Darfst du Kundendaten in ChatGPT eingeben? Brauchst du einen Vertrag mit OpenAI? Und was ändert der AI Act? Hier ist der komplette Leitfaden, um KI DSGVO-konform zu nutzen, ohne Juristendeutsch.
Die gute Nachricht zuerst: Die meisten Aufgaben, für die du KI nutzt, sind datenschutzrechtlich unproblematisch. Ideen sammeln, Texte überarbeiten, Konzepte erklären lassen. Kritisch wird es erst, wenn personenbezogene Daten ins Spiel kommen. Genau dort trennt sich der private Gebrauch vom geschäftlichen.
Dieser Artikel ist keine Rechtsberatung. Er erklärt die Grundlagen und verweist auf die offiziellen Gesetzestexte.
Wann gilt die DSGVO überhaupt für KI?
Die DSGVO greift, sobald du personenbezogene Daten verarbeitest. Das sind alle Informationen, mit denen sich eine Person direkt oder indirekt identifizieren lässt (Art. 4 Nr. 1 DSGVO):
- Namen, E-Mail-Adressen, Telefonnummern, Adressen
- Kundennummern, Vertragsnummern, IP-Adressen
- Fotos, Sprachaufnahmen, Lebensläufe
- Beschreibungen, die auf eine bestimmte Person schließen lassen („die einzige Steuerberaterin in unserem Dorf“)
Zwei Situationen musst du unterscheiden:
Privat: Für rein persönliche oder familiäre Tätigkeiten gilt die DSGVO nicht (Art. 2 Abs. 2 lit. c DSGVO). Wenn du ChatGPT ein Rezept oder eine Reise planen lässt, betrifft dich das Thema kaum. Vorsicht ist trotzdem sinnvoll, sobald es um Dritte geht.
Geschäftlich: Sobald du als Selbstständige, Freelancer oder Unternehmen Daten von Kunden, Mitarbeitenden oder Interessenten in ein KI-Tool gibst, bist du Verantwortlicher im Sinne der DSGVO. Dann gelten alle Pflichten, die weiter unten beschrieben sind.
Die Ampel: Was darf in einen KI-Chat?
Für den Alltag reicht eine einfache Faustregel. Sie gilt für normale KI-Konten ohne Business-Vertrag.
🟢 Grün: unproblematisch
- Allgemeine Fragen, Recherche, Lernen
- Brainstorming, Ideen, Gliederungen
- Öffentlich verfügbare Informationen
- Eigene Texte, aus denen du Namen und Details entfernt hast („Kunde A“ statt „Herr Berger“)
🟡 Gelb: nur mit Business-Tarif und AVV
- Kundenanfragen mit Namen oder E-Mail-Adressen
- Interne Dokumente mit Mitarbeiterdaten
- Lebensläufe von Bewerbern
- Angebotsentwürfe mit Kontaktdaten
🔴 Rot: gehört in kein Standard-KI-Tool
- Gesundheitsdaten, Religion, politische Meinung, Gewerkschaftszugehörigkeit (besondere Kategorien nach Art. 9 DSGVO)
- Daten, die unter ein Berufsgeheimnis fallen, etwa bei Ärzten, Anwälten oder Steuerberatern
- Gehaltslisten, Bankdaten, Ausweisnummern einzelner Personen
Der schnelle Test: Dürfte deine Eingabe auf einem Plakat am Bahnhof stehen, ohne dass sich jemand wiedererkennt? Wenn nein, anonymisiere sie oder nutze ein Tool mit passendem Vertrag.
Anonymisieren: der einfachste Weg zur DSGVO-konformen KI
Wenn du Kundenfälle mit KI bearbeiten willst, ist Anonymisieren oft die schnellste Lösung. Anonyme Daten fallen nicht unter die DSGVO. Entscheidend ist, dass niemand mehr auf die Person schließen kann.
So gehst du vor:
- Ersetze Namen durch Rollen: „Kundin A“, „Lieferant B“.
- Entferne E-Mail-Adressen, Telefonnummern, Adressen und Kundennummern.
