# KI im Verarbeitungsverzeichnis – Muster zum Ausfüllen > Setzt dein Unternehmen einen KI-Assistenten für E-Mails und Termine ein, gehört dafür ein Eintrag in dein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO, und deine Datenschutzerklärung sollte den Einsatz nennen. Mit dem Muster auf dieser Seite ist das in etwa einer Viertelstunde erledigt, du ersetzt nur die Platzhalter in eckigen Klammern. Eine Datenschutz-Folgenabschätzung kann dazukommen, etwa wenn die KI Gesundheitsdaten verarbeitet oder Bewerbungen bewertet. Stand: 2026-11-08 · Quelle: Veröffentlicht am 8. November 2026 · Quellen geprüft am 9. November 2026 Überblick, keine Rechtsberatung. Stand der Rechtslage: November 2026. Herausgegeben von [GRETUS®](https://gretus.de/ueber-gretus#redaktion), Anbieter eines KI-Assistenten für Unternehmen. Wo wir GRETUS nennen, steht es so da. ## Brauchst du überhaupt einen Eintrag? Das Verzeichnis der Verarbeitungstätigkeiten (VVT) ist die Liste aller Abläufe in deinem Unternehmen, bei denen personenbezogene Daten verarbeitet werden, etwa Lohnabrechnung, Kundenverwaltung oder Newsletter. Art. 30 Abs. 1 DSGVO legt fest, was zu jedem Eintrag gehört. Das Verzeichnis führst du schriftlich oder elektronisch und legst es der Aufsichtsbehörde auf Anfrage vor (Art. 30 Abs. 3 und 4). Veröffentlichen musst du es nicht. Unternehmen mit weniger als 250 Beschäftigten sind nach Art. 30 Abs. 5 nur dann ausgenommen, wenn die Verarbeitung kein Risiko für die Betroffenen birgt, nur gelegentlich erfolgt und keine besonderen Kategorien wie Gesundheitsdaten betrifft. Die Datenschutzkonferenz (DSK) nennt als Beispiel für eine Verarbeitung, die nicht nur gelegentlich erfolgt, die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten und kommt zu dem Schluss, dass ein Verzeichnis vielfach geboten ist ([Kurzpapier Nr. 1](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_1.pdf), Stand 17. Dezember 2018). Ein KI-Assistent, der jeden Tag Mails von Kunden liest, verarbeitet solche Daten regelmäßig. Bei einem KI-Assistenten gibt es zwei Rollen: Dein Unternehmen ist **Verantwortlicher** und braucht den Eintrag in seinem Verzeichnis. Der Softwareanbieter ist **Auftragsverarbeiter** und führt sein eigenes Verzeichnis nach Art. 30 Abs. 2. Den Vertrag dazu, den AVV, und die übrigen Pflichten beschreibt der Ratgeber [KI im Unternehmen DSGVO-konform nutzen](https://gretus.de/ratgeber/ki-dsgvo-unternehmen). ## So füllst du das Muster in 15 Minuten aus 1. **Unterlagen bereitlegen (3 Minuten):** Auftragsverarbeitungsvertrag des Anbieters, seine Liste der Unterauftragsverarbeiter und deine Einstellungen zur Aufbewahrung. 2. **Platzhalter ersetzen (8 Minuten):** Alles in eckigen Klammern, etwa [Firma] oder [Anbieter], durch deine Angaben ersetzen. Streich Zeilen, die bei dir nicht zutreffen. 3. **Ablegen (2 Minuten):** Den Eintrag in dein bestehendes Verzeichnis übernehmen, mit Datum. Gibt es schon einen Eintrag „E-Mail-Bearbeitung“, kannst du ihn auch dort ergänzen. 