DeepSeek und DSGVO: Was Unternehmen 2026 dürfen – und was nicht

Was DeepSeek ist

DeepSeek ist ein chinesisches KI-Unternehmen mit Sitz in Hangzhou, gegründet 2023 von Liang Wenfeng und finanziert vom Hedgefonds High-Flyer. Internationale Aufmerksamkeit bekam das Unternehmen im Januar 2025 mit dem Reasoning-Modell DeepSeek-R1, das mit deutlich geringerem Trainingsaufwand vergleichbare Leistung zu etablierten westlichen Modellen erreichte.

Der für Unternehmen entscheidende Punkt: DeepSeek veröffentlicht seine Modelle unter Open-Source-Lizenzen. Die Gewichte sind frei verfügbar. Das ist kein Detail, sondern die Grundlage für alles, was in diesem Artikel folgt – denn es bedeutet, dass du das Modell betreiben kannst, ohne den Dienst des Anbieters zu nutzen.

Der Kern des Problems: Drittlandtransfer

Wer den DeepSeek-Chat oder die offizielle API nutzt, überträgt Daten an Server in China. Für personenbezogene Daten ist das nach Art. 44 ff. DSGVO nur zulässig, wenn ein angemessenes Schutzniveau sichergestellt ist.

Zwischen der EU und China gibt es keinen Angemessenheitsbeschluss. Bleiben Standardvertragsklauseln plus ein Transfer Impact Assessment – und genau hier scheitert es in der Praxis: Chinesische Sicherheitsgesetze ermöglichen staatlichen Zugriff auf Daten. Ein TIA, das belegt, dass die Daten davor geschützt sind, lässt sich kaum rechtssicher führen.

Kein AVV. Für den Unternehmenseinsatz braucht es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Ein solcher liegt für den offiziellen Dienst nicht vor.

Kein EU-Vertreter. Art. 27 DSGVO verlangt einen benannten Vertreter in der EU. Ein Datenschutzkontakt in einer Datenschutzerklärung erfüllt diese Anforderung nach Einschätzung deutscher Aufsichtsbehörden nicht.

Deutsche Datenschutzbehörden gehören international zu den aktivsten Aufsehern in diesem Fall. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat gegenüber Apple und Google Hinweisschreiben nach dem Digital Services Act verschickt – das erste Mal, dass eine deutsche Aufsichtsbehörde diesen Mechanismus gegen ein KI-Tool eingesetzt hat.

Nicht nur DSGVO: Prompts mit Geschäftsgeheimnissen können deren Schutzstatus nach dem GeschGehG gefährden – unabhängig davon, ob personenbezogene Daten enthalten sind. Das betrifft auch Unternehmen, die glauben, mit anonymisierten Daten auf der sicheren Seite zu sein.

Warum die Modelle selbst nicht das Problem sind

Hier lohnt eine Unterscheidung, die in vielen Beiträgen untergeht: DeepSeek als Dienst und DeepSeek als Modell sind zwei verschiedene Dinge.

Das Datenschutzproblem entsteht durch den Datenfluss zum Anbieter – nicht durch das Modell. Läuft dasselbe Modell auf einem Server in Deutschland, verlässt kein Prompt deine Infrastruktur. Es gibt keinen Drittlandtransfer, keinen AVV-Bedarf gegenüber DeepSeek und keine Abhängigkeit von einer chinesischen Datenschutzerklärung.

Das verschiebt die Frage von „Dürfen wir DeepSeek nutzen?" zu „Wo lassen wir es laufen?" – und das ist eine Infrastrukturentscheidung.

Drei Betriebsvarianten im Vergleich

Self-Hosting: Was du wirklich brauchst

Self-Hosting ist die sauberste Lösung – aber nicht die einfachste. Drei Punkte entscheiden über Machbarkeit:

1 · Hardware

Die großen MoE-Modelle brauchen ernstzunehmende GPU-Kapazität. Destillierte Varianten laufen auf deutlich weniger.

2 · Betrieb

Updates, Monitoring, Verfügbarkeit, Zugriffskontrolle. Ohne Ops-Kapazität wird dieser Posten unterschätzt.

3 · Standort

Rechenzentrum mit dokumentierbarem Standort und Betreiber – genau das, was ein TIA sonst nicht hergibt.

Checkliste für die Einführung

1. Tool-Inventur: Wer nutzt DeepSeek aktuell – App, API oder lokal?
2. Datenklassifikation: Was ist personenbezogen, was Geschäftsgeheimnis?
3. Betriebsvariante festlegen: offizieller Dienst, EU-Anbieter oder Self-Hosting.
4. Verarbeitungsverzeichnis ergänzen: Auch KI-Nutzung gehört ins ROPA.
5. Whitelist und Schulung: Art. 4 EU AI Act verlangt Mitarbeiterschulung, anbieterunabhängig.

Häufige Fragen

Ist DeepSeek DSGVO-konform?

In der offiziellen App- und API-Variante nicht. Es fehlen ein Auftragsverarbeitungsvertrag, Standardvertragsklauseln und ein formal benannter EU-Vertreter, und für Datentransfers nach China gibt es keinen Angemessenheitsbeschluss.

Darf ich DeepSeek für unkritische Aufgaben nutzen?

Für allgemeines Brainstorming ohne Personen- oder Firmenbezug ist das Risiko geringer. Sobald Kundendaten, Mitarbeiterdaten oder Geschäftsgeheimnisse im Prompt stehen, ist es ein Compliance-Risiko.

Löst Self-Hosting alle DSGVO-Fragen?

Es löst die Drittlandfrage. Deine eigenen Pflichten als Verantwortlicher – Verarbeitungsverzeichnis, Rechtsgrundlage, Betroffenenrechte – bleiben bestehen.

Gibt es DSGVO-freundlichere Alternativen?

Ja. Europäische Anbieter und Modelle mit dokumentierter EU-Datenresidenz decken viele Anwendungsfälle ab. Der Vergleich lohnt sich vor der Entscheidung für Self-Hosting.