www.simplify-data.de
KI-Assistenten wie ChatGPT, Microsoft Copilot, Claude oder Gemini sind in vielen Büros längst im Einsatz, oft ohne dass die Geschäftsführung genau weiß, wer welches Tool mit welchen Daten nutzt. Datenschutzrechtlich ist das heikel, sobald personenbezogene Daten eingegeben werden. Dieser Artikel zeigt, worauf Sie nach der Datenschutz-Grundverordnung (DSGVO) achten sollten und wie Sie den Einsatz sauber organisieren.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung und keine Abstimmung mit Ihrer oder Ihrem Datenschutzbeauftragten.
Wann die DSGVO überhaupt greift
Die DSGVO gilt, sobald personenbezogene Daten verarbeitet werden. Das sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen: Namen, E-Mail-Adressen, Kundennummern, aber auch eine Beschwerde-E-Mail, aus der hervorgeht, wer sie geschrieben hat.
Wer einen KI-Assistenten nur nutzt, um einen allgemeinen Text zu formulieren oder eine Excel-Formel zu erklären, verarbeitet in der Regel keine personenbezogenen Daten. Kritisch wird es, wenn Mitarbeitende Kundenkorrespondenz, Bewerbungsunterlagen, Protokolle oder Verträge in das Tool kopieren.
Privatkonto oder Business-Version
Der wichtigste Unterschied liegt zwischen Verbraucherkonten und Business-Angeboten. Bei kostenlosen oder privaten Konten behalten sich Anbieter häufig vor, Eingaben zur Verbesserung ihrer Modelle zu verwenden, oft mit einer Möglichkeit zum Widerspruch. Einen Vertrag zur Auftragsverarbeitung gibt es dort in der Regel nicht.
Business-Angebote sind anders aufgebaut. OpenAI erklärt beispielsweise, dass Daten aus ChatGPT Enterprise, ChatGPT Business, ChatGPT Edu und der API standardmäßig nicht zum Training verwendet werden, und bietet einen Auftragsverarbeitungsvertrag an (Stand: November 2026). Vergleichbare Zusagen machen andere große Anbieter für ihre Unternehmensprodukte. Prüfen Sie die jeweils aktuellen Vertragsbedingungen selbst, denn sie ändern sich regelmäßig.
| Kriterium | Privates oder kostenloses Konto | Business- oder Enterprise-Angebot |
|---|---|---|
| Auftragsverarbeitungsvertrag | meist nicht verfügbar | in der Regel verfügbar |
| Nutzung der Eingaben zum Training | häufig möglich, teils abschaltbar | laut Anbietern standardmäßig nicht |
| Zentrale Verwaltung von Konten | nein | ja |
| Wahl des Datenstandorts | nein | bei einigen Anbietern optional |
Für den betrieblichen Einsatz mit personenbezogenen Daten ist ein privates Konto daher kaum vertretbar.
Auftragsverarbeitung nach Art. 28 DSGVO
Wenn ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie einen Vertrag zur Auftragsverarbeitung (AVV, englisch Data Processing Agreement oder Addendum, DPA). Darin wird festgelegt, dass der Anbieter die Daten nur nach Ihren Weisungen verarbeitet, welche technischen und organisatorischen Maßnahmen er trifft und welche Unterauftragnehmer er einsetzt.
Bei KI-Diensten ist die Einordnung nicht immer eindeutig, etwa wenn ein Anbieter Daten auch für eigene Zwecke nutzt. Dann kann er selbst Verantwortlicher sein, und ein AVV allein reicht nicht. Lassen Sie diese Frage im Zweifel von Ihrer oder Ihrem Datenschutzbeauftragten bewerten.
Zusätzlich brauchen Sie für jede Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO. Der AVV regelt nur das Verhältnis zum Dienstleister, nicht die Frage, ob Sie die Daten überhaupt für diesen Zweck nutzen dürfen.
Datenübermittlung in Drittländer
Viele KI-Anbieter haben ihren Sitz in den USA oder verarbeiten Daten dort. Die DSGVO erlaubt eine Übermittlung in Länder außerhalb der EU und des EWR nur unter bestimmten Bedingungen (Art. 44 ff. DSGVO).
Für die USA gibt es seit Juli 2023 das EU-US Data Privacy Framework (EU-US-Datenschutzrahmen). Das ist ein Angemessenheitsbeschluss der EU-Kommission: Übermittlungen an US-Unternehmen, die nach dem Framework zertifiziert sind, gelten als zulässig, ohne dass zusätzliche Garantien nötig sind. Ob ein Anbieter zertifiziert ist, können Sie auf der offiziellen Website dataprivacyframework.gov prüfen.
