Der Europäische Datenschutzausschuss (EDPB) hat am 5. Juni 2025 finale Leitlinien zu Datentransfers an Drittlandsbehörden nach Art. 48 DSGVO verabschiedet und gleichzeitig zwei neue Schulungsprojekte zu KI und Datenschutz im Rahmen des Support Pool of Experts (SPE) vorgestellt. Unternehmen, die große Sprachmodelle mit Daten Dritter trainieren, stehen vor wachsenden Compliance-Anforderungen: Der EDPB stellt klar, dass Entscheidungen von Drittlandsbehörden in der EU nicht automatisch anerkannt werden und grundsätzlich ein völkerrechtliches Abkommen erforderlich ist. Parallel aktualisierte Bitkom seinen Praxisleitfaden zur Auftragsverarbeitung (Version 1.2, November 2025) auf Basis der DSGVO. Für Entscheider bedeutet das: Verträge und Transparenzdokumentationen müssen jetzt geprüft und angepasst werden.

EDPB-Stellungnahmen 2025: Was Unternehmen bei Auftragsverarbeitung und LLM-Training mit Drittdaten beachten müssen

Der Europäische Datenschutzausschuss (EDPB) hat im Juni 2025 in seiner jüngsten Plenarsitzung die finale Version seiner Leitlinien zu Artikel 48 DSGVO verabschiedet. Die Leitlinien betreffen Datentransfers an Behörden in Drittstaaten und werden durch neue Schulungsmaterialien zu künstlicher Intelligenz und Datenschutz ergänzt. Zeitgleich aktualisierte der Bitkom im November 2025 seinen Praxisleitfaden zur Auftragsverarbeitung auf Version 1.2. Für Unternehmen, die LLM-Systeme mit Daten Dritter trainieren oder betreiben, ergibt sich daraus erheblicher Handlungsbedarf.

EDPB: Drittstaatentransfers erfordern internationale Abkommen

Ein zentrales Ergebnis der EDPB-Plenarsitzung vom 5. Juni 2025: Urteile und Entscheidungen von Behörden aus Nicht-EU-Staaten werden in Europa nicht automatisch anerkannt oder vollstreckt. Als Grundregel gilt laut EDPB, dass für einen rechtmäßigen Transfer personenbezogener Daten an ausländische Behörden ein internationales Abkommen vorliegen muss. Organisationen müssen unter den Bedingungen von Art. 48 DSGVO prüfen, ob und unter welchen Voraussetzungen sie auf Anfragen nicht-europäischer Behörden rechtmäßig antworten dürfen.

Für Unternehmen, die LLM-Dienste von Anbietern außerhalb der EU beziehen oder Trainingsdaten in Drittstaaten verarbeiten lassen, verschärft dies die Anforderungen an die vertragliche Gestaltung und die interne Dokumentation.

Ergänzend präsentierte der EDPB zwei neue Projekte im Rahmen des Support Pool of Experts (SPE), die Schulungsmaterial zu künstlicher Intelligenz und Datenschutz bereitstellen. Zudem diskutierte das Gremium eine Anfrage der Europäischen Kommission für eine gemeinsame Stellungnahme von EDPB und EDPS zur geplanten Vereinfachung der Aufzeichnungspflichten nach der DSGVO.

Bitkom aktualisiert Mustervertragsanlage zur Auftragsverarbeitung

Parallel dazu hat der Bitkom sein vierteiliges Leitfadenpaket zur Auftragsverarbeitung umfassend überarbeitet. Die Mustervertragsanlage wurde 2025 grundlegend aktualisiert; der begleitende Leitfaden erschien im November 2025 in Version 1.2 und ersetzt die bisherige Fassung. Er basiert auf der DSGVO (EU) 2016/679.

Das Paket besteht aus der Mustervertragsanlage sowie Anlage 1 und Anlage 2, wobei Anlage 2 in zwei Varianten vorliegt: eine für Auftraggeber, eine für Auftragnehmer. Der Leitfaden richtet sich gleichermaßen an Verantwortliche und Auftragsverarbeitende und soll ein einheitliches Verständnis der datenschutzrechtlichen Anforderungen fördern.

Vier praktische Implikationen für Entscheider

1. Auftragsverarbeitungsverträge für LLM-Dienste auf Aktualität prüfen

Wer externe LLM-Anbieter als Auftragsverarbeiter einsetzt, sollte bestehende Verträge gegen die aktualisierte Bitkom-Mustervertragsanlage 2025 abgleichen. Die neue Version enthält überarbeitete Regelungsinhalte, die von der Vorgängerversion abweichen können. Bestehende Vereinbarungen, die noch auf älteren Mustern beruhen, können datenschutzrechtliche Lücken aufweisen. Lesen Sie dazu auch unseren Artikel zu DSGVO-konformen LLM-Einsatz und Auftragsverarbeitung.

2. Drittstaatentransfers beim LLM-Training systematisch erfassen

Werden Trainingsdaten, die personenbezogene Informationen enthalten, an Infrastrukturen außerhalb der EU übermittelt, greift Art. 48 DSGVO unmittelbar. Die EDPB-Leitlinien machen deutlich, dass behördliche Anfragen aus Drittstaaten kein hinreichender Übermittlungsgrund sind, sofern kein internationales Abkommen vorliegt. Unternehmen müssen Transferpfade vollständig dokumentieren und absichern. Weiterführende Informationen finden Sie in unserem Beitrag zu den EDPB-Leitlinien 2025 für Transparenz beim LLM-Training.

