DSGVO in Luxemburg und KI: was Unternehmen beachten müssen
· Aktualisiert am
Joaquín Trapero in Experte für künstliche Intelligenz und Datenschutz, Gründer von Nonimo.
Sobald jemand im Betrieb einen Kundenbrief, eine Lohntabelle oder eine Bewerbung in einen KI-Chat kopiert, verarbeitet das Unternehmen personenbezogene Daten. In Luxemburg greifen dann drei Ebenen: die Datenschutz-Grundverordnung (DSGVO), das Gesetz vom 1. August 2018 und die Aufsicht durch die CNPD, die Nationale Kommission für den Datenschutz.
Hier steht, was ein Unternehmen hierzulande vor dem ersten Prompt klären sollte und welche Rolle die CNPD bei der KI-Verordnung bekommen soll. Personalakten enthalten fast immer die Matrikelnummer; was in diesen 13 Ziffern steckt, erklärt eine eigene Seite.
KI-Werkzeuge sind in Luxemburg erlaubt, aber jeder Prompt mit Personendaten ist eine Verarbeitung nach der DSGVO. Vorher klären Sie Rechtsgrundlage, Vertrag mit dem Anbieter, Folgenabschätzung und Übermittlung in Drittländer. Aufsicht ist die CNPD; nach dem Gesetzentwurf Nr. 8476 soll sie auch die KI-Verordnung überwachen.
DSGVO in Luxemburg: Verordnung, Gesetz vom 1. August 2018 und CNPD
Die DSGVO gilt in Luxemburg unmittelbar. Sie legt Grundsätze, Rechte der Betroffenen und den Rahmen der Bußgelder fest. Was sie den Mitgliedstaaten offenlässt, regelt das Gesetz vom 1. August 2018 über die Organisation der Commission nationale pour la protection des données.
Dieses Gesetz macht die CNPD zu einer unabhängigen öffentlichen Einrichtung (Art. 3) und gilt für Verantwortliche und Auftragsverarbeiter mit Niederlassung in Luxemburg (Art. 2). Mit der Identitätskarte und der Matrikelnummer befasst es sich nicht, das tut das Gesetz vom 19. Juni 2013.
Unterschätzt wird oft Art. 71. Er hat Art. L.261-1 des Arbeitsgesetzbuchs neu gefasst, der die Überwachung von Beschäftigten regelt. Wer ein KI-Werkzeug einführt, das Mitarbeitende auswertet, muss beide Texte lesen, und ich halte diesen Teil für den heikelsten.
Wo die Antwort auf Ihre Frage steht
Typische Fragen eines Betriebs, der KI einführt, und die luxemburgische Fundstelle.
| Ihre Frage | Fundstelle | Was dort steht |
|---|---|---|
| Darf ein Prompt Kundendaten enthalten? | DSGVO, Art. 5 und 6 | Nur mit Rechtsgrundlage und nur so viel, wie der Zweck braucht |
| Wer kontrolliert mein Unternehmen? | Gesetz 2018, Art. 2 bis 4 | Die CNPD, für alle mit Niederlassung in Luxemburg |
| Kann eine Gemeinde ein Bußgeld bekommen? | Gesetz 2018, Art. 48 | Nein, Staat und Gemeinden sind von Geldbußen ausgenommen |
| Was kostet es, eine Anordnung zu ignorieren? | Gesetz 2018, Art. 49 | Zwangsgeld bis 5 % des durchschnittlichen Tagesumsatzes je Tag Verzug |
| Was droht, wer die CNPD wissentlich behindert? | Gesetz 2018, Art. 51 | Acht Tage bis ein Jahr Haft, 251 bis 125.000 Euro oder eine der beiden Strafen |
| Darf KI Beschäftigte überwachen? | Arbeitsgesetzbuch, Art. L.261-1 (über Art. 71) | Nur in den Fällen des Art. 6 Abs. 1 DSGVO, dazu die arbeitsrechtlichen Regeln |
Gesetz vom 1. August 2018, konsolidierte Fassung vom 26. Dezember 2025; Verordnung (EU) 2016/679.
