KI-Agenten und DSGVO: Was die Aufsichtsbehörden von Unternehmen erwarten

Was sich ändert, wenn KI selbst handelt

Ein Chat-Assistent beantwortet, was Sie ihm schreiben. Ein Agent bekommt ein Ziel („Beantworte die Angebotsanfragen“, „Gleiche die Rechnungen dieses Monats ab“) und legt die Schritte selbst fest: Er öffnet das Postfach, schaut im CRM nach, füllt ein Formular aus und verschickt die Antwort. Dafür braucht er Konten, API-Schlüssel und Berechtigungen in den Systemen des Unternehmens.

Die CNIL (die französische Datenschutzbehörde) und der französische Rat für KI und Digitales (CIANum) sehen darin eine neue Größenordnung. Ein Agent kann Daten aus vielen miteinander verbundenen Quellen holen, sich über mehrere Sitzungen hinweg etwas merken und auf Grundlage dessen handeln, was er findet. Die Daten laufen durch mehrere Dienste, und die Person, um die es geht, kann kaum noch nachverfolgen, was mit ihnen passiert. Explorative Notiz CNIL/CIANum, Juli 2026

Ein eigenes Kapitel über Agenten hat die DSGVO nicht, und sie braucht es auch nicht. Die Regeln, die für jede Verarbeitung gelten, gelten auch hier: ein festgelegter Zweck, nur die nötigen Daten, angemessene Sicherheit und ein klar benannter Verantwortlicher. Art. 5 Abs. 1 und Art. 24 Schwieriger wird nur die Umsetzung, wenn das System seinen Weg selbst wählt.

Der Fall aus Spanien: ein Agent mit gültigem Login

Am 14. September 2026 berichtete die AEPD in ihrem Blog von der ersten Meldung einer Datenpanne, hinter der ein Angriff mit einem KI-Agenten stand. Der Agent beruhte auf einem bekannten Sprachmodell. Laut Meldung durchsuchte er allgemein zugängliche Dateien nach Schwachstellen und meldete sich dann regulär an. In der Anwendung spürte er selbstständig weitere Lücken auf und war schließlich in der Lage, personenbezogene Daten zu ändern und auf Rechnungen zuzugreifen.

Die AEPD macht drei Einschränkungen. Die Angaben stammen von der meldenden Organisation und werden noch geprüft. Dass ein bekanntes KI-Modell verwendet wurde, heißt nicht, dass das Modell oder sein Anbieter kompromittiert waren. Und eine einzelne Meldung ist noch kein Trend.

Trotzdem leitet die Behörde daraus praktische Lehren für Verantwortliche ab:

• Berücksichtigen Sie Angriffe, die von KI ausgeführt oder unterstützt werden, in der Risikoanalyse jeder Verarbeitung, statt sie unter „Malware“ oder „unbefugter Zugriff“ mitlaufen zu lassen.
• Prüfen Sie Ihre Reaktionszeiten. Ein Ablauf, der für einen menschlichen Angreifer gedacht ist, kann für einen Agenten zu langsam sein.
• Achten Sie stärker auf Identitäten und Zugangsdaten. Ein Agent mit einem Konto, einem API-Schlüssel oder einem Token mit zu vielen Rechten bewegt sich schnell von Dienst zu Dienst.
• Behalten Sie die menschliche Aufsicht bei, stützen Sie sie aber auf Erkennungs- und Eindämmungsmechanismen, die rechtzeitig reagieren.

In diesem Fall war der Agent der Angreifer. Die Lehren gelten genauso für Agenten, die Ihr Unternehmen selbst einsetzt: Ein Konto, das auf alles zugreifen darf, ist genauso gefährlich, wenn Ihr eigener Agent einen Fehler macht.

