KI-Agenten und die DSGVO: was bei autonomen Agenten anders ist.

Ein Chatbot, der nur Text formuliert, wirft wenige DSGVO-Fragen auf. Ein KI-Agent, der in echten Systemen handelt, wirft sie alle auf: Er liest Datensätze, schreibt E-Mails, ruft Dokumente ab. Der Unterschied liegt in der Autonomie. Zur Laufzeit wählt der Agent selbst, welche Werkzeuge er einsetzt und welche personenbezogenen Daten er dabei bewegt.

Wir entwickeln Pinchy, eine quelloffene Governance-Plattform für KI-Agenten. Wir sind hier also nicht neutral, doch die folgenden Argumente gelten unabhängig davon. Eine breitere Einordnung gibt der Leitfaden zu souveränen KI-Agenten.

Warum Autonomie die Folgenabschätzung bricht

Die Datenschutz-Folgenabschätzung setzt einen stabilen, vorab beschreibbaren Verarbeitungsumfang voraus. Sie wissen im Voraus, welche Daten zu welchem Zweck verarbeitet werden. Genau diese Annahme unterläuft ein autonomer Agent. Welche Daten er liest und wohin er sie schickt, entscheidet er erst im Moment. Damit fällt die Vorhersehbarkeit weg, auf der die Folgenabschätzung beruht. Ohne harte Grenzen erbringt ein Agent sie nicht.

Der Agent wählt den Übertragungsweg selbst

Hier liegt das eigentliche Risiko. Schickt der Agent Eingaben und Dokumente an eine Cloud-Modell-API, verlassen personenbezogene Daten Ihre Kontrolle. Als verantwortliche Stelle bleiben Sie trotzdem haftbar. Die niederländische Datenschutzbehörde warnte im Februar 2026 ausdrücklich: Hochautonome Agenten mit breitem Zugriff lassen die einsetzende Organisation voll in der Verantwortung. Der Agent trifft die Übertragungsentscheidung, doch die Haftung bleibt bei Ihnen.

Das Löschrecht trifft auch die Protokolle

Besonders heikel wird das Recht auf Löschung. Ein Agent, der nachvollziehbar sein soll, braucht einen Audit-Trail. Baut man ihn als verkettete Hash-Kette auf, sichert jeder Eintrag den vorigen ab. Daraus entsteht ein Konflikt. Müssen Sie einen einzelnen Datensatz rechtmäßig löschen, zerbricht die Integritätskette aller folgenden Einträge. Sauber lösen das pro Zeile unabhängig signierte Einträge: Eine Löschung entfernt genau einen Eintrag und lässt die Prüfbarkeit des Rests unberührt. Datenschutz und Nachweisbarkeit schließen sich also nicht aus, sofern Sie das Protokoll richtig bauen.

Was die Aufsicht konkret nennt

Diese Warnung der niederländischen Aufsicht blieb nicht allgemein. Am 12. Februar 2026 nannte sie OpenClaw und ähnliche Open-Source-Agenten beim Namen. Sie führte drei Schwachstellen an. Der Datenzugriff ist zu breit und nicht eingegrenzt. Das Logging ist schwach und lückenhaft. Und die Betroffenenrechte erfüllt ein Agent über mehrere Systeme hinweg nicht. Der Kernsatz: Mehr technische Autonomie senkt die rechtliche Verantwortung nicht.

OpenClaw allein gibt dem Agenten breiten Zugriff, genau das, wovor die Behörde warnt. Die Warnung gilt der ungesteuerten Nutzung, nicht OpenClaw selbst. Pinchy ergänzt die fehlenden Kontrollen. Eine Allow-List je Agent grenzt den Zugriff ein. Ein signierter Audit-Trail schließt die Logging-Lücke. Und weil jede Zeile einzeln signiert ist, lässt sich ein Eintrag rechtmäßig löschen, ohne den Nachweis zu zerstören.

Die vier Kontrollen, die Konformität erreichbar machen

Sagen wir es offen: Keine Plattform macht Sie automatisch DSGVO-konform. Wer das verspricht, will etwas verkaufen. Eine Plattform kann Konformität aber erreichbar machen, indem sie die Kontrollen mitbringt, die die Verordnung voraussetzt:

• Identität. Jede Aktion lässt sich einer realen Person zuordnen, kein gemeinsamer Login. Ohne Zuordnung keine Rechenschaft.
• Berechtigungen. Per Allow-List erreicht der Agent nur die Daten, die er braucht. Das ist Datenminimierung in der Architektur, nicht im Versprechen.
• Audit-Trail. Manipulationssichtbar und prüfbar, damit Sie gegenüber Aufsicht und Betroffenen belegen, was geschah.
• Datenstandort. Self-Hosting mit lokalem Modell hält Eingaben und Dokumente im eigenen Haus und räumt die Übertragungsfrage von vornherein ab.

Diese vier zusammen ersetzen das vage „der Agent hat irgendetwas getan“. An seine Stelle tritt der belastbare Befund: „diese Person hat diesen Agenten zu dieser Aktion beauftragt, hier ist der signierte Nachweis, und die Daten haben das Haus nie verlassen“.

So setzt Pinchy das um

Dieser Abschnitt beschreibt unser eigenes Produkt. Pinchy ist eine quelloffene (AGPL-3.0), selbst-gehostete Governance-Schicht. Sie bringt mit: Identität und Rollen pro Nutzer, Allow-List-Berechtigungen je Agent, einen HMAC-signierten, manipulationssichtbaren Audit-Trail mit prüfbarem CSV-Export sowie Self-Hosting mit lokalen Modellen über Ollama. Den Audit-Trail signieren wir bewusst pro Zeile statt als Hash-Kette. So zerstört eine rechtmäßige Löschung den Rest des Protokolls nicht.