Der EDSA verabschiedete 2025 Leitlinien zum Zusammenspiel von KI-Gesetz und EU-Datenschutzrecht und bereitete gemeinsam mit der Europäischen Kommission Leitlinien vor, die 2026 angenommen werden sollen (Quelle: EDSA-Jahresbericht 2025). Für Unternehmen, die Large Language Models entwickeln oder einsetzen, entsteht durch das Zusammenwirken von KI-Gesetz und DSGVO ein doppelter Compliance-Rahmen. Sobald die gemeinsamen Leitlinien 2026 in Kraft treten, müssen LLM-Anbieter beide Regelwerke gleichzeitig erfüllen. Entscheider sollten ihre Datenschutzfolgenabschätzungen und technischen Schutzmaßnahmen jetzt prüfen und anpassen, um regulatorische Risiken frühzeitig zu minimieren.

EDSA 2025: Was Datenschutzbehörden von LLM-Anbietern verlangen

Der Europäische Datenschutzausschuss (EDSA) hat im Jahr 2025 seine Regulierungsaktivitäten rund um Künstliche Intelligenz und Datenschutz deutlich ausgeweitet. Im Mittelpunkt standen dabei nicht nur klassische DSGVO-Fragen, sondern auch das Zusammenspiel neuer EU-Gesetzgebung mit bestehendem Datenschutzrecht – mit direkten Konsequenzen für Anbieter großer Sprachmodelle (LLMs) und deren Unternehmenskunden.

Gemeinsame Leitlinien zu KI-Gesetz und DSGVO in Vorbereitung

Laut dem Jahresbericht 2025 des EDSA arbeitete der Ausschuss gemeinsam mit der Europäischen Kommission an Leitlinien zum Zusammenspiel zwischen dem EU-KI-Gesetz und den EU-Datenschutzgesetzen. Die Annahme dieser Leitlinien war für 2026 geplant. Parallel dazu nahm der EDSA 2025 bereits gemeinsame Leitlinien mit der Kommission zum Verhältnis zwischen dem Digital Markets Act und der DSGVO an und leitete dazu eine öffentliche Konsultation ein.

Für Unternehmen, die LLM-basierte Dienste betreiben oder nutzen, bedeutet dies: Die regulatorische Erwartungshaltung an die datenschutzkonforme Gestaltung von KI-Systemen nimmt konkrete Form an, auch wenn abschließende Leitlinien noch ausstehen.

Helsinki-Erklärung: Mehr Klarheit, weniger Verwaltungsaufwand

Einen weiteren Meilenstein des Jahres 2025 bildete die Annahme der sogenannten Helsinki-Erklärung durch den EDSA. Darin legte der Ausschuss neue Initiativen fest, um die DSGVO-Compliance zu erleichtern, die Kohärenz zwischen Aufsichtsbehörden zu stärken und den Dialog mit Interessenträgern zu verbessern. Ebenfalls 2025 beteiligte sich der EDSA aktiv an EU-Gesetzgebungsinitiativen zur Verringerung des Verwaltungsaufwands, darunter die Beratungen zum sogenannten Digital Omnibus und zum Digital Omnibus zur KI, deren gemeinsame Stellungnahmen Anfang 2026 angenommen wurden.

Für LLM-Anbieter und deren Geschäftskunden sind daraus vier praktische Implikationen ableitbar:

1. Datenschutz-Folgenabschätzungen bleiben Pflicht, werden aber stärker harmonisiert. Der EDSA arbeitet an mehr Kohärenz bei der Auslegung der DSGVO-Anforderungen. Unternehmen sollten bestehende Datenschutz-Folgenabschätzungen für KI-Anwendungen auf den Stand der neuen Leitlinien bringen, sobald diese vorliegen.

2. Drittlandübermittlungen geraten stärker unter Beobachtung. Im Jahr 2025 nahm der EDSA Leitlinien zu Datenübermittlungen an Behörden von Drittländern an. Da viele LLM-Infrastrukturen auf US-amerikanischen Cloud-Diensten basieren, sind Unternehmen gut beraten, ihre Übermittlungsgrundlagen sorgfältig zu dokumentieren und regelmäßig zu überprüfen.

3. Das Verhältnis von KI-Gesetz und DSGVO bleibt vorerst ungeklärt. Die ausstehenden gemeinsamen Leitlinien von EDSA und Kommission zum KI-Gesetz schaffen eine Grauzone. Wer heute LLM-Systeme einführt, muss mit nachträglichem Anpassungsbedarf rechnen, sobald die Leitlinien final verabschiedet sind.

4. Neue Technologien wie Pseudonymisierung und Blockchain erhalten eigene DSGVO-Rahmenbedingungen. Der EDSA verabschiedete 2025 neue Leitlinien zu Pseudonymisierung und Blockchain-Technologien. Für LLM-Anbieter, die mit personenbezogenen Trainingsdaten oder Nutzerinteraktionen arbeiten, können Pseudonymisierungsansätze künftig als nachweisbares Schutzinstrument relevant werden.

