Inhaltsverzeichnis
KI im Unternehmen datenschutzkonform einsetzen: klare Regeln für Tools, Daten und Verantwortung
Generative KI kann im Unternehmen sehr sinnvoll sein, auch aus Datenschutzsicht. Entscheidend ist aber nicht nur, welches Tool du nutzt, sondern wie du es einführst, absicherst und dokumentierst.
Aus datenschutzrechtlicher Sicht gilt: Private oder kostenlose KI-Zugänge sind fast nie die richtige Grundlage. Business-Versionen, ein AVV, klare interne Regeln und geschulte Mitarbeitende sind der bessere Startpunkt.
Warum Datenschutz beim KI-Einsatz schnell unterschätzt wird
KI ist längst im Arbeitsalltag angekommen. Mitarbeitende lassen Texte kürzen, E-Mails formulieren, Präsentationen strukturieren, Code prüfen oder Kundengespräche zusammenfassen. Laut aktuellen Bitkom-Erhebungen nutzen viele Unternehmen bereits generative KI-Tools wie Microsoft Copilot, ChatGPT, Google Gemini oder Claude. Gerade KMU holen sichtbar auf.
Das Problem entsteht oft nicht durch einen großen strategischen KI-Rollout, sondern durch kleine Alltagshandlungen. Jemand kopiert eine Kundenmail in ein privates ChatGPT-Konto. Ein Angebot wird in ein kostenloses Tool geladen. Ein Entwickler lässt Quellcode prüfen, ohne zu wissen, wie der Anbieter mit den Eingaben umgeht.
Dabei müssen es keine Geschäftsgeheimnisse sein. Schon Namen, E-Mail-Adressen, Kundendaten, Projektdaten, interne Dokumente oder Angebotsinhalte können personenbezogene Daten enthalten. Und sobald personenbezogene Daten verarbeitet werden, sind DSGVO, Informationspflichten, Rechtsgrundlage, Auftragsverarbeitung und technische Schutzmaßnahmen relevant.
Die wichtigste Grundregel: Keine privaten KI-Konten für Unternehmensdaten
Wenn du nur eine Sache aus diesem Artikel mitnimmst, dann bitte diese: Kostenlose oder private Versionen der meisten KI-Tools sind für Unternehmen in der Regel ungeeignet, sobald echte Unternehmensdaten oder personenbezogene Daten verarbeitet werden.
Der Grund ist recht einfach. Häufig fehlt ein Auftragsverarbeitungsvertrag, also ein AVV. Es gibt keine zentrale Benutzerverwaltung, keine ausreichenden Administrationsrechte, keine belastbaren Einstellungen zum Trainingsausschluss und oft keine klare Kontrolle über Speicherorte, Löschfristen oder Unterauftragnehmer.
Business-Versionen lösen nicht automatisch jedes Datenschutzproblem. Sie bieten aber meist die Voraussetzungen, mit denen Unternehmen überhaupt sauber arbeiten können: AVV, Admin-Konsole, Rechteverwaltung, Protokollierung, Sicherheitsfunktionen, Trainingsausschluss und teilweise EU-Datenresidenz. Genau diese Punkte brauchst du, wenn du gegenüber Geschäftsführung, Datenschutzbeauftragten oder Aufsichtsbehörden erklären möchtest, was mit den Daten passiert.
Microsoft Copilot im DSGVO-Check
Microsoft Copilot ist vor allem für Unternehmen geeignet, die ohnehin mit Microsoft 365 arbeiten. Der große Vorteil liegt darin, dass Copilot in bestehende Berechtigungen, Identitäten und Sicherheitsfunktionen eingebunden werden kann. Wenn deine SharePoint- oder OneDrive-Rechte allerdings schlecht gepflegt sind, macht Copilot dieses Problem sichtbarer.
Für Unternehmen kommt nur die geschäftliche Copilot-Variante im Microsoft-365-Umfeld sinnvoll infrage. Die Consumer-Version ist für Unternehmensdaten nicht die richtige Basis. Der AVV läuft in der Regel über die Microsoft-Vertragswelt und die Data Protection Addendum-Strukturen.
Wichtig ist die EU Data Boundary. Sie kann helfen, Datenverarbeitung innerhalb der EU besser einzugrenzen. Gleichzeitig solltest du prüfen, ob Funktionen wie Flex Routing oder ähnliche Verarbeitungsoptionen aktiviert sind und ob dadurch Daten außerhalb der EU verarbeitet werden können. Das ist kein pauschales Ausschlusskriterium, muss aber dokumentiert werden.
