--- title: "DSGVO + EU AI Act für DACH-SaaS" canonical: https://wavect.io/de/blog/gdpr-ai-act-stacking-dach-saas/ language: de description: "Was ein DACH-SaaS-Gründer bis 2026 ausliefern muss, um DSGVO und EU AI Act zu erfüllen. Risikoklassifizierung, DPIA, Artikel 50 Transparenz." image: "https://wavect.io/img/blog/headers/header_gdpr-ai-act-stacking-dach-saas.png" --- [**Zurück**](/de/blog/overview/) [![Christof Jori](/img/team/christof.webp)](/de/team/christof-jori/) [Christof Jori](/de/team/christof-jori/) https://linkedin.com/in/jocr77 7 min Lesezeit · 26. Mai 2026 [**Weiter**](/de/blog/why-ai-agent-projects-get-cancelled/) # DSGVO + EU AI Act Stacking: Was ein DACH-SaaS-Gründer bis 2026 ausliefern muss TL;DR Wer SaaS mit KI-Feature in DACH verkauft, hat DSGVO und EU AI Act übereinander gestapelt. Artikel-50-Transparenz gilt ab 2. August 2026, eigenständige Hochrisiko-Pflichten ab 2. Dezember 2027 und produktintegrierte Pflichten ab 2. August 2028. Das Build-Team besitzt neun Artefakte, vom Verarbeitungsverzeichnis über Annex-IV-Doku bis zum Audit-Logging, als Beiprodukte der Architektur, nicht als Word-Dokumente bei Launch. Nachgerüstet kostet das 10 bis 20 Prozent Engineering-Zeit, von Anfang an eingebaut nur 3 bis 5 Prozent. Wenn du SaaS in DACH verkaufst und dein Produkt ein KI-Feature hat, stapeln sich zwei Regelwerke. Die DSGVO gilt seit 2018. Nach dem aktuellen Zeitplan des EU AI Act gelten Verbote, AI-Literacy- und GPAI-Pflichten bereits. Artikel-50-Transparenz gilt ab 2. August 2026, Pflichten für eigenständige Hochrisiko-Systeme ab 2. Dezember 2027 und für in Produkte eingebettete Systeme ab 2. August 2028. Engineering liefert die technischen Nachweise; Legal bestätigt Klassifikation und Pflichten. Das ist Engineering-Perspektive, keine Rechtsberatung. Wir haben [KI-Features](/de/services/artificial-intelligence/) für DACH-Kunden unter dem DSGVO-Regime ausgeliefert und aktive Builds gegen die AI-Act-Timeline neu gescopt. ## Wie sieht die tatsächliche Vollzugs-Timeline aus, gegen die ich planen muss? Der AI Act gilt in Stufen. Die, die für einen DACH-SaaS-Gründer mit einem KI-Feature zählen: - 2. Februar 2025. Verbotene Praktiken (Art. 5) und AI-Literacy-Pflicht (Art. 4) in Kraft. - 2. August 2025. General-Purpose-AI (GPAI)-Anbieterpflichten, Governance, Sanktionsrahmen. - 2. August 2026. Die Transparenzpflichten aus [Artikel 50](/de/blog/eu-ai-act-article-50-checklist/) gelten. - 2. Dezember 2027. Pflichten für eigenständige Hochrisiko-Systeme nach Annex III gelten. - 2. August 2028. Hochrisiko-Pflichten für KI in regulierten Produkten gelten. Deutschlands [SDLC](/de/glossary/sdlc/) -Aufseher (BfDI und Landes-DPAs) und Österreichs DSB werden DSGVO-Vollzug führen; Marktüberwachungsbehörden für AI-Act-Vollzug werden 2026 von jedem Mitgliedstaat benannt. ## Ist mein KI-Feature hochriskant unter Annex III? Der Entscheidungsbaum ist kurz. Dein System ist hochriskant, wenn es unter Annex-III-Kategorien fällt: biometrische Identifikation, kritische Infrastruktur, Zugang zu Bildung und Berufsausbildung, Beschäftigung und Arbeitnehmer-Management, Zugang zu essenziellen privaten und öffentlichen Dienstleistungen (inklusive Credit Scoring und Versicherungs-Pricing), Strafverfolgung, Migration, Justizverwaltung, demokratische Prozesse. Für die meisten B2B-SaaS trifft den Hochrisiko-Bucket CV-Screening, Mitarbeiter-Monitoring, Credit Scoring und Versicherungs-Pricing. 