KI im Unternehmen DSGVO-konform einsetzen
KI-Dienste wie ChatGPT oder Claude lassen sich im Unternehmen datenschutzgerecht nutzen, wenn vier Dinge geklärt sind: welche Daten hineingehen, mit welchem Vertrag, wo sie verarbeitet werden, und ob die Mitarbeiter wissen, was sie tun. Dieser Text ist eine Praxis-Checkliste aus Entwicklersicht, keine Rechtsberatung.
Stand: 20. Oktober 2026
1. Welche Daten gehen hinein?
Der sicherste personenbezogene Datensatz ist der, der gar nicht übertragen wird. Oft reicht es, Namen, E-Mail-Adressen oder Kundennummern vor dem Senden zu entfernen oder durch Platzhalter zu ersetzen. Bei einer eigenen Integration lässt sich das technisch erzwingen, im Chatfenster nur per Anweisung.
2. Vertrag zur Auftragsverarbeitung
Wer personenbezogene Daten an einen KI-Anbieter gibt, braucht in der Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die großen Anbieter stellen ihn für ihre API- und Business-Angebote bereit. Kostenlose Privatkonten sind dafür meist nicht gedacht.
3. Speicherort und Training
- Wo werden die Daten verarbeitet: in der EU oder in einem Drittland?
- Werden Eingaben zum Training verwendet? Bei API- und Business-Angeboten ist das meist standardmäßig aus, bei Privatkonten oft nicht.
- Wie lange werden Eingaben gespeichert?
- Gibt es Alternativen mit EU-Hosting oder lokal betriebenen Modellen für besonders sensible Daten?
4. KI-Kompetenz der Mitarbeiter
Nach Art. 4 der EU-KI-Verordnung (AI Act) müssen Unternehmen, die KI einsetzen, seit Februar 2025 dafür sorgen, dass ihre Mitarbeiter ausreichende KI-Kompetenz haben. Praktisch heißt das: eine kurze interne Regel, welche Werkzeuge mit welchen Daten erlaubt sind, und eine Einweisung.
Warum eine Integration oft sicherer ist als das Chatfenster
Eine eingebaute KI-Funktion sendet nur die Felder, die sie braucht, über ein Firmenkonto mit Vertrag, protokolliert jede Anfrage und lässt einen Menschen freigeben. Im offenen Chatfenster entscheidet jeder Mitarbeiter selbst, was er hineinkopiert.
Häufige Fragen
Darf ich Kundendaten in ChatGPT eingeben?
Nur mit geeignetem Vertrag, Rechtsgrundlage und so wenig Daten wie nötig. Für Privatkonten ohne Auftragsverarbeitungsvertrag ist die Antwort in der Regel nein.
Gibt es KI ohne Datenübertragung ins Ausland?
Ja. Einige Anbieter bieten Verarbeitung in der EU an, und kleinere Modelle lassen sich mit Werkzeugen wie Ollama auf eigener Hardware betreiben. Das ist langsamer oder weniger leistungsfähig, für viele Aufgaben aber ausreichend.