ChatGPT im DSGVO-Check
ChatGPT ist für viele Teams das bekannteste KI-Tool. Für Unternehmen sind vor allem ChatGPT Team beziehungsweise Business, Enterprise und die API relevant. Welche Bezeichnung aktuell gilt, solltest du direkt beim Anbieter prüfen, weil sich Produktnamen ändern können.
Für geschäftliche Nutzung brauchst du einen AVV, klare Einstellungen zur Datenverarbeitung und möglichst einen Trainingsausschluss. Bei den Business- und Enterprise-Angeboten werden Eingaben in der Regel nicht zum Training allgemeiner Modelle verwendet, wenn die entsprechenden Bedingungen greifen. Genau diese Zusage solltest du aber nicht aus Blogartikeln ableiten, sondern aus Vertrag, Admin-Einstellungen und Anbieter-Dokumentation.
EU Data Residency kann je nach Produkt und Vertrag verfügbar sein. Wenn du besonders sensible Daten verarbeitest, solltest du zusätzlich prüfen, ob die API mit Zero-Data-Retention-Optionen oder kurzen Speicherfristen genutzt werden kann.
Für viele KMU reicht aber schon der erste Schritt: keine privaten Accounts, sondern zentral verwaltete Business-Konten.
Google Gemini im DSGVO-Check
Google Gemini ist besonders interessant für Unternehmen, die Google Workspace nutzen. Auch hier gilt: Die Consumer-Version ist nicht dasselbe wie die geschäftliche Nutzung innerhalb von Workspace.
Für Unternehmen sind Workspace-Business- oder Enterprise-Tarife relevant, in denen Gemini in die bestehende Google-Umgebung eingebunden wird. Der AVV ergibt sich über die Google-Cloud- und Workspace-Vertragsbedingungen. Entscheidend ist, welche Daten verarbeitet werden, welche Admin-Einstellungen aktiv sind und ob Eingaben für Produktverbesserung oder Training genutzt werden dürfen.
Der wichtigste Unterschied zur Consumer-Version liegt in der Kontrolle. In Workspace kannst du Zugriffe, Freigaben, Speicherorte, Sicherheitsregeln und Nutzerverwaltung deutlich besser steuern. Trotzdem solltest du nicht einfach alles freigeben. Gerade Google Drive enthält oft viele alte Dokumente mit zu breiten Freigaben.
Claude im DSGVO-Check
Claude von Anthropic ist für Teams interessant, die mit langen Dokumenten, Analysen und Textaufgaben arbeiten. Für Unternehmen kommen Team- und Enterprise-Angebote infrage. Auch hier solltest du private oder kostenlose Zugänge nicht für Kundendaten oder interne Dokumente nutzen.
Ein AVV ist für die geschäftliche Nutzung zentral. Je nach Vertrag und Bereitstellungsweg können EU-Datenresidenz oder besondere Speicheroptionen verfügbar sein. Wenn du Claude über Plattformen wie AWS Bedrock oder Google Vertex AI nutzt, verschiebt sich ein Teil der Prüfung auf diese Infrastruktur. Das kann Vorteile bringen, weil Cloud-Verträge, Regionen, Logging und Sicherheitsmaßnahmen oft besser steuerbar sind.
Zero Data Retention ist vor allem bei API-Nutzung oder bestimmten Plattformmodellen relevant. Verlasse dich aber nicht auf den Begriff allein. Prüfe, welche Daten gar nicht gespeichert werden, welche kurzfristig gespeichert werden und welche Logs trotzdem entstehen.
DeepL im DSGVO-Check
DeepL gilt häufig als datenschutzfreundliche Option, weil der Anbieter stark im europäischen Markt verankert ist und viele Unternehmen das Tool bereits für Übersetzungen nutzen. Trotzdem gilt auch hier: Free und Pro sind nicht gleich.
Für Unternehmensdaten solltest du DeepL Pro oder passende Business-Angebote nutzen. Dort sind AVV, professionelle Datenverarbeitung und zusätzliche Sicherheitszusagen relevant. Besonders wichtig ist, dass eingegebene Texte in den Pro-Varianten nicht zum Training verwendet werden sollen. Auch das gehört in deine Dokumentation.
