MCP und DSGVO: AVV, Datenfluss und Drittland prüfen

Wer einen KI-Assistenten per MCP mit Notion oder Slack verbindet, fragt zuerst, was die KI dort darf. Für den Datenschutz kommt eine andere Frage zuerst: Wohin geht, was sie liest? Der Vertrag mit dem Dienst regelt, wie Notion oder Slack mit deinen Daten umgehen. Sobald ein Werkzeug antwortet, steht die Antwort im Gespräch und liegt beim KI-Anbieter, unter einem anderen Vertrag und oft in einer anderen Region. Eine Freigabe, die nur eine der beiden Seiten prüft, hat eine Lücke.

Welchen Weg nehmen die Daten bei einem MCP-Zugriff?#

Ein Zugriff beginnt mit einer Frage im KI-Client (welche Rolle Host, Client und Server dabei spielen, erklärt der Ratgeber Was ist ein MCP-Server?), etwa nach den offenen Deals mit Abschluss im November. Der Client ruft ein Werkzeug des MCP-Servers auf, der Server fragt den Dienst ab, die Antwort geht zurück in den Client, und das Modell liest sie als Teil des Gesprächs. Dabei erbt der Connector die Rechte der angemeldeten Person: Was jemand im Dienst nicht sehen darf, erreicht auch die KI nicht.

Datenschutzrechtlich zählt jede Station. Die EU-Kommission rechnet zur Verarbeitung ausdrücklich das Abrufen, das Nutzen und das Offenlegen durch Übermittlung. Ein reiner Lesezugriff ist damit kein harmloser Vorläufer, er ist der Vorgang, um den es geht. Ob ein Werkzeug auch schreiben darf, gehört in die Rechteprüfung, die der Ratgeber zu MCP-Rechten und Freigaben beschreibt. Hier geht es darum, wohin das Gelesene wandert.

Wer den Server betreibt, verändert die Tabelle. Lokale Connectors laufen laut Claude Docs als Desktop-Erweiterung auf deinem Rechner; dort kommt kein weiterer Betreiber hinzu. Ein Vermittler wie Zapier steht dagegen zwischen KI und deinen Apps und nennt AWS US-East 1 in den USA als Speicherort. Seine Auftragsverarbeitung dürfte ein eigener Vertrag sein, den der AVV des eigentlichen Dienstes nicht ersetzt.

Welche Verträge gehören zu einer Verbindung?#

Setzt ein Unternehmen eine KI-Anwendung eines externen Anbieters ein, agiert dieser laut der Orientierungshilfe der Datenschutzkonferenz vom 6. Mai 2024 als verlängerter Arm des Verantwortlichen. Dann besteht häufig ein Auftragsverarbeitungsverhältnis, und der Anbieter schließt mit dem Unternehmen eine Vereinbarung nach Art. 28 Abs. 3 DSGVO. Die EU-Kommission beschreibt dieselbe Rollenverteilung: Der Verantwortliche bestimmt Zwecke und Mittel, der Auftragsverarbeiter verarbeitet in seinem Auftrag, und seine Pflichten stehen in einem bindenden Vertrag.

Übertragen auf MCP sind das zwei Verhältnisse. Der Dienstanbieter verarbeitet deine Kundendaten in seinem System. Der KI-Anbieter verarbeitet, was ein Werkzeugaufruf in das Gespräch bringt. Der erste Vertrag endet dort, wo die Daten den Dienst verlassen: Zapiers Zusatz hält fest, dass er für Daten nicht mehr gilt, sobald sie vom Dienst an einen Drittdienst übergeben sind. Wie ein AVV zustande kommt, unterscheidet sich von Anbieter zu Anbieter:

Bei Slack ist es anders: Der Zusatz muss von einer autorisierten Person über ein Formular ausgeführt werden. Wer nur die Nutzungsbedingungen akzeptiert hat, sollte nachsehen, ob das geschehen ist.

Das größte Missverständnis steckt in der Zeile Anthropic. Der AVV des KI-Anbieters hängt an einem Vertrag. Anthropics DPA gilt für die Commercial Terms oder eine Vereinbarung, die ihn nennt, und erfasst Daten, die über die Dienste eingereicht werden. Wer das Firmen-CRM mit einem privaten Konto verbindet, muss erst klären, ob dieses Konto unter einem solchen Vertrag läuft. Die Datenschutzkonferenz rät ohnehin zu betrieblichen Accounts statt privater. Wie sich die Verträge der KI-Anbieter im Einzelnen unterscheiden, vergleicht der Ratgeber zu ChatGPT, Claude und Copilot.

Eine Frage geht beim AVV oft unter: Wofür darf der Anbieter die Daten verwenden? Anthropic verpflichtet sich im DPA, Personendaten nur zur Bereitstellung der Dienste und nach dokumentierter Weisung zu verarbeiten. Die Datenschutzkonferenz geht einen Schritt weiter und verlangt zu prüfen, ob Ein- und Ausgaben für das Training genutzt werden und ob sich das ausschließen lässt. Für MCP zählt das doppelt, denn Werkzeugantworten sind Ausgaben des Dienstes, die als Eingaben beim KI-Anbieter landen. Die Trainingsregel des Dienstes hilft dir hier nicht, die des KI-Anbieters schon.

