Kurzantwort: KI lässt sich DSGVO-konform im Unternehmen einsetzen, wenn fünf Dinge stimmen: eine Rechtsgrundlage für die Verarbeitung, ein Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter, abgesicherte Übermittlungen außerhalb der EU, kein Training mit deinen Daten und eine saubere Dokumentation. Seit August 2026 kommen Pflichten aus dem AI Act hinzu. Welche Tools die Voraussetzungen erfüllen, zeigt unsere Übersicht DSGVO-konforme KI.
Stand: Oktober 2026. Dieser Leitfaden ersetzt keine Rechtsberatung. Bei konkreten Projekten mit personenbezogenen Daten solltest du deinen Datenschutzbeauftragten einbeziehen.
1. Wer ist wofür verantwortlich?
Das Unternehmen, das ein KI-Tool einsetzt, ist in der Regel Verantwortlicher nach Art. 4 Nr. 7 DSGVO. Der Anbieter des Tools ist meist Auftragsverarbeiter nach Art. 28: Er verarbeitet die Daten nur in deinem Auftrag und nach deinen Weisungen.
Diese Rollenverteilung kippt, wenn der Anbieter deine Eingaben für eigene Zwecke nutzt, etwa um seine Modelle zu trainieren. Dann verarbeitet er die Daten als eigener Verantwortlicher, und ein AVV allein deckt das nicht mehr ab. Deshalb ist der Trainingsausschluss so wichtig.
Achtung beim AI Act: Wer ein KI-System unter eigenem Namen anbietet, es wesentlich verändert oder für einen Hochrisiko-Zweck umwidmet, kann selbst zum Anbieter mit deutlich mehr Pflichten werden.
2. Die Rechtsgrundlage klären
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 DSGVO. Bei KI im Unternehmen kommen vor allem in Frage:
- Vertragserfüllung (Art. 6 Abs. 1 lit. b), etwa wenn eine KI Kundenanfragen zu einem bestehenden Vertrag beantwortet.
- Berechtigtes Interesse (Art. 6 Abs. 1 lit. f), etwa für interne Zusammenfassungen; hier musst du die Interessen der Betroffenen abwägen und das dokumentieren.
- Einwilligung (Art. 6 Abs. 1 lit. a), etwa für Meeting-Aufnahmen mit externen Teilnehmenden.
Für besondere Kategorien wie Gesundheitsdaten gelten nach Art. 9 deutlich strengere Regeln. Bei Beschäftigtendaten solltest du den Betriebsrat früh einbeziehen: KI-Tools, die Leistung oder Verhalten auswerten können, sind in der Regel mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG).
3. Der AVV nach Art. 28 DSGVO ist Pflicht
Ohne Auftragsverarbeitungsvertrag dürfen personenbezogene Daten nicht an einen KI-Anbieter gehen. Achte darauf, dass der AVV für deinen Tarif gilt: Bei vielen Anbietern gibt es ihn nur in Business- oder Enterprise-Tarifen, nicht in den kostenlosen Versionen. Ein vollständiger AVV regelt nach Art. 28 Abs. 3 unter anderem:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Datenarten und betroffene Personen
- die Weisungsbindung des Anbieters und die Vertraulichkeit der eingesetzten Personen
- die technischen und organisatorischen Maßnahmen nach Art. 32
- Regeln für Unterauftragsverarbeiter, etwa die KI-Modellanbieter im Hintergrund
- Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe der Daten nach Vertragsende und Kontrollrechte
Mehr dazu, worauf du beim AVV achten musst, steht in der DSGVO-Checkliste für den KI-Einsatz.
4. Datenübermittlung in die USA und andere Drittländer
Viele KI-Tools verarbeiten Daten ganz oder teilweise außerhalb der EU. Zulässig ist das nur mit einer Grundlage nach Kapitel V DSGVO:
- Angemessenheitsbeschluss: Für US-Unternehmen, die nach dem EU-US Data Privacy Framework (DPF) zertifiziert sind, gilt seit Juli 2023 ein solcher Beschluss. Datenschützer haben dagegen geklagt; wer sich nur auf das DPF stützt, trägt ein Restrisiko.
- Standardvertragsklauseln (SCC): Sie sind meist Teil des AVV. Dazu gehört eine Prüfung, ob die Rechtslage im Zielland den Schutz untergräbt (Transfer Impact Assessment).
