KI-Tools wie ChatGPT, Claude oder Copilot sind längst im Arbeitsalltag angekommen — auch im Mittelstand in Aalen und im Ostalbkreis. Doch sobald deine Mitarbeiter Kundendaten, Bewerbungen oder interne Dokumente in ein KI-Tool eingeben, ist der Datenschutz im Spiel. Und genau hier herrscht in vielen Unternehmen Unsicherheit: Was ist erlaubt? Was ist riskant? Und wo fängt man überhaupt an?
Die gute Nachricht: DSGVO-konformer KI-Einsatz ist kein Hexenwerk. Du brauchst keine eigene Rechtsabteilung und kein Großkonzern-Budget — sondern sechs Bausteine, die aufeinander aufbauen. Dieser Artikel gibt dir den kompletten Überblick: von der Frage, wann die DSGVO überhaupt greift, über die Tool-Wahl bis zur Dokumentation. Zu den wichtigsten Bausteinen findest du hier verlinkte Detail-Artikel, wenn du tiefer einsteigen willst.
Baustein 1: Wann greift die DSGVO beim KI-Einsatz überhaupt?
Die DSGVO greift immer dann, wenn personenbezogene Daten verarbeitet werden — also alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Beim KI-Einsatz passiert das schneller, als viele denken:
- Du lässt eine Kunden-E-Mail von ChatGPT beantworten — Name, E-Mail-Adresse und Anliegen sind personenbezogene Daten.
- Du fasst Bewerbungsunterlagen mit KI zusammen — Bewerberdaten sind besonders heikel.
- Du analysierst einen CRM-Export oder eine Kundenliste — eindeutig DSGVO-Territorium.
Nicht unter die DSGVO fallen dagegen rein sachliche Inhalte ohne Personenbezug: allgemeine Textentwürfe, Produktbeschreibungen, Code oder sauber anonymisierte Daten. In der Praxis gilt aber: Sobald dein Team KI frei nutzt, landen früher oder später personenbezogene Daten in den Prompts. Geh deshalb davon aus, dass die DSGVO für deinen KI-Einsatz relevant ist — und setze die folgenden fünf Bausteine um.
Baustein 2: Rechtsgrundlage klären und AV-Vertrag abschließen
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Beim KI-Einsatz im Unternehmen kommen vor allem zwei infrage:
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): die häufigste Grundlage im Geschäftsalltag, etwa für effizientere Kundenkommunikation. Voraussetzung ist eine dokumentierte Interessenabwägung — dein Interesse muss die Rechte der Betroffenen überwiegen.
- Vertragserfüllung (Art. 6 Abs. 1 lit. b): wenn die KI-Nutzung direkt dazu dient, einen Vertrag mit der betroffenen Person zu erfüllen.
Die Einwilligung (lit. a) ist im Unternehmenskontext meist die schwächste Option, weil sie jederzeit widerrufen werden kann.
Der zweite Pflichtpunkt: der Auftragsverarbeitungsvertrag (AV-Vertrag) nach Art. 28 DSGVO. Sobald ein KI-Anbieter personenbezogene Daten in deinem Auftrag verarbeitet — und das tut praktisch jeder Cloud-Anbieter —, brauchst du diesen Vertrag. Seriöse Business-Angebote stellen ihn standardmäßig bereit; bei kostenlosen Privat-Accounts fehlt er in der Regel komplett. Prüfe außerdem, wo die Daten verarbeitet werden und ob eine Übermittlung in Drittländer wie die USA stattfindet — dafür gelten zusätzliche Anforderungen.
Baustein 3: Das richtige Tool wählen — drei Wege
Für DSGVO-konforme KI gibt es drei grundsätzliche Wege. Welcher zu dir passt, hängt von der Sensibilität deiner Daten, deinem Budget und deinen Anforderungen ab.
Weg 1: Business-Tarife der großen Anbieter
ChatGPT Team oder Enterprise, Claude for Work und Microsoft 365 Copilot bieten AV-Verträge und schließen vertraglich aus, dass deine Eingaben zum Training der Modelle verwendet werden. Für viele Unternehmen ist das der pragmatischste Einstieg. Welche Tarife was leisten und worauf du bei den AV-Verträgen der Anbieter achten musst, liest du im Detail-Artikel ChatGPT DSGVO-konform im Unternehmen nutzen.