Im MCP-Verzeichnis haben 50 Server ein ausführliches Profil mit Datenschutz-Kasten. Bei 24 davon nennt der Hersteller eine Auftragsverarbeitungsvereinbarung, bei 14 eine Datenregion, und beides steht bei neun. Wo die Angabe auf den ausgewerteten Herstellerseiten fehlt, ist die Frage offen, nicht beantwortet. Die Kästen „Vor dem Verbinden klären“ auf den Dienstseiten, etwa zu HubSpot, führen diese Punkte je Dienst auf; wie die Angaben entstehen, steht unter So prüfen wir.

Wo liegt das Drittland: beim Dienst, beim KI-Anbieter oder bei beiden?#

An beiden Stellen, unabhängig voneinander. Für Übermittlungen in Drittstaaten verweist die Datenschutzkonferenz auf Kapitel V der DSGVO. In die USA können Daten nach der Darstellung der Kommission frei zu Unternehmen fließen, die am Data Privacy Framework teilnehmen. Für alle anderen kommen andere Grundlagen in Betracht, in den Verträgen oben meist Standardvertragsklauseln.

Die Region ist die zweite Hälfte der Frage, und sie wird oft verwechselt. Laut Claude-Hilfe verarbeiten verbundene Dienste Daten auf eigener Infrastruktur nach eigenen Bedingungen, womöglich außerhalb der USA; Einstellungen, die steuern, wo Claude rechnet, ändern daran nichts. Eine EU-Zusage des KI-Anbieters sagt deshalb nichts über den Dienst, und eine EU-Region beim Dienst sagt nichts über das Modell. Bei den Diensten gibt es große Unterschiede:

Auch die Unterauftragsverarbeiter gehören zur Region. Im DPA von Anthropic kann ein Kunde einem neuen Unterauftragsverarbeiter binnen 15 Tagen nach der Mitteilung aus berechtigtem Grund widersprechen; sonst gilt er als einverstanden. Das Recht nützt nur, wenn jemand die Mitteilungen liest. Trage die Adresse dafür bei jedem Anbieter ein, nicht die einer Einzelperson.

Der häufigste Fehler liegt hier: Jemand hakt „EU-Region“ beim Dienst ab und vergisst, dass die Antworten anschließend beim KI-Anbieter landen. Umgekehrt gilt dasselbe. Behandle die Region wie die Verträge: Jede Station bekommt ihre eigene Zeile.

Weniger lesen schützt mehr als ein Vertrag#

Daten, die nie ins Gespräch gelangen, brauchen keine Übermittlungsgrundlage. Deshalb halten wir den Zuschnitt der Rechte für die wirksamste Datenschutzmaßnahme bei MCP, wirksamer als jede Vertragsklausel, und für die am meisten unterschätzte. Sie kostet nur Aufmerksamkeit bei der Einrichtung.

Dafür gibt es mehrere Hebel. Der Salesforce-Server platform/sobject-reads stellt ausschließlich lesende Werkzeuge bereit, und Named Queries legen fest, welche Objekte, Felder und Filter überhaupt abgefragt werden. In Claude können Owner in Team- und Enterprise-Tarifen Aktionen eines Connectors organisationsweit auf Lesen begrenzen; je Werkzeug lässt sich zwischen „Always allow“, „Needs approval“ und „Blocked“ wählen. Die Datenschutzkonferenz empfiehlt außerdem, Training und Eingabe-Historie schon bei der Einrichtung eines Accounts so zu wählen, dass nichts für Training verarbeitet und keine Historie über die Sitzung hinaus gespeichert wird. Was ein Werkzeug in den Chat bringt, steht sonst dort, wo der Verlauf liegt. Und beim Verbinden lohnt der Blick auf die angefragten Berechtigungen: Die MCP-Sicherheitshinweise empfehlen ein Modell mit minimalen Rechten, beschreiben aber, dass Clients ohne Scope-Angabe zunächst alle angebotenen Scopes anfragen.

Pseudonymisierte Daten, die sich wieder einer Person zuordnen lassen, bleiben laut EU-Kommission personenbezogen. Ein Filter, der nur „keine Namen“ verspricht, reicht deshalb nicht. Entscheidend ist, ob in der Antwort eine Person erkennbar wird:

Das Freigabeblatt: eine Zeile je Verbindung#

Aus alldem entsteht ein Blatt, das vor der Freigabe ausgefüllt wird. Die Beispielwerte sind erfunden.

Das Blatt ersetzt keine Prüfung. Die Normen sind hier so wiedergegeben, wie Kommission und Datenschutzkonferenz sie darstellen; das ist eine Einordnung und keine Rechtsberatung. Gib das ausgefüllte Blatt vor dem ersten Datensatz an die Datenschutzbeauftragte oder an eine Anwältin, und halte fest, wann es erneut geprüft wird. Sobald ein weiterer Dienst oder ein neuer KI-Anbieter dazukommt, bekommt er eine eigene Zeile.

Wo Freigaben typischerweise scheitern#

Der erste Fehler ist der Abschluss nach dem ersten Vertrag: „HubSpot hat einen AVV“ beantwortet nur die Hälfte. Der zweite ist das private Konto, mit dem jemand schnell das Firmen-CRM anbindet, bevor der Vertrag steht. Der dritte ist der übersehene Vermittler, dessen Speicherort niemand notiert hat. Und der vierte ist die Freigabe als Einmalaktion, obwohl Anbieter ihre Zusätze ändern und neue Werkzeuge nachliefern.

Für die Rechte beim Anbinden eines CRM ist der Ratgeber zu KI im Vertrieb der nächste Schritt: Er trennt Lesen, Entwurf und Versand. Steht das Freigabeblatt, führt die Anleitung zum Einrichten ohne Code durch die Verbindung selbst.