Generative KI ist in den Büroalltag eingezogen – oft schneller, als die Datenschutzorganisation hinterherkommt. Mitarbeiter werfen Kundenmails, Vertragsentwürfe oder Personaldaten in einen Chatbot, weil es praktisch ist. Doch sobald personenbezogene Daten in ein KI-Tool gelangen, greift die DSGVO mit ihrer vollen Wucht. Dieser Artikel erklärt, was beim Einsatz von ChatGPT, Claude, Gemini & Co. datenschutzrechtlich gilt und wie Unternehmen 2026 rechtssicher damit umgehen.
Warum jeder Prompt eine Datenverarbeitung sein kann
Die DSGVO greift, sobald Informationen verarbeitet werden, die sich auf eine identifizierbare Person beziehen. Tippt ein Mitarbeiter „Fasse diese Kundenbeschwerde von Frau Müller zusammen" in ein KI-Tool, hat er bereits personenbezogene Daten an einen externen Dienstleister übermittelt. Das ist nicht automatisch verboten – aber es muss auf einer Rechtsgrundlage beruhen, dokumentiert sein und der Anbieter muss als Auftragsverarbeiter eingebunden sein.
Das Grundproblem: Bei vielen kostenlosen Consumer-Versionen von KI-Diensten werden Eingaben standardmäßig zum Training der Modelle weiterverwendet. Damit verlieren Unternehmen die Kontrolle über die Daten – ein klarer DSGVO-Verstoß, wenn es sich um personenbezogene oder vertrauliche Informationen handelt.
Die richtige Vertragsbasis: AVV und Enterprise-Tarife
Wer KI geschäftlich mit personenbezogenen Daten einsetzt, braucht einen Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO mit dem Anbieter. Seriöse Anbieter stellen einen solchen Vertrag in ihren Business- und Enterprise-Tarifen bereit und sagen dort vertraglich zu, Eingaben nicht zum Training zu verwenden. Genau das ist der entscheidende Unterschied zwischen der Gratis-App und einem geschäftstauglichen Tarif.
Prüfen Sie vor dem Einsatz:
- Gibt es einen abschließbaren AVV?
- Sind die eingegebenen Daten vom Modelltraining ausgenommen?
- Wo werden die Daten gespeichert und wie lange?
- Welche Subunternehmer setzt der Anbieter ein?
Das Thema Drittlandtransfer
Die meisten großen KI-Anbieter sitzen in den USA. Eine Übermittlung personenbezogener Daten dorthin ist nur zulässig, wenn ein angemessenes Schutzniveau besteht. Seit 2023 stützt sich das auf das EU-US Data Privacy Framework: US-Unternehmen, die sich zertifiziert haben, gelten als angemessen sicher. Ergänzend kommen Standardvertragsklauseln zum Einsatz. Prüfen Sie, ob Ihr Anbieter unter dem Framework zertifiziert ist oder ob er eine EU-Datenresidenz anbietet, bei der Daten das EU-Gebiet nicht verlassen. Letzteres ist datenschutzrechtlich der saubersten Weg.
Datenminimierung: Die wirksamste Schutzmaßnahme
Die einfachste Regel ist zugleich die wirksamste: Geben Sie schlicht keine personenbezogenen oder vertraulichen Daten in KI-Tools ein, wenn es nicht zwingend nötig ist. Das Prinzip der Datenminimierung (Art. 5 DSGVO) verlangt ohnehin, nur so viele Daten zu verarbeiten wie erforderlich. Praktisch heißt das:
- Anonymisieren: Ersetzen Sie echte Namen, Adressen und Vertragsnummern durch Platzhalter wie „Kunde A".
- Aggregieren: Arbeiten Sie mit Mustern und Beispielen statt mit echten Einzelfällen.
- Trennen: Verbinden Sie sensible Datenbestände nie unnötig mit KI-Diensten.
Ein anonymisierter Prompt ist nicht nur datenschutzkonform, er liefert oft genauso gute Ergebnisse, weil das Modell den fiktiven Namen ebenso verarbeiten kann wie den echten.
Besondere Vorsicht bei sensiblen Daten
Gesundheitsdaten, Daten zu politischer Meinung, religiöser Überzeugung, Gewerkschaftszugehörigkeit oder sexueller Orientierung gehören zu den besonderen Kategorien nach Artikel 9 DSGVO. Für sie gelten verschärfte Voraussetzungen. Solche Daten in ein KI-Tool zu geben, ist nur in sehr engen Ausnahmefällen zulässig und sollte ohne ausdrückliche rechtliche Grundlage grundsätzlich unterbleiben. Das betrifft auch scheinbar harmlose Fälle – etwa wenn eine Krankmeldung oder ein Betriebsratsschreiben zur Zusammenfassung eingegeben wird.
Automatisierte Entscheidungen und Betroffenenrechte
Artikel 22 DSGVO gibt Menschen das Recht, nicht ausschließlich einer automatisierten Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet – etwa eine vollautomatische Ablehnung einer Bewerbung oder eines Kredits durch KI. Hier braucht es eine echte menschliche Prüfung. Außerdem behalten Betroffene ihre üblichen Rechte: Auskunft, Berichtigung und Löschung. Das ist bei KI-Diensten technisch anspruchsvoll, weil Daten in Modellen schwer zu lokalisieren sind – ein weiteres Argument, gar nicht erst personenbezogene Daten einzuspeisen.
Eine praktikable KI-Datenschutz-Checkliste
- Nur geschäftstaugliche Tarife mit AVV und Trainings-Opt-out nutzen.
- Prüfen, ob der Anbieter unter dem Data Privacy Framework zertifiziert ist oder EU-Datenresidenz bietet.
- Personenbezogene Daten vor dem Prompten anonymisieren.
- Sensible Daten nach Art. 9 grundsätzlich nicht eingeben.
- KI-Nutzung im Verzeichnis von Verarbeitungstätigkeiten erfassen.
- Mitarbeitende schulen und eine verbindliche interne Richtlinie aufsetzen.
Wer den wirtschaftlichen Nutzen eines KI-Tools abwägt, kann ihn vorab mit dem KI-Zeitersparnis-ROI-Rechner beziffern. Weitere Helfer finden Sie im Webtools-Bereich; rechtliche Grundlagen vertieft unser Beitrag in den News.
Häufige Fragen
Darf ich Kundendaten in ChatGPT eingeben?
Nur unter strengen Bedingungen: mit einem geschäftlichen Tarif, abgeschlossenem AVV und Trainings-Opt-out – und idealerweise nach Anonymisierung. In der kostenlosen Consumer-Version sollten Sie keine echten personenbezogenen Kundendaten eingeben.
Reicht es, wenn der Anbieter US-zertifiziert ist?
Die Zertifizierung unter dem EU-US Data Privacy Framework ist eine notwendige Grundlage für den Datentransfer, ersetzt aber nicht die übrigen Pflichten wie AVV, Rechtsgrundlage und Datenminimierung. Sie ist ein Baustein, nicht die ganze Lösung.
Muss ich KI-Nutzung in der Datenschutzerklärung erwähnen?
Wenn KI-Systeme personenbezogene Daten von Kunden oder Websitebesuchern verarbeiten – etwa ein KI-Chatbot auf der Website – ja. Die Verarbeitung gehört dann transparent in die Datenschutzerklärung und ins Verzeichnis von Verarbeitungstätigkeiten.
Hinweis: Dieser Artikel bietet eine allgemeine Orientierung zum Stand 2026 und ersetzt keine individuelle Rechtsberatung. Klären Sie konkrete Einsatzszenarien mit Ihrer Datenschutzaufsicht oder einem Fachanwalt.