DSGVO und KI: Was bei OpenAI, Anthropic & Co. zu beachten ist

Worum es geht

KI-Tools sind aus dem Geschäftsalltag nicht mehr wegzudenken — und gleichzeitig einer der spannendsten Datenschutz-Brennpunkte. Wer ChatGPT, Claude, Microsoft Copilot oder Google Gemini einsetzt, übermittelt potenziell personenbezogene Daten an Anbieter, die in den USA sitzen. Die DSGVO bleibt dabei voll anwendbar — sie kennt keinen Rabatt für KI. Aber sie verbietet auch nichts pauschal. Es geht um saubere Verträge, klare Zwecke, transparente Information und ein bewusstes Datenmanagement.

Wir sehen bei unseren Kunden zwei Extreme: Die einen verbieten ChatGPT komplett — und schaffen damit eine Welle aus Schatten-IT. Die anderen lassen alles laufen, ohne Vertrag und Schulung. Beides ist falsch. Der pragmatische Weg liegt dazwischen: einen Anbieter sauber wählen, vertraglich absichern, Mitarbeiter ausbilden, dokumentieren. Das ist eine Einordnung, kein Rechtsrat. Frag im Zweifel einen Fachanwalt.

Die DSGVO-Grundprinzipien — angewandt auf KI

Rechtmäßigkeit (Artikel 6). Jede Verarbeitung braucht eine Rechtsgrundlage. Bei KI-Tools im Beschäftigtenkontext meist das berechtigte Interesse oder eine Betriebsvereinbarung. Bei Kundendaten häufig Vertragserfüllung. Eine pauschale “Einwilligung in alle KI-Verarbeitung” ist meist nicht haltbar.

Zweckbindung (Artikel 5 Abs. 1 lit. b). Daten dürfen nur für den ursprünglich erhobenen Zweck verwendet werden. Wenn du Kundendaten zur Vertragsabwicklung erhoben hast, darfst du sie nicht ohne weiteres in eine KI-gestützte Marktforschung kippen. Zweckänderungen müssen geprüft und ggf. neu legitimiert werden.

Datenminimierung (Artikel 5 Abs. 1 lit. c). Vor jeder Eingabe in ein KI-Tool stellt sich die Frage: Brauche ich diesen Personenbezug, um meine Aufgabe zu erfüllen? In 80 Prozent der Fälle reichen anonymisierte oder pseudonymisierte Daten. Den Vertragsentwurf zur Stilkorrektur in den Chatbot zu kippen, geht — den Klarnamen und die Kontonummer des Mandanten nimmst du vorher raus.

Speicherbegrenzung (Artikel 5 Abs. 1 lit. e). Wenn der KI-Anbieter Daten 30 Tage speichert, muss das in dein Löschkonzept passen. Logging und Caches müssen zum Verarbeitungsvertrag passen.

Integrität und Vertraulichkeit (Artikel 5 Abs. 1 lit. f). Übertragung verschlüsselt, Zugriffe kontrolliert, sensible Daten gar nicht erst rein. Klingt selbstverständlich, scheitert in der Praxis oft an Quick Wins ohne Rücksprache.

Auftragsverarbeitung mit US-Anbietern

OpenAI, Anthropic, Google und Microsoft sitzen in den USA — und verarbeiten Daten ganz oder teilweise dort. Seit dem EU-US-Datenschutzrahmen vom Juli 2023 ist der Datentransfer in die USA wieder rechtssicher möglich, sofern der Anbieter unter dem Rahmen zertifiziert ist. Zusätzlich braucht es:

• Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO. Alle großen Anbieter stellen Standardverträge bereit, du musst sie nur abschließen — bei OpenAI über das Compliance-Center, bei Anthropic auf Anfrage, bei Microsoft im Microsoft 365 Admin Center automatisch.
• Standardvertragsklauseln (SCC) in den jeweils aktuellen Versionen, falls der Anbieter nicht zertifiziert ist oder zur Sicherheit.
• Information der Betroffenen in der Datenschutzerklärung — welche KI-Tools du einsetzt, wo verarbeitet wird, wie lange gespeichert.
• Risikobewertung des Drittlandstransfers (Transfer Impact Assessment) — eine kurze Prüfung, ob die Daten in den USA ähnlich gut geschützt sind. Bei zertifizierten Anbietern unter dem Rahmen weniger streng zu nehmen, aber Dokumentation hilft.

