KI DSGVO-konform einsetzen: der Praxisleitfaden
„Dürfen wir ChatGPT dafür überhaupt nutzen?” Kaum eine Frage fällt in Digitalisierungsprojekten so früh — und wird so selten sauber beantwortet. Die kurze Antwort: Ja, Unternehmen können KI DSGVO-konform einsetzen. Die DSGVO verbietet keine Technologie; sie knüpft Pflichten an die Verarbeitung personenbezogener Daten — egal, ob die in einer Excel-Tabelle oder in einem Sprachmodell landen. Was das konkret heißt, lässt sich in einer Grundregel und fünf Pflichten fassen. Dieser Leitfaden geht sie durch, beantwortet die ChatGPT-Frage ehrlich und zeigt den Weg, auf dem die meisten Datenschutzfragen gar nicht erst entstehen.
Die Grundregel: Es gibt keine „DSGVO-konforme KI”
Konform oder nicht ist nie das Produkt, sondern immer der konkrete Einsatz. Dasselbe Modell kann völlig unkritisch sein — Marketingtexte ohne jeden Personenbezug — oder hochproblematisch, etwa wenn Bewerbungsunterlagen in den Chat kopiert werden. Die DSGVO greift in dem Moment, in dem personenbezogene Daten verarbeitet werden: Namen, E-Mail-Adressen, Kundennummern, Stimmen, Fotos. Auch dann, wenn sie „nur” im Prompt stehen.
Wer KI einführen will, beantwortet deshalb zuerst zwei Fragen: Fließen personenbezogene Daten hinein? Und wenn ja — auf welcher Grundlage, zu welchem Anbieter, mit welchen Schutzmaßnahmen? Die Grundsätze aus Art. 5 DSGVO gelten dabei unverändert: Zweckbindung, Datenminimierung, Transparenz. Oft ist die wirksamste Maßnahme die banalste — Daten, die das Modell für die Aufgabe nicht braucht, gehören gar nicht erst in den Prompt.
Die fünf Pflichten vor dem Start
1. Rechtsgrundlage klären (Art. 6 DSGVO). Für die meisten betrieblichen KI-Anwendungen trägt das berechtigte Interesse — der Europäische Datenschutzausschuss hat das in seiner Stellungnahme 28/2024 ausdrücklich bestätigt, verlangt aber eine dokumentierte Abwägung. Einwilligungen sind im Unternehmenskontext die fragilste Grundlage: Sie sind jederzeit widerruflich, und gegenüber Beschäftigten selten wirklich freiwillig.
2. Auftragsverarbeitungsvertrag abschließen (Art. 28 DSGVO). Ein Cloud-KI-Anbieter, der Ihre Daten verarbeitet, ist Auftragsverarbeiter — ohne AVV geht nichts. Business- und Enterprise-Tarife sowie API-Zugänge bieten diesen Vertrag standardmäßig, private Accounts nicht. Das ist die erste rote Linie: keine Privat-Accounts für Firmendaten.
3. Trainingsnutzung ausschließen. In den Consumer-Versionen von ChatGPT & Co. werden Eingaben standardmäßig für das Modelltraining verwendet. Business-Varianten und API schließen das vertraglich aus. Wer Kunden- oder Beschäftigtendaten in ein Werkzeug gibt, das daraus lernt, hat die Kontrolle über diese Daten faktisch abgegeben.
4. Datenschutz-Folgenabschätzung prüfen (Art. 35 DSGVO). Bei neuartiger Technologie und systematischer Verarbeitung ist eine DSFA häufig Pflicht — bei LLM-Einsatz auf Personendaten im Zweifel: durchführen. Der Aufwand liegt zwischen einem halben Tag und wenigen Tagen, und ehrlicherweise ist sie ohnehin wertvoll: Sie zwingt dazu, den Anwendungsfall einmal strukturiert zu Ende zu denken.
5. Transparenz und Kompetenz herstellen. Die Datenschutzerklärung und interne Informationen müssen den KI-Einsatz abbilden (Art. 13 DSGVO), eine kurze KI-Richtlinie regelt, was erlaubt ist und was nicht. Und die Schulung der Beschäftigten ist keine Kür mehr: Art. 4 der KI-Verordnung verpflichtet Unternehmen seit Februar 2025, für ausreichende „KI-Kompetenz” aller zu sorgen, die mit KI-Systemen arbeiten.