DeepL eignet sich besonders für Übersetzungen, Umschreibungen und sprachliche Qualitätssicherung. Für hochsensible Dokumente solltest du trotzdem prüfen, ob eine Übersetzung überhaupt in ein externes Tool darf oder ob vorher pseudonymisiert werden sollte.
GitHub Copilot im DSGVO-Check
GitHub Copilot ist vor allem für Entwicklungsteams relevant. Geeignet sind Business und Enterprise, nicht private Entwicklerkonten. Der AVV läuft über GitHub beziehungsweise Microsoft und sollte sauber in deine bestehende Lieferanten- und Auftragsverarbeiterprüfung aufgenommen werden.
Beim Datenschutz geht es hier nicht nur um personenbezogene Daten, sondern auch um Quellcode, Geschäftsgeheimnisse und Lizenzrisiken. Unternehmen sollten festlegen, welche Repositories genutzt werden dürfen, wie Vorschläge geprüft werden und ob sicherheitskritischer Code ausgeschlossen wird.
Falls ein Betriebsrat existiert, sollte GitHub Copilot frühzeitig besprochen werden. Das Tool kann Arbeitsweisen verändern und theoretisch Leistungs- oder Verhaltensdaten berühren, etwa über Nutzungsstatistiken oder Entwicklungsmetriken.
Vergleich im Kurzcheck
Microsoft Copilot eignet sich besonders für Microsoft-365-Unternehmen, wenn Berechtigungen sauber gepflegt sind. AVV, Admin-Funktionen und EU Data Boundary sind starke Punkte, Flex Routing sollte geprüft werden.
ChatGPT ist sehr flexibel und leistungsstark. Für Unternehmen sind Team, Business, Enterprise oder API sinnvoll. Wichtig sind AVV, Trainingsausschluss, Admin-Kontrolle und gegebenenfalls EU Data Residency.
Google Gemini passt gut in Google Workspace. Die Business-Nutzung bietet mehr Kontrolle als die Consumer-Version, aber Drive-Freigaben und Admin-Einstellungen sollten vorher aufgeräumt werden.
Claude ist stark bei Texten, Analysen und langen Dokumenten. Für höhere Anforderungen können Enterprise-Verträge oder Bereitstellung über AWS Bedrock beziehungsweise Vertex AI sinnvoll sein.
DeepL ist für Übersetzungen oft eine gute Wahl, wenn Pro- oder Business-Versionen genutzt werden. Free-Versionen solltest du für Unternehmensdaten vermeiden.
GitHub Copilot gehört in Business oder Enterprise. Neben DSGVO-Fragen spielen Code-Schutz, Lizenzthemen und mögliche Mitbestimmung eine wichtige Rolle.
Was jedes Unternehmen zusätzlich erledigen muss
Das Tool ist nur ein Teil der Lösung. Ihr braucht zusätzlich eine verbindliche KI-Governance. Das klingt größer, als es sein muss. Für den Anfang reicht oft ein pragmatischer Rahmen, der klar sagt, welche Tools erlaubt sind, welche Daten eingegeben werden dürfen und wer Fragen entscheidet.
Prüfe zuerst die Rechtsgrundlage nach Art. 6 DSGVO. Bei Beschäftigtendaten, Bewerbungen, Gesundheitsdaten oder automatisierten Entscheidungen wird es sensibler. Art. 22 DSGVO kann relevant werden, wenn Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung automatisiert getroffen werden. Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist sinnvoll oder erforderlich, wenn ein hohes Risiko besteht, etwa bei HR-Auswahl, Scoring, Monitoring oder umfangreicher Verarbeitung sensibler Daten.
Auch der AI Act gehört auf den Radar. Unternehmen müssen unter anderem KI-Kompetenz aufbauen und je nach Anwendung prüfen, ob ein Hochrisiko-System betroffen ist. Für normales Texten, Zusammenfassen oder Übersetzen ist das meist weniger kritisch. Für Recruiting, Kreditwürdigkeit, Bildung oder Personalbewertung sieht es anders aus.
Ein praktischer Start sieht so aus:
- Bestehende KI-Nutzung erfassen, erlaubte Tools definieren, Business-Lizenzen beschaffen, AVVs abschließen, Trainings-Opt-out und Drittlandtransfer dokumentieren, KI-Richtlinie erstellen, Mitarbeitende schulen und die Prozesse regelmäßig prüfen.
