DSGVO-konforme KI für Unternehmen: was wirklich zählt

KI ist im Mittelstand angekommen – nur leider oft durch die Hintertür. Mitarbeiter nutzen ChatGPT, weil es ihre Arbeit schneller macht, und kopieren dabei Angebote, Kundendaten und Verträge in ein Tool, dessen Datenwege niemand im Haus überblickt. Die berechtigte Frage, die daraus folgt, lautet selten „Ist KI erlaubt?", sondern: Wie nutzen wir KI, ohne die Kontrolle über unsere Daten zu verlieren?

Rund um dieses Thema kursiert viel Halbwissen – von „KI im Unternehmen ist verboten" bis „mit einem deutschen Anbieter sind Sie automatisch sicher". Beides ist falsch. Dieser Leitfaden räumt damit auf und zeigt, worauf es bei DSGVO-konformer KI tatsächlich ankommt. Ohne Panikmache, ohne erhobenen Zeigefinger. Ob der EU AI Act ChatGPT & Copilot ab August 2026 verbietet, klären wir separat im Artikel ChatGPT & Copilot im Unternehmen.

Kurzantwort: Eine KI-Lösung ist nicht allein durch EU-Hosting oder einen bestimmten Anbieter DSGVO-konform. Entscheidend sind der konkrete Einsatzzweck, die verarbeiteten Daten, die Rechtsgrundlage, ein möglicher Auftragsverarbeitungsvertrag, Datenstandort und Drittlandtransfers, Löschfristen, Zugriffsrechte sowie die technische Konfiguration. Für sensible Unternehmensdaten sind EU-gehostete oder vollständig selbst betriebene Systeme meist einfacher kontrollierbar als öffentliche Consumer-KI.

Zuletzt fachlich aktualisiert: 17. August 2026

Was „DSGVO-konforme KI" wirklich bedeutet – und was nicht

Zuerst die wichtigste Klarstellung: „DSGVO-konforme KI" ist kein Produkt, das Sie kaufen, und kein Siegel, das ein Anbieter auf seine Website klebt. Es ist eine Eigenschaft Ihres Einsatzes – also davon, welche Daten Sie wie, wo und auf welcher Rechtsgrundlage verarbeiten.

Daraus folgen zwei verbreitete Irrtümer, die teuer werden können:

Irrtum 1: „Ein EU-Anbieter ist automatisch konform." Der Standort des Anbieters ist nur ein Faktor von mehreren. Je nach Einsatz braucht auch ein europäisches Tool eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag (AVV) und nachvollziehbare Dokumentation. Geografie allein schützt nicht.

Irrtum 2: „Lokale KI ist automatisch DSGVO-konform." Self-Hosting kann Drittlandtransfers vermeiden, wenn keine externen Komponenten Daten übertragen. Es macht Sie aber nicht automatisch konform. Auch auf dem eigenen Server brauchen Sie eine Rechtsgrundlage, Zweckbindung und angemessene Transparenz. Souveränität ist die halbe Miete, nicht die ganze.

DSGVO-Konformität entsteht also nicht durch ein Häkchen, sondern durch das Zusammenspiel mehrerer Stellschrauben. Schauen wir uns die wichtigste zuerst an.

Der eigentliche Knackpunkt: wohin fließen Ihre Daten?

Sobald personenbezogene Daten an einen US-Empfänger übermittelt oder dort verarbeitet werden, greifen zusätzlich die Regeln für Drittlandtransfers. Genau hier sitzt die rechtliche Unsicherheit – und hier wird im Markt am meisten Angst verkauft. Deshalb der nüchterne Stand der Dinge (Stand: 17. August 2026):

Transfers in die USA sind nicht pauschal illegal. Seit 2023 gibt es das EU-US Data Privacy Framework (DPF), einen Angemessenheitsbeschluss der EU-Kommission, der Übermittlungen an teilnehmende, zertifizierte US-Unternehmen ermöglicht. Im September 2025 hat das Gericht der Europäischen Union die Klage in der Rechtssache T-553/23 abgewiesen.

Die ehrliche Einordnung dazu lautet aber: Das DPF ist derzeit gültig, seine weitere Entwicklung bleibt jedoch zu beobachten. Gegen das Urteil ist das Rechtsmittel C-703/25 P anhängig. Zudem beruht der Angemessenheitsbeschluss auf US-Rechtsgarantien, deren Fortbestand die EU-Kommission überwachen muss; die beiden Vorgänger – Safe Harbor und Privacy Shield – wurden vom EuGH für ungültig erklärt. Unternehmen sollten ihre KI-Strategie deshalb nicht ohne Ausweichoption allein auf einen Transfermechanismus stützen.

