|
Getting your Trinity Audio player ready...
|
DSGVO und KI gelten vielen Unternehmen als Gegensatz – dabei schließen sie sich nicht aus, sondern verlangen nur klare Regeln. Die häufigste Frage in der Praxis lautet: Welche Daten dürfen wir an ChatGPT, Gemini oder Claude schicken? Die kurze Antwort überrascht viele: in den meisten Fällen mehr als gedacht – vorausgesetzt, Vertrag und Tarif stimmen.
Entscheidend sind drei Faktoren, die zusammenwirken: ein Auftragsverarbeitungsvertrag mit dem Anbieter, der gebuchte Tarif und die Frage, ob die eigenen Eingaben zum Training der Modelle verwendet werden. Wer diese drei Punkte versteht, setzt KI produktiv und rechtssicher ein, statt sie aus diffuser Sorge ganz zu meiden.
Die drei Faktoren der DSGVO-Konformität
Ob eine Eingabe DSGVO-konform ist, hängt selten am Inhalt allein, sondern am Rahmen. Der erste Faktor ist der Auftragsverarbeitungsvertrag: Ohne ihn verarbeitet der Anbieter personenbezogene Daten ohne Rechtsgrundlage. Der zweite ist der Tarif – in Free- und Plus-Tarifen werden Eingaben standardmäßig zum Training genutzt, in Team- und Enterprise-Tarifen nicht.
Der dritte Faktor ist die Frage des Modell-Trainings. Solange Eingaben in das Training fließen, verlassen sie faktisch die eigene Kontrolle. Wird das Training vertraglich abgeschaltet, bleibt die Verarbeitung auf den konkreten Zweck begrenzt. Diese drei Punkte gemeinsam bilden das Fundament jeder DSGVO-konformen KI-Nutzung.
Welche Daten erlaubt sind – und welche tabu
Mit Team- oder Enterprise-Tarif und unterschriebenem Vertrag ist deutlich mehr erlaubt, als viele annehmen – sofern die eigene Datenschutz-Folgenabschätzung den Anwendungsfall deckt. Die folgende Übersicht zeigt, was erlaubt, heikel oder tabu ist:
Die Faustregel ist einfach: Was Sie einem externen Dienstleister per E-Mail anvertrauen würden, dürfen Sie meist auch einem vertraglich gebundenen KI-Anbieter geben. Was Sie dort niemals hinschicken würden, gehört auch nicht in den Prompt.
Anonymisierung und Pseudonymisierung – der praktische Unterschied
Ein Begriffspaar sorgt für die meisten Missverständnisse: Anonymisierung und Pseudonymisierung. Anonymisierte Daten lassen keinen Rückschluss mehr auf eine Person zu und fallen aus dem Anwendungsbereich der DSGVO heraus. Pseudonymisierte Daten bleiben dagegen personenbezogen, weil sich der Bezug mit einem Schlüssel wiederherstellen lässt – sie unterliegen weiterhin allen Pflichten.
Für den KI-Einsatz heißt das: Je gründlicher Sie Klarnamen, Kundennummern und Adressen vor der Eingabe entfernen oder durch Platzhalter ersetzen, desto kleiner wird das Risiko. Ein Vertrag, der „Kunde A“ statt des echten Namens enthält, lässt sich meist gefahrlos zusammenfassen.
Die praktische Regel lautet: so viel wie nötig, so wenig wie möglich. Wer Daten vor der Eingabe konsequent reduziert, erfüllt die Datenminimierung der DSGVO und verbessert oft sogar die Qualität der KI-Antwort.
EU-Serverstandort und internationale Datenübermittlung
Viele führende KI-Anbieter sitzen außerhalb der EU. Damit stellt sich die Frage der internationalen Datenübermittlung: Werden Daten in ein Drittland übertragen, braucht es eine geeignete Rechtsgrundlage wie Standardvertragsklauseln oder einen Angemessenheitsbeschluss.
Praktisch entscheidend ist der Serverstandort. Mehrere Anbieter ermöglichen inzwischen eine Verarbeitung innerhalb der EU. Wo das möglich ist, sollte es genutzt werden, weil es die rechtliche Lage erheblich vereinfacht und das Vertrauen der eigenen Kunden stärkt.