Was die Aufsichtsbehörden sagen

CNIL: nur die nötigen Daten, ein Mensch bei kritischen Aktionen, alles protokolliert

Die explorative Notiz von CNIL und CIANum vom 20. Juli 2026 ist keine förmliche Leitlinie, wird aber an vielen Stellen konkret. Wer einen Agenten einsetzen will, sollte diese Punkte kennen:

• Auch wenn mehrere Agenten, Modelle und Drittdienste zusammenspielen, muss klar bleiben, wer Verantwortlicher und wer Auftragsverarbeiter ist.
• Der Agent soll nur die Daten verarbeiten, die für die Aufgabe unbedingt nötig sind. Holt er sich E-Mails, Browserverläufe oder Dateien, die er dafür nicht braucht, verstößt das gegen die Datenminimierung.
• Jeder Agent soll ein eigenes Gedächtnis haben, ohne automatischen Zugriff auf das der anderen, und gespeicherte Informationen sollen nach einer gewissen Zeit verfallen.
• Kritische Aktionen bleiben in menschlicher Hand. Die Notiz schlägt vor, Aktionen nach Risiko einzustufen (auf Daten zugreifen, löschen, aus dem System heraus übermitteln), vor den heikelsten eine Freigabe zu verlangen und einen Knopf vorzusehen, der den Agenten jederzeit stoppt.
• Der gesamte Ablauf muss sich rekonstruieren lassen: welche Dienste der Agent aufgerufen hat, was er mit ihnen ausgetauscht hat und in welcher Reihenfolge.
• Betroffene Personen können ihre Rechte schwerer ausüben. Wer Daten an einer Stelle löscht, kann nicht sicher sein, dass sie aus dem Gedächtnis aller Agenten verschwunden sind. Und wer die Löschung verlangen will, weiß womöglich gar nicht, welcher Agent die Daten erhoben hat und an wen er sich wenden soll.

ICO: Konsultation bis zum 20. November

Das ICO hat am 8. Oktober 2026 eine sechswöchige öffentliche Konsultation zu agentischer KI gestartet. Sie richtet sich an alle, die solche Systeme entwickeln oder einsetzen. Die Fragen betreffen Sicherheit, Transparenz, Rechenschaftspflicht, automatisierte Entscheidungen, Fairness und Zweckbindung sowie die Rechtmäßigkeit der Verarbeitung. Die Antworten fließen in künftige Leitlinien ein und in den Verhaltenskodex zu KI und automatisierten Entscheidungen, den das ICO gerade vorbereitet.

Das ICO wendet das britische Datenschutzrecht an, dessen DSGVO-Fassung nicht mehr mit der DSGVO der EU identisch ist. Die Grundsätze, um die es hier geht, sind aber dieselben. Richard Nevinson, beim ICO Direktor für Technologieregulierung, fasste die Haltung der Behörde so zusammen: Dass KI-Agenten autonom handeln, sei „keine Ausrede für schlechte Compliance“.

Wo die Unternehmen stehen

Eine Studie von Censuswide im Auftrag von IBM zeigt, wie weit die Unternehmen sind. Befragt wurden 3.221 Führungskräfte aus Unternehmen mit mindestens 1.000 Beschäftigten in acht Ländern Europas und des Nahen Ostens. 80 % gaben an, dass im vergangenen Jahr ein KI-bezogener Vorfall bis zur Geschäftsleitung oder zum Vorstand gelangt ist. Nur 40 % haben danach ihre Regeln zur KI-Governance geändert. 35 % setzen KI-Agenten bereits produktiv ein, aber nur 37 % sagen, ihre Governance sei darauf ausgelegt, mit den Agenten mitzuwachsen.

Bevor Sie einen Agenten an Unternehmensdaten anschließen

Beantworten Sie diese Fragen schriftlich, bevor der Agent sein erstes Konto bekommt. Aus den Antworten entsteht die Dokumentation, die Ihre Aufsichtsbehörde verlangen kann. Zuständig ist in Deutschland in der Regel die Datenschutzbehörde des Bundeslandes, in dem Ihr Unternehmen seinen Sitz hat.

Wofür ist er da, und wer ist für ihn verantwortlich?

Schreiben Sie die Aufgabe in einem Satz auf, dazu den Namen der Person, die für den Agenten geradesteht. Der Zweck muss vor der Verarbeitung feststehen. Entdeckt der Agent eine neue Verwendung für die Daten, ist sie damit noch nicht erlaubt: Ein neuer Zweck muss mit dem ursprünglichen vereinbar sein. Art. 5 Abs. 1 Buchst. b und Art. 6 Abs. 4

Auf welche Daten und Systeme greift er zu?