Weg 2: Europäische KI-Plattformen
Deutsche und europäische Anbieter hosten in der EU, unterliegen direkt europäischem Recht und bündeln oft mehrere KI-Modelle unter einer Oberfläche mit zentraler Rechteverwaltung. Ein Beispiel aus Deutschland stelle ich dir im Artikel Langdock: Die DSGVO-konforme KI-Plattform ausführlich vor.
Weg 3: Lokale KI im eigenen Haus
Open-Source-Modelle laufen auf eigener Hardware — deine Daten verlassen das Unternehmen nie. Das ist die konsequenteste Lösung für besonders sensible Daten, verlangt aber etwas mehr technisches Investment. Was heute realistisch machbar ist, zeigt der Artikel Lokale KI im Mittelstand.
Ein Sonderfall: Soll die KI mit deinem eigenen Firmenwissen arbeiten — Angebote, Handbücher, Prozessdokumentation —, führt der Weg meist über eine RAG-Wissensdatenbank. Wie du die datenschutzkonform aufbaust, erklärt der Artikel DSGVO-konforme Wissensdatenbank.
Baustein 4: Datenklassen definieren und interne Regeln aufstellen
Das beste Tool nützt nichts, wenn niemand weiß, welche Daten hinein dürfen. Bewährt hat sich ein einfaches Ampelsystem, das jeder im Team ohne Jura-Studium versteht:
- Grün: öffentliche und rein sachliche Inhalte — Texte, Recherchen, Code, Marketingideen. Frei nutzbar in freigegebenen Tools.
- Gelb: interne Geschäftsdaten ohne Personenbezug — Kalkulationen, Strategien, Prozesse. Nur in Tools mit AV-Vertrag.
- Rot: personenbezogene und besonders sensible Daten — Kundendaten, Bewerbungen, Gesundheitsdaten. Nur in explizit dafür geprüfte Umgebungen, im Zweifel gar nicht.
Diese Regeln gehören schriftlich fixiert — inklusive freigegebener Tools, Verantwortlichkeiten und einem klaren Ansprechpartner für Fragen. Der wichtigste Effekt ist psychologisch: deine Mitarbeiter nutzen KI ohnehin, oft heimlich mit privaten Accounts. Klare Regeln holen diese Schatten-Nutzung ans Licht und lenken sie in sichere Bahnen. Eine Schritt-für-Schritt-Anleitung samt Struktur findest du im Artikel KI-Richtlinie im Unternehmen erstellen.
Baustein 5: Team schulen — Pflicht nach Art. 4 AI Act
Hier kommt neben der DSGVO die zweite Rechtsquelle ins Spiel: Seit dem 2. Februar 2025 verpflichtet Art. 4 der EU-KI-Verordnung (AI Act) Unternehmen, die KI einsetzen, für ausreichende KI-Kompetenz ihrer Mitarbeiter zu sorgen. Ein starres Pflicht-Curriculum gibt es nicht — die Maßnahmen müssen zur Rolle und zur konkreten KI-Nutzung passen. Ein Vertriebsmitarbeiter braucht andere Inhalte als die IT oder die Geschäftsführung. Auch wenn Art. 4 keine explizite Dokumentationspflicht nennt: Halte fest, wer wann wozu geschult wurde.
Die Schulung ist dabei kein reiner Pflichttermin, sondern der Baustein mit dem größten Praxisnutzen. Wer versteht, warum Kundendaten nicht in den freien Chatbot gehören und wie man Prompts ohne Personenbezug formuliert, macht im Alltag schlicht weniger Fehler — und nutzt die Werkzeuge gleichzeitig deutlich produktiver.
Welche weiteren Pflichten aus dem AI Act auf kleine und mittlere Unternehmen zukommen, liest du im Artikel EU AI Act: Diese Pflichten gelten für KMU. Und wenn du Schulung und Praxiseinstieg verbinden willst: Genau dafür gibt es meinen KI-Workshop für Teams.
