Datenschutzinformationen zur KI-Analyse

Stand: Oktober 2026

KSKlar nutzt künstliche Intelligenz zur automatischen Klassifikation von Rechnungen hinsichtlich der Künstlersozialabgabe. Hier erfahren Sie, welche Daten dabei verarbeitet werden und welche Rechte Sie haben.

Wie die KI-Analyse funktioniert

Die Analyse Ihrer Rechnungen erfolgt in zwei getrennten Schritten, die jeweils unterschiedliche Daten verarbeiten:

Schritt 1: Texterkennung (OCR)

Wenn Sie eine PDF-Rechnung hochladen, wird das gesamte Dokument an Mistral AI zur Texterkennung (OCR) übermittelt. Das ist technisch notwendig, um den Text aus dem PDF zu extrahieren. Das bedeutet: Alle Daten, die in der Rechnung enthalten sind (einschließlich IBAN, Steuernummer, Adresse etc.), werden im Rahmen der OCR-Verarbeitung an Mistral AI gesendet.

Zurück erhalten wir ein strukturiertes Feld-Set: die in Schritt 2 genannten Angaben sowie zusätzlich die Stadt des Lieferanten und die Rechnungsnummer. Die Begrenzung wirkt hier auf die Rückgabe, nicht auf die Übertragung.
Mistral AI verwendet Ihre Daten nicht für das Training ihrer KI-Modelle (vertraglich im Data-Processing-Agreement zugesichert, entsprechende Workspace-Einstellung ist aktiviert).
Die von Mistral AI verarbeiteten OCR-Anfragen werden maximal 30 Tage gespeichert (zur Missbrauchserkennung und Fehlerdiagnose, branchenüblicher Standard laut Mistral-Datenschutzerklärung) und anschließend automatisch gelöscht.
Bei manueller Eingabe (ohne PDF) entfällt dieser Schritt vollständig.

Schritt 2: KSK-Klassifikation

Für die eigentliche KSK-Klassifikation werden nur minimierte Daten an Mistral AI gesendet. Ein serverseitiges Whitelist-Schema (DSG-05) stellt technisch sicher, dass ausschließlich diese Felder übermittelt werden:

Lieferantenname
Rechnungsdatum
Nettobetrag
Bruttobetrag
Leistungsbeschreibung
Rechtsform des Lieferanten
Belegart (Rechnung, Abrechnungsgutschrift, Stornogutschrift oder unklar)
Sitz des Lieferanten (Inland, Ausland oder unbekannt)

Diese Aufzählung ist abschließend. Das Whitelist-Schema erlaubt daneben zwar die Stadt des Lieferanten und die Rechnungsnummer, beide werden jedoch nicht befüllt und damit nie an die Klassifikations-KI gesendet.

Belegart und Sitz sind keine Rechnungsinhalte, sondern Einstufungen aus Schritt 1 mit jeweils vier beziehungsweise drei möglichen Werten. Übermittelt wird nur der Wert selbst, nicht die Angaben, aus denen er entsteht: Anschrift, IBAN und Währung bleiben in diesem Schritt außen vor. „Ausland“ sagt deshalb, dass ein Auslandsbezug besteht, aber nicht, um welches Land es geht.

Sensible Daten wie IBAN, Steuernummer, Telefonnummer oder E-Mail-Adresse werden in diesem Schritt technisch ausgeschlossen, sie können nicht an die Klassifikations-KI gesendet werden.

An wen werden die Daten gesendet

Beide Verarbeitungsschritte nutzen Dienste von Mistral AI, einem französischen Unternehmen mit Sitz in Paris, Frankreich (Europäische Union).

Kein Drittlandtransfer: Die Datenverarbeitung erfolgt innerhalb der EU.
Keine Nutzung für KI-Training: Mistral AI verwendet Ihre OCR- und Klassifikationsanfragen nicht, um ihre KI-Modelle zu trainieren (vertraglich im Data-Processing-Agreement nach Art. 28 DSGVO zugesichert).
Standard-Speicherdauer 30 Tage: Anfragen werden bei Mistral AI maximal 30 Tage zur Missbrauchserkennung und Fehlerdiagnose vorgehalten, anschließend automatisch gelöscht (branchenüblicher Standard laut Mistral-Datenschutzerklärung). Eine vertragliche Zero-Retention-Option (sofortige Löschung nach jeder Anfrage) ist bei Mistral nur über einen Enterprise-Vertrag verfügbar und als Upgrade-Pfad nach Wachstum der Nutzerbasis vorgesehen.
Datenminimierung in Schritt 2: Durch unseren technischen Whitelist-Filter gelangen identifizierende Daten wie IBAN, Steuernummer, Telefonnummer oder E-Mail-Adresse gar nicht erst an die Klassifikations-KI. Für die Texterkennung in Schritt 1 gilt das nicht: Dort wird das vollständige Dokument übertragen, sodass diese Angaben von der 30-tägigen Speicherung erfasst sind. Tragende Schutzmaßnahmen sind dort die EU-Datenverarbeitung, der Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO und der vertraglich zugesicherte Trainings-Ausschluss.