Prüfen Sie vor der Einführung drei Punkte: Wo werden die Daten verarbeitet, welche Vertragsgrundlage deckt die Übermittlung, und lässt sich die EU-Verarbeitung aktiv einstellen. Diese Klärung gehört an den Anfang eines KI-Projekts, nicht ans Ende.
Die häufigsten Fehler – und wie Sie sie vermeiden
In der Praxis scheitert DSGVO-Konformität selten an bösem Willen, sondern an wiederkehrenden Nachlässigkeiten: ein Free-Tarif für Geschäftsdaten, ein fehlender Auftragsverarbeitungsvertrag, nicht deaktiviertes Training oder eine fehlende interne Richtlinie.
Die gute Nachricht: Alle diese Fehler lassen sich mit der Checkliste oben in wenigen Tagen ausräumen. Wer Tarif, Vertrag, Einstellung, Richtlinie und Schulung einmal sauber aufsetzt, nutzt KI danach mit ruhigem Gewissen.
Praxisbeispiel: DSGVO-konforme KI in der Kanzlei
Wie das in der Praxis aussieht, zeigt eine kleine Steuerkanzlei. Sie wollte KI für die Mandantenkommunikation und das Zusammenfassen von Unterlagen nutzen, hatte aber Sorge vor Datenschutzverstößen. Der Weg war pragmatisch: ein Business-Tarif mit Auftragsverarbeitungsvertrag, deaktiviertes Training und eine klare Liste, welche Daten hinein dürfen.
Sensible Mandantendaten werden vor der Eingabe pseudonymisiert – aus „Familie Huber” wird „Mandant A”. Die KI erstellt Entwürfe, die Kanzlei prüft und gibt frei. Das Ergebnis: spürbare Zeitersparnis bei voller Kontrolle, weil die Verarbeitung dokumentiert und auf den Zweck begrenzt ist.
Der entscheidende Punkt: Nicht das Werkzeug entscheidet über Datenschutz-Konformität, sondern der Rahmen, in dem es betrieben wird. Genau diesen Rahmen kann jedes KMU in wenigen Tagen schaffen.
Häufige Fragen zu DSGVO und KI
Dürfen wir kostenlose KI-Tools für Geschäftsdaten nutzen?
Nein. In Free- und Plus-Tarifen werden Eingaben standardmäßig zum Training genutzt. Für Geschäftsdaten ist ein Team- oder Enterprise-Tarif mit Vertrag nötig.
Brauchen wir immer eine Datenschutz-Folgenabschätzung?
Nicht für jede Nutzung, aber immer dann, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene bedeutet. Im Zweifel ist sie der sichere Weg.
Was passiert, wenn wir versehentlich sensible Daten eingeben?
Eingaben in einem Business-Tarif ohne Training verlassen den zweckgebundenen Rahmen nicht. Dennoch sollten besondere Kategorien nach Artikel 9 DSGVO grundsätzlich vermieden werden.
Wer haftet bei einem Datenschutzverstoß?
Verantwortlich bleibt das Unternehmen. Deshalb sind Vertrag, deaktiviertes Training und eine interne Richtlinie die wichtigsten Schutzmaßnahmen.
So setzen Sie KI rechtssicher ein
Das wirksamste Instrument ist keine Software, sondern eine kurze, klare interne Richtlinie. Sie regelt, welche Tools freigegeben sind, welche Daten hinein dürfen, welche niemals, wer verantwortlich ist und wie mit Zweifelsfällen umzugehen ist. Ergänzt um eine kurze Schulung wird daraus gelebte Praxis bei DSGVO und KI.
Eine begleitete KI-Beratung hilft, Richtlinie und Datenschutz-Folgenabschätzung auf den eigenen Betrieb zuzuschneiden. Verbindliche Informationen liefern die Österreichische Datenschutzbehörde und die Wirtschaftskammer Österreich.
DSGVO und KI sind kein Widerspruch: Mit dem richtigen Vertrag, dem richtigen Tarif und einer klaren Richtlinie wird Datenschutz vom Bremsklotz zum Wettbewerbsvorteil.
Weiterführend: Mehr dazu in rechtssicheren KI-Einsatz und EU AI Act.