DSGVO-konforme KI-Tools: Was deutsche Unternehmen beachten müssen

TL;DR: Die meisten KI-Tools bieten DSGVO-konforme Nutzung – aber nur in den bezahlten Plänen. In der kostenlosen ChatGPT-Version werden Eingaben für Modelltraining verwendet. Enterprise-Pläne von Claude, ChatGPT und Gemini bieten Auftragsverarbeitungsverträge (DPA) und deaktiviertes Training. Für Mittelständler gilt: Bezahlplan plus klare Nutzungsrichtlinie plus dokumentierte Schulung gleich DSGVO-konform.

Die Frage kommt in jeder KI-Einführung: „Ist das DSGVO-konform?“ Und die ehrliche Antwort lautet: Es kommt darauf an, welchen Plan Sie nutzen und wie. Die meisten KI-Anbieter haben inzwischen Strukturen geschaffen, die eine DSGVO-konforme Nutzung ermöglichen. Aber die Standardeinstellungen der kostenlosen Versionen sind es oft nicht.

DSGVO-Status der wichtigsten KI-Tools im Überblick

ChatGPT (OpenAI):

Kostenlose Version: Eingaben werden für Modelltraining verwendet – problematisch für personenbezogene Daten. Plus-Plan (20 Euro/Monat): Training kann in den Einstellungen deaktiviert werden. Team- und Enterprise-Plan: DPA verfügbar, Training standardmäßig deaktiviert, SOC 2 Type II zertifiziert. EU-Datenresidenz: Angekündigt, aber prüfen Sie den aktuellen Status. Empfehlung: Mindestens Team-Plan für geschäftliche Nutzung.

Claude (Anthropic):

Pro-Plan (18 Euro/Monat): Eingaben werden nicht für Training verwendet. Team- und Enterprise-Plan: DPA verfügbar, EU-Datenverarbeitung möglich, SOC 2 Type II zertifiziert. Anthropic positioniert sich explizit als sicherheitsfokussiertes KI-Unternehmen – das spiegelt sich in den Datenschutzpraktiken wider. Empfehlung: Für datensensible Anwendungen oft die sicherste Wahl.

Gemini (Google):

Google Workspace-Integration: Daten werden gemäß bestehender Google-Workspace-DPA verarbeitet. Advanced-Plan: Separate Nutzungsbedingungen. Google Cloud-Infrastruktur mit EU-Rechenzentren. Empfehlung: Für Unternehmen, die bereits Google Workspace nutzen, die reibungsloseste Lösung.

Make.com:

EU-Unternehmen mit Sitz in Tschechien. Datenverarbeitung in EU-Rechenzentren. DPA standardmäßig verfügbar. DSGVO-konform by Design. Empfehlung: Für Automation-Workflows die unkomplizierteste Lösung.

Semrush:

US-Unternehmen mit globaler Infrastruktur. DPA verfügbar. Verarbeitet primär öffentlich zugängliche Daten (Websites, Keywords, Backlinks) – das DSGVO-Risiko bei SEO-Tools liegt weniger bei den Tool-Daten als bei der Verarbeitung personenbezogener Analysedaten.

Die 5-Punkte-Checkliste für DSGVO-konforme KI-Nutzung

Erstens: Bezahlplan nutzen. Kostenlose KI-Tools verwenden Ihre Eingaben fast immer für Modelltraining. Business- oder Enterprise-Pläne bieten DPAs und deaktiviertes Training. Zweitens: Auftragsverarbeitungsvertrag abschließen. Für jedes KI-Tool, das personenbezogene Daten verarbeiten könnte, brauchen Sie einen DPA. Die meisten Anbieter stellen diese auf Anfrage oder automatisch im Enterprise-Plan bereit. Drittens: Nutzungsrichtlinie erstellen. Definieren Sie klar: Welche Daten dürfen eingegeben werden? Kundennamen und Vertragsdaten: nein. Allgemeine Marketingtexte: ja. Strategische Analysen ohne personenbezogene Daten: ja. Viertens: Training deaktivieren. Bei ChatGPT Plus können Sie in den Einstellungen das Modelltraining deaktivieren. Bei Claude Pro ist es standardmäßig deaktiviert. Prüfen Sie die Einstellung bei jedem Tool. Fünftens: KI-Kompetenz schulen und dokumentieren. Die KI-Kompetenzpflicht des EU AI Act gilt seit Februar 2025. Schulen Sie Ihr Team im Umgang mit KI-Tools – insbesondere zu Datenschutzrisiken – und dokumentieren Sie die Schulungen.

Das größte DSGVO-Risiko sitzt nicht im Tool

In der Praxis ist das größte Risiko nicht der KI-Anbieter, sondern die Nutzung. Mitarbeitende, die aus Bequemlichkeit die kostenlose ChatGPT-Version auf dem privaten Handy nutzen und dort Kundendaten eingeben. Freelancer, die ihre eigenen KI-Accounts für Ihre Projekte verwenden. Marketing-Teams, die Screenshots mit Kundennamen in KI-Bildtools hochladen. Dagegen hilft kein DPA der Welt – nur eine klare Richtlinie und Schulung.

Sie möchten Ihren KI-Tool-Einsatz DSGVO-konform aufstellen? WILDBACH Digital bietet KI-Governance-Workshops für Marketing-Abteilungen: Tool-Audit, Nutzungsrichtlinie, Schulungskonzept. Telefon: +49 521 80 06 98 32.