KI DSGVO-konform nutzen: Checkliste für KMU

In aller Regel ja, sobald personenbezogene Daten in ein Cloud-Tool gelangen. Nutzen Sie eine KI-Anwendung eines externen Anbieters zu eigenen Zwecken, handelt dieser laut DSK als verlängerter Arm in Ihrem Auftrag. Dann ist meist ein Vertrag nach Art. 28 Abs. 3 DSGVO abzuschließen. Verantwortlich für die Verarbeitung bleiben Sie.

Die großen Anbieter bieten das an: OpenAI schließt einen Data Processing Addendum für ChatGPT Business, ChatGPT Enterprise und die API ab. Microsoft handelt bei Microsoft Copilot und Copilot Chat in Organisationen als Auftragsverarbeiter unter seinem Data Protection Addendum. Achtung bei der Websuche: Für Suchanfragen an Bing ist Microsoft laut eigener Dokumentation eigenständig Verantwortlicher.

Für personenbezogene oder vertrauliche Daten nicht. Der Hauptunterschied liegt im Training: Die DSK hält Anwendungen für vorzugswürdig, die Ein- und Ausgaben nicht zum Training verwenden. So sieht das bei den verbreitetsten Tools aus (Stand Oktober 2026):

Microsoft führt seine Copilot-Angebote 2026 unter dem Namen „Microsoft Copilot“ zusammen; in älteren Unterlagen heißen sie noch „Microsoft 365 Copilot“ und „Microsoft 365 Copilot Chat“. Welche Variante Sie für Ihr Team wählen, vergleiche ich im Artikel ChatGPT, Copilot oder eigener KI-Assistent.

Ja, derzeit vor allem über das EU-US Data Privacy Framework. Die EU-Kommission hat am 10. Juli 2023 festgestellt, dass teilnehmende US-Unternehmen ein angemessenes Schutzniveau bieten. Das EU-Gericht wies am 3. September 2025 eine Klage dagegen ab. Der Kläger legte am 31. Oktober 2025 Rechtsmittel beim Europäischen Gerichtshof ein; das Verfahren ist anhängig. Prüfen Sie deshalb, ob Ihr Anbieter zertifiziert ist, und behalten Sie die Entwicklung im Blick.

Zusätzliche Sicherheit bietet die Speicherung in der EU: OpenAI bietet Datenresidenz in Europa für berechtigte Kunden von ChatGPT Enterprise, ChatGPT Edu und der API an. Microsoft verweist für Copilot auf die EU Data Boundary – ausgenommen sind laut Microsoft Websuchanfragen und derzeit Modelle von Anthropic.

Immer dann, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt – und das ist laut DSK beim KI-Einsatz vielfach der Fall. Vor jeder Verarbeitung personenbezogener Daten steht eine Vorabprüfung des Risikos. Ergibt sie ein hohes Risiko, ist eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO Pflicht. Orientierung bietet die „Muss-Liste“ der Aufsichtsbehörden.

Dafür brauchen Sie Informationen vom Anbieter zur Funktionsweise des Systems – achten Sie schon bei der Auswahl darauf. Und denken Sie an die Informationspflichten nach Art. 13 und 14 DSGVO: Betroffene müssen erfahren, dass ihre Daten in einer KI-Anwendung verarbeitet werden, etwa über Ihre Datenschutzhinweise.

Am sichersten, indem Sie sie gar nicht erst eingeben – doch Namen zu löschen genügt laut DSK regelmäßig nicht. Ihr Beispiel: „Entwirf ein Arbeitszeugnis im befriedigenden Bereich für einen Kundenberater im Autohaus X“ kann Personenbezug haben, wenn erkennbar ist, aus welchem Unternehmen die Eingabe wann kam. Wirksamer sind diese Maßnahmen:

• Pseudonymisieren: Namen, Orte, Kundennummern und markante Details durch Platzhalter ersetzen, bevor der Text ins Tool geht.
• Datenschutzfreundliche Voreinstellungen: Training und Eingabe-Historie bei dienstlichen Accounts von Anfang an abschalten, wie es die DSK empfiehlt.
• EU-Hosting oder eigene Server: Läuft ein Open-Source-Modell in Ihrer eigenen Infrastruktur, sind Sie laut DSK in der Regel alleiniger Verantwortlicher, und kein Drittanbieter sieht die Daten.

Eigene Modelle kosten mehr Aufwand in Betrieb und Wartung, lohnen sich aber bei sensiblen Daten wie Personal- oder Gesundheitsinformationen.

Diese acht Punkte decken die wichtigsten Pflichten ab. Arbeiten Sie sie pro Tool und Einsatzzweck ab:

1. Einsatzzweck und betroffene Daten beschreiben.
2. Rechtsgrundlage je Verarbeitungsschritt festhalten.
3. Business- oder Enterprise-Tarif wählen und Training mit Eingaben ausschließen.
4. Auftragsverarbeitungsvertrag abschließen.
5. Drittlandtransfer prüfen: Data-Privacy-Framework-Zertifizierung oder EU-Datenresidenz.
6. Vorabprüfung und bei hohem Risiko eine DSFA durchführen.
7. Datenschutzhinweise und Verarbeitungsverzeichnis ergänzen.
8. Dienstliche Accounts bereitstellen, Regeln festlegen und das Team schulen.

Diese Übersicht ersetzt keine Rechtsberatung; im Zweifel sollten Sie Ihren konkreten Einsatz rechtlich prüfen lassen. Bei der technischen Umsetzung unterstütze ich Sie gern: Wie ich KI-Lösungen datenschutzbewusst an Ihre Systeme anbinde, beschreibe ich auf der Seite zur KI-Integration. Einen ersten Überblick bekommen Sie im kostenlosen Bedarfscheck.