Bauherrendaten und KI: was Sie regeln müssen

Sobald Sie KI im Büro einsetzen, verarbeiten Sie damit personenbezogene Daten Ihrer Bauherren. Namen, Anschriften, Grundstücke, manchmal Finanzierungsdaten. Das ist kein Grund, es zu lassen — aber ein Grund, drei Dinge geklärt zu haben, bevor der erste echte Vorgang durchläuft.

Ich bin Architekt und kein Anwalt. Was hier steht, ist die Bestandsaufnahme, die ich für mein eigenes Büro gemacht habe, damit ich meinem Anwalt die richtigen Fragen stellen konnte. Für Ihre Verhältnisse brauchen Sie dieselbe Prüfung von jemandem, der dafür haftet.

1. Sie sind Verantwortlicher, nicht Nutzer

Der wichtigste Denkfehler zuerst: Wenn Sie ein KI-Werkzeug mit Bauherrendaten füttern, sind Sie im Sinne der DSGVO Verantwortlicher für diese Verarbeitung. Der Anbieter ist Auftragsverarbeiter. Das bedeutet für Sie konkret drei Pflichten:

• Ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO mit jedem Anbieter, dessen Werkzeug Bauherrendaten sieht. Die großen Anbieter stellen den bereit — man muss ihn nur abschließen, und bei Privatkonten gibt es ihn in der Regel gar nicht.
• Ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, in dem die KI-Nutzung als eigene Tätigkeit auftaucht.
• Ein Eintrag in Ihrer Datenschutzerklärung und, wo einschlägig, in Ihrer Mandanteninformation.

Der praktische Ratschlag daraus ist banal und wird trotzdem selten befolgt: Nutzen Sie für Büroarbeit keine Verbraucherkonten. Die geschäftlichen Zugänge der Anbieter unterscheiden sich davon in genau den Punkten, die hier zählen — Vertragslage, Aufbewahrung und die Frage, ob Ihre Eingaben zum Modelltraining verwendet werden.

2. Wo die Daten verarbeitet werden

Die zweite Frage, die Ihnen ein aufmerksamer Bauherr irgendwann stellt: Wo landen meine Unterlagen? Sie sollten die Antwort kennen, bevor die Frage kommt.

Praktisch haben Sie drei Möglichkeiten, und sie unterscheiden sich erheblich im Aufwand:

• Verarbeitung in europäischen Rechenzentren. Die großen Modelle sind über die EU-Regionen der Cloud-Anbieter verfügbar. Für die meisten Büros der beste Kompromiss aus Leistung und Nachweisbarkeit.
• Ein europäischer Anbieter. Weniger Auswahl, aber die Frage nach der Drittlandsübermittlung stellt sich gar nicht erst.
• Ein Modell auf eigener Infrastruktur. Die Daten verlassen das Haus nicht. Dafür brauchen Sie Hardware und Betreuung, und die frei verfügbaren Modelle sind bei juristischer Textarbeit spürbar schwächer.

Wer einen US-Anbieter nutzt — und die meisten tun das —, braucht in der Datenschutzerklärung zusätzlich eine Aussage zur Rechtsgrundlage der Übermittlung. Das ist der Punkt, an dem die meisten Erklärungen unvollständig sind.

3. Die KI-Verordnung betrifft auch kleine Büros

Die europäische KI-Verordnung, die Verordnung (EU) 2024/1689, gilt seit dem 1. August 2024 und wird in Stufen anwendbar. Für ein Architekturbüro sind zwei Punkte relevant.

Erstens: Die Pflicht zur KI-Kompetenz nach Artikel 4 gilt bereits seit dem 2. Februar 2025. Sie kennt keine Schwelle nach Betriebsgröße oder Branche — wer ein KI-System betreibt, fällt darunter. Gemeint ist, dass Sie Maßnahmen ergreifen, damit die Personen, die in Ihrem Auftrag mit den Systemen arbeiten, wissen, was sie tun.

Zweitens: Zum 2. August 2026 wird der überwiegende Teil der Verordnung anwendbar, darunter die Transparenzpflichten nach Artikel 50. Für Sie heißt das im Kern: Wenn eine Maschine mit einem Menschen kommuniziert, muss das erkennbar sein.

Der Fristenplan ist zuletzt durch die Änderungsverordnung (EU) 2026/1744 überarbeitet worden, die Ende Juli 2026 in Kraft trat und mehrere Termine verschoben hat. Wenn Sie hier auf dem Laufenden bleiben wollen, verlassen Sie sich nicht auf Blogbeiträge — auch nicht auf diesen. Prüfen Sie den geltenden Verordnungstext.

Was das praktisch heißt

Für ein kleines Büro ist der Aufwand überschaubar, wenn man es in dieser Reihenfolge macht:

• Auf geschäftliche Zugänge wechseln, bevor der erste echte Vorgang durchläuft. Bis dahin mit anonymisierten Testfällen arbeiten.
• Auftragsverarbeitungsverträge abschließen und ablegen.
• Das Verarbeitungsverzeichnis um die KI-Nutzung ergänzen.
• Die Datenschutzerklärung anpassen, inklusive Drittlandsübermittlung, falls einschlägig.
• Festhalten, wer im Büro was mit den Systemen darf — das ist gleichzeitig Ihre KI-Kompetenz-Maßnahme.
• Einmal von einem Anwalt gegenlesen lassen. Das ist die Ausgabe, bei der ich nicht zum Sparen rate.

Und einen Satz zur Außendarstellung: Sagen Sie Ihren Bauherren nicht zu, dass alles „DSGVO-konform" sei. Konformität ist keine Eigenschaft eines Servers, sondern Ihres gesamten Verfahrens. Belastbar ist, was Sie belegen können: dass die Verarbeitung in der EU stattfindet, dass ein Auftragsverarbeitungsvertrag besteht und dass Ihre Eingaben nicht zum Training verwendet werden.

Quellen und Hinweise

• Verordnung (EU) 2024/1689 (KI-Verordnung), in Kraft seit 1. August 2024; Artikel 4 anwendbar seit 2. Februar 2025, überwiegender Teil ab 2. August 2026. Volltext auf EUR-Lex.
• Änderungsverordnung (EU) 2026/1744 („Digital Omnibus on AI"), in Kraft seit 27. Juli 2026, verschiebt mehrere Fristen. Übersicht bei sicherio.de und dastra.eu.
• Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 28 und Art. 30.
• Dieser Beitrag ist keine Rechtsberatung. Stand: August 2026.