4. **Datenschutzerklärung ergänzen (2 Minuten):** den Absatz weiter unten anpassen und einfügen. Gibt es eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, zeig ihr oder ihm den fertigen Eintrag. Das Muster gibt einen Rahmen, die Prüfung für deinen Fall ersetzt es nicht. ## Mustereintrag: KI-Assistent für E-Mails und Termine Muster, bitte an deinen Betrieb anpassen. Die Buchstaben verweisen auf Art. 30 Abs. 1 DSGVO. **Bezeichnung der Verarbeitung:** KI-Assistent für E-Mails und Termine. Angelegt am [Datum], zuletzt geprüft am [Datum]. **(a) Verantwortlicher:** [Firma, Anschrift], vertreten durch [Name, Funktion], Kontakt: [E-Mail]. Datenschutzbeauftragte oder Datenschutzbeauftragter: [Name, Kontakt, falls benannt]. **(b) Zwecke:** Eingehende E-Mails sichten und zusammenfassen, Antworten entwerfen, Termine abstimmen und in den Kalender eintragen, Anfragen Kunden und Vorgängen zuordnen. Antworten und Termine mit Außenwirkung gibt ein Mitarbeitender vor dem Versand frei. [Weitere Zwecke, etwa Angebote vorbereiten.] **Rechtsgrundlage** (keine Pflichtangabe nach Art. 30, aber sinnvoll für deinen Nachweis): Art. 6 Abs. 1 Buchstabe b DSGVO für Anfragen zu Verträgen und Angeboten, im Übrigen Art. 6 Abs. 1 Buchstabe f DSGVO, berechtigtes Interesse an einer zügigen Bearbeitung von Anfragen. [Bei Beschäftigtendaten die Grundlage nach deinem nationalen Recht ergänzen.] **(c) Kategorien betroffener Personen:** Kunden und Interessenten, deren Ansprechpartner, Lieferanten und sonstige Geschäftskontakte, Beschäftigte, die den Assistenten nutzen. **(c) Kategorien personenbezogener Daten:** Name, Firma, E-Mail-Adresse und Telefonnummer, Inhalte von E-Mails und Anhängen, Termine mit Teilnehmenden, Notizen zu Kunden und Vorgängen, Protokolldaten der Nutzung. Keine besonderen Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten. [Falls doch: siehe Abschnitt zur Folgenabschätzung.] **(d) Empfänger:** [Anbieter des KI-Assistenten, Anschrift] als Auftragsverarbeiter nach Art. 28 DSGVO, Vertrag vom [Datum]. Dessen Unterauftragsverarbeiter laut seiner Liste vom [Datum], insbesondere [Rechenzentrum, Ort der Speicherung] und [KI-Anbieter, Sitz]. Intern: [Teams oder Rollen, die Zugriff haben]. **(e) Übermittlung in Drittländer:** [Keine geplant, Speicherung in der EU.] oder [Übermittlung nach (Land) an (Empfänger), Grundlage: Angemessenheitsbeschluss oder Standardvertragsklauseln vom (Datum).] **(f) Fristen für die Löschung:** Gesprächsverläufe nach [Frist aus deinen Einstellungen], Protokoll nach [Frist des Anbieters], Kundendaten bis zur Löschung durch uns, spätestens [Frist] nach Ende der Geschäftsbeziehung, soweit keine Aufbewahrungspflicht besteht. Alle Daten beim Anbieter spätestens [Frist laut AVV] nach Vertragsende. **(g) Technische und organisatorische Maßnahmen:** Verweis auf die Maßnahmen des Anbieters ([Anlage zum AVV]). Eigene Maßnahmen: Zwei-Faktor-Anmeldung für alle Konten, Zugriff nur für [Rollen], Freigabe vor dem Versand von Antworten, Regeln zur Nutzung von KI im Team ([Richtlinie vom Datum]), Prüfung dieses Eintrags [jährlich]. ## Beispielwerte, wenn du GRETUS nutzt Nutzt du GRETUS, stehen die Angaben für (d) bis (g) in unseren Rechtstexten. Übernimm sie von dort, damit dein Eintrag aktuell bleibt. Zum Vergleich der Stand heute: - **Empfänger:** GRETUS als Auftragsverarbeiter nach dem [Auftragsverarbeitungsvertrag](https://gretus.de/rechtliches/avv), den Inhaber oder Admins im Konto abschließen. Betrieb, Datenbank und Speicher in einem Rechenzentrum in der EU. Für die inklusive KI und die Sprachfunktionen setzt GRETUS Mistral AI SAS, Paris, als Unterauftragsverarbeiter ein. Mistral hat seinen Sitz in Frankreich und speichert Daten standardmäßig in der EU. Alle Dienstleister