Geben Sie dem Agenten ein eigenes Konto, nie das einer Mitarbeiterin oder eines Mitarbeiters, und nur mit den Rechten, die seine Aufgabe erfordert. Die Voreinstellungen müssen dafür sorgen, dass nur die Daten verarbeitet werden, die für den jeweiligen Zweck nötig sind. Das betrifft die Menge der erhobenen Daten, den Umfang der Verarbeitung, die Speicherdauer und die Frage, wer darauf zugreifen kann. Art. 25 Abs. 2 Ein Agent, der Angebotsanfragen beantwortet, muss den Personalordner nicht lesen.

Was darf er tun, ohne zu fragen?

Trennen Sie, was der Agent allein erledigt (lesen, zusammenfassen, einen Entwurf vorbereiten), von dem, was auf eine Freigabe wartet (an Kunden senden, löschen, bezahlen, Daten an Dritte weitergeben). Trifft der Agent allein eine Entscheidung, die gegenüber einer Person rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt, etwa die Ablehnung einer Bewerbung oder eines Kredits, gelten die Regeln für automatisierte Entscheidungen, einschließlich des Rechts auf das Eingreifen eines Menschen. Art. 22 Laut CNIL muss dieses Eingreifen echt sein und die endgültige Entscheidung beeinflussen können: Wer ungesehen auf „Freigeben“ klickt, greift nicht ein.

Können Sie nachvollziehen, was er getan hat?

Schalten Sie Protokolle ein, die zeigen, welche Daten der Agent gelesen, welche Aktionen er ausgeführt und welche Dienste er wann aufgerufen hat. Ohne sie können Sie weder ein Auskunftsersuchen beantworten noch einen Fehler untersuchen oder eine Datenpanne mit den richtigen Fakten melden. Die Protokolle helfen Ihnen außerdem beim Nachweis, dass Sie angemessene Sicherheitsmaßnahmen getroffen haben. Art. 32

Brauchen Sie eine DSFA?

Wahrscheinlich ja, wenn der Agent Daten von Kunden oder Beschäftigten in größerem Umfang verarbeitet. Der Europäische Datenschutzausschuss (EDSA) zählt die innovative Nutzung neuer technologischer Lösungen zu den Kriterien, die für eine Datenschutz-Folgenabschätzung (DSFA) sprechen. Treffen zwei Kriterien zu, ist sie in der Regel erforderlich. Art. 35; Leitlinien WP248 rev.01 Ein zweites Kriterium kommt bei einem Agenten schnell hinzu: umfangreiche Verarbeitung, Daten schutzbedürftiger Personen oder das Zusammenführen von Datenquellen.

Was steht im Vertrag mit dem Anbieter?

Der Anbieter des Agenten verarbeitet die Daten in Ihrem Auftrag. Er ist also Auftragsverarbeiter, und Sie brauchen einen Vertrag mit den Inhalten aus Art. 28 DSGVO. Klären Sie drei Dinge: ob die Daten zum Training von Modellen verwendet werden, wo sie gespeichert werden und welche anderen Dienste der Agent aufruft. Jeder dieser Dienste ist ein weiterer Auftragsverarbeiter, den der Anbieter nur mit Ihrer Genehmigung einsetzen darf. Art. 28 Abs. 2 und 3

Wo wird die Verarbeitung dokumentiert?

Tragen Sie die Verarbeitung in Ihr VVT ein, mit Zweck, Datenkategorien, Empfängern und Sicherheitsmaßnahmen. Art. 30 Die VVT-Vorlage hat dafür ein fertiges Tabellenblatt.

Wenn der Agent sich irrt oder gegen Sie eingesetzt wird

Schickt ein Agent Daten an den falschen Kunden, löscht er Datensätze oder legt er die Personalakte einer Mitarbeiterin offen, ist das eine Datenpanne wie jede andere. Besteht ein Risiko für die betroffenen Personen, melden Sie die Panne innerhalb von 72 Stunden, nachdem sie Ihnen bekannt geworden ist. Zuständig ist in der Regel die Datenschutzbehörde Ihres Bundeslandes, bei Telekommunikations- und Postdiensten der BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit). Art. 33 Abs. 1 Wissen Sie noch nicht alles, melden Sie, was Sie haben, und reichen Sie den Rest nach. Art. 33 Abs. 4

Bei einem Agenten kommt das Tempo hinzu: In einer Minute kann er Hunderte von Aktionen ausgeführt haben. Halten Sie im Notfallplan fest, wie der Agent abgeschaltet wird, wer seine Zugangsdaten sperrt und wo die Protokolle liegen. Der 72-Stunden-Ratgeber und das Notfallkit für Datenpannen können Sie dafür unverändert verwenden. Ergänzen Sie nur den Agenten in der Liste der Systeme und einen Schritt, mit dem Sie ihn stoppen.

