DSGVO bei KI-Tools: Was Unternehmen prüfen müssen
Auftragsverarbeitungsvertrag, Serverstandort und Trainingsnutzung – die zentralen DSGVO-Fragen beim Einsatz von KI-Tools im Unternehmen.
Russell ReiboldKurzfazit
Der DSGVO-konforme Einsatz eines KI-Tools steht und fällt mit vier Punkten: einem gültigen Auftragsverarbeitungsvertrag, Klarheit über den Verarbeitungsort, einer geklärten Frage zur Trainingsnutzung eigener Daten und einer Rechtsgrundlage für die konkrete Verarbeitung. Viele große Anbieter erfüllen das inzwischen für ihre Business-Tarife – im kostenlosen Consumer-Zugang gilt das aber oft nicht automatisch.
„DSGVO-konform" ist bei KI-Tools schnell behauptet und selten im Detail geprüft. Die folgenden vier Punkte solltest du dir vor dem Einsatz eines neuen Tools ansehen – unabhängig davon, wie vertrauenswürdig der Anbieter wirkt.
1. Auftragsverarbeitungsvertrag (AVV)
Verarbeitet ein KI-Tool personenbezogene Daten in deinem Auftrag, brauchst du in der Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Viele Anbieter stellen diesen nur für Business- oder Enterprise-Tarife bereit, nicht automatisch im kostenlosen Consumer-Zugang – ausführlicher am Beispiel von ChatGPT im Unternehmen.
2. Verarbeitungsort und Drittlandtransfer
Werden Daten außerhalb der EU verarbeitet, braucht es eine zusätzliche Rechtsgrundlage für den Transfer – etwa Standardvertragsklauseln oder ein Angemessenheitsbeschluss. Einige Anbieter bieten mittlerweile eine optionale EU-Datenresidenz an, meist beschränkt auf höhere Tarifstufen.
3. Nutzung deiner Daten zum Training
Prüfe, ob deine Eingaben zum Training des Modells verwendet werden dürfen – und ob sich das in den Kontoeinstellungen oder per Vertrag deaktivieren lässt. Für Business-Tarife schließen viele Anbieter das standardmäßig aus.
4. Rechtsgrundlage und Folgenabschätzung
Ein AVV allein reicht nicht: Es braucht zusätzlich eine Rechtsgrundlage für die konkrete Verarbeitung (z. B. berechtigtes Interesse oder Einwilligung) und je nach Risiko eine Datenschutz-Folgenabschätzung.
Praktisches Vorgehen
- Anbieter-Dokumentation zu AVV, Serverstandort und Trainingsnutzung sichten.
- Bei Unklarheiten direkt beim Anbieter nachfragen – viele haben dafür einen eigenen Trust-Center-Bereich.
- Ergebnis dokumentieren, bevor das Tool produktiv eingesetzt wird.
- Bei sensiblen Datenkategorien zusätzlich den Datenschutzbeauftragten einbeziehen.
Für eine erste, unverbindliche Einschätzung zu einem konkreten Tool kannst du unseren DSGVO-Check nutzen. Welche Daten dein Team danach überhaupt eingeben sollte – von unkritisch bis tabu –, fasst die KI-Daten-Ampel zusammen. Wie du KI-Tools grundsätzlich sinnvoll im Unternehmen einführst, zeigt Künstliche Intelligenz für Unternehmen; zur Frage, wie zuverlässig sich KI-Texte überhaupt erkennen lassen, mehr unter KI-Detektor.
Fazit
Ohne AVV geht nichts: Er ist die rechtliche Grundvoraussetzung für die Verarbeitung personenbezogener Daten, kein optionales Extra.
Verarbeitungsort separat klären: EU-Server bedeutet nicht automatisch DSGVO-konform, und ein US-Anbieter mit belegten Standardvertragsklauseln ist nicht automatisch unzulässig – die Prüfung ist immer eine im Einzelfall.
Trainingsnutzung ist eine eigene Frage: Kläre und dokumentiere, ob eure Eingaben ins Modelltraining einfließen, unabhängig vom Serverstandort.
Bei Unsicherheit eine Fachperson einbeziehen: Dieser Artikel ersetzt keine Rechtsberatung – bei komplexeren Datenverarbeitungen oder branchenspezifischen Anforderungen lohnt sich juristischer Rat vor dem Rollout.
Noch unsicher, welches Tool passt?
Der Tool-Finder empfiehlt dir in sechs Fragen passende Tools – oder rechne deine KI-Abo-Kosten aus.
So arbeiten wir
Preise, Limits und Datenschutzangaben stammen vorrangig aus offiziellen Herstellerquellen und werden mit Prüfdatum ausgewiesen. Wo eine Angabe nicht eindeutig zu belegen war, kennzeichnen wir das statt sie zu erfinden.
Mehr zu unserer Methodik →Häufige Fragen
Sobald das Tool personenbezogene Daten im Auftrag deines Unternehmens verarbeitet, ja. Für rein anonyme oder unternehmensinterne, nicht personenbezogene Anwendungsfälle kann das entfallen – im Zweifel empfiehlt sich eine Rücksprache mit dem Datenschutzbeauftragten.
Nein, das allein ist keine belastbare Zusage. Relevant sind ein konkreter, unterschreibbarer Auftragsverarbeitungsvertrag, Angaben zum Verarbeitungsort und – je nach Fall – eine Datenschutz-Folgenabschätzung. Eine reine Marketingaussage ersetzt das nicht.
Bei US-Anbietern sind Standardvertragsklauseln oder Zertifizierungen wie das EU-US Data Privacy Framework relevant. Bei Anbietern aus Ländern ohne Angemessenheitsbeschluss ist besondere Sorgfalt gefragt – im Zweifel sollte das rechtlich geprüft werden, bevor personenbezogene Daten eingegeben werden.
KI-Tools der Woche
Neue Tools, bessere Alternativen und wichtige Preisänderungen – einmal pro Woche, ohne Hype.
Buttons mit dem Etikett „Werbelink“ führen zu einem Affiliate-Link. Wenn du darüber ein Tool abonnierst, erhalten wir ggf. eine Provision – ohne Mehrkosten für dich und ohne Einfluss auf unsere Bewertung. Mehr dazu in der Transparenz-Erklärung.