1. Ist der Use-Case in Annex III? Falls nein, überspringe zu Art. 50 Transparenzpflichten only. 2. Falls ja, greift die Art.-6(3)-Ausnahme (rein vorbereitend, eng prozedural, Abweichung von vorheriger Entscheidung, Mustererkennung)? Falls ja, registrieren, aber reduzierte Pflichten. 3. Falls keine Ausnahme. Voller Kapitel-III-Stack gilt. Risiko-Management-System, Data Governance, technische Dokumentation, Logging, Transparenz zum Deployer, menschliche Aufsicht, Genauigkeit und Robustheit, Qualitäts-Management-System, Konformitätsbewertung, EU-Datenbank-Registrierung, Post-Market-Monitoring. ## Welche Artefakte verantwortet das Build-Team tatsächlich? Das ist der Teil, den die meisten juristisch getriebenen Compliance-Projekte falsch machen. Compliance-Artefakte sind keine Word-Dokumente, die zum Launch geschrieben werden. Sie fallen als Nebenprodukt davon an, wie das System gebaut ist. Die neun, die das Engineering-Team verantwortet: 1. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Generiert aus Infrastructure-as-Code und Datenfluss-Diagrammen, via CI in Sync gehalten. 2. DPIA (Art. 35 DSGVO) für Hochrisiko-Verarbeitung. Neben den Architektur-Entscheidungs-Records gespeichert, nicht im SharePoint der Rechtsabteilung. 3. Technische Dokumentation (AI Act Annex IV). Model Card, Trainingsdaten-Zusammenfassung, Performance-Metriken, bekannte Limitierungen. 4. Logging (AI Act Art. 12). Manipulationssicheres Event-Log von Modell-Inputs, -Outputs, -Version, -Operator. Mindestens sechs Monate aufbewahren. 5. Human-Oversight-Design (Art. 14). UX-Flächen für Review, Override, Abbruch. In der Produkt-Spec dokumentiert. 6. Transparenzhinweis (Art. 50). Offenlegung, wenn ein Nutzer mit KI interagiert oder KI-generierten Content sieht. 7. Copyright-Disclosure für GenAI-Trainingsdaten (Art. 53(1)(d)), falls du fine-tunest. 8. Incident-Reporting-Pipeline (Art. 73). Meldung schwerwiegender Vorfälle innerhalb von 15 Tagen an die Marktüberwachungsbehörde. 9. Post-Market-Monitoring (Art. 72). Drift-Detection, Performance-Regressions-Alerts, periodische Review. ## Wie sieht die Compliance-Stack-Matrix für ein 5-Personen-Team konkret aus? Compliance Theater scheitert, weil niemand das Artefakt besitzt. Hier die Tabelle, die wir in Scoping-Gesprächen nutzen. Rollen an deine Org anpassen. | Kontrolle | Gilt unter | Owner in 5-Personen-Team | | --- | --- | --- | | Auftragsverarbeitungsvertrag | DSGVO Art. 28 | CEO oder Gründer | | Verarbeitungsverzeichnis (Art. 30) | DSGVO | Tech Lead | | DPIA | DSGVO Art. 35 | Tech Lead plus externer DPO | | Sub-Processor-Liste | DSGVO Art. 28(2) | CEO | | Risiko-Management-System | AI Act Art. 9 | Tech Lead | | Data Governance | AI Act Art. 10 | Data Engineer | | Technische Dokumentation | AI Act Annex IV | ML Engineer | | Logging | AI Act Art. 12 | Backend Engineer | | Transparenz zu Nutzern | AI Act Art. 50 | Product Lead | | Human-Oversight-UX | AI Act Art. 14 | Product Lead | | Copyright-Disclosure (GenAI) | AI Act Art. 53(1)(d) | ML Engineer | | Incident-Reporting-Pipeline | AI Act Art. 73 | Tech Lead | | Post-Market-Monitoring | AI Act Art. 72 | ML Engineer | ![Christof Jori](/img/team/christof.webp) "Compliance-Design startet bei der Architektur, nicht beim Launch. Wenn du nicht auf die Codezeile zeigen kannst, die das Artefakt produziert, ist das Artefakt Fiktion." ## Wie stapelt sich DSGVO über den AI Act in der Praxis? Die beiden Regime überlappen sich stark, und die Überlappungen sind, wo Gründer stolpern: - Trainingsdaten. DSGVO-Rechtsgrundlage (Art. 6) plus AI-Act-Data-Governance (Art. 10). Trainierst du auf EU-Personendaten ohne saubere Basis, greifen beide Regelwerke. - Automatisierte Entscheidungen. DSGVO Art. 22 verlangt einen Weg zu menschlicher Intervention; AI Act Art. 14 verlangt menschliche Aufsicht by Design. Gleiches Problem, zwei Compliance-Hooks. - Transparenz. DSGVO Art. 13/14 Informationspflichten bei Erhebung; AI Act Art. 50 bei Interaktion. Du wirst beide schreiben. - Records. DSGVO Art. 30 und AI Act Art. 11 Dokumentation. Baue eine Single Source of Truth, rendere zwei Sichten. - Risikobewertung. DSGVO-DPIA und AI Act Art. 9 Risiko-Management überlappen. Moderne Praxis kombiniert beide in einem Dokument mit beiden Rechtsanhängen. ## Was ist mit GPAI-Anbietern vs Deployern? Die meisten DACH-SaaS-Gründer sind Deployer von Foundation-Modellen von OpenAI, Anthropic, Mistral oder Open-Source-Weights. Deployer-Pflichten sind leichter als Anbieterpflichten, aber nicht abwesend. Wenn du ein Modell fine-tunest und es unter deiner Marke deployst, wirst du eventuell für AI-Act-Zwecke zum Anbieter und übernimmst technische Dokumentation, Copyright-Disclosure und (für Hochrisiko) den vollen Kapitel-III-Stack. Lies Art. 25 sorgfältig vor dem Fine-Tuning, weil der regulatorische Kostensprung bei "Ich bin jetzt Anbieter" signifikant ist. ## Was kostet das an Build-Zeit? Aus Wavects Engagement-Historie bei KI-Feature-Builds: Die Compliance-Artefakte in ein bestehendes SaaS zu stacken, fügt 10 bis 20 Prozent Engineering-Zeit hinzu, wenn nachgerüstet. Von der Architektur an eingebaut sind die Grenzkosten näher bei 3 bis 5 Prozent. Der teure Schritt ist, es erst zum Launch dranzukleben. Der günstige Schritt ist, die Artefakte ab Sprint eins als Code zu führen. [RAG](/de/glossary/rag/) - und [Agent](/de/glossary/ai-agents/) -Features treffen Transparenz- und Logging-Anforderungen zuerst; [MCP](/de/glossary/mcp/) -Tool-Integrationen brauchen die Audit-Trail-Story, bevor du ausliefern darfst. Datenschutz und KI sind nicht die einzigen Regime, die sich gegen dieselbe Roadmap stellen. Die deutsche Pflicht zur strukturierten E-Rechnung trifft 2027 die Billing-Seite des Produkts und folgt exakt demselben Muster: Das Artefakt ist billig, das Datenmodell und der Nachweispfad sind es nicht. Wir haben das in [Stripe Billing und die E-Rechnungspflicht 2027](/de/blog/stripe-billing-e-invoicing-2027/) aufgeschlüsselt. Dieselbe Lücke zwischen Artefakt und Nachweis zeigt sich, wenn ein Team sich aus dem Problem herauskauft. Bevor du die Datenschutzschicht eines Anbieters als Compliance-Antwort behandelst, lies, [was ein Pseudonymisierungs-Gateway am DSGVO-Anwendungsbereich wirklich ändert](/de/blog/llm-pseudonymization-gateway-gdpr-2026/): Die