Ein Sprachmodell soll einen Schriftwechsel zusammenfassen oder einen Absatz formulieren — und muss den Text dafür erst einmal lesen. Läuft das Modell auf einem Cloud-Server, verlässt der Text dafür das Gerät im Betrieb, unabhängig davon, wo das Ergebnis später gespeichert wird. Dieser Ratgeber erklärt, was technisch zwischen lokaler und Cloud-KI unterscheidet, wann eine Auftragsverarbeitung nach Art. 28 DSGVO zu prüfen ist, und wie sich das im Alltag eines kleinen Betriebs auswirkt.
Was technisch passiert: lokal rechnen oder Text senden
Zwei Betriebsarten stehen sich gegenüber. Bei lokaler KI läuft das Sprachmodell auf der Hardware im Betrieb selbst — der eingegebene Text verlässt das Gerät nicht, weil die Berechnung direkt dort stattfindet. Bei Cloud-KI wird derselbe Text an einen externen Server geschickt, dort verarbeitet, und nur die Antwort kommt zurück. Für die Dauer der Verarbeitung liegt der Text auf fremder Infrastruktur.
| Frage | Lokale KI | Cloud-KI |
|---|---|---|
| Wo wird gerechnet? | Auf der Hardware im Betrieb | Auf einem Server des Anbieters |
| Verlässt der Text das Gerät? | Nein | Ja, für die Dauer der Verarbeitung |
| Internetverbindung nötig? | Nein, für diesen Schritt nicht | Ja |
| Auftragsverarbeitung zu prüfen? | Meist nicht, da kein externer Empfänger | Möglich — abhängig vom Einzelfall |
Ein lokal betriebener Assistent kann trotzdem eine Internetverbindung brauchen — etwa für ein Software-Update. Gemeint ist hier ausschließlich der einzelne Verarbeitungsschritt: das Lesen des Texts und das Erzeugen der Antwort.
Die DSGVO-Frage: wann eine Auftragsverarbeitung zu prüfen ist
Enthält der an einen externen Anbieter gesendete Text personenbezogene Daten — ein Name in einer Kundenanfrage, ein Mitarbeitername in einer internen Notiz —, kann der Anbieter zum Auftragsverarbeiter im Sinne von Art. 28 DSGVO werden. In diesem Fall ist im Regelfall eine Vereinbarung zur Auftragsverarbeitung zu prüfen, bevor der Text den Betrieb verlässt.
Ob das im Einzelfall zutrifft, hängt von den tatsächlichen Rollen und Datenflüssen ab — nicht von der Technik allein. Ein Anbieter, der Text ausschließlich zur Beantwortung verarbeitet und danach löscht, ist rechtlich anders einzuordnen als einer, der Eingaben zusätzlich zu eigenen Zwecken speichert oder auswertet. Diese Unterscheidung lässt sich nicht pauschal für „Cloud-KI“ im Allgemeinen treffen, sondern nur je Anbieter und Vertrag.
Kein Automatismus in beide Richtungen: Lokal betriebene Software erfüllt dadurch nicht automatisch alle Anforderungen der DSGVO — auch lokal verarbeitete Daten müssen rechtmäßig erhoben, zweckgebunden verwendet und angemessen gesichert sein. Und Cloud-KI ist nicht automatisch unzulässig. Entscheidend ist, was mit welchen Daten tatsächlich passiert.
Quelle zur Auftragsverarbeitung
Die Leitlinien 07/2020 des Europäischen Datenschutzausschusses erläutern die Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter. Ob Art. 28 DSGVO im Einzelfall greift, hängt von den tatsächlichen Zwecken, Datenflüssen und Zugriffen ab; diese allgemeine Einordnung ersetzt keine Rechtsberatung.
Wie der Assistent in KUKANILEA das handhabt
Im Standardbetrieb rechnet der Assistent auf der Hardware im Betrieb — auf Basis von Ollama als lokal laufendem Modell. Modelle externer Anbieter sind ab Werk abgeschaltet; es gibt keine Voreinstellung, die Text an einen externen Dienst schickt.
Wird ein externes Modell — etwa Groq oder Google Gemini — in den Einstellungen bewusst aktiviert, geht der übergebene Text an den jeweiligen Anbieter. Das ist eine Entscheidung, die im Betrieb getroffen wird, keine Voreinstellung. Dafür sind zusätzlich eine Internetverbindung und ein Konto beim jeweiligen Anbieter nötig.
Der Assistent hilft beim Formulieren von Texten und beim Zusammenfassen längerer Inhalte. Er ist eine Schreib- und Lesehilfe, keine automatische Entscheidungsinstanz: Fristen, Buchungen und Zuordnungen folgen festen Regeln im Programm, unabhängig davon, ob der Assistent läuft. Die vollständige Beschreibung steht auf der Funktionsseite Lokale Assistenz.