Wichtig außerdem: Selbst wenn das DPF greift, legitimiert es nur den Transfer. Eine Rechtsgrundlage und gegebenenfalls einen AVV für die eigentliche Verarbeitung brauchen Sie trotzdem.

In der Praxis müssen die Zusagen jedes Geschäftsprodukts getrennt geprüft werden. OpenAIs aktuelles Data Processing Addendum sieht für Übermittlungen aus dem EWR je nach Fall einen Angemessenheitsbeschluss oder Standardvertragsklauseln vor. OpenAI verwendet Eingaben und Ausgaben aus ChatGPT Business und Enterprise standardmäßig nicht zum Training. Eine europäische Daten- und Inference-Residenz ist jedoch nur für berechtigte Enterprise- und Edu-Kunden verfügbar und erfasst laut Anbieter nicht jede CPU-Verarbeitung, Metadaten oder externe Integration. Ein Business-Tarif allein ist daher noch keine belastbare Datenschutzbewertung.

Die drei Stellschrauben für DSGVO-konforme KI

Aus der Praxis lassen sich drei Hebel herausschälen, an denen sich Konformität entscheidet. Wer diese drei sauber beantwortet, hat das Wesentliche im Griff.

1. Der Datenstandort. Wo laufen Speicherung und eigentliche KI-Inferenz? In einer US-Cloud, in einem EU-Rechenzentrum oder auf Ihrer eigenen Infrastruktur? Vollständig eigener Betrieb kann eine Drittlandübermittlung vermeiden – sofern auch externe APIs, Telemetrie, Supportzugriffe und angebundene Dienste keine entsprechenden Datenübertragungen verursachen.

2. Modell und Anbieter. Setzen Sie auf eine geschlossene API oder auf ein Open-Source-Modell, das Sie selbst betreiben können? Nutzt der Anbieter Eingaben oder Ausgaben zum Training? Liegt ein belastbarer AVV vor? Bei selbst betriebenen Open-Source-Modellen lässt sich technisch und organisatorisch kontrollieren, ob und wohin Eingaben, Dokumente und Protokolldaten übertragen werden.

3. Zweck, Rechtsgrundlage und Transparenz. Für welchen Zweck verarbeiten Sie welche Daten, und auf welcher Rechtsgrundlage? Sind Beschäftigte und andere Betroffene ausreichend informiert? Verarbeitungstätigkeiten müssen, soweit Art. 30 DSGVO greift, im Verzeichnis dokumentiert werden. Ein ergänzendes KI-Inventar ist darüber hinaus eine empfehlenswerte Governance-Maßnahme und hilft, Datenschutz und EU AI Act sauber getrennt zu beurteilen.

Drei Wege, KI DSGVO-konform zu nutzen

Es gibt nicht den einen richtigen Weg, sondern ein Spektrum – mit ehrlichen Vor- und Nachteilen.

Welcher Weg passt, hängt von Ihrem Schutzbedarf, Ihrem Budget und Ihrer gewünschten Geschwindigkeit ab. Es gibt keine pauschal beste Antwort – nur die für Ihre Situation passende.

Checkliste: Woran Unternehmen eine DSGVO-konforme KI-Lösung erkennen

Prüfen Sie nicht nur den Produktnamen, sondern Tarif, Vertrag und technischen Datenfluss. Für DSGVO-konforme KI-Lösungen und KI-Tools sind diese Punkte relevant:

1. Einsatzzweck und Datenarten: Legen Sie fest, welche Aufgabe das Tool übernimmt und ob Personenbezug, besondere Kategorien, Beschäftigtendaten oder Geschäftsgeheimnisse vorkommen.
2. Rechtsgrundlage und Zweckbindung: Ordnen Sie jede Verarbeitung einer tragfähigen Rechtsgrundlage und einem klar begrenzten Zweck zu. „Wir testen KI" ist dafür zu unbestimmt.
3. Auftragsverarbeitungsvertrag: Verarbeitet ein externer Anbieter personenbezogene Daten in Ihrem Auftrag, prüfen Sie einen Vertrag nach Art. 28 DSGVO – einschließlich Weisungsbindung und Sicherheitsmaßnahmen.
4. Speicherort und Inferenz: Fragen Sie getrennt, wo Daten gespeichert werden und wo das Modell die Anfrage tatsächlich berechnet. EU-Speicherung bedeutet nicht automatisch EU-Inferenz.
5. Unterauftragsverarbeiter: Prüfen Sie aktuelle Subprozessorlisten, deren Standorte, Aufgaben und den Prozess für Änderungen.
6. Drittlandtransfers: Klären Sie Empfänger und Transfergrundlage. Beim DPF muss der konkrete US-Empfänger zertifiziert sein; bei Standardvertragsklauseln können eine Transferprüfung und ergänzende Maßnahmen nötig sein.
7. Modelltraining: Lassen Sie vertraglich und technisch klären, ob Eingaben, Ausgaben, Feedback oder Protokolle zum Training oder zur Produktverbesserung verwendet werden.
8. Aufbewahrung und Löschung: Definieren Sie Fristen für Chats, Dateien, Embeddings, Backups und Logs. Prüfen Sie, ob Löschung administrierbar und nach Vertragsende vorgesehen ist.
9. Rollen und Zugriffsschutz: Verlangen Sie Firmenkonten, Mehrfaktor-Authentifizierung, angemessene Rollen und einen geregelten Ein- und Austrittsprozess.
10. Protokollierung: Halten Sie Tool, Nutzer, Zeitpunkt und relevante Konfiguration nachvollziehbar fest, ohne unnötig vollständige Prompts oder sensible Inhalte zu protokollieren.
11. Betroffenenrechte: Prüfen Sie, wie Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch praktisch umgesetzt werden können – auch in Vektordatenbanken und Anbieterlogs.
12. Datenschutz-Folgenabschätzung: Bewerten Sie risikobasiert, ob die Verarbeitung voraussichtlich ein hohes Risiko verursacht und daher eine DSFA nach Art. 35 DSGVO erforderlich ist.
13. Transparenz: Informieren Sie Beschäftigte, Kunden oder andere Betroffene verständlich über Zweck, Datenarten, Empfänger und wesentliche Funktionsweise, soweit dies erforderlich ist.
14. Verzeichnis und KI-Inventar: Nehmen Sie die Verarbeitung bei Vorliegen der Voraussetzungen ins Verzeichnis nach Art. 30 auf. Dokumentieren Sie das KI-System zusätzlich mit Owner, Zweck, Datenklassen und Freigabestatus.

Für österreichische Unternehmen: Die DSGVO gilt in Österreich unmittelbar; das österreichische Datenschutzgesetz ergänzt sie. Zuständige Aufsichtsbehörde ist die österreichische Datenschutzbehörde. Die technischen Auswahlkriterien bleiben grundsätzlich dieselben. Die österreichische Datenschutzbehörde erläutert die Rechtsquellen; für verbindliche Einzelfallbewertungen ist fachkundiger Rechtsrat notwendig.

Welche KI-Infrastruktur ist DSGVO-konform?

Eine Architektur ist nicht allein aufgrund ihres Standorts konform. Bei der Frage, welche KI-Infrastruktur DSGVO-konform betrieben werden kann, hilft folgende Abstufung:

• Öffentliche Consumer-KI: schnell verfügbar, aber oft ohne AVV, zentrale Administration oder belastbare Zusagen für Firmendaten. Für personenbezogene oder vertrauliche Inhalte meist ungeeignet.
• Business-SaaS mit vertraglichen Zusagen: kann Trainingsausschluss, AVV, Rollen und Löschoptionen bieten. Drittlandtransfers und tatsächliche Konfiguration bleiben zu prüfen.
• Business-SaaS mit EU-Datenresidenz: reduziert Risiken bei der Speicherung. Entscheidend ist zusätzlich, wo Inferenz, Support, Telemetrie und angebundene Funktionen verarbeitet werden.
• Private KI in einer EU-Cloud: isolierte Instanzen und kontrollierte Datenwege schaffen mehr Steuerbarkeit, während Betrieb und Skalierung weitgehend beim Dienstleister bleiben.
• Self-hosted im EU-Rechenzentrum: kann Drittlandübermittlungen vermeiden, wenn auch externe APIs, Telemetrie, Supportzugriffe und weitere Dienste kontrolliert werden.
• Vollständig On-Premise: bietet die größte technische Kontrolle, verlagert aber Verantwortung für Updates, Zugriffsschutz, Backups, Verfügbarkeit und Protokollierung vollständig ins Unternehmen.

EU-Hosting reduziert die Drittlandproblematik, löst aber Rechtsgrundlage, Zweckbindung, Berechtigungen, Löschung und Dokumentation nicht automatisch. Für viele KMU ist eine private EU-Cloud deshalb ein pragmatischer Mittelweg: mehr Kontrolle als öffentliche SaaS, weniger Betriebsaufwand als On-Premise und eine kürzere Time-to-Value als beim vollständigen Eigenbetrieb. Ob dieses KI-Hosting DSGVO-konform eingesetzt werden kann, entscheidet der konkrete Prozess.

Welcher Weg passt zu Ihrem Unternehmen?