Datenminimierung bei der Klassifikation

Die folgenden sensiblen Daten werden bei der KSK-Klassifikation (Schritt 2) technisch ausgeschlossen: Ein serverseitiges Schema verhindert ihre Übermittlung.

IBAN und Bankverbindung
BIC
Steuernummer
Umsatzsteuer-IdNr
Anschrift des Lieferanten (auch die Stadt wird nicht gesendet)
Telefonnummer
E-Mail-Adresse

Hinweis zur OCR: Bei der Texterkennung (Schritt 1) werden diese Daten im Rahmen des gesamten PDF-Dokuments verarbeitet. Mistral AI verwendet sie nicht für KI-Training und löscht sie gemäß ihrer Datenschutzerklärung spätestens nach 30 Tagen automatisch.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die KI-gestützte Klassifikation von Rechnungen wird vor der ersten Nutzung im Consent-Dialog aktiv eingewilligt; ohne diese Einwilligung lässt sich der Dienst auch ohne KI-Analyse mit manueller Klassifikation in der UI nutzen.

Vor der erstmaligen Nutzung der KI-Analyse muss ein Administrator oder Eigentümer der Organisation die KI-Analyse ausdrücklich aktivieren.

Widerruf (Art. 7 Abs. 3 DSGVO): Die Einwilligung kann jederzeit mit Wirkung für die Zukunft in den Einstellungen widerrufen werden. Bei Widerruf wird die KI-Klassifikation deaktiviert; bereits klassifizierte Rechnungen bleiben unverändert, da sie Teil Ihrer Unterlagen sind. Sie können sie jederzeit löschen oder exportieren.

Speicherdauer

OCR-extrahierter Text: Wird bei neuen Rechnungen gar nicht mehr dauerhaft gespeichert; übernommen werden nur PII-freie technische Metadaten sowie die strukturierten Rechnungsangaben Lieferantenname, Rechnungsnummer, Rechnungsdatum, Netto- und Bruttobetrag und Leistungsbeschreibung. Die Stadt des Lieferanten wird nicht gespeichert. Bereits vor dieser Umstellung gespeicherte Volltexte aus dem Altbestand werden automatisiert gelöscht: spätestens 30 Tage nach abgeschlossener Prüfung, in jedem Fall innerhalb von 90 Tagen.
Klassifikationsergebnisse: Werden zusammen mit der Rechnung aufbewahrt.
Steuerrelevante Daten: Die Aufbewahrungspflicht nach § 257 HGB trifft Ihr Unternehmen. Wir speichern die Daten während des Vertrags und löschen sie 90 Tage nach Ihrem Löschauftrag. Nach dem Ende des Vertrags bleiben die Daten 12 Monate im Lesemodus; danach kündigen wir die Löschung mindestens 90 Tage vorher per E-Mail an.
Rohdaten der OCR-Verarbeitung bei Mistral AI: Mistral AI speichert OCR- und Klassifikations-Anfragen maximal 30 Tage (zur Missbrauchserkennung und Fehlerdiagnose, branchenüblicher Standard laut Mistral-Datenschutzerklärung), anschließend automatische Löschung. Mistral AI verwendet die Daten nicht für KI-Training (vertraglich im Data-Processing-Agreement zugesichert).

Ihre Rechte

Nach der DSGVO stehen Ihnen folgende Rechte zu:

Auskunftsrecht (Art. 15 DSGVO)
Recht auf Berichtigung (Art. 16 DSGVO)
Recht auf Löschung (Art. 17 DSGVO)
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Widerspruchsrecht (Art. 21 DSGVO)
Recht auf Datenportabilität (Art. 20 DSGVO)

Kontakt: datenschutz@ksklar.de

KSKlar bietet Informationen und Berechnungen zur Künstlersozialabgabe. Dies stellt keine Rechts- oder Steuerberatung dar.

Zurück zur Startseite