- Verallgemeinere Details: „mittelständischer Handwerksbetrieb in Bayern“ statt Firmenname und Ort.
- Prüfe zum Schluss: Könnte jemand aus deinem Umfeld die Person trotzdem erkennen?
Ein Prompt, der dabei hilft:
Hier ist ein Text, den ich mit KI weiterbearbeiten möchte. Ersetze alle Namen, E-Mail-Adressen, Telefonnummern, Adressen, Kundennummern und Firmennamen durch neutrale Platzhalter wie [KUNDE A] oder [FIRMA B]. Ändere sonst nichts am Inhalt. Liste am Ende auf, welche Stellen du ersetzt hast.
Text: [DEIN TEXT]
Wichtig: Diesen Prompt nutzt du am besten in einem Tool, das ohnehin für die Originaldaten zugelassen ist, oder du anonymisierst von Hand. Sonst landen die Daten ja doch im Chat.
Die Einstellungen, die du heute noch prüfen solltest
Alle großen Anbieter erlauben inzwischen, das Training mit deinen Chats abzuschalten. Die Bezeichnungen ändern sich gelegentlich, deshalb hier sinngemäß (Stand Oktober 2026):
| Tool | Training abschalten | Chat ohne Verlauf |
|---|---|---|
| ChatGPT | Einstellungen, Datenkontrollen, „Das Modell für alle verbessern“ aus | Temporärer Chat |
| Claude | Einstellungen, Datenschutz, Option zur Verbesserung von Claude aus | Inkognito-Chat |
| Gemini | Aktivitäten in den Gemini-Apps ausschalten | Temporärer Chat |
| Mistral Le Chat | Einstellungen, Datenschutz, Training abwählen | je nach Tarif |
Zwei Dinge solltest du wissen:
- Abschalten ist nicht dasselbe wie sofort löschen. Viele Anbieter speichern Chats noch eine gewisse Zeit, etwa zur Missbrauchserkennung. Die genaue Dauer steht in den Datenschutzhinweisen des jeweiligen Anbieters.
- Die Einstellung ersetzt keinen Vertrag. Für Kundendaten im geschäftlichen Einsatz reicht ein ausgeschalteter Schalter nicht. Dafür brauchst du die Punkte aus dem nächsten Abschnitt.
KI im Unternehmen: die 5 Pflichten
Wer KI geschäftlich mit personenbezogenen Daten nutzt, sollte diese fünf Punkte abhaken. Die Paragrafen findest du im Text der DSGVO auf EUR-Lex.
1. Rechtsgrundlage (Art. 6 DSGVO)
Jede Verarbeitung braucht eine Rechtsgrundlage. Im KI-Alltag sind das meist die Vertragserfüllung (du beantwortest eine Kundenanfrage) oder das berechtigte Interesse. Für besondere Kategorien wie Gesundheitsdaten gelten deutlich strengere Regeln (Art. 9 DSGVO).
2. Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
Verarbeitet ein KI-Anbieter Daten in deinem Auftrag, brauchst du mit ihm einen Auftragsverarbeitungsvertrag (AVV), im Englischen Data Processing Agreement (DPA). Den gibt es in der Regel nur in Business- und Enterprise-Tarifen oder bei der API, nicht im kostenlosen Privatkonto. Ein kostenloses ChatGPT-Konto mit Kundendaten ist deshalb im Geschäftsalltag die häufigste Datenschutzfalle.
3. Datenübermittlung in Drittländer (Art. 44 ff. DSGVO)
Viele KI-Anbieter sitzen in den USA oder verarbeiten Daten dort. Das ist nicht automatisch verboten, braucht aber eine Grundlage, etwa das EU-US Data Privacy Framework oder Standardvertragsklauseln. Seriöse Anbieter beschreiben das im AVV. Anbieter mit Servern in der EU machen diesen Punkt einfacher.
4. Informationspflichten (Art. 13 DSGVO)
Deine Kunden müssen erfahren, dass ihre Daten mit einem KI-Dienst verarbeitet werden. Das gehört in deine Datenschutzerklärung: welcher Dienst, zu welchem Zweck, auf welcher Rechtsgrundlage, ob Daten in Drittländer gehen.
5. Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen hat, etwa bei sensiblen Daten in großem Umfang oder bei automatisierten Entscheidungen über Personen, ist vorher eine Datenschutz-Folgenabschätzung nötig. Für den Selbstständigen, der Mails vorformulieren lässt, ist das selten der Fall. Für eine KI, die Bewerbungen vorsortiert, sehr wohl.
Dazu kommt eine sechste, ganz praktische Pflicht: eine kurze interne KI-Richtlinie. Eine Seite reicht. Welche Tools sind erlaubt, welche Daten dürfen hinein, wer ist Ansprechpartner.
Was der AI Act seit 2026 zusätzlich verlangt
Neben der DSGVO gilt die europäische KI-Verordnung, der AI Act. Den vollständigen Text findest du auf EUR-Lex. Für Selbstständige und kleine Unternehmen sind vor allem zwei Artikel relevant:
KI-Kompetenz (Art. 4), gilt seit 2. Februar 2025. Wer KI-Systeme im Betrieb einsetzt, muss dafür sorgen, dass die Menschen, die damit arbeiten, ausreichend geschult sind. Eine kurze Einweisung und die interne Richtlinie sind ein guter Anfang.
Transparenzpflichten (Art. 50), gelten seit 2. August 2026. Die wichtigsten Punkte:
- Ein Chatbot muss erkennbar machen, dass Nutzer mit einer KI sprechen, sofern das nicht offensichtlich ist.
- Deepfakes, also täuschend echte KI-Bilder, Videos oder Tonaufnahmen von Personen und Ereignissen, müssen gekennzeichnet werden.
- KI-generierte Texte zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse müssen gekennzeichnet werden. Das gilt nicht, wenn ein Mensch den Text prüft und redaktionell verantwortet.
Für einen normalen Blogartikel oder Social-Media-Post, den du mit KI-Hilfe schreibst und selbst überarbeitest, entsteht daraus also keine automatische Kennzeichnungspflicht. Bei Chatbots und realistisch wirkenden Bildern von Menschen solltest du dagegen genau hinschauen.
DSGVO-konformer Chatbot auf der Website
Ein KI-Chatbot auf deiner Website verarbeitet fast immer personenbezogene Daten: Namen, E-Mail-Adressen, Fragen zu Bestellungen. Damit er DSGVO-konform läuft, brauchst du:
- Einen Anbieter mit AVV, idealerweise mit Servern in der EU.
- Den Hinweis auf KI im Chatfenster, wie es Art. 50 AI Act verlangt.
- Einen Absatz in der Datenschutzerklärung zum Chatbot-Anbieter.
- Eine Einwilligung für Cookies und Tracking, falls das Chat-Widget solche setzt (§ 25 TDDDG).
- Keine Nutzung der Chats zum Training des Anbieters, vertraglich ausgeschlossen.
- Eine Regel für sensible Anfragen: Fragt jemand nach Gesundheit oder Finanzen, sollte der Bot an einen Menschen übergeben.
Welche KI-Tools eignen sich für den DSGVO-konformen Einsatz?
Kein Tool ist „automatisch DSGVO-konform“. Konform ist immer erst dein Einsatz: das richtige Tool, der richtige Tarif, der richtige Vertrag. Diese Übersicht zeigt, worauf du achten musst:
| Tool | Anbieter | Für Kundendaten geeignet mit |
|---|---|---|
| ChatGPT | OpenAI (USA, EU-Vertragspartner in Irland) | Business- oder Enterprise-Tarif oder API mit DPA |
| Claude | Anthropic (USA) | Team- oder Enterprise-Tarif oder API mit DPA |
| Gemini | Google (USA) | Google Workspace mit Business-Bedingungen |
| Mistral Le Chat | Mistral AI (Frankreich) | Business-Tarif, Verarbeitung in der EU |
| DeepL Pro | DeepL (Köln) | Pro-Tarif, Texte werden laut Anbieter nicht gespeichert |
Wie sich die französische Alternative im Alltag gegen ChatGPT schlägt, zeigt mein Vergleich Mistral vs. ChatGPT.