3. Accountability-Dokumentation als Pflichtaufgabe verstehen

Beide Entwicklungen, die EDPB-Finalrichtlinien und der Bitkom-Leitfaden, betonen die Nachweispflicht. Verantwortliche müssen belegen können, dass ihre Verarbeitungstätigkeiten den gesetzlichen Anforderungen entsprechen. Für LLM-Einsatz bedeutet das: Verarbeitungsverzeichnisse, technisch-organisatorische Maßnahmen und Auftragsverarbeitungsverträge müssen lückenlos aktuell gehalten werden. Einen Überblick über Datenschutz-Compliance beim LLM-Einsatz im Mittelstand bietet unser Artikel Ki-Datenschutz im Mittelstand.

4. Schulungsangebote des EDPB SPE nutzen

Der EDPB stellt über das SPE-Programm neues Schulungsmaterial zu KI und Datenschutz bereit. Compliance-Verantwortliche und Datenschutzbeauftragte sollten diese Materialien in ihre internen Schulungskonzepte einbeziehen, insbesondere wenn generative KI-Systeme im Unternehmen eingesetzt oder geplant werden. Hintergründe zu den regulatorischen Anforderungen an KI-Anbieter liefert unser Beitrag zu den EDPB-Prüfverfahren für Trainingsdaten.

Regulatorischer Rahmen verdichtet sich

Die Gleichzeitigkeit von finalisierten EDPB-Leitlinien und aktualisierten Bitkom-Praxisstandards verdeutlicht, dass die datenschutzrechtlichen Anforderungen an den Einsatz von LLM-Systemen und die damit verbundene Auftragsverarbeitung weiter konkretisiert werden. Unternehmen, die Third-Party-Daten für das Training oder den Betrieb von Sprachmodellen verwenden, stehen unter erhöhtem Dokumentations- und Vertragsdruck. Die Kombination aus europäischen Aufsichtsleitlinien und branchenspezifischen Musterverträgen bietet dabei eine praxisnahe Orientierung, setzt aber voraus, dass Entscheider die aktualisierten Dokumente tatsächlich in ihre internen Prozesse integrieren.

Quellen

• Praxisleitfäden zur Auftragsverarbeitung | Leitfaden 2025 | Bitkom e. V.
• EDPB publishes final version of guidelines on data transfers to third country authorities and SPE training material on AI and data protection

Häufige Fragen

Was hat der EDPB im Juni 2025 konkret zu Datentransfers an Drittstaatsbehörden entschieden?

Der Europäische Datenschutzausschuss (EDPB) hat in seiner Plenarsitzung vom 5. Juni 2025 die finale Version seiner Leitlinien zu Art. 48 DSGVO verabschiedet. Die Leitlinien klären, unter welchen Bedingungen Organisationen Anfragen von Behörden aus Drittstaaten auf Datenweitergabe rechtmäßig nachkommen dürfen. Grundsatz: Urteile oder Entscheidungen aus Drittstaaten werden in Europa nicht automatisch anerkannt oder vollstreckt. In der Regel ist ein internationales Abkommen erforderlich.

Welche Rolle spielen die neuen EDPB-Schulungsmaterialien zu KI und Datenschutz für Unternehmen, die LLMs trainieren?

Der EDPB hat im Juni 2025 zwei neue Projekte seines Support Pool of Experts (SPE) vorgestellt, die Schulungsmaterialien zu künstlicher Intelligenz und Datenschutz bereitstellen. Für Unternehmen, die Large Language Models mit Drittparteidaten trainieren, sind diese Materialien eine praxisrelevante Orientierung zu Rechenschafts- und Transparenzpflichten nach der DSGVO.

Was regelt der aktualisierte Bitkom-Leitfaden 2025 zur Auftragsverarbeitung, und warum ist er für den LLM-Einsatz relevant?

Der Bitkom-Leitfaden Version 1.2 wurde im November 2025 veröffentlicht und ersetzt die bisherige Fassung. Er basiert auf der DSGVO (Verordnung (EU) 2016/679) und erläutert die Mustervertragsanlage zur Auftragsverarbeitung. Das Paket umfasst vier Dokumente, darunter Anlage 2 in zwei Varianten für Auftraggeber und Auftragnehmer. Für LLM-Training mit Fremddaten ist er relevant, weil er Verantwortliche und Auftragsverarbeitende bei der sachgerechten Umsetzung datenschutzrechtlicher Anforderungen unterstützt.

Müssen Unternehmen beim LLM-Training mit Third-Party-Daten einen Auftragsverarbeitungsvertrag abschließen?

Sofern ein Dienstleister personenbezogene Daten weisungsgebunden im Auftrag eines Verantwortlichen verarbeitet, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO verpflichtend. Der Bitkom-Leitfaden 2025 dient dabei als praxisorientierte Hilfe, um ein gemeinsames Verständnis der wesentlichen Regelungsinhalte zwischen Auftraggeber und Auftragnehmer herzustellen.

Plant der EDPB weitere regulatorische Schritte zur Vereinfachung der DSGVO-Dokumentationspflichten?

Ja. Der EDPB hat laut seiner Mitteilung vom 5. Juni 2025 den Antrag der Europäischen Kommission auf eine gemeinsame Stellungnahme des EDPB und des EDSB zum Vorschlag zur Vereinfachung der Aufzeichnungspflichten nach der DSGVO erörtert. Ein konkretes Ergebnis dieser Beratung wurde zum Zeitpunkt der Meldung noch nicht veröffentlicht.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.