DSGVO-konforme KI im Unternehmen: Worauf es wirklich ankommt

Die entscheidende Frage ist nicht "welches Modell", sondern "wohin fließen die Daten"

Bei fast jedem Erstgespräch zum Thema KI steht zuerst die Frage im Raum, welches Sprachmodell das beste sei. Datenschutzrechtlich ist das die zweitwichtigste Frage. Entscheidend ist, wer die Eingaben verarbeitet, in welchem Land das geschieht und ob die Inhalte dort gespeichert oder zum Training weiterverwendet werden.

Ein Mitarbeiter, der einen Kundenvertrag in ein öffentliches Chat-Interface kopiert, übermittelt personenbezogene Daten an einen Dritten — unabhängig davon, wie gut das Modell dahinter ist. Genau dieser Vorgang läuft in vielen Unternehmen täglich, ohne dass er je als Datenverarbeitung erfasst wurde. Der erste sinnvolle Schritt ist deshalb keine Technologieentscheidung, sondern eine Bestandsaufnahme: Welche KI-Dienste werden bereits genutzt, von wem, und mit welchen Daten?

Drei Betriebsmodelle mit sehr unterschiedlichem Risikoprofil

In der Praxis laufen KI-Anwendungen in einem von drei Modellen. Beim öffentlichen Dienst nutzt man die Endkunden-Oberfläche eines Anbieters, etwa ein frei zugängliches Chat-Interface. Hier besteht in der Regel kein Auftragsverarbeitungsvertrag, und die Eingaben können zur Verbesserung der Dienste ausgewertet werden. Für personenbezogene oder vertrauliche Daten ist das ungeeignet.

Beim API-Zugang mit Auftragsverarbeitungsvertrag läuft die Verarbeitung über eine geschäftliche Schnittstelle desselben Anbieters. Es gibt einen AV-Vertrag nach Art. 28 DSGVO, Eingaben werden vertraglich vom Training ausgenommen, und je nach Anbieter lässt sich die Verarbeitungsregion auf die EU begrenzen. Für viele Anwendungsfälle ist das ein tragfähiger Kompromiss aus Leistung und Rechtssicherheit.

Beim Self-Hosting läuft ein offenes Modell auf eigener oder angemieteter Infrastruktur, etwa in einem deutschen Rechenzentrum. Die Daten verlassen den eigenen Verantwortungsbereich nicht. Der Preis dafür sind höhere Betriebskosten und in der Regel etwas schwächere Modellqualität als bei den größten kommerziellen Modellen. Für besonders sensible Bereiche — Gesundheitsdaten, Personalakten, Mandantendaten — ist es oft die einzig vertretbare Variante.

Was eine Messstudie über Tracker in KI-Chat-Diensten zeigt

Die Endkunden-Oberflächen großer KI-Chat-Dienste geben Daten aus Gesprächen an Werbe- und Analysedienste weiter — das belegt eine Messstudie von Forschenden des IMDEA Networks Institute, über die heise online berichtete (öffnet in neuem Tab). Untersucht wurden neun Dienste: ChatGPT, Claude, Grok, DeepSeek, Perplexity, Gemini, Microsoft Copilot, Le Chat von Mistral und Meta AI, jeweils im Browser und, soweit vorhanden, als Android-App. Gemessen wurde im Mai 2026 in Spanien; die Studie „Prompt like a Butterfly, Sting like a Tracker" (öffnet in neuem Tab) ist im September 2026 als Vorabfassung erschienen.

Über alle neun Dienste zusammen zählten die Forschenden 44 Drittanbieter-Organisationen, und jeder Dienst bindet mindestens einen Werbe- oder Tracking-Dienst ein. Bei sechs der neun Browser-Oberflächen gelangen gesprächsbezogene Daten an Dritte: die Adresse des Gesprächs, der automatisch erzeugte Gesprächstitel, einzelne Eingaben oder Bildschirmfotos, oft zusammen mit dauerhaften Kennungen wie gehashten E-Mail-Adressen, über die sich die Daten einer Person zuordnen lassen. Fünf Browser-Oberflächen übermitteln die Gesprächsadresse oder deren Kennung an Tracker, drei davon (60 %) schon in der Grundeinstellung. Drei der neun (33,3 %) geben die Titel weiter, die der Dienst selbst aus dem Gesprächsinhalt erzeugt — kurze Zusammenfassungen, die Gesundheits-, Finanz- oder Berufsthemen verraten können.

Wie schwer die Weitergabe einer Gesprächsadresse wiegt, hängt von den Zugriffsrechten ab. Einige Anbieter machen Gespräche über ihre Adresse ohne Anmeldung abrufbar; wer die Adresse kennt, kann dann den gesamten Verlauf lesen, auch ein Tracker. Bei Grok sind Gespräche in kostenlosen und bezahlten Konten nach der Studie standardmäßig öffentlich zugänglich und lassen sich nur durch eine Abwahl schützen.

