Datenfluss-Diagramme für KI-Workflows: Transparenz nach DSGVO

Das Problem: Niemand weiß, wo die Daten eigentlich hinfließen

Sie haben eine CRM-Synchronisierung über Make oder n8n gebaut, einen OCR-Workflow zur Belegerfassung oder ein automatisches Lead-Scoring. Die Automatisierung läuft, spart Zeit, alles gut. Bis ein Bewerber, Kunde oder Lieferant sein Auskunftsrecht nach Art. 15 DSGVO geltend macht und wissen will: Welche Daten haben Sie über mich gespeichert, woher stammen sie, wer hat Zugriff, an wen geben Sie sie weiter?

In mittelständischen Unternehmen habe ich erlebt, dass dann erst begonnen wird, die Automatisierungen durchzugehen. Drei verschiedene Abteilungen nutzen unterschiedliche Plattformen, niemand hat den Überblick, welche API mit welchem Drittanbieter kommuniziert. Die Auskunft wird 14 Tage zu spät verschickt, unvollständig und im schlimmsten Fall falsch. Das ist kein theoretisches Risiko: Bußgelder nach Art. 83 DSGVO beginnen bei vier Prozent des weltweiten Jahresumsatzes oder 20 Millionen Euro, je nachdem, was höher ist.

Ein Datenfluss-Diagramm dokumentiert transparent und nachvollziehbar, welche personenbezogenen Daten von wo nach wo fließen, wer sie verarbeitet, auf welcher Rechtsgrundlage und wie lange sie gespeichert werden. Es ist keine Kür, sondern Pflicht gemäß Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) und gehört zum Verarbeitungsverzeichnis nach Art. 30 DSGVO.

Was ein Datenfluss-Diagramm konkret zeigt

Ein Datenfluss-Diagramm ist eine visuelle Darstellung aller Stationen, die personenbezogene Daten in Ihrer Automatisierung durchlaufen. Es beantwortet die Fragen, die Aufsichtsbehörden und Betroffene stellen:

• Quelle: Wo kommen die Daten her? (Webformular, CRM, E-Mail-Postfach, Scanning-Station)
• Systeme: Welche Plattformen und Tools verarbeiten die Daten? (n8n, Make, OpenAI API, DATEV, sevDesk, eigenes CRM)
• Rechtsgrundlage: Warum dürfen Sie die Daten verarbeiten? (Art. 6 Abs. 1 lit. b DSGVO bei Vertragsanbahnung, lit. f bei berechtigtem Interesse, lit. a bei Einwilligung)
• Empfänger: An wen werden Daten weitergegeben? (Auftragsverarbeiter, Drittstaaten-Transfer, andere Fachabteilungen)
• Speicherdauer: Wie lange bleiben Daten wo gespeichert? (30 Tage im Workflow-Log, 10 Jahre Aufbewahrungsfrist Buchhaltung, 6 Monate CRM)
• Löschkonzept: Wann und wie werden Daten gelöscht oder anonymisiert?

Ein aussagekräftiges Diagramm nutzt standardisierte Symbole (z. B. Rechtecke für Systeme, Pfeile für Datenflüsse, Wolken für Cloud-Dienste) und kennzeichnet kritische Punkte wie Drittstaaten-Transfers oder automatisierte Entscheidungen nach Art. 22 DSGVO.

Schritt 1: Inventarisieren Sie alle Datenquellen und Zielsysteme

Beginnen Sie mit einer Liste sämtlicher Systeme, die in Ihren KI-Workflows personenbezogene Daten empfangen, verarbeiten oder weitergeben. Das umfasst nicht nur offensichtliche Datenbanken, sondern auch:

• Webhook-Eingänge (z. B. Typeform, HubSpot, Shopify)
• Zwischenspeicher in Workflow-Plattformen (n8n-Logs, Make-Executions)
• API-Aufrufe an KI-Modelle (OpenAI, Anthropic, lokal gehostete LLMs)
• E-Mail-Postfächer, die automatisch geparst werden
• Export-Schnittstellen zu ERP, Buchhaltung, BI-Dashboards

Dokumentieren Sie pro System: Anbieter, Hosting-Standort (EU, Drittland), ob ein Auftragsverarbeitungsvertrag vorliegt, ob ein Drittstaaten-Transfer stattfindet und ob das System Daten persistent speichert oder nur durchreicht.