Pflichten des Verantwortlichen in dieser Tabelle überleben den Kauf alle. ## Fazit DSGVO plus AI Act ist keine Doppelarbeit, wenn du Compliance als Architektur behandelst. Verarbeitungsverzeichnis, DPIA, technische Dokumentation, Logging, Transparenz-UI, Human-Oversight-Flächen. Jedes davon mappt auf eine Codezeile, eine Datenbank-Tabelle oder eine UI-Komponente. Das Legal-Team schreibt die Disclosures; das Engineering-Team produziert die Substanz. Wenn du 2026 als DACH-SaaS-Gründer das hier liest und dein KI-Feature ausgeliefert wird, audite dich gegen die neun engineering-eigenen Artefakte oben. Die August-2026-Hochrisiko-Deadline verschiebt sich nicht. Die Strafen sind real. Aber die Arbeit ist nicht exotisch. Es ist gutes Engineering, ehrlich dokumentiert. Das ist eine Disziplin, die ein ernsthaftes Team einmal aufnimmt und auf jedem Produkt wiederverwendet. ## Das könnte dich auch interessieren.. [**Warum das Produkt-Fabrik-Mindset SaaS tötet** Produkt wie ein Fließband zu behandeln bricht den Feedback-Loop. Warum DACH-Gründer besser ausliefern, wenn Build, Learn und Harden denselben Raum teilen.](/de/blog/product-factory-kills/) [**Wavect vs eine klassische Dev-Agentur** Generalisten verkaufen Kapazität, wir verkaufen Produkturteil plus die Engineering-Leistung, die auch ausliefert.](/de/compare/wavect-vs-dev-agencies/) AI-Governance und Regulierung ## In diesem Cluster weiterlesen Security, Richtlinien, Compliance und Betriebskontrollen für verantwortungsvolle AI-Nutzung. [Mit dem Grundlagenartikel starten**EU AI Act Kosten für ein 5-Personen-Startup**](/de/blog/eu-ai-act-compliance-cost-startup/) - [Pseudonymisierungs-Gateway für LLMs: Verlässt der Prompt den DSGVO-Bereich?](/de/blog/llm-pseudonymization-gateway-gdpr-2026/) - [Semantica im Test 2026: Erklärt es jede Entscheidung eines KI-Agenten?](/de/blog/semantica-ai-agent-decision-provenance/) - [KI-Agenten und eIDAS: QES-Integration für Verträge](/de/blog/ai-agent-eidas-signature-integration/) - [Terafab: Wer kontrolliert den KI-Stack vom Silizium bis zum Orbit?](/de/blog/terafab-vertical-integration-ai-stack/) - [Kann KI Viren erschaffen? Was Stanford wirklich beweist](/de/blog/ai-designed-viruses-stanford-biosecurity/) Postfach, ohne Lärm ## Folge der Arbeit, die für dich zählt Du bekommst eine kurze E-Mail, wenn wir etwas Neues veröffentlichen. Folge dem ganzen Blog oder nur den Themen, die dich interessieren. [**Zurück**](/de/blog/overview/) [![Christof Jori](/img/team/christof.webp)](/de/team/christof-jori/) [Christof Jori](/de/team/christof-jori/) https://linkedin.com/in/jocr77 7 min Lesezeit · 26. Mai 2026 [**Weiter**](/de/blog/why-ai-agent-projects-get-cancelled/) Neue Beiträge per E-Mail × × Neue Beiträge per E-Mail Eine kurze E-Mail, wenn wir etwas veröffentlichen. Kostenlos, ohne Tracking. ## Structured Data ```json { "@context": "https://schema.org", "@graph": [ { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ], "employee": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "founder": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "legalRepresentative": [ { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } } ], "name": "Wavect