Datenschutzbehörde CNPD: Befugnisse, Beschwerden und Bußgelder
Die CNPD darf Auskünfte verlangen, Räume und Systeme prüfen, verwarnen, eine Verarbeitung beschränken oder verbieten und Geldbußen nach Art. 83 DSGVO verhängen. Für KI-Projekte wichtig: Sie kann auch anordnen, dass Übermittlungen in ein Drittland ausgesetzt werden.
Beschwerden kommen von Kunden, Bewerberinnen und Beschäftigten. Die CNPD bittet, sich zuerst an das Unternehmen zu wenden, und nimmt sie dann über ein Formular an. Grenzgänger dürfen sich nach Art. 77 DSGVO auch in ihrem Wohnland beschweren.
Die bekannteste Geldbuße der CNPD, 746 Millionen Euro gegen Amazon von 2021, hob die Cour administrative am 12. März 2026 auf, bestätigte aber die festgestellten Verstöße. Mich beschäftigen die Fallzahlen unten mehr: Kunden und Beschäftigte kennen den Weg zur CNPD.
Was 2025 bei der CNPD ankam
Jede Beschwerde und jede Panne kann eine Prüfung Ihres KI-Einsatzes auslösen.
CNPD, Vorstellung des Jahresberichts 2025 am 10. Juli 2026. Die Beschwerden stiegen gegenüber 2024 um 40 %.
Rechtsgrundlage und Auftragsverarbeitungsvertrag vor dem ersten Prompt
Die CNPD schreibt auf ihrer KI-Seite, dass die Wahl der Rechtsgrundlage vor der Verarbeitung erfolgen muss. Für Bürotexte kommen meist Vertrag oder berechtigtes Interesse in Frage (Art. 6). Gesundheitsdaten und die anderen Kategorien des Art. 9 brauchen zusätzlich eine Ausnahme.
Dann der Vertrag: Arbeitet der Anbieter in Ihrem Auftrag, verlangt Art. 28 einen Vertrag über Gegenstand, Dauer, Art der Daten und Pflichten. Bei privaten Konten der Belegschaft fehlt er in der Regel, und dort hätten Kundendaten für mich nichts zu suchen.
Banken, Ärztinnen, Anwälte und andere Geheimnisträger haben eine zweite Hürde. Das Berufsgeheimnis nach Art. 458 Code pénal löst kein Auftragsverarbeitungsvertrag; für den Finanzsektor erklärt das die Seite zum Bankgeheimnis in Luxemburg.
Welches Konto nutzt Ihr Team?
Wählen Sie die Variante, die bei Ihnen läuft, und sehen Sie, was dann fehlt.
Kein Vertrag nach Art. 28. Der Anbieter verarbeitet nach seinen eigenen Bedingungen. Für Kunden-, Personal- oder Patientendaten ungeeignet. Erlauben Sie solche Konten höchstens für Texte ohne Personenbezug.
Vertrag meist vorhanden, Arbeit bleibt. Prüfen Sie, ob der Auftragsverarbeitungsvertrag unterschrieben ist, welche Unterauftragsverarbeiter genannt sind und ob Eingaben zum Training genutzt werden. Tragen Sie die Verarbeitung ins Verzeichnis nach Art. 30 ein.
Vertrag und eigene Technik. Neben dem Vertrag mit dem Modellanbieter zählt Ihre eigene Seite: Protokolle, Speicherdauer, Zugriffsrechte. Sicherheit nach Art. 32 liegt hier zum großen Teil bei Ihnen.
DSGVO Art. 28, 30 und 32. Die Einschätzung je Kontoart ist meine, die Vertragslage prüfen Sie beim jeweiligen Anbieter.
Datenschutz-Folgenabschätzung für KI: wann die CNPD sie verlangt
Eine Datenschutz-Folgenabschätzung (DSFA) ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko bringt; Art. 35 DSGVO nennt dabei ausdrücklich neue Technologien. Ein Chat, der hin und wieder einen Brief glättet, fällt selten darunter, ein System, das Bewerbungen vorsortiert, eher schon.
Die CNPD hat nach Art. 35 Abs. 4 eine eigene Liste veröffentlicht. Darauf stehen unter anderem die systematische Überwachung von Beschäftigten, das Zusammenführen von Daten aus verschiedenen Zwecken und biometrische Daten zur Identifizierung, jeweils mit Bedingungen.