Häufige Fragen

Wenn der Agent von einem großen Anbieter kommt, haftet dann der Anbieter?

Nein. Ihr Unternehmen entscheidet, ob, wofür und mit welchen Daten der Agent eingesetzt wird. Damit ist es der Verantwortliche. Der Anbieter ist Auftragsverarbeiter und haftet für das, was ihm der Vertrag und Art. 28 DSGVO auferlegen.

Geben mir die Nutzungsbedingungen des Anbieters eine Rechtsgrundlage?

Nein. Für die Rechtsgrundlage sind Sie selbst zuständig, und sie hängt vom Zweck ab: Erfüllung eines Vertrags mit dem Kunden, berechtigtes Interesse, Einwilligung oder eine andere. Die Nutzungsbedingungen regeln Ihr Verhältnis zum Anbieter, nicht die Verarbeitung der Daten Ihrer Kunden. Art. 6 Abs. 1

Haben DSK oder BfDI schon etwas zu KI-Agenten veröffentlicht?

Bis zum 29. Oktober 2026 haben wir weder von der Datenschutzkonferenz (DSK) noch vom BfDI eine Orientierungshilfe speziell zu KI-Agenten gefunden. Die Orientierungshilfen der DSK zu KI und Datenschutz (Mai 2024) und zu KI-Systemen mit RAG-Methode (Oktober 2025) behandeln KI allgemein. Konkreter wird der KI-Leitfaden des Landesbeauftragten für Datenschutz Mecklenburg-Vorpommern vom Juli 2026, der sich an KMU und kleinere Verwaltungen richtet. Sein Anhang zu KI-Agenten hält fest, dass „ungemanagte KI-Agenten per se nicht sicher“ sind. Die RAG-Orientierungshilfe der DSK gilt danach grundsätzlich auch für Agenten, muss wegen deren größerer Autonomie aber ergänzt werden. Die letzte Entscheidung bleibt beim Menschen. In der EU sind die ausführlichsten Hinweise, die wir gefunden haben, die Leitlinien der spanischen AEPD zu agentischer KI vom Februar 2026, geschrieben für Verantwortliche und Auftragsverarbeiter. Die Notiz der CNIL und die Empfehlungen der AEPD oben ergänzen sie.

Quellen

• AEPD, Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA, 14. September 2026 (auf Spanisch)
• AEPD, Inteligencia artificial agéntica desde la perspectiva de protección de datos, Februar 2026 (PDF) (auf Spanisch)
• CNIL, IA agentique et données personnelles: note exploratoire CNIL/CIANum, 20. Juli 2026 und Volltext (PDF) (auf Französisch)
• ICO, Agentic AI call for evidence, 8. Oktober bis 20. November 2026 (auf Englisch)
• ICO, Mitteilung vom 8. Oktober 2026 zu KI-Agenten (auf Englisch)
• IBM, Pressemitteilung vom 15. Oktober 2026 zur Studie „The New Realities of AI Governance“ (auf Englisch)
• Verordnung (EU) 2016/679 (DSGVO), Art. 5, 6, 22, 24, 25, 28, 30, 32, 33 und 35 (EUR-Lex)
• Artikel-29-Datenschutzgruppe (vom EDSA bestätigt), Leitlinien WP248 rev.01 zur Datenschutz-Folgenabschätzung
• DSK, Orientierungshilfe KI und Datenschutz, Mai 2024
• DSK, Orientierungshilfe zu datenschutzrechtlichen Besonderheiten generativer KI-Systeme mit RAG-Methode, Oktober 2025
• LfDI Mecklenburg-Vorpommern, Datenschutzkonformer und digital-souveräner Einsatz von Künstlicher Intelligenz, Juli 2026 (PDF), Anhang A2 zu KI-Agenten
• BfDI, Meldung von Datenschutzverstößen

Aktualisiert: 29. Oktober 2026. Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.