In einem mittelständischen Produktionsunternehmen haben wir 17 verschiedene Berührungspunkte für Bewerberdaten identifiziert, von denen acht nicht im Verarbeitungsverzeichnis standen. Ohne diese Inventur bleibt Ihr Diagramm unvollständig und rechtlich wertlos.

Schritt 2: Zeichnen Sie die tatsächlichen Datenflüsse

Nutzen Sie ein Werkzeug, das Versionierung, Kommentare und Export in gängige Formate unterstützt. Bewährt haben sich:

• Draw.io (diagrams.net): Open Source, EU-Hosting möglich, Integration in Confluence oder als Desktop-App
• Lucidchart: cloudbasiert, Templates für DSGVO-Dokumentation verfügbar
• Microsoft Visio: wenn Sie bereits Office 365 E3 oder E5 lizenziert haben
• Mermaid: textbasiert, versionierbar in Git, gut für technische Teams

Zeichnen Sie für jeden Workflow einen separaten Ablauf. Ein Lead-Scoring-Prozess sieht anders aus als eine Belegerfassung. Kennzeichnen Sie jeden Pfeil mit der Kategorie der Daten (Kontaktdaten, Vertragsdaten, Zahlungsdaten, besondere Kategorien nach Art. 9 DSGVO) und der Rechtsgrundlage.

Beispiel: Ein Webhook von Typeform (USA, AVV vorhanden) liefert Name, E-Mail, Telefon an n8n (self-hosted, Deutschland). n8n ruft OpenAI API (USA, AVV vorhanden, kein Trainings-Opt-in) zur Kategorisierung auf, schreibt Ergebnis in PostgreSQL (Deutschland, selbst betrieben) und verschickt eine E-Mail über Postmark (Irland, AVV vorhanden). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung).

Schritt 3: Prüfen Sie Drittstaaten-Transfers und Standardvertragsklauseln

Sobald personenbezogene Daten die EU oder den EWR verlassen, greifen besondere Anforderungen. Nach dem Schrems-II-Urteil des EuGH (Juli 2020) reichen Standardvertragsklauseln (SCC) allein nicht mehr aus. Sie müssen zusätzlich eine Übermittlungsfolgenabschätzung (Transfer Impact Assessment, TIA) durchführen und dokumentieren, dass im Zielland ein angemessenes Schutzniveau besteht oder durch technische Maßnahmen hergestellt wird.

Markieren Sie im Diagramm jeden Drittstaaten-Transfer farblich (z. B. rot) und verlinken Sie auf die zugehörige TIA. Für häufige Dienste wie OpenAI, Anthropic oder US-amerikanische CRM-Systeme sollten Sie standardisierte TIA-Templates vorhalten und regelmäßig aktualisieren.

Falls Sie Self-Hosted-LLMs einsetzen (z. B. Llama 3, Mistral auf eigener Infrastruktur in Frankfurt), entfällt der Drittstaaten-Transfer vollständig. Das vereinfacht die Dokumentation erheblich und senkt das Compliance-Risiko.

Schritt 4: Integrieren Sie Löschfristen und Anonymisierung

Ein Datenfluss-Diagramm darf nicht statisch sein. Dokumentieren Sie, wann und wie Daten gelöscht oder anonymisiert werden. Das betrifft:

• Workflow-Logs in n8n oder Make (standardmäßig unbegrenzt, sollten nach 30 bis 90 Tagen rotiert werden)
• Einträge in CRM-Systemen ohne aktive Kundenbeziehung (nach 6 bis 12 Monaten löschen oder anonymisieren)
• Bewerberdaten nach Absage (6 Monate Aufbewahrung zulässig, falls Einwilligung vorliegt; sonst sofortige Löschung nach Abschluss des Verfahrens)
• Buchhaltungsbelege (10 Jahre Aufbewahrungspflicht nach HGB/AO, danach automatische Löschung)

Automatisieren Sie Löschungen über Cronjobs oder Workflow-Schritte. In einem selbst gehosteten n8n-Setup können Sie einen wöchentlichen Workflow einrichten, der Execution-Logs älter als 90 Tage aus der Datenbank entfernt. In PostgreSQL oder MySQL lässt sich das mit Partitionierung und automatischem DROP umsetzen.

