KI-Tools und Datenschutz: so nutzt du KI DSGVO-konform

Inhalt dieser Seite

Gilt die DSGVO auch für KI-Tools?

Ja, die DSGVO gilt immer, wenn du personenbezogene Daten verarbeitest, und das schließt die Eingabe in KI-Werkzeuge ein. Personenbezogen sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO). Gibst du eine Kunden-E-Mail mit Namen und Anliegen in eine Text-KI ein, verarbeitest du personenbezogene Daten. Die KI-Verordnung der EU ändert daran nichts. Sie regelt andere Fragen, etwa Transparenz und Risiko.

Für dich als Verantwortlichen gelten damit die Grundsätze der DSGVO (Art. 5): Du brauchst einen klaren Zweck, eine Rechtsgrundlage, du verarbeitest nur so viele Daten wie nötig, informierst die Betroffenen und schützt die Daten angemessen.

Welche Daten darfst du in KI-Tools eingeben?

In KI-Tools darfst du ohne Weiteres Daten eingeben, die keinen Personenbezug haben, personenbezogene Daten dagegen nur mit Rechtsgrundlage und geregelter Datenverarbeitung beim Anbieter. Eine einfache Ampel hilft im Alltag:

Ampel	Daten	Beispiele
Grün	Ohne Personenbezug, nicht vertraulich	Allgemeine Texte, eigene Werbetexte, anonymisierte Beispiele
Gelb	Personenbezogen, nur mit Vertrag nach Art. 28 und Rechtsgrundlage	Kundenanfragen, Angebote mit Namen, Gesprächsnotizen
Rot	Besonders sensibel, nur nach sorgfältiger Prüfung	Gesundheitsdaten, Daten nach Art. 9 DSGVO, Berufsgeheimnisse, Bewerberdaten, Bankdaten

Besondere Kategorien personenbezogener Daten wie Gesundheit, Religion oder ethnische Herkunft dürfen nur unter den engen Voraussetzungen des Art. 9 DSGVO verarbeitet werden. Wer beruflich zur Verschwiegenheit verpflichtet ist, etwa in Heil- oder Beratungsberufen, muss zusätzlich § 203 StGB beachten.

Wann brauchst du einen Vertrag zur Auftragsverarbeitung?

Einen Vertrag zur Auftragsverarbeitung brauchst du, wenn der KI-Anbieter personenbezogene Daten in deinem Auftrag und nach deinen Weisungen verarbeitet (Art. 28 DSGVO). Das ist der typische Fall, wenn du ein KI-Werkzeug für Kundenanfragen, Protokolle oder Dokumente einsetzt.

• Business- oder Teamversionen: Viele Anbieter bieten dort einen Vertrag zur Auftragsverarbeitung an und schließen die Nutzung deiner Daten für Training aus.
• Kostenlose Verbraucherversionen: Oft gibt es keinen solchen Vertrag, und Eingaben können zur Verbesserung der Modelle genutzt werden. Für personenbezogene Daten sind sie meist ungeeignet.
• Unterauftragnehmer: Prüfe, welche weiteren Dienstleister der Anbieter einsetzt und wo sie sitzen.

Nutzt der Anbieter die Daten auch für eigene Zwecke, etwa zum Training seiner Modelle, ist er insoweit nicht mehr nur Auftragsverarbeiter. Dann reicht ein Vertrag nach Art. 28 nicht, und du brauchst für die Weitergabe eine eigene Rechtsgrundlage. Die Datenschutzkonferenz rät in ihrer Orientierungshilfe zu KI deshalb, solche Nutzungen auszuschließen.

Was gilt bei Anbietern außerhalb der EU?

Bei Anbietern außerhalb der EU darfst du personenbezogene Daten nur übermitteln, wenn für das Land ein Angemessenheitsbeschluss der EU-Kommission besteht oder andere geeignete Garantien vorliegen (Art. 44 bis 46 DSGVO). Viele bekannte KI-Werkzeuge stammen von Anbietern aus den USA.

• USA mit Zertifizierung: Für US-Unternehmen, die unter dem EU-US Data Privacy Framework zertifiziert sind, gilt der Angemessenheitsbeschluss vom 10.07.2023. Er gilt nach Angaben der EU-Kommission fort.
• Rechtliche Unsicherheit: Das Gericht der EU hat eine Klage gegen den Beschluss am 03.09.2025 abgewiesen. Dagegen ist ein Rechtsmittel beim Gerichtshof anhängig (C-703/25 P). Wann der Gerichtshof entscheidet, ist offen. Prüfe vor wichtigen Entscheidungen den aktuellen Stand, diese Angabe ist ohne Gewähr.
• Ohne Zertifizierung: Dann brauchst du andere Garantien, meist Standardvertragsklauseln, und eine Prüfung, ob sie im Zielland eingehalten werden können.
• EU-Rechenzentren: Manche Anbieter bieten eine Verarbeitung in der EU an. Das reduziert das Risiko, ersetzt aber nicht den Vertrag.