In der Praxis: Wenn du eine Enterprise- oder Team-Lizenz hast, ist das meiste vertraglich abgedeckt. Bei kostenlosen Versionen oder API-Calls ohne aktiviertes Opt-out wird es kritisch — dann fließen Daten potenziell ins Modelltraining, und das kannst du nicht mehr rückabwickeln.

Wann lokale KI Pflicht wird

Bei unseren Kunden gibt es klare Linien, ab denen wir zu lokaler KI raten — also Modellen, die auf eurer eigenen Infrastruktur laufen, ohne Datentransfer:

Mandatsgeheimnis (Anwälte, Notare). § 43a BRAO und § 203 StGB schützen Mandantengeheimnisse. Mandantenakten in einen US-Cloud-Chatbot zu schicken, ist berufsrechtlich problematisch — selbst mit AVV. Wir sehen viele Kanzleien, die mit lokalen LLMs (Llama 4, Mistral Large oder Qwen 3 auf Hostinger VPS oder On-Premise) arbeiten.

Ärztliche Schweigepflicht. § 203 StGB plus berufsrechtliche Vorschriften. Patientendaten gehören nicht in Cloud-KI ohne sehr starkes Schutzkonzept. Lokale KI ist hier oft die einzig saubere Lösung — Befundbriefe entwerfen, Dokumentationen umformulieren, alles auf der Praxis-Hardware.

Geschäftsgeheimnisse. § 17 UWG und das Geschäftsgeheimnisgesetz. Wer Konstruktionspläne, Quellcode oder strategische Verträge in Cloud-KI gibt, riskiert den Schutz seiner Geheimnisse — eventuell sogar gegenüber Wettbewerbern, wenn ein Anbieter kompromittiert wird. Lokale KI oder mindestens dedizierte EU-Instanzen sind dann angeraten.

Personalakten. Hier kommen DSGVO und AI Act zusammen, weil KI im Personalbereich oft Hochrisiko ist. Lokale Verarbeitung ist die einfachste Compliance-Strategie.

Mehr zu Setup und Auswahl findest du auf unserer Themenseite Lokale KI.

Praktische Checkliste für DSGVO-konforme KI

Wir nutzen mit unseren Kunden diese 8-Punkte-Liste:

1. Verfahrensverzeichnis erweitern. Jedes KI-Tool als eigenes Verfahren oder als Anhang zum bestehenden Verfahren.
2. AVV abschließen. Mit jedem Anbieter, dessen Tool produktiv genutzt wird.
3. Datenschutzerklärung anpassen. Welche KI-Tools, welcher Zweck, welcher Empfänger, wie lange.
4. Mitarbeiterrichtlinie schreiben. Was darf rein, was nicht. Beispiele helfen mehr als Verbote.
5. AI-Literacy-Schulung. Pflicht nach AI Act seit Februar 2025, gleichzeitig DSGVO-Schulung mit abdecken.
6. Datenschutz-Folgenabschätzung. Für jeden Use-Case mit hohem Risiko.
7. Löschkonzept abgleichen. Was speichert der Anbieter, was passt zu unseren Aufbewahrungsfristen.
8. Audit-Trail. Mindestens für sensible Use-Cases dokumentieren, wer was wann mit welchen Daten gemacht hat.

Unsere ehrliche Einschätzung

Bei unseren Kunden lassen sich 90 Prozent der KI-Use-Cases DSGVO-konform abbilden. Es scheitert selten am Recht, oft an der Umsetzung — fehlende AVVs, keine Mitarbeiterinformation, keine Schulung. Wer einmal aufräumt, kann danach mit gutem Gewissen produktiv arbeiten.

Wir bauen mit dir ein KI-Compliance-Setup auf, das deinem Unternehmen passt — nicht die Maximalvariante, sondern das, was rechtlich trägt und im Alltag funktioniert. Das ist eine Einordnung, kein Rechtsrat. Frag im Zweifel einen Fachanwalt für IT-Recht oder deinen Datenschutzbeauftragten.