DSGVO und KI-Gedächtnis: Was Self-Hosting löst und was nicht

Aktualisiert am 17. Oktober 2026: Der Absatz zu ZenBrain beschreibt jetzt v0.6.0, dessen forget() der Ableitungskante folgt.

Neu geschrieben am 11. Oktober 2026. Die frühere Fassung vom April war ein allgemeiner Leitfaden. Sie stellte Übermittlungen in die USA als Grauzone nach Schrems II dar, obwohl seit Juli 2023 ein Angemessenheitsbeschluss gilt. Diese Fassung ist an den Rechtstexten geprüft, Stand 11. Oktober 2026. Sie ist keine Rechtsberatung; sie nennt die Normen, damit Sie sie selbst nachlesen können.

TL;DR

• „Ist diese KI DSGVO-konform?“ lässt sich über ein Produkt nicht beantworten. Konform ist ein Betrieb; verantwortlich ist, wer über Zwecke und Mittel entscheidet.
• Self-Hosting nimmt Auftragsverarbeiter und Drittlandübermittlung aus dem Teil heraus, den Sie selbst betreiben. Rechtsgrundlage, Zweckbindung, Löschung und Dokumentation bleiben Ihre Aufgabe.
• KI mit Gedächtnis legt Kopien an: Embeddings, Zusammenfassungen, Fakten aus Gesprächen. Löschen heißt deshalb, jede Ableitung zu finden, und gelöscht ist erst, was eine Abfrage in keinem Speicher mehr findet.
• Die Hochrisiko-Pflichten der KI-Verordnung gelten seit dem Digital Omnibus erst ab dem 2. Dezember 2027. Transparenzpflichten und KI-Kompetenz gelten schon.

Die falsche Frage an ein Produkt

Verantwortlicher im Sinne der DSGVO ist, wer über Zwecke und Mittel einer Verarbeitung entscheidet (Art. 4 Nr. 7). Das ist das Unternehmen, das ein KI-System einsetzt, nicht der Hersteller der Software. Ein Zertifikat „DSGVO-konforme KI“ kann deshalb kein Produkt tragen. Brauchbar ist eine andere Frage: Was muss die Architektur können, damit der Betrieb seine Pflichten erfüllen kann?

Für KI mit Gedächtnis hat diese Frage einen Punkt, den allgemeine Leitfäden kaum behandeln. Ein System, das sich erinnert, legt Kopien an, und jede Kopie ist ein Ort, an dem personenbezogene Daten liegen.

Was Self-Hosting löst

Läuft das Gedächtnis auf eigener Hardware und unter eigener Verwaltung, braucht dieser Teil keinen Auftragsverarbeiter nach Art. 28 und keine Übermittlung in ein Drittland nach Kapitel V. Wie lange etwas gespeichert bleibt und wann es gelöscht wird, entscheiden Sie selbst, ohne einen Anbieter darum zu bitten.

Die Grenze ziehen Sie dabei selbst, und sie verläuft oft anders als gedacht. Wer in einer EU-Cloud hostet, hat mit dem Cloud-Anbieter weiterhin einen Auftragsverarbeiter. Wer das Sprachmodell über eine externe Schnittstelle anbindet, schickt die Inhalte jeder Anfrage an diesen Anbieter, auch wenn das Gedächtnis im eigenen Haus liegt. Unsere Gedächtnisbibliothek ZenBrain macht keine eigenen Netzwerkaufrufe; Embedding-Modell und Sprachmodell sind optional und Ihre Wahl. Ob Daten das Haus verlassen, entscheidet damit die Konfiguration, nicht die Bibliothek.

Was Self-Hosting nicht löst

Self-Hosting ändert keine einzige Pflicht der DSGVO. Sie brauchen weiterhin eine Rechtsgrundlage (Art. 6), die Zweckbindung und die Speicherbegrenzung gelten (Art. 5 Abs. 1 lit. b und e), Betroffene sind zu informieren (Art. 13 und 14), das Verzeichnis der Verarbeitungstätigkeiten ist zu führen (Art. 30), und wo ein hohes Risiko droht, ist eine Datenschutz-Folgenabschätzung fällig (Art. 35). Self-Hosting macht einige dieser Pflichten leichter erfüllbar. Erfüllt sind sie damit nicht.