Baustein 6: Dokumentation — Verarbeitungsverzeichnis und DSFA
Der letzte Baustein ist unspektakulär, aber entscheidend, wenn die Aufsichtsbehörde fragt: die Dokumentation.
- Verarbeitungsverzeichnis (Art. 30 DSGVO): Nimm deine KI-Verarbeitungen in dein Verzeichnis von Verarbeitungstätigkeiten auf — mit Zweck, Datenkategorien, Empfängern und Löschfristen. Das Verzeichnis existiert in den meisten Unternehmen bereits, es muss nur um die KI-Anwendungen ergänzt werden.
- Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Eine DSFA ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen birgt — etwa bei systematischer Bewertung von Personen oder umfangreicher Verarbeitung sensibler Daten. Für einen einfachen Text-Assistenten mit Ampelregeln ist sie oft nicht nötig; dokumentiere aber die Prüfung, warum nicht.
Ein wertvoller Kompass für all das ist die Orientierungshilfe „Künstliche Intelligenz und Datenschutz" der Datenschutzkonferenz (DSK) vom 6. Mai 2024 — der offizielle Leitfaden der deutschen Aufsichtsbehörden mit Schwerpunkt auf Sprachmodellen und Chatbots. Wer sich daran orientiert, argumentiert im Zweifel auf der Linie der Behörden, die später prüfen.
Hinweis: Dieser Artikel gibt einen praxisorientierten Überblick, ersetzt aber keine Rechtsberatung im Einzelfall. Bei konkreten rechtlichen Fragen sprich mit einem Fachanwalt oder deinem Datenschutzbeauftragten.
Häufige Fragen
Ist ChatGPT DSGVO-konform?
Pauschal weder ja noch nein — es hängt vom Tarif und von deiner Umsetzung ab. Die kostenlose Version ohne AV-Vertrag ist für personenbezogene Daten tabu. Mit Team- oder Enterprise-Tarif, abgeschlossenem AV-Vertrag, deaktiviertem Training und klaren internen Regeln lässt sich ChatGPT dagegen datenschutzkonform betreiben. Die Details stehen im ChatGPT-DSGVO-Artikel.
Darf ich Kundendaten in KI-Tools eingeben?
Nur wenn drei Bedingungen erfüllt sind: Es gibt eine Rechtsgrundlage nach Art. 6 DSGVO, mit dem Anbieter besteht ein AV-Vertrag nach Art. 28 DSGVO, und deine internen Regeln erlauben es für diese Datenklasse. Fehlt eine der drei Voraussetzungen, gilt: erst anonymisieren oder gar nicht eingeben.
Brauche ich eine Datenschutz-Folgenabschätzung für KI?
Nicht automatisch. Eine DSFA nach Art. 35 DSGVO ist nur Pflicht, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene birgt — zum Beispiel bei automatisierter Bewertung von Bewerbern oder Kunden. Für viele Assistenz-Anwendungen reicht eine dokumentierte Vorprüfung mit dem Ergebnis, dass keine DSFA erforderlich ist.
Reicht es, ein DSGVO-konformes Tool zu kaufen?
Nein. Das Tool ist nur einer von sechs Bausteinen. Ohne Rechtsgrundlage, interne Regeln, geschulte Mitarbeiter und Dokumentation bleibt auch das beste Tool ein Compliance-Risiko — denn die meisten Datenschutzverstöße entstehen durch unbedachte Nutzung, nicht durch die Technik selbst.
Fazit
DSGVO-konforme KI ist ein System aus sechs Bausteinen, kein einzelner Kauf: prüfen, wann die DSGVO greift, Rechtsgrundlage und AV-Vertrag klären, das passende Tool wählen, Datenklassen und Regeln festlegen, das Team schulen und alles sauber dokumentieren. Jeder einzelne Schritt ist überschaubar — zusammen ergeben sie einen KI-Einsatz, der Produktivität bringt, ohne dich angreifbar zu machen.
Wenn du dabei Unterstützung willst, die auf den Mittelstand zugeschnitten ist: In meiner KI-Beratung gehen wir die sechs Bausteine gemeinsam für dein Unternehmen durch — von der Tool-Auswahl bis zur fertigen Richtlinie. Melde dich einfach für ein unverbindliches Erstgespräch.