Die Einstellmöglichkeiten der Nutzer helfen nur begrenzt. Wer nicht notwendige Cookies ablehnt, verringert die Weitergabe, trotzdem bleiben nach der Studie 80,8 % der Tracker aktiv, und in vier von neun kostenlosen Diensten sammeln Dritte weiter Daten. Bezahlte Konten zeigen nahezu dieselben Tracker wie kostenlose; ein Abonnement für Beschäftigte ist deshalb keine Datenschutzmaßnahme. Die Ergebnisse beruhen auf der Messung des tatsächlichen Datenverkehrs, nicht auf Anbieterangaben, sind aber eine Momentaufnahme: Perplexity etwa hat die Weitergabe von Gesprächsadressen an Tracker wie Meta am 3. April 2026 eingestellt.

Was die Studie rechtlich bedeutet und was sie nicht untersucht hat

Für Tracking-Cookies und Pixel verlangt § 25 TDDDG (öffnet in neuem Tab) in Deutschland grundsätzlich eine Einwilligung, wenn das Speichern oder Auslesen von Informationen auf dem Endgerät nicht unbedingt erforderlich ist, um den ausdrücklich gewünschten Dienst bereitzustellen. Die anschließende Verarbeitung personenbezogener Daten braucht zusätzlich eine Rechtsgrundlage nach der Datenschutz-Grundverordnung (öffnet in neuem Tab); eine Einwilligung muss nach Art. 4 Nr. 11 und Art. 7 DSGVO freiwillig, für den bestimmten Fall, informiert und unmissverständlich erteilt werden. Dieselben Fragen stellen sich bei jeder Website, die Werbedienste einbindet — wann dafür ein Banner nötig ist, erklärt der Beitrag zur Cookie-Banner-Pflicht.

Die Autoren prüfen die beobachteten Praktiken selbst an DSGVO und ePrivacy-Richtlinie und haben die betroffenen Anbieter sowie die zuständigen Datenschutzbehörden informiert. Ob ein einzelner Dienst rechtswidrig handelt, stellt allerdings keine Studie fest, sondern im Streitfall eine Aufsichtsbehörde oder ein Gericht. Für ein Unternehmen ist die Frage ohnehin eine andere: Werden Beschäftigte angewiesen oder geduldet, Kundendaten in eine solche Oberfläche einzugeben, trägt das Unternehmen die Verantwortung für diese Übermittlung.

Die Ergebnisse gelten für Gast-, kostenlose und Premium-Konten der Endkunden-Oberflächen. Unternehmens- und Behördentarife haben die Forschenden ausdrücklich ausgeklammert, weil die Anbieter dafür eigene Zusagen zur Datenverarbeitung machen, deren Überprüfung noch aussteht. Für den Zugang über die geschäftliche Schnittstelle oder einen Business-Tarif liefert die Studie also weder einen Befund noch eine Entwarnung.

Was bei solchen Zugängen gilt, steht im jeweiligen Vertrag und in der Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO: welche Unterauftragsverarbeiter beteiligt sind, ob Eingaben zum Training genutzt werden, wo verarbeitet und wie lange gespeichert wird. Diese Punkte gehören vor jeder Freigabe in den aktuellen Unterlagen des Anbieters nachgelesen, statt sie vorauszusetzen. Ein Vorteil der Schnittstelle ist dagegen technisch: Wer ein Modell über die API in eine eigene Oberfläche einbindet, lädt die Tracker der Endkunden-Oberfläche gar nicht erst. Verarbeitungsverzeichnis, Information der Betroffenen und gegebenenfalls eine Datenschutz-Folgenabschätzung bleiben trotzdem Pflicht.

Warum "EU-Hosting" allein noch keine Konformität herstellt

Ein Serverstandort in der EU ist ein wichtiges Argument, aber er beantwortet nur einen Teil der Frage. Entscheidend ist zusätzlich, ob der Anbieter dem Zugriff von Drittstaaten unterliegt und ob im Support- oder Wartungsfall Personal außerhalb der EU auf die Daten zugreifen kann. Ein europäisches Rechenzentrum, das von einem Konzern mit Sitz außerhalb der EU betrieben wird, ist rechtlich etwas anderes als ein europäischer Anbieter.

Ebenso wenig ersetzt EU-Hosting die übrigen Pflichten: Es braucht weiterhin eine Rechtsgrundlage für die Verarbeitung, einen Eintrag im Verzeichnis der Verarbeitungstätigkeiten, transparente Information der Betroffenen und — bei hohem Risiko — eine Datenschutz-Folgenabschätzung. "Wir hosten in Deutschland" ist ein guter Anfang, aber keine Antwort auf die Frage, ob eine konkrete Verarbeitung zulässig ist.