mit Zweck und Ort stehen in der [Liste der Unterauftragsverarbeiter](https://gretus.de/rechtliches/unterauftragsverarbeiter). - **Drittland:** Für die inklusive KI keine geplante Übermittlung. Einen festen Ort für die Verarbeitung der Anfragen sagt Mistral für den Zugang von GRETUS nicht zu, das solltest du im Eintrag so festhalten. Hinterlegst du einen eigenen Schlüssel bei Google, Anthropic oder OpenAI, ist eine Verarbeitung auch außerhalb der EU möglich. Dann schließt deine Firma den Vertrag direkt mit dem Anbieter, und du trägst ihn mit der Grundlage der Übermittlung als eigenen Empfänger ein. - **Löschfristen:** Gespräche nach der Frist, die jede Person unter **Einstellungen → Datenschutz** für sich wählt, ohne Auswahl bleiben sie gespeichert. Protokolleinträge nach 24 Monaten. Alle Daten der Firma 30 Tage nach dem Ende von Testphase oder Abo, nach einer Ankündigung per E-Mail. Die übrigen Fristen stehen in der [Datenschutzerklärung](https://gretus.de/rechtliches/datenschutz) unter Speicherdauer. - **Maßnahmen:** Anlage 1 des AVV, unter anderem verschlüsselte Übertragung und verschlüsselt gespeicherte Zugangsdaten, Trennung der Daten je Kundenkonto, ein Protokoll aller Aktionen und Freigaben sowie regelmäßige Datensicherung. Mit deinen Inhalten trainiert GRETUS keine KI. - **Datenarten:** Gesundheitsdaten und andere besondere Kategorien sind laut AVV nicht Gegenstand der Verarbeitung und gehören nicht in GRETUS. Dein E-Mail-Postfach und dein Kalender laufen weiter über deinen bisherigen Anbieter. Für sie gilt dein Vertrag mit diesem Anbieter, im Verzeichnis stehen sie meist schon beim Eintrag zur E-Mail-Kommunikation. ## Absatz für die Datenschutzerklärung Deine Datenschutzerklärung informiert Kunden und Interessenten nach Art. 13 DSGVO unter anderem über Zwecke, Rechtsgrundlagen, Empfänger, Drittlandübermittlungen und die Speicherdauer. Diesen Absatz kannst du anpassen und unter einer eigenen Überschrift einfügen. Er ist in der Sie-Form geschrieben, ändere das, wenn deine Datenschutzerklärung duzt. > **Einsatz eines KI-Assistenten** > > Für die Bearbeitung von E-Mails, Anfragen und Terminen setzen wir einen KI-Assistenten ein. Dabei können Ihr Name, Ihre Kontaktdaten und der Inhalt Ihrer Nachricht verarbeitet werden, um Antworten vorzubereiten, Termine abzustimmen und Ihr Anliegen zuzuordnen. Antworten prüft vor dem Versand eine Mitarbeiterin oder ein Mitarbeiter. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO, soweit Ihre Anfrage einen Vertrag oder dessen Anbahnung betrifft, im Übrigen unser berechtigtes Interesse an einer zügigen Bearbeitung von Anfragen nach Art. 6 Abs. 1 Buchstabe f DSGVO. > > Anbieter des KI-Assistenten ist [Anbieter, Anschrift]. Er handelt in unserem Auftrag auf Grundlage eines Vertrags nach Art. 28 DSGVO und setzt dafür weitere Dienstleister ein, darunter [KI-Anbieter, Sitz]. Die Daten werden in [der EU] gespeichert. [Falls zutreffend: Eine Übermittlung nach (Land) erfolgt auf Grundlage von (Angemessenheitsbeschluss oder Standardvertragsklauseln).] Der Anbieter nutzt Ihre Daten nicht zum Training von KI-Modellen. [Diesen Satz nur übernehmen, wenn er so im Vertrag steht.] > > Die Daten aus der Bearbeitung löschen wir nach [Frist], soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Den letzten Satz übernimmst du nur, wenn er stimmt. Entscheidet bei dir eine KI