Oft beginnt das Risiko mit einer Personaltabelle, die zur Auswertung in die KI geht. Wie man so eine Liste vorher entschärft, erklärt der Leitfaden zum Anonymisieren von Excel-Tabellen. Auch ohne Pflicht empfehle ich eine Seite Begründung, warum keine DSFA nötig war.
Braucht Ihr KI-Einsatz eine Folgenabschätzung?
Kreuzen Sie an, was auf Ihr Vorhaben zutrifft.
0 von 6 angekreuzt
Nichts trifft zu: Eine DSFA ist nach Art. 35 und der CNPD-Liste nicht zwingend. Halten Sie im Verzeichnis kurz fest, warum.
Mindestens ein Treffer: Eine DSFA ist wahrscheinlich nötig; prüfen Sie die Bedingungen und planen Sie sie ein, bevor das System läuft. Bleibt danach ein hohes Risiko, konsultieren Sie vorher die CNPD (Art. 36).
Drittlandtransfer: wenn der KI-Anbieter in den USA rechnet
Viele Sprachmodelle laufen auf Servern außerhalb der EU. Dorthin dürfen Daten nach Kapitel V DSGVO nur mit einem Angemessenheitsbeschluss der Kommission (Art. 45) oder mit geeigneten Garantien wie Standardvertragsklauseln (Art. 46).
Bei ChatGPT ist für Europa OpenAI Ireland Limited Vertragspartner, verarbeitet wird aber auch in den USA; was das für einen Betrieb hierzulande bedeutet, zerlegt der Leitfaden ChatGPT und Datenschutz in Luxemburg.
Eine mündliche Zusicherung im Verkaufsgespräch reicht mir nicht. Wohin die Daten gehen und auf welcher Grundlage, gehört schwarz auf weiß in den Vertrag, samt der Frage, ob es eine Rechenregion in der EU gibt.
Sechs Fragen an den Anbieter, bevor Sie freigeben
Die Antworten gehören in Ihre Akte, nicht nur ins Gedächtnis des Einkaufs.
| Frage | Warum |
|---|---|
| Wer ist Ihr Vertragspartner in der EU? | Gegen diese Firma richten sich Ihre Rechte aus dem Vertrag nach Art. 28 |
| In welchen Ländern werden Eingaben verarbeitet und gespeichert? | Jedes Land außerhalb des EWR ist eine Übermittlung nach Kapitel V |
| Angemessenheitsbeschluss oder Standardvertragsklauseln? | Ohne eines von beiden fehlt die Grundlage (Art. 45, 46) |
| Welche Unterauftragsverarbeiter gibt es? | Auch sie können Daten in Drittländer bringen |
| Werden Eingaben zum Training genutzt? | Neuer Zweck, neue Prüfung |
| Wie lange werden Eingaben gespeichert? | Daten dürfen nicht unbegrenzt liegen bleiben, betont auch die CNPD |
DSGVO Art. 5, 28, 44 bis 46; CNPD, «KI verpflichtet: Welche Bestimmungen der DSGVO sind zu beachten?».
KI-Verordnung in Luxemburg: die CNPD als künftige KI-Aufsicht
Die KI-Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und gilt schrittweise. Seit dem 2. Februar 2025 sind bestimmte Praktiken verboten (Art. 5), und jedes Unternehmen, das KI beruflich einsetzt, muss für ausreichende KI-Kompetenz seines Personals sorgen (Art. 4).
Wer das in Luxemburg überwacht, regelt der Gesetzentwurf Nr. 8476. Laut Regierungsrat vom 29. November 2024 soll die CNPD die sektoralen Behörden koordinieren, zentrale Anlaufstelle sein und standardmäßig die Marktüberwachung übernehmen.
Ein Gesetz ist das noch nicht, der Entwurf liegt im Parlamentsausschuss. Ich finde die Lösung vernünftig, weil Datenschutz und KI-Aufsicht dann bei einer Stelle landen. Wer den Zugang zu mehreren Modellen über einen zentralen Zugangspunkt bündelt, kann Regeln und Schulung an einer Stelle festmachen.