GmbH", "subjectOf": { "@id": "https://wavect.io/verified-claims.json#dataset", "@type": "Dataset", "creator": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "description": "A machine-readable registry of quantitative and qualitative claims published by Wavect, with review dates, localized page appearances and public third-party citations where available.", "inLanguage": "en", "isAccessibleForFree": true, "license": "https://creativecommons.org/licenses/by/4.0/", "name": "Wavect verified publication claims", "url": "https://wavect.io/verified-claims.json" }, "url": "https://wavect.io/" }, { "@id": "https://wavect.io/team/kevin-riedl/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Kevin Riedl", "sameAs": [ "https://www.wikidata.org/wiki/Q139796365", "https://www.linkedin.com/in/wsdt", "https://github.com/wsdt" ], "url": "https://wavect.io/team/kevin-riedl/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "jobTitle": "Managing Director", "name": "Christof Jori", "sameAs": [ "https://www.wikidata.org/wiki/Q139796367", "https://www.linkedin.com/in/jocr77/", "https://github.com/jo-chris" ], "url": "https://wavect.io/team/christof-jori/", "worksFor": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] } }, { "@id": "https://wavect.io/#website", "@type": "WebSite", "inLanguage": [ "en", "de", "es", "zh" ], "name": "Wavect", "potentialAction": { "@type": "SearchAction", "query-input": "required name=search_term_string", "target": { "@type": "EntryPoint", "urlTemplate": "https://wavect.io/search/?q={search_term_string}" } }, "publisher": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "url": "https://wavect.io/" }, { "@id": "https://wavect.io/de/blog/gdpr-ai-act-stacking-dach-saas/#webpage", "@type": "WebPage", "dateModified": "2026-07-07", "inLanguage": "de", "isPartOf": { "@id": "https://wavect.io/#website", "@type": "WebSite" }, "lastReviewed": "2026-07-07", "url": "https://wavect.io/de/blog/gdpr-ai-act-stacking-dach-saas/" } ] } ``` ```json { "@context": "https://schema.org", "@type": "BlogPosting", "abstract": "Wer SaaS mit KI-Feature in DACH verkauft, hat DSGVO und EU AI Act übereinander gestapelt. Artikel-50-Transparenz gilt ab 2. August 2026, eigenständige Hochrisiko-Pflichten ab 2. Dezember 2027 und produktintegrierte Pflichten ab 2. August 2028. Das Build-Team besitzt neun Artefakte, vom Verarbeitungsverzeichnis über Annex-IV-Doku bis zum Audit-Logging, als Beiprodukte der Architektur, nicht als Word-Dokumente bei Launch. Nachgerüstet kostet das 10 bis 20 Prozent Engineering-Zeit, von Anfang an eingebaut nur 3 bis 5 Prozent.", "articleBody": " Blog-Übersicht/Business und Regulierung/AI-Governance und Regulierung DSGVO + EU AI Act Stacking: Was ein DACH-SaaS-Gründer bis 2026 ausliefern muss TL;DR Wer SaaS mit KI-Feature in DACH verkauft, hat DSGVO und EU AI Act übereinander gestapelt. Artikel-50-Transparenz gilt ab 2. August 2026, eigenständige Hochrisiko-Pflichten ab 2. Dezember 2027 und produktintegrierte Pflichten ab 2. August 2028. Das Build-Team besitzt neun Artefakte, vom Verarbeitungsverzeichnis über Annex-IV-Doku bis zum Audit-Logging, als Beiprodukte der Architektur, nicht als Word-Dokumente bei Launch. Nachgerüstet kostet das 10 bis 20 Prozent Engineering-Zeit, von