Am schwersten wiegt bei KI mit Gedächtnis ein Betroffenenrecht: die Löschung nach Art. 17.

Löschen in einem Gedächtnis, das Kopien anlegt

Ein Agenten-Gedächtnis leitet ab. Aus einem Satz wird ein Embedding, aus einem Gespräch eine Zusammenfassung, aus einer Episode ein Fakt. Jede Ableitung ist ein eigener Speicher. Art. 17 verlangt die Löschung der personenbezogenen Daten, nicht nur der einen Zeile, auf die jemand gezeigt hat.

In unserer Spezifikation Four Governance Invariants for Organisational Agent Memory (Zenodo, 16. August 2026, doi:10.5281/zenodo.21964563) haben wir dafür ein Kriterium festgelegt. Jede Ableitung wird beim Schreiben als Kante festgehalten. Eine Löschung folgt diesen Kanten in jeden abgeleiteten Speicher. Und sie gilt erst als vollzogen, wenn eine Abfrage über den gelöschten Bereich in jedem abgeleiteten Speicher null Zeilen liefert. Diese Abfrage ist der Nachweis: Dritte können sie wiederholen, eine Löschbestätigung können sie nur glauben.

Wir legen dieses Kriterium an unsere eigene Bibliothek an. In ZenBrain macht consolidate() aus einer emotional gewichteten Episode einen Fakt; die Episode vermerkt in ihren Metadaten, welcher Fakt aus ihr wurde (consolidatedInto). Bis v0.5.2 löschte forget(id, layer) genau eine Erinnerung und folgte dieser Kante nicht: Wer nur die Episode löschte, behielt den Fakt, und der Inhalt blieb abrufbar. Das Kriterium hat diese Lücke sichtbar gemacht. Seit v0.6.0 vom 17. Oktober 2026 folgt forget() der Kante voreingestellt in beide Richtungen: Mit der Episode geht der Fakt, der aus ihr wurde, mit einem solchen Fakt gehen die Episoden, aus denen er wurde, dazu die Kopien im Arbeitsgedächtnis. Der Nachweis ist die Abfrage aus der Spezifikation: Die Tests lesen nach dem Löschen die Tabellen direkt und erwarten null Zeilen, auf SQLite und auf PostgreSQL. Eine Einschränkung bleibt: Den Vermerk schreibt consolidate() seit v0.4.8; eine früher beförderte Episode ist erst verknüpft, wenn ein späterer Lauf ihren wörtlichen Fakt unter den 100 jüngsten Episoden findet.

Eine Grenze nennt die Spezifikation ausdrücklich. Kehrt eine gelöschte Aussage als Umschreibung zurück, etwa weil ein Sprachmodell sie in einen anderen Fakt übernommen hat, ist das ein eigenes, schwereres Problem. Das Kriterium deckt nur Ableitungen ab, die als Kante festgehalten wurden.

Löschpflicht gegen Protokollpflicht

Die KI-Verordnung verlangt für Hochrisiko-KI-Systeme die automatische Aufzeichnung von Ereignissen über den gesamten Lebenszyklus (Art. 12). Anbieter und Betreiber bewahren diese Protokolle mindestens sechs Monate auf, „sofern im geltenden Unionsrecht, insbesondere im Unionsrecht über den Schutz personenbezogener Daten, oder im geltenden nationalen Recht nichts anderes bestimmt ist“ (Art. 26 Abs. 6, sinngleich für Anbieter Art. 19 Abs. 1). Wo beides kollidiert, lässt die Verordnung dem Datenschutz also den Vortritt.