Wo Luxemburg bei der KI-Aufsicht steht
Was schon gilt und was noch auf die Abstimmung wartet.
| Datum | Schritt | Was es für Sie heißt |
|---|---|---|
| 1. August 2024 | KI-Verordnung tritt in Kraft | Pflichten kommen gestaffelt |
| 29. November 2024 | Regierungsrat billigt den Gesetzentwurf | CNPD als Koordinatorin, Anlaufstelle und Standard-Marktüberwachung vorgesehen |
| 23. Dezember 2024 | Entwurf Nr. 8476 in der Chambre des Députés hinterlegt | Ändert auch das Gesetz vom 1. August 2018 |
| 2. Februar 2025 | Verbote und Pflicht zur KI-Kompetenz gelten | KI-Kompetenz der Belegschaft ist Pflicht, auch bei Chat-Assistenten |
| 10. Juli 2026 | Gutachten des Staatsrats | Das Verfahren läuft weiter |
| 9. November 2026 | Entwurf noch im Ausschuss für Medien und Kommunikation | Bis zur Abstimmung prüft die CNPD KI-Einsätze nach der DSGVO |
Verordnung (EU) 2024/1689; Regierung, Résumé des travaux du 29 novembre 2024; Chambre des Députés, Dossier 8476 (Stand am 9. November 2026).
Datenpanne melden: die 72 Stunden gegenüber der CNPD
Landet eine Kundenliste mit Namen und IBAN in einem privaten KI-Konto, kann das eine Verletzung des Schutzes personenbezogener Daten sein. Dann läuft die Frist: Meldung an die CNPD unverzüglich und möglichst binnen 72 Stunden, nachdem Sie davon erfahren haben (Art. 33).
Ist ein Risiko für die Betroffenen unwahrscheinlich, entfällt die Meldung, dokumentiert wird die Panne trotzdem. Bei hohem Risiko informieren Sie auch die Betroffenen (Art. 34). Laut CNPD ging 2025 knapp die Hälfte der gemeldeten Pannen auf menschliche Fehler zurück.
Den Chat sofort zu löschen, ist richtig, ersetzt aber die Bewertung nicht; wie das geht, steht in der Anleitung ChatGPT-Verlauf löschen. Die 72 Stunden sind mir zu kostbar für die Suche nach Schuldigen.
Melden, benachrichtigen oder nur dokumentieren?
Gehen Sie den Vorfall Frage für Frage durch.
Sind personenbezogene Daten an jemanden gelangt, der sie nicht haben durfte, zum Beispiel an einen KI-Dienst ohne Vertrag?
Ist ein Risiko für die Betroffenen unwahrscheinlich, etwa weil nur Vornamen ohne weiteren Zusammenhang betroffen waren?
Ist das Risiko hoch, etwa bei Gesundheitsdaten, Kontodaten mit Namen oder vielen Matrikelnummern?
DSGVO Art. 33 und 34; CNPD, Seite zu Datenschutzverletzungen. Die Beispiele für niedriges und hohes Risiko habe ich gewählt; amtlich eingestuft sind sie nicht.
Bevor die Belegschaft loslegt: mein Rat zum Datenschutz im Betrieb
Zum Start setze ich auf zwei Dinge: ein Eintrag im Verzeichnis nach Art. 30 mit Werkzeug und Konto und eine Schulung, die zugleich Art. 4 der KI-Verordnung abdeckt. Wertet die KI Beschäftigte aus, gehört Art. L.261-1 des Arbeitsgesetzbuchs vorher auf den Tisch, nicht erst nach einer Beschwerde bei der CNPD.
Der größte Teil des Risikos verschwindet, wenn Namen und Nummern gar nicht erst beim Anbieter ankommen; auch die CNPD nennt das Verschleiern. Im Büro übernimmt das die Nonimo-App auf Mac oder Windows, in jeder Anwendung: Namen, IBAN, +352-Nummern, Matrikel- und RCS-Nummern werden zu Platzhaltern, die Antwort zeigt wieder die echten Angaben.