Auch bei Tools rund um die KI lohnt der Blick auf den Serverstandort, etwa beim Newsletter. Brevo (Frankreich) und KlickTipp (Deutschland) sind beliebte Alternativen zu US-Anbietern. Welches Tool zu dir passt, zeigt mein Vergleich Mailchimp Alternative: Brevo vs KlickTipp.
Checkliste: KI DSGVO-konform einsetzen
- ☐ Ich weiß, welche KI-Tools in meinem Betrieb genutzt werden.
- ☐ Personenbezogene Daten kommen nur in Tools mit Business-Tarif und AVV.
- ☐ Das Training mit eigenen Daten ist ausgeschaltet.
- ☐ Sensible Daten (Gesundheit, Finanzen, Berufsgeheimnisse) bleiben draußen.
- ☐ Meine Datenschutzerklärung nennt die eingesetzten KI-Dienste.
- ☐ Datenübermittlungen in Drittländer sind abgesichert.
- ☐ Es gibt eine kurze interne KI-Richtlinie.
- ☐ Alle, die mit KI arbeiten, wurden eingewiesen (Art. 4 AI Act).
- ☐ Ein Chatbot auf der Website gibt sich als KI zu erkennen (Art. 50 AI Act).
Mein Fazit
Die DSGVO verbietet KI nicht. Sie verlangt, dass du weißt, welche Daten wohin gehen. Für die meisten Selbstständigen reichen drei Schritte: Kundendaten nur in Business-Tarife mit AVV, Training ausschalten, Datenschutzerklärung ergänzen.
Wer das einmal sauber aufsetzt, kann KI danach entspannt nutzen. Wer dagegen Kundendaten in ein kostenloses Privatkonto kopiert, geht ein unnötiges Risiko ein, das sich mit wenig Aufwand vermeiden lässt.
Passend dazu: Wie der Datenschutz bei einem konkreten Tool aussieht, zeigt der Test DeepSeek vs ChatGPT mit DSGVO-Check. Den Einstieg für Teams findest du unter KI für Unternehmen.
Häufige Fragen
Ist ChatGPT DSGVO-konform? Das hängt vom Einsatz ab. Für allgemeine Fragen ohne personenbezogene Daten ist ChatGPT unproblematisch. Für Kundendaten brauchst du einen Business- oder Enterprise-Tarif oder die API mit Auftragsverarbeitungsvertrag, dazu eine Rechtsgrundlage und einen Hinweis in deiner Datenschutzerklärung.
Darf ich Kundendaten in ChatGPT eingeben? In ein kostenloses oder privates Konto solltest du keine Kundendaten eingeben, weil dort kein Auftragsverarbeitungsvertrag besteht. Anonymisiere die Daten vorher oder nutze einen Business-Tarif mit AVV.
Brauche ich einen AVV mit OpenAI, Anthropic oder Google? Ja, wenn der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet. Diese Verträge gibt es in der Regel nur für Business-, Enterprise- und API-Kunden.
Welche KI ist DSGVO-konform? Kein Tool ist von sich aus konform, es kommt auf Tarif, Vertrag und Einsatz an. Anbieter mit Sitz und Servern in der EU, etwa Mistral aus Frankreich oder DeepL aus Köln, machen die Absicherung einfacher, weil keine Datenübermittlung in die USA nötig ist.
Muss ich KI-generierte Texte kennzeichnen? Seit dem 2. August 2026 verlangt der AI Act eine Kennzeichnung für Deepfakes und für KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, sofern sie nicht von einem Menschen geprüft und redaktionell verantwortet werden. Für selbst überarbeitete Marketingtexte entsteht daraus in der Regel keine Pflicht.
Ist ein KI-Chatbot auf der Website erlaubt? Ja, wenn er sich als KI zu erkennen gibt, der Anbieter einen AVV anbietet, die Datenschutzerklärung ihn nennt und Cookies nur mit Einwilligung gesetzt werden.
Dieser Artikel ist keine Rechtsberatung. Bei konkreten Fragen zu deinem Unternehmen hilft ein Datenschutzbeauftragter oder eine Fachanwältin für IT-Recht.
