Ratgeber für den Mittelstand · Stand Oktober 2026
Datenschutzkonforme KI:
was die DSGVO wirklich verlangt.
„DSGVO-konform“ ist kein Siegel, das ein Anbieter vergibt. Verantwortlich bleibt Ihr Unternehmen. Ob ein KI-Einsatz zulässig ist, entscheidet sich am Vertrag, am Ort der Verarbeitung und daran, was mit Ihren Daten passiert.
Sechs Punkte, an denen es sich entscheidet
Gilt für jedes KI-Werkzeug, das personenbezogene Daten sieht – Namen in E-Mails, Kundenakten, Protokolle. Arbeitet die KI nur mit Handbüchern ohne Personenbezug, wird vieles einfacher.
AV-VertragArt. 28 DSGVO
Verarbeitet ein Anbieter Daten in Ihrem Auftrag, brauchen Sie einen AV-Vertrag – mit Liste aller Unterauftragnehmer. Ohne ihn ist schon die erste Anfrage ein Verstoß.
DrittlandArt. 44 ff. DSGVO
Verarbeitung außerhalb der EU braucht eine eigene Grundlage, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Für die USA gilt das Data Privacy Framework – nur für zertifizierte Empfänger, und gegen das eine Berufung beim EuGH anhängig ist (C-703/25 P). Den Zugriff von US-Behörden nach dem CLOUD Act verhindert keines von beiden.
TrainingArt. 5 Abs. 1 lit. b DSGVO
Werden Ihre Eingaben zum Training eines Modells verwendet, dienen sie einem fremden Zweck. Der Anbieter wird dafür selbst Verantwortlicher (Art. 28 Abs. 10 DSGVO), der AV-Vertrag deckt diese Verarbeitung nicht mehr.
SicherheitArt. 32 DSGVO
Technische und organisatorische Maßnahmen: Verschlüsselung, Rechte je Person, Trennung von anderen Kunden. Der Anbieter muss sie beschreiben, Sie müssen sie prüfen.
FolgenabschätzungArt. 35 DSGVO
Verarbeitet die KI personenbezogene Daten in größerem Umfang – etwa Kunden-, Mandanten- oder Mitarbeiterdaten –, ist oft eine Datenschutz-Folgenabschätzung nötig.
LöschenArt. 15, 17 DSGVO
Gelöscht werden muss unverzüglich, auch im Suchindex und im Verlauf. In Sicherungen dürfen Daten gesperrt bis zum Ende der Aufbewahrungsfrist bleiben. Und Sie müssen Auskunft geben können, was über eine Person gespeichert ist.
Sind ChatGPT und Microsoft 365 Copilot DSGVO-konform?
Mit Firmenvertrag lässt sich der Einsatz datenschutzgerecht gestalten, mit privaten Konten nicht. Offen bleibt bei beiden der Zugriff nach US-Recht. Keine Preise, Stand Oktober 2026, nach den verlinkten Quellen.
Angebot
Datenschutz
ChatGPT Free und Plus
Private Konten. Eingaben können zum Training verwendet werden, solange man nicht widerspricht, und es gibt keinen AV-Vertrag. Für Firmendaten mit Personenbezug nicht geeignet.
ChatGPT Business und Enterprise
Kein Training mit Ihren Daten, AV-Vertrag verfügbar. Bei Business lässt sich der Speicherort wählen – schrittweise eingeführt und nur für die Speicherung, nicht für die Verarbeitung. Eine Kopie jeder Eingabe und Antwort bleibt dabei befristet zur Missbrauchsüberwachung in den USA. Enterprise und Edu bieten zusätzlich Verarbeitung in der Region, auch in Europa. OpenAI ist ein US-Konzern.
Microsoft 365 Copilot
Kein Training mit Eingaben und Firmendaten. Für Kunden in der EU läuft die Verarbeitung in der EU Data Boundary, mit zwei Ausnahmen: Bei Lastspitzen kann das Sprachmodell über „Flex Routing“ außerhalb der EU rechnen, solange ein Administrator das nicht abschaltet – laut Berichten seit April 2026 standardmäßig eingeschaltet. Und die Modelle von Anthropic sind ausgenommen, für EU-Kunden aber standardmäßig deaktiviert. Microsoft ist ein US-Konzern. Für den Verbraucher-Copilot gelten andere Bedingungen.
Bevor Sie starten
01
Private KI-Konten ersetzen
Wer heute schon mit privaten Konten arbeitet, braucht ein Angebot, kein Verbot. Shadow AI im Unternehmen
02
AV-Vertrag und Unterauftragnehmer prüfen
Wer verarbeitet was, in welchem Land? Die Liste gehört in den Vertrag.
03
Festlegen, welche Daten hineindürfen
Handbücher und Vorlagen sind etwas anderes als Personalakten. Schreiben Sie es auf.