Ist ChatGPT DSGVO-konform?
Die ehrliche Antwort: Die Frage ist falsch gestellt — konform ist ein Einsatz, kein Produkt. ChatGPT ist, wie Microsoft Copilot oder Google Gemini, DSGVO-konform einsetzbar, wenn der Rahmen stimmt: Business-Tarif mit AVV und Trainingsausschluss, EU-Datenregion wo verfügbar, klare interne Regeln — und besondere Datenkategorien wie Gesundheitsdaten bleiben ohne gesonderte Prüfung außen vor. Ohne diesen Rahmen, mit Privat-Account und Kundendaten im Prompt, ist derselbe Dienst ein Datenschutzvorfall mit Ansage.
Die praxisnächste deutsche Referenz dafür ist die Orientierungshilfe „Künstliche Intelligenz und Datenschutz” der Datenschutzkonferenz (DSK): eine Checkliste der Aufsichtsbehörden selbst, von der Anbieterauswahl bis zum laufenden Betrieb — wer sich daran entlangarbeitet, argumentiert später gegenüber genau diesen Behörden.
Was die KI-Verordnung zusätzlich verlangt
Neben der DSGVO gilt seit August 2024 die europäische KI-Verordnung — gestuft. Verbotene Praktiken (etwa Emotionserkennung am Arbeitsplatz) und die erwähnte Schulungspflicht gelten seit Februar 2025. Ab dem 2. August 2026 kommen die Transparenzpflichten hinzu: Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte sind in bestimmten Fällen zu kennzeichnen. Die aufwendigen Hochrisiko-Pflichten dagegen betreffen typische Mittelstands-Anwendungen selten — und die EU verschiebt sie mit dem Digital-Omnibus-Paket ohnehin auf Ende 2027. Für Textassistenz, Automatisierung und interne Suche bleibt das eigentliche Pflichtenheft also die DSGVO, nicht die KI-VO.
Der Königsweg: Daten, die das Haus nie verlassen
Es gibt einen Ansatz, mit dem die Anbieterfragen von oben weitgehend entfallen: offene Modelle selbst betreiben. Läuft das Sprachmodell auf eigener Infrastruktur oder einem gemieteten GPU-Server (ab rund 200 € im Monat), gibt es keinen Auftragsverarbeiter, keine Drittlandübermittlung und keine Trainingsfrage — die Daten verlassen das Haus schlicht nicht. Ehrlich bleiben muss man auch hier: Selbst betreiben heißt betreiben, und offene Modelle sind den größten Cloud-Modellen bei manchen Aufgaben unterlegen. Für viele Mittelstands-Anwendungen — Dokumente klassifizieren, Daten extrahieren, interne Suche — sind sie längst gut genug, und sie fügen sich sauber in selbst gehostete Automatisierung ein, wie wir sie im Artikel über DSGVO-freundliche Zapier-Alternativen beschrieben haben.
Checkliste: KI DSGVO-konform einführen
- Anwendungsfall beschreiben: Welche Daten, welcher Zweck, wer hat Zugriff?
- Personenbezug minimieren: Was das Modell nicht braucht, kommt nicht in den Prompt.
- Rechtsgrundlage festlegen und die Abwägung dokumentieren.
- Anbieter-Setup prüfen: Business-Tarif, AVV, Trainingsausschluss, EU-Datenregion.
- DSFA-Pflicht prüfen — im Zweifel durchführen.
- Datenschutzerklärung und interne Information aktualisieren.
- KI-Richtlinie und Schulung aufsetzen (Pflicht seit Februar 2025).
- Transparenzpflichten ab August 2026 einplanen: Chatbot-Kennzeichnung, generierte Inhalte.
Der DSGVO-konforme KI-Einsatz ist damit vor allem eines: Projektarbeit mit klaren Schritten, keine unlösbare Rechtsfrage. Wie der Einstieg insgesamt strukturiert gelingt — vom Anwendungsfall über den Piloten bis zur Anbieterauswahl — steht im Leitfaden zur KI-Beratung für den Mittelstand. Und eine Einordnung zum Schluss: Dieser Artikel ersetzt keine Rechtsberatung im Einzelfall — für die verbindliche Prüfung gehören Datenschutzbeauftragte oder Fachanwalt an den Tisch.