KI und Datenschutz: So nutzen Sie ChatGPT & Co. DSGVO-konform

Das Datenschutz-Dilemma bei KI

KI-Tools wie ChatGPT sind unglaublich nützlich - aber sie sind auch eine potenzielle Datenschutz-Falle. Wenn ein Mitarbeiter Kundendaten in ChatGPT eingibt, um eine E-Mail zu formulieren, verarbeitet ein US-Unternehmen personenbezogene Daten. Das ist ein DSGVO-Problem.

Die gute Nachricht: Mit den richtigen Maßnahmen lässt sich KI vollständig DSGVO-konform einsetzen. Dieser Leitfaden zeigt, wie.

Was passiert mit den Daten, die Sie in KI-Tools eingeben?

ChatGPT (OpenAI)

• Free/Plus: Eingaben können zum Training verwendet werden (abschaltbar)
• Team/Enterprise: Daten werden nicht zum Training genutzt
• Speicherung: Konversationen werden gespeichert (löschbar)
• Server: Primär USA, EU-Verarbeitung in Business-Plänen verfügbar

Microsoft Copilot

• Free: Ähnlich wie ChatGPT Free
• Microsoft 365 Copilot: Daten verbleiben im Microsoft-Tenant, EU-Rechenzentren

Google Gemini

• Free: Eingaben können zum Training verwendet werden
• Workspace: Daten werden nicht zum Training genutzt, EU-Rechenzentren

Die 5 goldenen Regeln für datenschutzkonforme KI-Nutzung

Regel 1: Niemals personenbezogene Daten eingeben

Das klingt einfach, ist es aber nicht. Personenbezogene Daten umfassen:

• Namen, Adressen, Telefonnummern
• E-Mail-Adressen
• Kundennummern, Auftragsnummern
• Gesundheitsdaten
• Finanzdaten von Einzelpersonen
• IP-Adressen, Nutzerkennungen

Lösung: Anonymisierung. Statt „Schreibe eine E-Mail an Max Mustermann, Kundenummer 12345, wegen seiner offenen Rechnung über 3.500 €" besser: „Schreibe eine freundliche Zahlungserinnerung an einen Geschäftskunden mit einer offenen Rechnung im mittleren vierstelligen Bereich."

Regel 2: Business-Versionen nutzen

Für den professionellen Einsatz sind Business-Pläne Pflicht:

• Auftragsverarbeitungsvertrag (AVV) verfügbar
• Daten werden nicht zum Training verwendet
• EU-Rechenzentren (bei manchen Anbietern)
• Administratorkontrolle über Nutzerdaten

Regel 3: KI-Richtlinien im Unternehmen etablieren

Jedes Unternehmen, das KI nutzt, braucht schriftliche Richtlinien. Inhalte:

Was DARF eingegeben werden:

• Allgemeine Brancheninformationen
• Öffentlich verfügbare Daten
• Anonymisierte Beispiele
• Eigene kreative Inhalte

Was DARF NICHT eingegeben werden:

• Personenbezogene Daten (Kunden, Mitarbeiter, Partner)
• Geschäftsgeheimnisse
• Vertragsinhalte
• Finanz- und Kalkulationsdaten
• Passwörter und Zugangsdaten

Regel 4: Auftragsverarbeitungsvertrag (AVV) abschließen

Wenn Sie KI-Tools geschäftlich nutzen, brauchen Sie einen AVV mit dem Anbieter. Das ist DSGVO-Pflicht. Die meisten Anbieter stellen Standard-AVVs bereit:

• OpenAI: AVV für Team/Enterprise verfügbar
• Microsoft: Bestandteil der Microsoft-Lizenzvereinbarung
• Google: Bestandteil der Google Workspace-Vereinbarung

Regel 5: Dokumentation und Transparenz

Die DSGVO verlangt, dass Sie dokumentieren, wie Sie personenbezogene Daten verarbeiten. Ergänzen Sie Ihr Verzeichnis der Verarbeitungstätigkeiten um KI-Tools:

• Welche KI-Tools werden genutzt?
• Zu welchem Zweck?
• Welche Daten werden (nicht) eingegeben?
• Welche technischen und organisatorischen Maßnahmen gibt es?
• Wo ist der AVV hinterlegt?

Checkliste: Ist Ihre KI-Nutzung DSGVO-konform?

• [ ] Business-Version des KI-Tools im Einsatz
• [ ] Auftragsverarbeitungsvertrag abgeschlossen
• [ ] KI-Richtlinie für Mitarbeiter erstellt und kommuniziert
• [ ] Verarbeitungsverzeichnis aktualisiert
• [ ] Datenschutzerklärung angepasst (falls KI im Kundenkontakt)
• [ ] Mitarbeiter geschult (Dos and Don'ts)
• [ ] Technische Maßnahmen implementiert (z. B. Data Loss Prevention)
• [ ] Regelmäßige Überprüfung geplant (quartalsweise)

Was droht bei Verstößen?

DSGVO-Verstöße können teuer werden:

• Bis zu 20 Mio. € oder 4% des Jahresumsatzes (je nachdem, welcher Betrag höher ist)
• Abmahnungen durch Wettbewerber
• Beschwerden bei der Datenschutzaufsicht
• Reputationsschäden

Bisher gibt es wenige Fälle zu KI-spezifischen DSGVO-Verstößen - aber die Aufsichtsbehörden beobachten den Bereich genau. Italien hat ChatGPT bereits zeitweise gesperrt.

Die pragmatische Lösung

Datenschutz und KI-Nutzung müssen kein Widerspruch sein. Mit drei einfachen Maßnahmen sind 90% der Risiken abgedeckt:

Business-Plan mit AVV nutzen

Mitarbeiter schulen (was rein darf, was nicht)

Richtlinien dokumentieren und leben

---

In unserer Schulung „KI & Datenschutz" lernt Ihr Team in 4 Stunden alles, was für DSGVO-konforme KI-Nutzung nötig ist. Inklusive fertiger Richtlinien-Vorlage.