Anfang an eingebaut nur 3 bis 5 Prozent. Wenn du SaaS in DACH verkaufst und dein Produkt ein KI-Feature hat, stapeln sich zwei Regelwerke. Die DSGVO gilt seit 2018. Nach dem aktuellen Zeitplan des EU AI Act gelten Verbote, AI-Literacy- und GPAI-Pflichten bereits. Artikel-50-Transparenz gilt ab 2. August 2026, Pflichten für eigenständige Hochrisiko-Systeme ab 2. Dezember 2027 und für in Produkte eingebettete Systeme ab 2. August 2028. Engineering liefert die technischen Nachweise; Legal bestätigt Klassifikation und Pflichten. Das ist Engineering-Perspektive, keine Rechtsberatung. Wir haben KI-Features für DACH-Kunden unter dem DSGVO-Regime ausgeliefert und aktive Builds gegen die AI-Act-Timeline neu gescopt. Wie sieht die tatsächliche Vollzugs-Timeline aus, gegen die ich planen muss? Der AI Act gilt in Stufen. Die, die für einen DACH-SaaS-Gründer mit einem KI-Feature zählen: 2. Februar 2025. Verbotene Praktiken (Art. 5) und AI-Literacy-Pflicht (Art. 4) in Kraft. 2. August 2025. General-Purpose-AI (GPAI)-Anbieterpflichten, Governance, Sanktionsrahmen. 2. August 2026. Die Transparenzpflichten aus Artikel 50 gelten. 2. Dezember 2027. Pflichten für eigenständige Hochrisiko-Systeme nach Annex III gelten. 2. August 2028. Hochrisiko-Pflichten für KI in regulierten Produkten gelten. Deutschlands SDLC-Aufseher (BfDI und Landes-DPAs) und Österreichs DSB werden DSGVO-Vollzug führen; Marktüberwachungsbehörden für AI-Act-Vollzug werden 2026 von jedem Mitgliedstaat benannt. Ist mein KI-Feature hochriskant unter Annex III? Der Entscheidungsbaum ist kurz. Dein System ist hochriskant, wenn es unter Annex-III-Kategorien fällt: biometrische Identifikation, kritische Infrastruktur, Zugang zu Bildung und Berufsausbildung, Beschäftigung und Arbeitnehmer-Management, Zugang zu essenziellen privaten und öffentlichen Dienstleistungen (inklusive Credit Scoring und Versicherungs-Pricing), Strafverfolgung, Migration, Justizverwaltung, demokratische Prozesse. Für die meisten B2B-SaaS trifft den Hochrisiko-Bucket CV-Screening, Mitarbeiter-Monitoring, Credit Scoring und Versicherungs-Pricing. Ist der Use-Case in Annex III? Falls nein, überspringe zu Art. 50 Transparenzpflichten only. Falls ja, greift die Art.-6(3)-Ausnahme (rein vorbereitend, eng prozedural, Abweichung von vorheriger Entscheidung, Mustererkennung)? Falls ja, registrieren, aber reduzierte Pflichten. Falls keine Ausnahme. Voller Kapitel-III-Stack gilt. Risiko-Management-System, Data Governance, technische Dokumentation, Logging, Transparenz zum Deployer, menschliche Aufsicht, Genauigkeit und Robustheit, Qualitäts-Management-System, Konformitätsbewertung, EU-Datenbank-Registrierung, Post-Market-Monitoring. Welche Artefakte verantwortet das Build-Team tatsächlich? Das ist der Teil, den die meisten juristisch getriebenen Compliance-Projekte falsch machen. Compliance-Artefakte sind keine Word-Dokumente, die zum Launch geschrieben werden. Sie fallen als Nebenprodukt davon an, wie das System gebaut ist. Die neun, die das Engineering-Team verantwortet: Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Generiert aus Infrastructure-as-Code und Datenfluss-Diagrammen, via CI in Sync gehalten. DPIA (Art. 35 DSGVO) für Hochrisiko-Verarbeitung. Neben