Kontext: UK-Angemessenheitsbeschlüsse zeigen regulatorischen Prüfmaßstab

Ein Blick auf die parallelen EDSA-Aktivitäten zu den britischen Angemessenheitsbeschlüssen verdeutlicht, welchen Prüfmaßstab der Ausschuss generell anlegt: Der EDSA forderte die Europäische Kommission auf, unter anderem die mutmaßliche Verwendung sogenannter Technical Capability Notices (TCN) durch die britische Regierung zu bewerten. Solche TCNs verpflichten Unternehmen zur Umgehung von Verschlüsselung und würden nach Einschätzung des EDSA systemische Schwachstellen schaffen sowie ein Risiko für die Integrität und Vertraulichkeit elektronischer Kommunikation darstellen. Dieser Bewertungsrahmen gibt Hinweise darauf, welche Sicherheits- und Integritätsanforderungen der EDSA grundsätzlich an digitale Dienste stellt, einschließlich KI-basierter Systeme.

Für Entscheider in Unternehmen gilt: Die regulatorische Entwicklung im KI-Datenschutz schreitet 2025 sichtbar voran. Wer frühzeitig interne Compliance-Strukturen aufbaut, vermeidet Anpassungsdruck nach der Veröffentlichung abschließender Leitlinien.

Quellen

• Jahresbericht 2025 des EDSA: Unterstützung der Interessenträger durch Beratung und Dialog – European Data Protection Board
• Entwürfe von Angemessenheitsbeschlüssen des Vereinigten Königreichs: EDSA nimmt Stellungnahmen an – European Data Protection Board
• Europäische Patentorganisation und Verlängerung von Angemessenheitsbeschlüssen für das Vereinigte Königreich: EDSA nimmt Stellungnahmen an – European Data Protection Board

Häufige Fragen

Welche konkreten Schritte hat der EDSA 2025 unternommen, um Datenschutzanforderungen für KI-Systeme wie LLMs zu klären?

Der EDSA hat 2025 gemeinsam mit der Europäischen Kommission Leitlinien zum Zusammenspiel zwischen dem KI-Gesetz und den EU-Datenschutzgesetzen erarbeitet. Diese Leitlinien sollten Anfang 2026 angenommen werden. Zudem informierten EDSA-Plenardiskussionen die gemeinsamen Stellungnahmen zum digitalen Omnibus zur KI, die ebenfalls Anfang 2026 verabschiedet wurden.

Was besagt die Helsinki-Erklärung des EDSA und was bedeutet sie für Anbieter von KI-Sprachmodellen?

Der EDSA nahm 2025 die Helsinki-Erklärung an, die neue Initiativen zur Erleichterung der DSGVO-Compliance, zur Stärkung der Kohärenz und zur Verbesserung des Stakeholder-Dialogs festlegt. Für LLM-Anbieter bedeutet dies konkret: Der EDSA arbeitet aktiv an der Verringerung des Verwaltungsaufwands und an klareren Anforderungen, etwa durch öffentliche Konsultationen zu praxisnahen Vorlagen.

Gilt der britische Datenschutzrahmen nach dem Data (Use and Access) Act 2025 weiterhin als angemessen für Datentransfers aus der EU?

Der EDSA hat Vorbehalte geäußert. Der neue Angemessenheitstest des britischen Data (Use and Access) Act 2025 prüft nicht explizit das Risiko staatlicher Datenzugriffe, das Bestehen individueller Rechtsbehelfe und die Unabhängigkeit der Aufsichtsbehörde. Der EDSA forderte die Kommission auf, diese Aspekte sowie den Einsatz sogenannter Technical Capability Notices gesondert zu bewerten.

Was sind Technical Capability Notices (TCN) und warum sind sie für LLM-Anbieter mit UK-Bezug relevant?

TCNs sind behördliche Anordnungen im Vereinigten Königreich, die Unternehmen zur Umgehung von Verschlüsselung verpflichten können. Der EDSA warnte, dass deren Einsatz systemische Schwachstellen erzeugen und die Integrität sowie Vertraulichkeit elektronischer Kommunikation gefährden würde. LLM-Anbieter, die Daten in das UK übermitteln, müssen dieses Risiko in ihrer Datenschutz-Folgenabschätzung berücksichtigen.

Welche neuen DSGVO-Leitlinien des EDSA aus 2025 sind für den Betrieb von KI- und LLM-Systemen besonders relevant?

2025 verabschiedete der EDSA neue Leitlinien zu Pseudonymisierung, Blockchain-Technologien sowie zum Zusammenspiel von Digital Services Act und DSGVO. Zudem wurden Leitlinien zu Datenübermittlungen an Behörden in Drittländern finalisiert. Für LLM-Anbieter sind besonders die Pseudonymisierungsleitlinien und die Drittland-Übermittlungsregeln praxisrelevant.