Übersieht sie eine Angabe, etwa eine Depotnummer, markieren Sie diese und wählen «Maskieren». Für eine einzelne Kundenliste oder ein Protokoll ohne App gibt es die Werkzeuge für Dateien. Ob Ihr Vorfall eine Meldung oder Ihr Projekt eine DSFA braucht, entscheiden am Ende Ihre Datenschutzbeauftragte oder Ihr Anwalt mit den Akten vor sich.
Was würde Ihr Prompt mitschicken?
Fügen Sie den Text ein, den Sie einer KI geben wollen.
Sucht Matrikelnummern mit beiden Prüfziffern, IBAN mit Prüfziffer, luxemburgische GSM- und Telefonnummern und E-Mail-Adressen. Der Text bleibt in Ihrem Browser; Namen und Anschriften erkennt der Prüfer nicht. Welche weiteren Angaben vor dem Absenden raus sollten, sammelt der Leitfaden Text anonymisieren.
Quellen
- Verordnung (EU) 2016/679, DSGVO: Art. 5, 6, 9, 28, 30, 32 bis 36, 44 bis 46, 58, 77 und 83.
- Verordnung (EU) 2024/1689, KI-Verordnung: Art. 3 (Betreiber), Art. 4 (KI-Kompetenz), Art. 5 (verbotene Praktiken).
- Gesetz vom 1. August 2018 über die Organisation der CNPD, konsolidierte Fassung vom 26. Dezember 2025: Art. 2, 3, 48, 49, 51 und 71.
- Code pénal, Fassung vom 19. Dezember 2025: Art. 458, Berufsgeheimnis.
- CNPD, KI verpflichtet: Welche Bestimmungen der DSGVO sind zu beachten?: Rechtsgrundlage vor Beginn, Minimierung, Speicherfrist, Pseudonymisierung oder Filterung.
- CNPD, Liste der Verarbeitungen mit Pflicht zur DSFA: Liste nach Art. 35 Abs. 4 DSGVO.
- Regierung, Résumé des travaux du 29 novembre 2024: CNPD als Koordinatorin, zentrale Anlaufstelle und Standard-Marktüberwachungsbehörde.
- Chambre des Députés, Dossier 8476: hinterlegt am 23. Dezember 2024, Gutachten des Staatsrats vom 10. Juli 2026, noch im Ausschuss.
Abgerufen am 9. November 2026.
Weitere Leitfäden
Häufige Fragen
Welche Behörde ist in Luxemburg für Datenschutz zuständig?
Die CNPD, die Nationale Kommission für den Datenschutz. Das Gesetz vom 1. August 2018 macht sie zur unabhängigen Aufsicht über alle Verantwortlichen mit Niederlassung in Luxemburg.
Ist die CNPD auch für die KI-Verordnung zuständig?
Vorgesehen ist es, beschlossen noch nicht. Der Gesetzentwurf Nr. 8476 macht sie zur Standard-Marktüberwachungsbehörde und zentralen Anlaufstelle. Bis zur Abstimmung prüft sie KI-Einsätze nach der DSGVO.
Wie reiche ich bei der CNPD eine Beschwerde ein?
Über das Beschwerdeformular auf der Website der CNPD. Sie bittet darum, sich vorher an das Unternehmen selbst zu wenden. Wer in Frankreich, Belgien oder Deutschland wohnt, darf sich auch dort beschweren.
Wie schnell muss eine Datenpanne der CNPD gemeldet werden?
Unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden. Das verlangt Art. 33 DSGVO, außer ein Risiko für die Betroffenen ist unwahrscheinlich. Intern dokumentiert wird jede Panne.
Gilt die DSGVO in Luxemburg direkt?
Ja, als EU-Verordnung ohne eigenes Umsetzungsgesetz. Das Gesetz vom 1. August 2018 ergänzt sie nur dort, wo die DSGVO den Staaten Spielraum lässt, etwa bei Sanktionen und Forschung.
Braucht ein Unternehmen für ChatGPT eine Datenschutz-Folgenabschätzung?
Nicht automatisch. Pflicht wird sie bei hohem Risiko, etwa wenn die KI Bewerbungen bewertet oder Beschäftigte überwacht. Die CNPD hat dafür eine eigene Liste nach Art. 35 Abs. 4 DSGVO.