistungen: Vertrag in Textform mit Verschwiegenheitsverpflichtung und Belehrung über die strafrechtlichen Folgen (Abs. 3), vergleichbarer Geheimnisschutz im Ausland (Abs. 4), Einwilligung des Mandanten bei Dienstleistungen, die unmittelbar einem einzelnen Mandat dienen (Abs. 5) (gesetze-im-internet.de/brao/__43e.html, abgerufen am 19.09.2026).
• Europäische Kommission, Übersicht der Angemessenheitsbeschlüsse, führt die USA für Organisationen, die am EU-US Data Privacy Framework teilnehmen, Beschluss vom 10. Juli 2023 (commission.europa.eu, abgerufen am 18.09.2026).
• CMS GDPR Enforcement Tracker, 3.270 öffentlich bekannte Bußgeldverfahren in EU und EWR mit zusammen rund 7,15 Milliarden Euro (enforcementtracker.com, abgerufen am 18.09.2026).
• EDSA, Stellungnahme 28/2024, Datenschutzaspekte bei der Verarbeitung personenbezogener Daten im Zusammenhang mit KI-Modellen, angenommen am 18. Dezember 2024 (edpb.europa.eu, abgerufen am 18.09.2026).
• Toolpreise: Stand unserer Toolseiten, siehe Claude , ChatGPT , Make.com , OneTrust und Securiti . OneTrust und Securiti nennen keine öffentlichen Listenpreise.
• Nicht belegbar und deshalb nicht auf dieser Seite: eine prozentuale Zeitersparnis je Dokumentenprüfung, eine Bußgeldstatistik speziell für den deutschen Mittelstand und eine ENISA-Leitlinie zu KI und DSGVO. Frühere Fassungen dieser Seite nannten alle drei. Die ENISA-Quelle existiert in dieser Form nicht, zuständig ist der Europäische Datenschutzausschuss, dessen Stellungnahme 28/2024 oben steht.
• Keine Rechtsberatung. Dieser Text ordnet Normen ein, er ersetzt keine Prüfung des Einzelfalls und keine Abstimmung mit deiner Aufsichtsbehörde.