den Architektur-Entscheidungs-Records gespeichert, nicht im SharePoint der Rechtsabteilung. Technische Dokumentation (AI Act Annex IV). Model Card, Trainingsdaten-Zusammenfassung, Performance-Metriken, bekannte Limitierungen. Logging (AI Act Art. 12). Manipulationssicheres Event-Log von Modell-Inputs, -Outputs, -Version, -Operator. Mindestens sechs Monate aufbewahren. Human-Oversight-Design (Art. 14). UX-Flächen für Review, Override, Abbruch. In der Produkt-Spec dokumentiert. Transparenzhinweis (Art. 50). Offenlegung, wenn ein Nutzer mit KI interagiert oder KI-generierten Content sieht. Copyright-Disclosure für GenAI-Trainingsdaten (Art. 53(1)(d)), falls du fine-tunest. Incident-Reporting-Pipeline (Art. 73). Meldung schwerwiegender Vorfälle innerhalb von 15 Tagen an die Marktüberwachungsbehörde. Post-Market-Monitoring (Art. 72). Drift-Detection, Performance-Regressions-Alerts, periodische Review. Wie sieht die Compliance-Stack-Matrix für ein 5-Personen-Team konkret aus? Compliance Theater scheitert, weil niemand das Artefakt besitzt. Hier die Tabelle, die wir in Scoping-Gesprächen nutzen. Rollen an", "articleSection": "Business & Recht", "author": { "@id": "https://wavect.io/team/christof-jori/#person", "@type": "Person", "name": "Christof Jori", "sameAs": [ "https://www.wikidata.org/wiki/Q139796367", "https://www.linkedin.com/in/jocr77/", "https://github.com/jo-chris" ], "url": "https://wavect.io/team/christof-jori/" }, "dateModified": "2026-07-07", "datePublished": "2026-05-26", "description": "Wer SaaS mit KI-Feature in DACH verkauft, hat DSGVO und EU AI Act übereinander gestapelt. Artikel-50-Transparenz gilt ab 2. August 2026, eigenständige Hochrisiko-Pflichten ab 2. Dezember 2027 und produktintegrierte Pflichten ab 2. August 2028. Das Build-Team besitzt neun Artefakte, vom Verarbeitungsverzeichnis über Annex-IV-Doku bis zum Audit-Logging, als Beiprodukte der Architektur, nicht als Word-Dokumente bei Launch. Nachgerüstet kostet das 10 bis 20 Prozent Engineering-Zeit, von Anfang an eingebaut nur 3 bis 5 Prozent.", "headline": "DSGVO + EU AI Act für DACH-SaaS", "image": "https://wavect.io/img/blog/headers/header_gdpr-ai-act-stacking-dach-saas.svg", "inLanguage": "de", "mainEntityOfPage": { "@id": "https://wavect.io/de/blog/gdpr-ai-act-stacking-dach-saas/", "@type": "WebPage" }, "publisher": { "@id": "https://wavect.io/#organization", "@type": [ "Organization", "ProfessionalService", "LocalBusiness" ] }, "url": "https://wavect.io/de/blog/gdpr-ai-act-stacking-dach-saas/", "wordCount": 1394 } ``` ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "item": "https://wavect.io/de/", "name": "Startseite", "position": 1 }, { "@type": "ListItem", "item": "https://wavect.io/de/blog/overview/", "name": "Blog-Übersicht", "position": 2 }, { "@type": "ListItem", "item": "https://wavect.io/de/blog/topics/business-regulation/", "name": "Business und Regulierung", "position": 3 }, { "@type": "ListItem", "item": "https://wavect.io/de/blog/clusters/ai-governance/", "name": "AI-Governance und Regulierung", "position": 4 }, { "@type": "ListItem", "item": "https://wavect.io/de/blog/gdpr-ai-act-stacking-dach-saas/", "name": "DSGVO + EU AI Act für DACH-SaaS | ", "position": 5 } ] } ```