ohne menschliche Prüfung über Personen, etwa über eine Bewerbung, gelten zusätzliche Informationspflichten. ## Wann eine Datenschutz-Folgenabschätzung nötig sein kann Eine Datenschutz-Folgenabschätzung (DSFA) ist nach Art. 35 Abs. 1 DSGVO nötig, wenn eine Verarbeitung, insbesondere mit neuen Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen hat. Die deutschen Aufsichtsbehörden führen in ihrer [Liste der Verarbeitungen, für die eine DSFA durchzuführen ist](https://www.datenschutzkonferenz-online.de/media/ah/20181017_ah_DSK_DSFA_Muss-Liste_Version_1.1_Deutsch.pdf) unter Nr. 11 den Einsatz von KI, die die Interaktion mit Betroffenen steuert oder persönliche Aspekte bewertet. Als typisches Einsatzfeld nennen sie Kundensupport mittels KI, als Beispiel ein System, das per Konversation mit Kunden interagiert und sie mithilfe von KI berät. In ihrer [Orientierungshilfe zu KI](https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf) rechnet die DSK beim Einsatz von KI vielfach mit einem hohen Risiko. Drei Fälle aus der Praxis: - **Entwürfe, die ein Mensch prüft:** Ein Assistent, der Antworten entwirft, Mails zusammenfasst und Termine vorschlägt, spricht nicht selbst mit Kunden, denn jede Antwort prüft vorher ein Mensch. Er steuert die Interaktion damit nicht, und eine DSFA ist dann oft nicht nötig. Halte trotzdem kurz fest, warum du zu diesem Ergebnis kommst, denn du musst die Einhaltung der DSGVO nachweisen können (Art. 5 Abs. 2). - **Praxen und Kanzleien:** Gesundheitsdaten zählen zu den besonderen Kategorien nach Art. 9 DSGVO. Nach Erwägungsgrund 91 gilt die Verarbeitung von Patienten- oder Mandantendaten durch einzelne Ärzte oder Anwälte zwar nicht als umfangreich, prüfen solltest du das Risiko beim Einsatz von KI trotzdem. Was dort sonst gilt, steht im Ratgeber [KI in Praxis und Kanzlei](https://gretus.de/ratgeber/ki-in-praxis-und-kanzlei). - **Bewerbungen:** Sichtet oder bewertet eine KI Bewerbungen, bewertet sie persönliche Aspekte, und das kann unter Nr. 11 der Liste fallen. Nach der KI-Verordnung gilt solche KI außerdem als Hochrisiko-KI, mehr dazu im Ratgeber [EU AI Act für Unternehmen](https://gretus.de/ratgeber/eu-ai-act-fuer-unternehmen). Im Zweifel klärst du die Frage mit deiner Datenschutzbeauftragten oder deinem Datenschutzbeauftragten, die oder der nach Art. 35 Abs. 2 bei einer DSFA ohnehin beratend beteiligt ist. ## So hilft GRETUS dabei GRETUS liefert die Angaben, die du für Verzeichnis und Datenschutzerklärung brauchst, ohne Konto zum Nachlesen: Auftragsverarbeitungsvertrag mit den technischen und organisatorischen Maßnahmen in Anlage 1, die Liste der Unterauftragsverarbeiter und die Datenschutzerklärung. Was nach außen geht, legt GRETUS standardmäßig zur [Freigabe](https://gretus.de/funktionen/freigaben) vor, und das Protokoll zeigt jede Aktion mit Zeitpunkt. Eine Übersicht für Datenschutzbeauftragte steht unter [Sicherheit](https://gretus.de/sicherheit). Ausprobieren kannst du GRETUS in der [Testphase](https://gretus.de/register). ## Quellen Stand: November 2026, alle Seiten abgerufen am 9. November 2026: - EUR-Lex: [Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung)](https://eur-lex.europa.eu/eli/reg/2016/679/oj/deu), Art. 5 Abs. 2, Art. 6, Art. 9, Art. 13, Art. 22, Art. 28, Art. 30 und Art. 35 sowie Erwägungsgrund 91 - Datenschutzkonferenz: [Kurzpapier Nr. 1, Verzeichnis von