Datenschutz ist für NGOs kein bürokratisches Nebenthema — er ist ein Deal-Breaker. In unseren Gesprächen mit Organisationen aus der DACH-Region ist DSGVO die Frage, die am häufigsten als erstes kommt. Bevor Features besprochen werden, bevor Budgets diskutiert werden, kommt die Frage: "Können wir personenbezogene Daten an ein KI-Tool weitergeben?"
Die Antwort ist: Ja — aber nur unter klar definierten Bedingungen. Diese Seite beantwortet die 5 wichtigsten Fragen.
Frage 1: Darf ich Spenderdaten an ein KI-Tool weitergeben?
Ja, unter DSGVO ist die Weitergabe personenbezogener Daten an externe KI-Dienstleister möglich — wenn die Verarbeitung als Auftragsverarbeitung gemäß Art. 28 DSGVO strukturiert ist.
Das bedeutet: Der KI-Anbieter verarbeitet die Daten ausschließlich nach Ihren Weisungen, für Ihren definierten Zweck, und gibt sie nicht an Dritte weiter. Als NGO bleiben Sie Verantwortliche:r für die Daten — der Anbieter ist Auftragsverarbeiter.
Die Voraussetzungen:
- Unterzeichneter Auftragsverarbeitungsvertrag (AVV) liegt vor
- Verarbeitungszweck ist klar definiert (z.B. "Mailing-Selektion")
- Anbieter verarbeitet Daten nicht für eigene Zwecke
- Technisch-organisatorische Maßnahmen (TOMs) sind dokumentiert
"Können wir Spenderdaten an ein LLM schicken?" — Das war die erste Frage. Danach: "Und wer haftet, wenn etwas passiert?" — Datenschutzbeauftragte, österreichische Fundraising-Agentur
Frage 2: Was ist ein AVV und brauche ich ihn?
Der Auftragsverarbeitungsvertrag (AVV) ist ein Pflichtdokument gemäß Art. 28 DSGVO. Ohne AVV ist die Datenübermittlung an externe Dienstleister — inklusive KI-Tools — rechtswidrig.
Ein vollständiger AVV muss enthalten:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten und Kategorien betroffener Personen
- Weisungsrechte des Auftraggebers
- Verpflichtung zur Verschwiegenheit
- Regelung zu Unterauftragsverarbeitern
- Technisch-organisatorische Maßnahmen (TOM-Anlage)
⚠️ Praxishinweis: Viele KI-Anbieter bieten AVVs erst auf Anfrage oder nur für Enterprise-Kunden an. Fragen Sie vor Vertragsabschluss explizit nach dem AVV — und prüfen Sie, ob dieser von der Datenschutzbeauftragten Ihrer Organisation freigegeben werden kann.
Frage 3: Trainiert die KI auf meinen Spenderdaten?
Das ist die Frage, die am stärksten polarisiert. Und die Antwort ist: Es kommt auf das Vertragsmodell an.
| Nutzungsmodell | Datentraining | DSGVO-Konformität |
|---|---|---|
| Consumer-Zugang (ChatGPT kostenlos) | Möglicherweise JA | Nicht für Spenderdaten geeignet |
| Enterprise API (Claude, GPT-4) | NEIN (vertraglich ausgeschlossen) | DSGVO-konform möglich |
| EU-lokale Modelle (z.B. Mistral) | NEIN | DSGVO-konform |
| FlyRaising (Auftragsverarbeitung) | NEIN (AVV schließt es aus) | DSGVO-konform ✓ |
"Sicherstellen muss ich: Datentraining immer organisationsspezifisch — niemals organisationsübergreifend. Das war das Minimum für eine Zusammenarbeit." — Fundraising-Direktor, Schweizer NGO
Frage 4: EU-Server oder USA — was ist erlaubt?
Datenübermittlungen in Drittländer (inkl. USA) sind unter DSGVO nur unter bestimmten Bedingungen zulässig:
- Angemessenheitsbeschluss: Für die USA existiert seit 2023 das EU-U.S. Data Privacy Framework (DPF) — US-Anbieter, die dort zertifiziert sind, bieten eine ausreichende Rechtsgrundlage.
- EU-Standardvertragsklauseln (SCC): Alternativ können SCCs in den AVV integriert werden.
- EU-Server als sicherste Option: Für Organisationen, die strenge interne Datenschutzrichtlinien haben (z.B. internationale Verbandsstrukturen), ist die Verarbeitung auf EU-Servern die unkomplizierteste Lösung.
"WVI (internationale Dachorganisation) hat strikte KI-Richtlinien — manche Systeme erlauben keinen KI-Zugriff auf Donor-Daten. EU-Hosting war für uns nicht verhandelbar." — Datenschutzverantwortliche, internationale Hilfsorganisation
Frage 5: Was ist eine Subdienstleisterliste und warum ist sie wichtig?
Die Subdienstleisterliste (Art. 28 Abs. 2 DSGVO) listet alle Unterauftragsverarbeiter, die der KI-Anbieter für die Datenverarbeitung einsetzt — z.B. AWS für Hosting, SendGrid für E-Mail-Versand, oder Azure für Rechenleistung.
Als Auftraggeber haben Sie das Recht:
- Die aktuelle Subdienstleisterliste einzusehen
- Änderungen an der Liste vorab informiert zu werden
- Neue Unterauftragsverarbeiter abzulehnen (in vielen AVVs mit Widerspruchsrecht geregelt)
DSGVO-Checkliste: KI-Tool für NGOs auswählen
Bevor Sie ein KI-Tool für Fundraising einsetzen, prüfen Sie folgende Punkte:
- AVV auf Anfrage erhältlich (keine Wartezeit von Wochen)
- Kein Training auf Org-Daten (vertraglich ausgeschlossen)
- Datenverarbeitung in EU oder zertifiziertem DPF-Land
- Subdienstleisterliste verfügbar und aktuell
- TOM-Dokumentation (technisch-organisatorische Maßnahmen) vorhanden
- Datenschutzbeauftragte:r des Anbieters erreichbar
DSGVO-konforme KI für Ihr Fundraising
FlyRaising verarbeitet Spenderdaten ausschließlich auf EU-Servern, mit AVV, ohne Modelltraining auf Org-Daten. Für NGOs und gemeinnützige Organisationen im DACH-Raum.
AVV und Datenschutzinfos anfordern →