Der Rahmen ist allerdings nicht unumstritten. Das Gericht der EU hat eine Klage dagegen im September 2025 abgewiesen, gegen dieses Urteil ist ein Rechtsmittel beim Europäischen Gerichtshof anhängig (Stand: November 2026). Die Vorgänger Safe Harbor und Privacy Shield wurden vom EuGH gekippt. Es ist daher sinnvoll, zusätzlich auf Standardvertragsklauseln zu achten und einen Plan für den Fall zu haben, dass der Rahmen wegfällt.
Einige Anbieter ermöglichen inzwischen eine Datenspeicherung oder Verarbeitung in Europa. OpenAI bietet etwa für bestimmte Business-Produkte und API-Projekte eine europäische Datenresidenz an, die aktiv gewählt werden muss. Das reduziert Drittlandbezüge, beseitigt sie aber nicht zwingend vollständig, etwa beim Support oder bei Unterauftragnehmern.
Weitere Pflichten im Blick
Neben AVV und Drittlandtransfer sollten Sie folgende Punkte prüfen:
- Verzeichnis von Verarbeitungstätigkeiten: Der Einsatz eines KI-Dienstes mit personenbezogenen Daten gehört in dieses Verzeichnis (Art. 30 DSGVO).
- Datenschutz-Folgenabschätzung: Bei voraussichtlich hohem Risiko für Betroffene, etwa bei umfangreicher Verarbeitung sensibler Daten, ist eine Folgenabschätzung nötig (Art. 35 DSGVO).
- Informationspflichten: Kunden und Beschäftigte müssen über die Verarbeitung informiert werden, zum Beispiel in der Datenschutzerklärung.
- Betriebsrat: Wenn KI-Werkzeuge geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen, kann ein Mitbestimmungsrecht bestehen.
- Geheimnisschutz: Unabhängig von der DSGVO gehören Geschäftsgeheimnisse und vertrauliche Kundendaten nicht in Tools ohne passende vertragliche Absicherung.
Die Datenschutzkonferenz (DSK), das Gremium der deutschen Datenschutzaufsichtsbehörden, hat eine Orientierungshilfe zu KI und Datenschutz veröffentlicht, die einen guten Prüfrahmen bietet.
Praktische Maßnahmen für den Alltag
Auch mit dem richtigen Vertrag bleibt die wichtigste Stellschraube, welche Daten überhaupt eingegeben werden. Bewährt haben sich diese Grundsätze:
- Datensparsamkeit: Namen, Adressen und Kennnummern vor der Eingabe entfernen oder durch Platzhalter ersetzen.
- Ausgaben prüfen: KI-Antworten können falsch sein. Inhalte vor der Weitergabe an Kunden fachlich prüfen.
- Tool-Freigabe: Nur freigegebene Werkzeuge mit Firmenkonten nutzen, keine privaten Konten.
- Schulung: Mitarbeitende erklären, was erlaubt ist und warum. Das deckt sich mit der Pflicht zur KI-Kompetenz aus dem EU AI Act.
Checkliste: KI-Assistenten datenschutzkonform einführen
- Bestandsaufnahme: Welche KI-Tools werden bereits genutzt, von wem und wofür?
- Anbieter auswählen: Business-Angebot mit AVV, klarer Regelung zum Training und möglichst Datenverarbeitung in der EU.
- Drittlandtransfer prüfen: Zertifizierung nach dem Data Privacy Framework, Standardvertragsklauseln, Unterauftragnehmer.
- Rechtsgrundlage und Zweck festlegen und im Verarbeitungsverzeichnis dokumentieren.
- Prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist.
- Interne KI-Richtlinie schreiben: erlaubte Tools, verbotene Datenkategorien, Prüfpflichten.
- Betriebsrat frühzeitig einbinden, falls vorhanden.
- Mitarbeitende schulen und die Regeln regelmäßig überprüfen.
Unterstützung durch Simplify Data
Simplify Data aus Kiel begleitet Unternehmen bei der technischen Einführung von KI-Assistenten und Automatisierungen, zum Beispiel mit n8n. Dazu gehören die Auswahl geeigneter Dienste, die Anbindung an bestehende Systeme und Konzepte, die den Datenabfluss begrenzen. Die rechtliche Bewertung stimmen Sie bitte mit Ihrer Datenschutzberatung ab. Mehr erfahren Sie auf unserer Seite zu KI und Automatisierung.