Verarbeitungstätigkeiten](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_1.pdf), Stand 17. Dezember 2018 - Datenschutzkonferenz: [Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist](https://www.datenschutzkonferenz-online.de/media/ah/20181017_ah_DSK_DSFA_Muss-Liste_Version_1.1_Deutsch.pdf), Version 1.1, nicht-öffentlicher Bereich - Datenschutzkonferenz: [Orientierungshilfe „Künstliche Intelligenz und Datenschutz“](https://www.datenschutzkonferenz-online.de/media/oh/20240506_DSK_Orientierungshilfe_KI_und_Datenschutz.pdf), Version 1.0 vom 6. Mai 2024 - Europäische Kommission, AI Act Service Desk: [Anhang III der KI-Verordnung](https://ai-act-service-desk.ec.europa.eu/de/ai-act/annex-3), Nr. 4 ## Häufige Fragen ### Muss ich einen KI-Assistenten ins Verarbeitungsverzeichnis eintragen? In aller Regel ja, wenn er personenbezogene Daten verarbeitet, etwa Namen und Anliegen aus E-Mails. Das Verzeichnis nach Art. 30 DSGVO erfasst jede Verarbeitungstätigkeit mit Zweck, Betroffenen, Datenarten, Empfängern, Fristen und Schutzmaßnahmen. Oft reicht es, einen eigenen Eintrag anzulegen oder den Eintrag zur E-Mail-Bearbeitung um den KI-Assistenten zu ergänzen. ### Müssen kleine Unternehmen ein Verarbeitungsverzeichnis führen? Meistens ja. Die Ausnahme für weniger als 250 Beschäftigte in Art. 30 Abs. 5 DSGVO gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für die Betroffenen birgt oder besondere Kategorien wie Gesundheitsdaten betrifft. Die Datenschutzkonferenz nennt als Beispiel für „nicht nur gelegentlich“ die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten, und die gibt es in fast jedem Betrieb. ### Muss der Einsatz von KI in der Datenschutzerklärung stehen? Ja, wenn die KI personenbezogene Daten verarbeitet. Nach Art. 13 DSGVO informierst du unter anderem über Zwecke, Rechtsgrundlage, Empfänger oder Kategorien von Empfängern, eine Übermittlung in Drittländer und die Speicherdauer, und ein KI-Anbieter ist ein solcher Empfänger. Einen Absatz zum Kopieren findest du oben auf dieser Seite. ### Wann ist für den Einsatz von KI eine Datenschutz-Folgenabschätzung nötig? Wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen hat (Art. 35 DSGVO). Die Liste der deutschen Aufsichtsbehörden nennt ausdrücklich KI, die die Interaktion mit Betroffenen steuert oder persönliche Aspekte bewertet, und darunter kann etwa das Sichten von Bewerbungen fallen. Für einen Assistenten, der Antworten entwirft, die ein Mensch prüft, ist das oft nicht der Fall, das Ergebnis deiner Prüfung solltest du aber festhalten. ### Wer führt das Verarbeitungsverzeichnis, ich oder der KI-Anbieter? Beide, jeweils für ihre Rolle. Dein Unternehmen ist Verantwortlicher und trägt den Einsatz in sein Verzeichnis nach Art. 30 Abs. 1 DSGVO ein. Der Anbieter verarbeitet die Daten in deinem Auftrag und führt dafür ein eigenes Verzeichnis nach Art. 30 Abs. 2, das du nicht übernehmen musst. ## Über GRETUS GRETUS ist ein KI-Assistent für kleine und mittlere Unternehmen in Europa. Er beantwortet Anfragen, bereitet den Arbeitstag vor, schreibt Angebote und erledigt mit eigenen KI-Mitarbeitern (KI-Agenten) wiederkehrende Aufgaben nach Zeitplan. Was nach außen geht, legt GRETUS standardmäßig zur Freigabe vor. [7 Tage kostenlos testen](https://gretus.de/register), ohne Kreditkarte für GRETUS. Die KI ist inklusive, ein eigener Schlüssel ist optional.