Ein häufiger Irrtum: „Die Server stehen in Frankfurt, also ist alles sicher.“ Ein EU-Rechenzentrum senkt das Risiko deutlich, bei US-Anbietern bleibt aber ein möglicher Zugriff nach US-Recht (CLOUD Act) zu bewerten. Am einfachsten ist es mit Anbietern, die ihren Sitz in der EU haben und in der EU verarbeiten. Hintergrund dazu: Schrems II und der EU-US-Datentransfer.
5. Kein Training mit deinen Daten
Viele KI-Anbieter nutzen Eingaben standardmäßig, um ihre Modelle zu verbessern, vor allem in den kostenlosen und privaten Tarifen. Für Unternehmen ist das gleich doppelt problematisch: Es ist datenschutzrechtlich eine Verarbeitung für fremde Zwecke, und Geschäftsgeheimnisse können ihren Schutz verlieren, wenn sie ohne angemessene Geheimhaltungsmaßnahmen weitergegeben werden.
Prüfe deshalb bei jedem Tool, ob das Training im gewählten Tarif ausgeschlossen ist, oder setze das Opt-out aktiv. Wie das bei ChatGPT, Claude, Gemini, Copilot und Mistral je Tarif aussieht, zeigt die Tabelle in der Übersicht DSGVO-konforme KI-Tools.
6. Die DSGVO-Grundsätze im KI-Alltag
- Datenminimierung: Gib der KI nur, was sie für die Aufgabe braucht. Namen, Kundennummern oder Gesundheitsangaben lassen sich oft vorher entfernen oder pseudonymisieren.
- Zweckbindung: Lege fest, wofür ein Tool genutzt wird, und nutze die Daten nicht für andere Zwecke weiter.
- Richtigkeit: KI kann falsche Angaben erzeugen. Ergebnisse über Personen müssen geprüft werden, bevor sie in Akten, E-Mails oder Entscheidungen einfließen.
- Transparenz: Informiere Betroffene in der Datenschutzerklärung über den KI-Einsatz (Art. 13 und 14).
- Keine rein automatisierten Entscheidungen: Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, etwa eine Absage an Bewerbende, dürfen nach Art. 22 grundsätzlich nicht allein von einer KI getroffen werden.
7. Datenschutz-Folgenabschätzung und Dokumentation
Eine Datenschutz-Folgenabschätzung (DSFA, Art. 35) ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene hat. Bei KI ist das häufig der Fall, etwa beim Bewerten oder Überwachen von Personen, beim Profiling oder bei der umfangreichen Verarbeitung sensibler Daten. Die Datenschutzkonferenz führt dazu eine Liste von Verarbeitungen, für die eine DSFA immer Pflicht ist.
Unabhängig davon gehört jedes KI-Tool, das personenbezogene Daten verarbeitet, in das Verzeichnis von Verarbeitungstätigkeiten (Art. 30). Die DSGVO verlangt außerdem, dass du die Einhaltung nachweisen kannst (Rechenschaftspflicht, Art. 5 Abs. 2): AVV ablegen, Abwägungen dokumentieren, Einstellungen wie das Trainings-Opt-out festhalten.
8. Was der AI Act zusätzlich verlangt
Der europäische AI Act gilt neben der DSGVO und kommt schrittweise zur Anwendung:
- Seit Februar 2025: Verbotene KI-Praktiken sind untersagt, und Unternehmen müssen für ausreichende KI-Kompetenz der Mitarbeitenden sorgen, die mit KI arbeiten (Art. 4).
- Seit August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, etwa zur Dokumentation.
- Seit dem 2. August 2026: Transparenzpflichten, unter anderem müssen Menschen erkennen können, dass sie mit einem Chatbot sprechen, und bestimmte KI-generierte Inhalte gekennzeichnet werden.
Für Hochrisiko-Anwendungen, etwa KI in der Personalauswahl oder bei der Kreditvergabe, gelten deutlich strengere Pflichten. Prüfe dafür die aktuellen Fristen. Mehr im Leitfaden zum EU AI Act.