04
Folgenabschätzung durchführen
Bei personenbezogenen Daten in größerem Umfang. Eine Vorlage spart die meiste Arbeit.
05
Betriebsrat einbinden
Protokolliert ein KI-Werkzeug die Nutzung, ist es objektiv zur Leistungskontrolle geeignet. Dann besteht Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG, auch wenn niemand auswerten will.
06
Team schulen
Art. 4 der KI-Verordnung verpflichtet Sie, die KI-Kompetenz Ihres Teams zu fördern. Was der AI Act verlangt
Wie KnowledgePilot das löst
Daten und KI-Verarbeitung in Deutschland, ausschließlich Anbieter mit Sitz in Deutschland und der EU, kein US-Konzern. Nur die optionale Internetsuche schickt Suchanfragen an Linkup in Frankreich, verarbeitet in der EU. Die Unterlagen für Ihren Datenschutzbeauftragten liegen bereit.
Für Kanzleien: Läuft KnowledgePilot bei Ihnen im Haus, bleiben zusammen mit Custos, unserer Anbindung an DATEV (in der Testphase), die Mandantendaten aus DATEV und das Sprachmodell im Kanzleinetz. Custos →
Was „europäisch“ bei KI alles heißen kann: Europäische KI für Unternehmen →
Rechenzentren
Speicherung und KI-Modelle bei Hetzner in Deutschland, die KI auf gemieteter Hardware in Falkenstein: ISO/IEC 27001:2022 und BSI-C5-Testat Typ 2
Bei Ihnen im Haus
Auf Wunsch läuft KnowledgePilot auf einem eigenen Rechner in Ihrem Betrieb. Ihre Fragen und Unterlagen gehen dann nicht nach draußen, solange die Internetsuche aus ist. Hardware und Installation übernehmen wir
AV-Vertrag
nach Art. 28 DSGVO, bei jedem Plan, mit Liste der Unterauftragnehmer
Training
Ihre Dokumente und Fragen trainieren kein Modell – weder bei uns noch bei Dritten
Löschen
gelöscht heißt gelöscht: Dokument, Suchindex und Verlauf sofort. Sicherungen liegen je Kunde getrennt und werden bei Vertragsende sofort vollständig entfernt
Mitarbeiter
keine Auswertung einzelner Personen durch uns. Weil jede Antwort protokolliert wird, ist der Betriebsrat zu beteiligen – Muster-Betriebsvereinbarung auf Wunsch
Nachweis
Quelle und Protokoll zu jeder Antwort; AV-Vertrag, TOM und DSFA-Vorlage stellen wir bereit
Kurz beantwortet
Ist ChatGPT DSGVO-konform?
Mit privaten Konten (Free, Plus) nicht für Firmendaten mit Personenbezug: kein AV-Vertrag, Eingaben können ins Training gehen. Mit ChatGPT Business oder Enterprise gibt es einen AV-Vertrag und kein Training. OpenAI bleibt aber ein US-Konzern – für Berufsgeheimnisträger ist das eine eigene Rechtsfrage.
Welche KI hat den besten Datenschutz?
Die, bei der Ihre Daten Ihren Einflussbereich am wenigsten verlassen: Verarbeitung in der EU durch einen Anbieter ohne US-Mutterkonzern, kein Training, ein AV-Vertrag mit vollständiger Liste der Unterauftragnehmer – am weitesten geht ein System, das bei Ihnen im Haus läuft.
Brauche ich für KI eine Datenschutz-Folgenabschätzung?
Oft ja, sobald die KI personenbezogene Daten in größerem Umfang verarbeitet, etwa Kunden-, Mandanten- oder Mitarbeiterdaten. Arbeitet sie nur mit Handbüchern und Vorlagen ohne Personenbezug, meist nicht. Die Entscheidung treffen Sie als Verantwortlicher; im Zweifel holen Sie den Rat Ihres Datenschutzbeauftragten ein.
Reicht es, wenn der Server in der EU steht?
Nein. Der Serverstandort ist eine Voraussetzung. Dazu gehören der AV-Vertrag, die Unterauftragnehmer und die Frage, ob ein US-Unternehmen Zugriff hat. Was „europäisch“ bei KI alles heißen kann, steht auf unserer Seite zu europäischer KI.
Diese Seite gibt einen Überblick und ersetzt keine Rechtsberatung. Preise und Pläne: Preisübersicht · weitere Antworten: FAQ
Peter Schubert
Entwickelt KnowledgePilot · Vorstand Companionware AG
Sie schreiben nicht an einen Vertrieb, sondern an den, der das Produkt baut.
Was möchten Sie wissen?
Fragen Sie mich direkt – zu Ihrem Betrieb, zu Ihren Daten, zum Datenschutz. Ich antworte persönlich, meist am selben Werktag.
Lieber sprechen?
30 Minuten, Video oder Telefon
Bringen Sie eine echte Frage aus Ihrem Alltag mit. Ich zeige Ihnen die Antwort live.