Praktisch heißt das für viele Gründer: Für erste Versuche ohne Kundendaten reicht eine Verbraucherversion mit abgeschaltetem Training. Sobald du mit echten Kundendaten arbeitest, lohnt sich ein Tarif mit Vertrag zur Auftragsverarbeitung und Verarbeitung in der EU oder in einem Land mit Angemessenheitsbeschluss.

Welche Einstellungen solltest du vornehmen?

Die wichtigsten Einstellungen sind, das Training mit deinen Eingaben abzuschalten, den Verlauf zu begrenzen und die Konten gut abzusichern. Das dauert wenige Minuten und senkt das Risiko deutlich.

• Nutzung deiner Eingaben für Training deaktivieren, wo möglich
• Speicherdauer des Verlaufs begrenzen oder alte Chats löschen
• Für das Team eine Business-Version mit zentraler Verwaltung nutzen
• Zwei-Faktor-Anmeldung aktivieren, keine geteilten Konten
• Erweiterungen und Verknüpfungen mit E-Mail oder Cloud nur gezielt freigeben
• Vertrag zur Auftragsverarbeitung abschließen und ablegen

Diese technischen und organisatorischen Maßnahmen sind Teil deiner Pflicht zur Sicherheit der Verarbeitung (Art. 32 DSGVO). Die Datenschutzkonferenz hat dazu 2025 eine eigene Orientierungshilfe veröffentlicht.

Wann wird KI datenschutzrechtlich heikel?

Heikel wird KI vor allem bei automatisierten Entscheidungen über Menschen, bei sensiblen Daten und bei umfangreicher Auswertung von Personen. In diesen Fällen solltest du genauer prüfen oder Fachberatung hinzuziehen.

• Automatisierte Entscheidungen: Entscheidungen, die ausschließlich automatisiert getroffen werden und Menschen rechtlich oder ähnlich erheblich betreffen, sind nur eingeschränkt zulässig (Art. 22 DSGVO). Beispiel: KI lehnt Bewerber oder Kunden ohne menschliche Prüfung ab.
• Datenschutz-Folgenabschätzung: Bei voraussichtlich hohem Risiko für Betroffene musst du vorab eine Folgenabschätzung durchführen (Art. 35 DSGVO).
• Bewerberdaten: KI zur Vorauswahl von Bewerbungen ist datenschutzrechtlich sensibel und gilt nach der KI-Verordnung ab dem 02.12.2027 als Hochrisiko-Anwendung.
• Aufzeichnungen: KI-Protokolle von Telefonaten oder Meetings brauchen eine Rechtsgrundlage und eine Information der Beteiligten.

Verstöße können teuer werden: Die DSGVO sieht Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5). Für kleine Betriebe fallen Bußgelder in der Praxis meist deutlich niedriger aus, dazu kommen aber Schadensersatzansprüche Betroffener.

Wie setzt du Datenschutz bei KI im Alltag um?

Im Alltag setzt du Datenschutz bei KI mit einer kurzen internen Richtlinie, sauberen Verträgen und einer angepassten Datenschutzerklärung um. Halte schriftlich fest, welche Werkzeuge erlaubt sind, welche Daten tabu sind und wer Ergebnisse prüft. Das hilft auch bei der KI-Kompetenz, die du nach der KI-Verordnung unterstützen musst. Mehr dazu im Ratgeber EU AI Act für Selbstständige.

Ergänze deine Datenschutzerklärung, sobald du Daten von Kunden oder Website-Besuchern mit KI verarbeitest (Art. 13 DSGVO). Grundlagen dazu im Ratgeber Impressum und Datenschutz für Gründer. Für Chatbots gibt es den Ratgeber Chatbots und KI im Kundenservice.

Wenn du aus der Arbeitslosigkeit gründest, kannst du im AVGS Gründercoaching in Modul 9 Digitalisierung und KI mit deinem Coach klare Regeln für IT-Sicherheit und Datenschutz festlegen. Ob ein Gutschein bewilligt wird, entscheidet die Agentur für Arbeit oder das Jobcenter im Einzelfall. Welche Förderung für dich passt, zeigt der Fördercheck. Bist du schon selbstständig, kannst du sichere KI-Abläufe im KI Coaching aufbauen.

Fragen zum sicheren KI-Einsatz in deinem Betrieb? Lass uns im kostenlosen Erstgespräch darüber sprechen. Diese Seite gibt den Stand vom 20.10.2026 wieder und ersetzt keine Rechtsberatung.

Fragen dazu? Dein CoachChristian BuschCoach für KI, Automatisierung und Prozesse