Fragen für die Anbieterwahl
Wer ein KI-Werkzeug für den Büroalltag prüft — ganz unabhängig vom Anbieter —, kann sich an fünf Fragen orientieren:
Läuft die Standardeinstellung lokal oder extern?
Ist die externe Verarbeitung von Anfang an aktiv, oder muss sie bewusst eingeschaltet werden?
Wird offengelegt, bevor Text das Gerät verlässt?
Ist für die Nutzenden erkennbar, welche Eingaben lokal bleiben und welche an einen externen Server gehen?
Lässt sich die externe Verarbeitung abschalten?
Gibt es überhaupt eine Option, ausschließlich lokal zu arbeiten — oder ist die Cloud-Anbindung fest verdrahtet?
Bietet der Anbieter eine Auftragsverarbeitung an, falls nötig?
Steht eine Vereinbarung zur Auftragsverarbeitung zur Verfügung, sobald personenbezogene Daten im Spiel sind?
Funktioniert der Rest der Software bei Internetausfall weiter?
Hängt nur der KI-Assistent von der Verbindung ab, oder stehen dann auch andere Bereiche still?
Grenzen
Dieser Ratgeber ordnet die technische und datenschutzrechtliche Fragestellung allgemein ein. Er ersetzt keine Rechtsberatung und keine Prüfung des konkreten Einzelfalls — welche Vereinbarung mit welchem Anbieter tatsächlich nötig ist, hängt von den jeweiligen Datenflüssen ab und sollte im Zweifel rechtlich geprüft werden.
Vom Thema zur passenden Funktion
KUKANILEA bündelt Tagesübersicht und passende Bürobereiche in einer Anwendung — installiert auf der Hardware im Betrieb.
Häufige Fragen
Erfüllt lokale KI automatisch die Anforderungen der DSGVO?
Nein. Lokaler Betrieb bedeutet, dass der Text das Gerät für die Verarbeitung nicht verlässt — das verringert eine bestimmte Art von Risiko, ersetzt aber keine Datenschutzprüfung. Auch lokal verarbeitete Daten müssen rechtmäßig erhoben, zweckgebunden verwendet und angemessen gesichert sein. Umgekehrt ist Cloud-KI nicht automatisch unzulässig — entscheidend ist immer, was mit welchen Daten tatsächlich passiert.
Wird bei jeder Nutzung von Cloud-KI ein Auftragsverarbeitungsvertrag nötig?
Das hängt vom Einzelfall ab. Enthält der an den Anbieter gesendete Text personenbezogene Daten und verarbeitet der Anbieter sie im Auftrag des Betriebs, kann er zum Auftragsverarbeiter im Sinne von Art. 28 DSGVO werden — dann ist eine entsprechende Vereinbarung zu prüfen. Die tatsächlichen Rollen und Datenflüsse entscheiden, nicht die Technik allein. Eine pauschale Aussage für alle Anbieter und alle Texte lässt sich daraus nicht ableiten.
Was macht der KI-Assistent bei KUKANILEA standardmäßig?
Im Standardbetrieb rechnet der Assistent auf der Hardware im Betrieb. Modelle externer Anbieter sind ab Werk abgeschaltet; es gibt keine Voreinstellung, die Text an einen externen Dienst schickt.
Was passiert, wenn ein externes Modell zugeschaltet wird?
Wird ein externes Modell in den Einstellungen aktiviert, geht der übergebene Text an den jeweiligen Anbieter — das ist eine bewusste Entscheidung im Betrieb, keine Voreinstellung. Dafür sind zusätzlich eine Internetverbindung und ein Konto beim jeweiligen Anbieter nötig.
Trifft der Assistent Entscheidungen automatisch?
Nein. Der Assistent ist eine Schreib- und Lesehilfe, keine automatische Entscheidungsinstanz. Fristen, Buchungen und Zuordnungen folgen festen Regeln im Programm; er übernimmt keine automatische Klassifizierung von E-Mails, Dokumenten oder Aufgaben.
Worauf sollte man bei der Wahl eines KI-Werkzeugs für das Büro achten?
Fünf Fragen helfen bei der Einordnung: Läuft die Standardeinstellung lokal oder extern? Wird offengelegt, bevor Text das Gerät verlässt? Lässt sich die externe Verarbeitung abschalten? Bietet der Anbieter eine Vereinbarung zur Auftragsverarbeitung an, falls nötig? Und: Funktioniert die restliche Software weiter, wenn das Internet ausfällt?