Praktisch bleibt die Spannung: Ein Protokoll soll zeigen, was geschah, ohne den gelöschten Inhalt aufzubewahren. Die Spezifikation löst sie, indem sie das Protokoll der Ereignisse von der Wiederherstellbarkeit der Inhalte trennt. Dass ein Datenfluss und eine Löschung stattfanden, bleibt in einem manipulationserkennbaren Verlauf nachweisbar; der Inhalt ist nicht mehr rekonstruierbar. Ein geschwärzter Verlauf bleibt ein Verlauf, und dieser Rest lässt sich nicht entfernen, ohne die Protokollpflicht aufzugeben.

Was die KI-Verordnung wann verlangt

Mit dem Digital Omnibus, Verordnung (EU) 2026/1744 vom 8. Juli 2026, in Kraft seit dem 27. Juli 2026, haben sich die Stichtage verschoben:

• Seit 2. Februar 2025: die Verbote nach Art. 5 und die KI-Kompetenz nach Art. 4. Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen; ein bestimmtes Niveau müssen sie seit der Neufassung im Juli 2026 nicht garantieren.
• Ab 2. Dezember 2026: zwei mit dem Omnibus neu eingefügte Verbote, darunter KI-Systeme, die intime Darstellungen einer bestimmbaren Person ohne deren ausdrückliche Zustimmung erzeugen.
• Seit 2. August 2026: die Transparenzpflichten nach Art. 50. Wer mit einem KI-System spricht, ist darüber zu informieren, sofern es nicht offensichtlich ist.
• Ab 2. Dezember 2027: die Pflichten für Hochrisiko-Systeme nach Anhang III, darunter Protokollierung, menschliche Aufsicht und Daten-Governance.
• Ab 2. August 2028: Hochrisiko-Systeme, die in Produkte nach Anhang I eingebettet sind.

Ob ein konkreter Einsatz hochriskant ist, entscheidet der Anwendungsfall, nicht die Technik dahinter.

Übermittlungen in die USA: Stand Oktober 2026

Seit dem 10. Juli 2023 gilt der Angemessenheitsbeschluss (EU) 2023/1795 für den Datenschutzrahmen EU-USA. Übermittlungen an Organisationen auf der Data Privacy Framework List brauchen keine weiteren Garantien nach Art. 46. Das Gericht der EU hat die Klage dagegen am 3. September 2025 abgewiesen (T-553/23, Latombe/Kommission). Das Rechtsmittel beim Gerichtshof ist anhängig (C-703/25 P); ein Urteil ist am 11. Oktober 2026 nicht veröffentlicht.

Wer US-Dienste einsetzt, stützt sich also auf einen gültigen, aber angefochtenen Beschluss. Self-Hosting nimmt diese Abhängigkeit aus dem Teil heraus, den Sie selbst betreiben.

Fünf Schritte für den Betrieb

1. Datenflüsse kartieren. Wo laufen Gedächtnis, Embedding-Modell und Sprachmodell, und welche Anfrage verlässt dabei das Haus?
2. Abgeleitete Speicher benennen. Embeddings, Zusammenfassungen, Fakten aus Episoden, Caches. Jede Ableitung wird beim Schreiben als Kante festgehalten, sonst ist sie später nicht mehr auffindbar.
3. Löschung als Abfrage definieren. Nach einem Löschantrag liefert eine Abfrage über den gelöschten Bereich in jedem abgeleiteten Speicher null Zeilen. Diese Abfrage gehört als Test in die Pipeline.
4. Ereignisse protokollieren, Inhalte nicht. Lesen, Schreiben und Löschen werden manipulationserkennbar festgehalten; der Inhalt selbst steht nicht im Protokoll.
5. Rolle und Risikoklasse klären. Anbieter oder Betreiber nach KI-Verordnung, Anhang III ja oder nein, Folgenabschätzung prüfen, Verzeichnis nach Art. 30 nachziehen, KI-Kompetenz nach Art. 4.

Wie wir Unternehmen und Behörden bei diesen Schritten begleiten, von der Einführung bis zur Mitbestimmung, steht unter Wie führt man KI richtig ein.