9. Eine KI-Richtlinie für Mitarbeitende
Die meisten Datenschutzpannen mit KI entstehen nicht durch das Tool, sondern durch die Nutzung. Eine kurze interne Richtlinie sollte festlegen:
- welche KI-Tools freigegeben sind, und in welchem Tarif
- welche Daten hinein dürfen und welche nicht, etwa keine Gesundheitsdaten, keine Passwörter, keine vertraulichen Verträge
- dass Ergebnisse vor der Verwendung geprüft werden
- wer Ansprechpartner bei Fragen ist und wie neue Tools freigegeben werden
Eine kurze Schulung erfüllt zugleich die Pflicht zur KI-Kompetenz aus dem AI Act.
10. Checkliste vor dem Start
- Zweck und Rechtsgrundlage festlegen
- Tool und Tarif mit AVV wählen, AVV abschließen und ablegen
- Speicherort und Übermittlungen prüfen, EU-Region wählen, wo möglich
- Training mit eigenen Daten ausschließen oder Opt-out setzen
- Prüfen, ob eine DSFA nötig ist
- Eintrag im Verzeichnis von Verarbeitungstätigkeiten anlegen
- Datenschutzerklärung ergänzen
- Betriebsrat einbeziehen, falls vorhanden
- KI-Richtlinie aufschreiben und Mitarbeitende schulen
- Einstellungen und Verträge regelmäßig überprüfen
Ausführlicher zum Abhaken: die DSGVO-Checkliste für den KI-Einsatz. Einzelne Tools schnell prüfen kannst du mit dem kostenlosen DSGVO-Check für KI-Tools.
Welche Tools die Voraussetzungen erfüllen
Wir prüfen jedes Tool im Verzeichnis nach sechs Punkten: Anbietersitz, Speicherort, AVV, Drittlandtransfer, KI-Training und Nachweise (So bewerten wir). Grün sind derzeit 24 Tools, darunter Aleph Alpha, n8n, Personio, Company Chat und Fobizz. Die vollständige Liste mit allen Kriterien und den großen Assistenten je Tarif findest du unter DSGVO-konforme KI: Welche KI-Tools du 2026 sicher nutzen kannst. Wie es um alle Tools im Verzeichnis steht, zeigt der DSGVO-Datenreport 2026.
Häufige Fragen
Darf ich KI im Unternehmen DSGVO-konform nutzen?
Ja. Die DSGVO verbietet KI nicht. Du brauchst eine Rechtsgrundlage für die Verarbeitung, mit dem Anbieter einen Auftragsverarbeitungsvertrag (AVV), abgesicherte Übermittlungen in Drittländer und klare Regeln, welche Daten in das Tool dürfen. Wichtig ist außerdem, dass der Anbieter deine Eingaben nicht für eigene Zwecke wie das Training nutzt.
Brauche ich für ChatGPT einen AVV?
Ja, sobald personenbezogene Daten verarbeitet werden. OpenAI bietet einen AVV für ChatGPT Business, Enterprise und die API. Für Free, Plus und Pro gibt es keinen AVV; diese Versionen sind für Kunden- oder Mitarbeiterdaten nicht geeignet.
Reicht ein Server in der EU für DSGVO-konforme KI?
Nein. Ein EU-Rechenzentrum senkt das Risiko, ersetzt aber weder AVV noch Trainingsausschluss. Bei US-Anbietern bleibt zudem ein möglicher Zugriff nach US-Recht (CLOUD Act) zu bewerten. Am einfachsten ist es mit Anbietern, die ihren Sitz in der EU haben und in der EU verarbeiten.
Wann brauche ich eine Datenschutz-Folgenabschätzung für KI?
Wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene hat, etwa bei der Bewertung oder Überwachung von Personen, bei Profiling oder bei der umfangreichen Verarbeitung sensibler Daten. Viele KI-Einsätze im Personalbereich fallen darunter. Im Zweifel den Datenschutzbeauftragten fragen.
Was muss ich wegen des AI Act tun?
Seit Februar 2025 müssen Unternehmen, die KI einsetzen, für ausreichende KI-Kompetenz ihrer Mitarbeitenden sorgen. Seit dem 2. August 2026 gelten zusätzlich Transparenzpflichten, etwa bei Chatbots und KI-generierten Inhalten. Für Hochrisiko-Anwendungen wie KI in der Personalauswahl gelten strengere Pflichten; prüfe dafür die aktuellen Fristen.