Die Datenminimierung passiert vor dem Modell, nicht im Modell

Der wirksamste technische Hebel liegt nicht in der Modellauswahl, sondern davor: Welche Daten erreichen das Modell überhaupt? Ein Support-Chatbot, der Bestellstatus beantwortet, braucht die Bestellnummer und den Status — nicht die vollständige Kundenhistorie samt Adresse und Zahlungsdaten. Wird der Kontext bewusst auf das Notwendige begrenzt, sinkt das Risiko unabhängig davon, wo das Modell läuft.

In der Umsetzung bedeutet das eine Zwischenschicht zwischen Datenquelle und Modell, die Felder gezielt auswählt und Bezeichner ersetzt, statt ganze Datensätze durchzureichen. Diese Schicht ist auch der richtige Ort für Protokollierung: Wer wann welche Anfrage gestellt hat, lässt sich dort revisionssicher festhalten, ohne die Inhalte selbst dauerhaft zu speichern. Bei größeren Wissensbeständen übernehmen RAG-Systeme diese Rolle: Sie führen dem Modell nur die zur Frage passenden Auszüge aus den eigenen Dokumenten zu, nicht die kompletten Unterlagen.

DSGVO und KI-Verordnung greifen nebeneinander, nicht nacheinander

Neben der DSGVO gilt die KI-Verordnung. Sie ist seit dem 1. August 2024 in Kraft, ihre Pflichten greifen gestaffelt, viele davon, darunter die Transparenzpflichten nach Artikel 50, seit dem 2. August 2026. Beide gelten parallel, und sie stellen unterschiedliche Fragen: Die DSGVO fragt nach Rechtsgrundlage, Zweckbindung und Betroffenenrechten. Die KI-Verordnung ist im Kern Produktsicherheitsrecht und fragt, welches Risiko von einem System ausgeht und welche Pflichten daraus folgen.

Daraus ergibt sich eine praktische Konsequenz: Ein System kann datenschutzrechtlich einwandfrei laufen und trotzdem gegen die KI-Verordnung verstoßen. Ein Chatbot mit sauberem Auftragsverarbeitungsvertrag, EU-Hosting und Löschkonzept ist DSGVO-seitig in Ordnung — fehlt der Hinweis, dass hier eine KI antwortet, verstößt er dennoch gegen Artikel 50. Umgekehrt macht eine korrekte Kennzeichnung eine fehlende Rechtsgrundlage nicht heilbar.

Bei echten Widersprüchen hat die DSGVO Vorrang. Erlaubt die KI-Verordnung eine Verarbeitung, die datenschutzrechtlich unzulässig wäre, bleibt sie unzulässig. Für die Praxis heißt das: Die datenschutzrechtliche Prüfung bleibt der erste Filter, die KI-Verordnung kommt als zweite Ebene darüber.

Erfreulich ist, dass sich die Arbeit weitgehend überschneidet. Die Bestandsaufnahme, mit der dieser Beitrag beginnt, ist zugleich das Verzeichnis der KI-Systeme, das die KI-Verordnung voraussetzt. Wer sie einmal sauber macht, hat für beide Regelwerke die Grundlage.

Was Unternehmen in der Praxis zuerst regeln sollten

Vor jeder technischen Einführung steht eine schriftliche Nutzungsrichtlinie, die zwei Dinge klärt: welche Dienste freigegeben sind und welche Datenarten niemals in ein KI-System eingegeben werden dürfen. Ohne diese Festlegung entstehen Schatten-Prozesse, in denen Beschäftigte mangels Alternative auf private Zugänge ausweichen — das größere Risiko gegenüber einer kontrolliert eingeführten Lösung.

Anschließend gehört jede KI-Verarbeitung in das Verzeichnis der Verarbeitungstätigkeiten, mit Zweck, Rechtsgrundlage, Datenkategorien und Löschfristen. Wo ein externer Anbieter beteiligt ist, braucht es einen Auftragsverarbeitungsvertrag. Und weil sich sowohl die Anbieterlandschaft als auch der Rechtsrahmen — Stichwort KI-Verordnung — laufend weiterentwickeln, sollte die Bewertung ein wiederkehrender Termin sein und keine einmalige Freigabe.

Die Tracker-Studie liefert für die Richtlinie zwei konkrete Punkte. Wo die Endkunden-Oberfläche für unkritische Texte erlaubt bleibt, sollten Beschäftigte nicht notwendige Cookies ablehnen und die Teilen-Funktion für Gespräche nicht nutzen; die Forschenden nennen beides als verfügbare Schutzmaßnahmen, bezeichnen sie aber selbst als lückenhaft und vom Anbieter abhängig. Für alles mit Personenbezug oder Geschäftsgeheimnissen ersetzt das keinen geprüften Geschäftszugang — und auch der schützt nur die Daten, die man ihm überhaupt anvertraut.