DSGVO-konforme Such-KI: Was wirklich zählt

Such-KI und DSGVO sind kein Widerspruch, wenn man die richtigen Fragen stellt. Wir sehen drei Fallen, in die viele Setups laufen, und zeigen, wie man sie vermeidet.

Falle 1: US-Hosting trotz EU-Niederlassung

Viele namhafte Search-Anbieter haben eine EU-Tochter und werben mit „DSGVO-konform". Im Kleingedruckten: die Daten werden auf US-Servern verarbeitet, oft mit Sub-Prozessoren in dritten Ländern. Die EU-Tochter ist die Rechnungs-Anschrift, nicht der Verarbeitungs-Ort.

Was Sie konkret prüfen sollten:

• Wo werden die Daten tatsächlich verarbeitet? (nicht „wo ist das Unternehmen ansässig")
• Welche Sub-Prozessoren werden eingesetzt? Liste anfordern.
• Gibt es eine EU-Standardvertragsklausel (SCC) für jeden Drittstaaten-Transfer?

Falle 2: Tracking der Endkunden

Viele Search-Anbieter erheben Tracking-Daten auf Endkunden-Ebene: IP, User-ID, Browser-Fingerprint. Das ist Teil der „Personalisierungs-Versprechen". Aus DSGVO-Sicht: zustimmungspflichtig und im Cookie-Banner zu deklarieren.

Bei Eywora ist die Personalisierung anonym: kein User-Tracking, keine Cookies, keine IP-Speicherung. Personalisiertes Re-Ranking läuft pro Session, anonym. Was nicht erhoben wird, kann auch nicht datenschutzkritisch werden.

Falle 3: Black-Box-KI ohne Erklärbarkeit

Art. 22 DSGVO erlaubt automatisierte Entscheidungen nur unter bestimmten Bedingungen, und fordert Transparenz. Wenn Sie nicht erklären können, warum ein Produkt auf Platz 1 rankt, ist das datenschutzrechtlich heikel, sobald Personalisierung im Spiel ist.

Lösung: Search Debugger. Für jeden Treffer sehen Sie, welche Faktoren mit welchem Gewicht zum Ranking beitrugen. Damit ist die KI-Entscheidung erklärbar, auch gegenüber Aufsichtsbehörden.

Was eine wirklich DSGVO-konforme Such-KI ausmacht

1. Hosting in der EU, idealerweise in Deutschland. Keine Daten-Transfers in Drittstaaten.
2. AVV (Auftragsverarbeitungsvertrag) inklusive, ohne Mehrkosten oder Pro-Forma-Verträge.
3. Anonyme Personalisierung, keine User-IDs, keine Tracking-Cookies.
4. Erklärbarkeit durch Search Debugger oder vergleichbare Transparenz-Tools.
5. Klare Sub-Prozessor-Liste, dokumentiert und änderungsfähig mit Vorlauf.
6. 30-Tage-Löschung nach Vertragsende, mit Bestätigung.

Eywora-Position

Wir haben Eywora aus der Praxis heraus gebaut. „Eywora sammelt keine Kundendaten" ist kein Marketing-Slogan, sondern ein technischer Designsatz: das System ist so gebaut, dass es Kundendaten gar nicht braucht, um zu performen.

Hosting in Deutschland, AVV inklusive, ISO 27001 in Vorbereitung, TISAX auf Anfrage. Details auf der Datenschutz-Seite und im AVV-Standardtext.

Drei Fragen, die Sie jedem Anbieter stellen sollten

1. „Wo werden meine Daten tatsächlich verarbeitet?", Server-Standorte sollten klar dokumentiert sein, nicht nur die Firmen-Adresse.
2. „Welche personenbezogenen Daten erheben Sie über meine Endkunden?", Idealantwort: keine. Realität: oft IP, User-ID oder Session-Tracking. Lassen Sie sich die Liste schriftlich geben.
3. „Können Sie mir für einen konkreten Treffer erklären, warum er rankt?", Wenn die Antwort „das ist die Black-Box-KI" lautet, sind Sie bei Art. 22 DSGVO in Gefahr.

← Zum Blog