Schritt 5: Verknüpfen Sie das Diagramm mit dem Verarbeitungsverzeichnis

Das Datenfluss-Diagramm ist kein Ersatz für das Verarbeitungsverzeichnis nach Art. 30 DSGVO, sondern dessen visuelle Ergänzung. Jedes Diagramm sollte auf die entsprechende Verarbeitungstätigkeit im Verzeichnis verweisen und umgekehrt.

Legen Sie beide Dokumente zentral ab, versioniert und für Datenschutzbeauftragte sowie Geschäftsführung jederzeit abrufbar. In der Praxis bewährt sich ein gemeinsames Confluence-Space oder SharePoint-Ordner mit Leserechten für alle relevanten Rollen.

Bei einer Auskunftsanfrage oder Prüfung durch die Aufsichtsbehörde können Sie dann innerhalb von Minuten nachweisen, welche Daten wo verarbeitet wurden und auf welcher Rechtsgrundlage. Das reduziert Haftungsrisiken und zeigt Rechenschaftsfähigkeit.

Was typischerweise schiefgeht

In der Praxis sehe ich drei häufige Fehler:

• Diagramme werden einmal erstellt und nie aktualisiert. Nach sechs Monaten sind neue APIs hinzugekommen, Systeme wurden migriert, Auftragsverarbeiter gewechselt. Das Diagramm bildet die Realität nicht mehr ab und ist im Ernstfall wertlos.
• Workflow-Plattformen bleiben undokumentiert. n8n oder Make werden als reine Durchleitungsstationen betrachtet, ohne zu beachten, dass auch dort Execution-Logs personenbezogene Daten persistent speichern.
• Rechtsgrundlagen fehlen oder sind pauschal. “Berechtigtes Interesse” ohne Interessenabwägung oder “Einwilligung” ohne Nachweis des Opt-in sind unzureichend und halten keiner Prüfung stand.

Realistische Aufwände und Outcomes

Die Erstdokumentation für fünf bis zehn produktive KI-Workflows dauert ein bis zwei Arbeitstage, wenn Sie die Systeminventarisierung bereits abgeschlossen haben. Die laufende Pflege sollte in Ihren Change-Prozess integriert werden: Jede neue API, jedes neue Tool, jede Änderung am Workflow löst ein Update des Diagramms aus.

Der Nutzen ist unmittelbar messbar:

• Auskunftsanfragen nach Art. 15 DSGVO werden in unter 24 Stunden beantwortet statt in 10 Tagen.
• Bei Audits durch Kunden oder Zertifizierer verkürzt sich die Prüfzeit um 30 bis 50 Prozent.
• Die Geschäftsführung erhält einen transparenten Überblick über Datenrisiken und kann fundiert entscheiden, ob Self-Hosted-Lösungen wirtschaftlich sinnvoll sind.

In einem Hamburger Mittelständler mit 180 Mitarbeitenden haben wir nach Einführung der Datenfluss-Dokumentation die durchschnittliche Bearbeitungszeit für Betroffenenanfragen von 9 Tagen auf 1,5 Tage gesenkt und gleichzeitig zwei redundante SaaS-Abos identifiziert, die 8.400 Euro im Jahr kosteten.

Fazit: Transparenz schützt, Intransparenz kostet

Ein Datenfluss-Diagramm ist keine bürokratische Pflichtübung, sondern ein Werkzeug für Risikomanagement und operative Exzellenz. Es macht sichtbar, wo personenbezogene Daten Ihre Systeme durchlaufen, wo Compliance-Lücken bestehen und wo Sie durch Self-Hosting oder Anonymisierung Risiken reduzieren können.

Wer heute KI-Workflows produktiv einsetzt, ohne die Datenströme zu dokumentieren, spielt mit hohen Bußgeldrisiken und verschenkt Chancen auf Effizienzgewinne. Die Investition in saubere Dokumentation zahlt sich spätestens bei der ersten Auskunftsanfrage oder dem ersten Audit aus.

Wenn Sie Unterstützung bei der Erstellung rechtskonformer Datenfluss-Diagramme für Ihre KI-Workflows benötigen oder Ihre bestehende Dokumentation auf DSGVO-Konformität prüfen lassen möchten, sprechen Sie uns an.

Sprechen Sie mit uns

Sie möchten das in Ihrem Betrieb umsetzen? Wir bauen die passende Maschine mit Ihnen.

Telefon: 040 468 967 680
E-Mail: info@whitefox-automations.com
Oder über unser Kontaktformular.