Niederländische Datenschutzbehörde legt DSGVO-Leitfaden für generative KI vor

Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens (AP) hat Mitte Juli 2026 zwei Dokumente zur generativen KI veröffentlicht: eine Handreichung mit dem Titel „Handreiking generatieve AI en de AVG“ und ein begleitendes Prüfwerkzeug, „Hulpmiddel generatieve AI en de AVG“. Das erste richtet sich an Organisationen, die generative KI-Modelle entwickeln, das zweite an jene, die solche Systeme einkaufen und einsetzen.

Was die Handreichung verlangt

Die Handreichung beantwortet die Frage, unter welchen Bedingungen bei Entwicklung und Betrieb generativer Modelle personenbezogene Daten verarbeitet werden dürfen. Sie behandelt dabei:

• Rechtsgrundlage: Welche Erlaubnistatbestände der DSGVO überhaupt in Betracht kommen — und welche Nachweise dafür nötig sind.
• Datenherkunft und Datenpflege: Das Sammeln über Dritte statt direkt bei den Betroffenen, das Bereinigen, Anreichern und Speichern von Trainingsdaten.
• Grundsätze: Zweckbindung, Richtigkeit, Datenminimierung und Transparenz.
• Schutzmaßnahmen: Welche technischen und organisatorischen Vorkehrungen die Betroffenenrechte absichern — und dass die verantwortliche Stelle deren Wirksamkeit auch belegen können muss.

Der schärfste Punkt betrifft die Rechtsgrundlage. Die AP sieht durchaus Spielraum beim berechtigten Interesse — aber, so ihre ausdrückliche Klarstellung, es sei nicht selbstverständlich, dass sich eine Verarbeitung im Kontext generativer KI darauf stützen lasse. Wer das tun will, muss abwägen, Schutzmaßnahmen ergreifen und die Betroffenenrechte sorgfältig bedienen. AP-Vorstandsmitglied Katja Mur fasst die Linie so zusammen: Innovation sei willkommen, aber mit stabilen Leitplanken.

Das Prüfwerkzeug ist praktischer angelegt. Es führt Beschaffungs- und Fachabteilungen als Checkliste durch die Vorfrage, ob sich generative KI im konkreten Fall überhaupt ohne personenbezogene Daten betreiben lässt — und erst danach durch die Pflichten, die sonst greifen.

Einordnung für Österreich und Deutschland

Wichtig für die Praxis diesseits der Grenze: Leitlinien einer nationalen Aufsichtsbehörde gelten zunächst nur für deren Zuständigkeitsbereich. Die österreichische Datenschutzbehörde oder die deutschen Landesbeauftragten sind daran nicht gebunden, Gerichte erst recht nicht.

Faktisch wirken solche Papiere trotzdem über die Landesgrenzen hinaus. Die niederländische AP hat sich beim Thema KI früh positioniert und sitzt wie alle nationalen Behörden im EDSA. Was sie national vorlegt, prägt die dortige Debatte — und der EDSA hat mit seinen Leitlinien zu Scraping und generativer KI vom Juli bereits eine sehr ähnliche Stoßrichtung eingeschlagen. Zusammen mit den Leitlinien der Kommission zu Art. 50 AI Act entsteht damit binnen weniger Wochen ein dichtes Geflecht unverbindlicher, aber praktisch maßgeblicher Auslegungshilfen.

Wer generative KI beschafft oder betreibt, kann das niederländische Prüfwerkzeug daher unabhängig vom Sitzstaat als Vorlage nutzen: Es bildet die Prüfschritte ab, die eine Aufsichtsbehörde im Ernstfall sehen will — nur eben ohne Rechtsverbindlichkeit.