Wenn Daten in Drittländer übertragen werden, brauchst du eine belastbare Prüfung. Je nach Anbieter können Data Privacy Framework, Standardvertragsklauseln und zusätzliche Schutzmaßnahmen relevant sein. Bitte dokumentiere diese Prüfung, auch wenn das Ergebnis lautet: Nutzung ist unter bestimmten Bedingungen vertretbar.
Typische Fehler und wie du sie vermeidest
Der häufigste Fehler ist Schatten-KI. Niemand weiß genau, welche Tools genutzt werden, aber alle gehen davon aus, dass schon nichts Kritisches passiert. Das ist ungünstig, weil du Risiken dann weder bewerten noch begrenzen kannst.
Ein weiterer Klassiker: Mitarbeitende nutzen private ChatGPT-Konten, weil es schnell geht. Der Fix ist nicht, KI pauschal zu verbieten. Besser ist es, ein freigegebenes Tool bereitzustellen und klar zu erklären, welche Daten dort erlaubt sind.
Problematisch ist auch ein AVV, der zwar vorhanden ist, aber nie gelesen wurde. Prüfe mindestens Trainingsnutzung, Unterauftragnehmer, Löschfristen, Drittlandtransfer, Support-Zugriffe, Logging und Sicherheitsmaßnahmen. Wenn du unsicher bist, binde Datenschutzbeauftragte und IT früh ein. Das spart später meistens Zeit.
FAQ
ChatGPT kann DSGVO-konform eingesetzt werden, wenn du eine geeignete Business- oder Enterprise-Version nutzt, einen AVV abschließt, Trainingsnutzung ausschließt und die Verarbeitung dokumentierst. Private oder kostenlose Konten sind für personenbezogene Unternehmensdaten in der Regel nicht geeignet.
In den meisten Fällen nein. ChatGPT Plus ist ein individueller Tarif und ersetzt keine zentrale Unternehmensverwaltung, keinen sauber geprüften AVV und keine interne Governance. Für Teams solltest du Business-, Team-, Enterprise- oder API-Modelle prüfen.
Ja, wenn personenbezogene Daten verarbeitet werden, brauchst du eine datenschutzrechtliche Grundlage für die Auftragsverarbeitung. Bei Microsoft Copilot läuft das üblicherweise über die Microsoft-Vertragsbedingungen und Datenschutzvereinbarungen. Prüfe trotzdem Tenant-Einstellungen, EU Data Boundary und mögliche Datenflüsse.
Nur wenn das Tool dafür freigegeben ist, ein AVV besteht, eine Rechtsgrundlage vorliegt und interne Regeln das erlauben. Wenn möglich, solltest du Daten vorher anonymisieren oder pseudonymisieren. Kundendaten gehören nicht in private oder kostenlose KI-Konten.
Das hängt vom Einsatzzweck ab. Microsoft Copilot passt oft gut zu Microsoft-365-Umgebungen, DeepL zu Übersetzungen, ChatGPT und Claude zu Text- und Analyseaufgaben, Gemini zu Google Workspace. Entscheidend sind nicht nur Funktionen, sondern AVV, Admin-Kontrolle, Datenresidenz und klare interne Regeln.
KI datenschutzkonform einführen – wir unterstützen dich dabei
Die Auswahl der richtigen KI-Tools ist nur der erste Schritt. Entscheidend ist, wie sie in deinen Arbeitsalltag integriert werden. Gemeinsam entwickeln wir eine praxistaugliche KI-Strategie für dein Unternehmen, helfen bei der Auswahl geeigneter Business-Versionen, schaffen klare Prozesse und unterstützen dich dabei, KI sicher und effizient in bestehende Abläufe einzubinden.
Wichtig: Als Digitalagentur können und dürfen wir keine Rechtsberatung leisten. Bei rechtlichen Fragestellungen – etwa zur DSGVO-Bewertung, zu Auftragsverarbeitungsverträgen oder individuellen Compliance-Anforderungen – empfehlen wir die Zusammenarbeit mit einem spezialisierten Datenschutzbeauftragten oder Rechtsanwalt. Gerne arbeiten wir dabei eng mit deinen Ansprechpartnern zusammen und setzen die gemeinsam definierten Anforderungen technisch und organisatorisch um.
Du möchtest KI im Unternehmen produktiv und datenschutzbewusst einsetzen? Dann sprich uns gerne an – wir begleiten dich von der Strategie bis zur erfolgreichen Umsetzung.