Ein einfacher technischer Entscheidungsweg beginnt beim höchsten Schutzbedarf der vorgesehenen Daten:

• Keine vertraulichen oder personenbezogenen Daten: Ein kontrollierter Business-Cloud-Dienst kann ausreichen.
• Personenbezogene Daten mit überschaubarem Risiko: Vertrag, AVV, Anbieter, Konfiguration und EU-Hosting beziehungsweise eine belastbare Transfergrundlage prüfen.
• Geschäftsgeheimnisse, interne Dokumente oder sensible Kundendaten: Eine private EU-Cloud oder ein selbst betriebenes System bevorzugt prüfen.
• Besonders schützenswerte Daten oder regulierte Umgebung: Eine isolierte Private-Cloud- oder On-Premise-Architektur und fachkundige rechtliche Prüfung einplanen.

Das ist eine technische Orientierung, keine abschließende Rechtsbewertung. Der Souveränitäts-Check übersetzt Schutzbedarf, bestehende Datenflüsse und Betriebsaufwand in eine nachvollziehbare Architekturentscheidung.

Was das praktisch heißt

Der häufigste Fehler ist nicht die falsche Tool-Wahl. Es ist, gar keine bewusste Wahl zu treffen – und das Team in der Zwischenzeit unkontrolliert mit öffentlichen Tools arbeiten zu lassen. Diese Schatten-KI im Unternehmen ist kein reines Disziplinproblem, sondern häufig das Ergebnis eines fehlenden, praktikablen Werkzeugs. Sobald Ihr Team eine sichere, schnelle Alternative hat, sinkt der Anreiz für Umgehungslösungen.

Genau das ist der Kern DSGVO-konformer KI in der Praxis: ein klar definierter, dokumentierter KI-Arbeitsplatz, bei dem Sie wissen, wo Ihre Daten liegen, statt es zu hoffen. Ist bereits ein problematischer Upload passiert, unterstützt die KI-Vorfall-Soforthilfe bei der ersten technischen Einordnung und Dokumentation.

Hinweis: Dieser Beitrag bietet eine fachliche Orientierung, ersetzt aber keine Rechtsberatung. Für die verbindliche Bewertung Ihres konkreten Falls ziehen Sie bitte fachkundigen Rechtsrat hinzu.

Häufige Fragen

Ist ChatGPT DSGVO-konform? Ob ChatGPT DSGVO-konform eingesetzt werden kann, hängt von Tarif, Vertrag, Konfiguration und Zweck ab. ChatGPT Business und Enterprise verwenden Geschäftsdaten standardmäßig nicht zum Training; ein Data Processing Addendum ist verfügbar. EU-Daten- und Inference-Residenz gelten nur für berechtigte Enterprise- und Edu-Kunden und erfassen nicht jede Verarbeitung.

Welche KI ist DSGVO-konform? Keine „von Haus aus". Entscheidend sind Einsatzzweck, Datenarten, Rechtsgrundlage, Verträge, Datenflüsse, Löschung, Zugriffsschutz und Dokumentation. EU-gehostete oder selbst betriebene Lösungen können Drittlandtransfers und Kontrollrisiken reduzieren, ersetzen diese Prüfung aber nicht.

Brauche ich einen Auftragsverarbeitungsvertrag (AVV)? Wenn ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, ist grundsätzlich ein Vertrag nach Art. 28 DSGVO erforderlich. Bei vollständig eigenem Betrieb ohne externen Auftragsverarbeiter kann dieser Punkt entfallen; andere DSGVO-Pflichten bleiben bestehen.

Müssen meine Daten zwingend in der EU bleiben? Nicht zwingend. Transfers an zertifizierte US-Unternehmen können derzeit auf das DPF gestützt werden; je nach Empfänger kommen auch Standardvertragsklauseln und ergänzende Maßnahmen in Betracht. EU-Verarbeitung reduziert den Transferaufwand, löst aber nicht automatisch alle DSGVO-Anforderungen.

Ist lokale KI automatisch DSGVO-konform? Nein. Eigener Betrieb kann Drittlandübermittlungen vermeiden, sofern auch externe APIs, Telemetrie, Supportzugriffe und angebundene Dienste kontrolliert sind. Rechtsgrundlage, Zweckbindung, Berechtigungen, Löschung, Sicherheit und Transparenz bleiben erforderlich.

---

Sie wollen wissen, wo Ihr Unternehmen heute steht – und welche KI-Nutzung souverän und konform machbar ist? Der Souveränitäts-Check schafft in einer Woche Klarheit: Wo fließen heute Daten ab, was fällt unter den EU AI Act, und welche Prozesse lassen sich sicher automatisieren.