Ist die kostenlose Version eines KI-Chats für die Arbeit erlaubt?

Für Aufgaben ohne personenbezogene oder vertrauliche Daten oft schon, etwa um einen allgemeinen Text umzuformulieren. Sobald Kundendaten, Personaldaten oder Geschäftsgeheimnisse im Spiel sind, nicht: Kostenlose Versionen haben in der Regel keinen Vertrag zur Auftragsverarbeitung und nutzen Eingaben teils zum Training.

Reicht es, das Training mit meinen Daten auszuschalten?

Nein. Das Abschalten des Trainings ist ein wichtiger Baustein, ersetzt aber weder den Vertrag zur Auftragsverarbeitung noch die Prüfung von Speicherort, Löschfristen und Zugriffsrechten.

Dürfen KI-Werkzeuge Bewerbungen vorsortieren?

Nur mit großer Vorsicht. Entscheidungen mit rechtlicher Wirkung dürfen nach Artikel 22 DSGVO nicht allein automatisiert fallen, und ab Dezember 2027 gelten zusätzlich die Hochrisiko-Pflichten der KI-Verordnung. Gibt es einen Betriebsrat, hat er bei solchen Systemen in der Regel mitzubestimmen.

Müssen wir unsere Datenschutzerklärung anpassen?

Wenn Sie personenbezogene Daten von Kunden oder Website-Besuchern mit KI verarbeiten, ja. Außerdem gehört der KI-Einsatz in Ihr Verzeichnis der Verarbeitungstätigkeiten.

Datenschutz und KI im Betrieb: Darf ich Kundendaten eingeben?

Das Wichtigste in Kürze

Die DSGVO gilt immer, wenn in einer Eingabe personenbezogene Daten stecken, also schon bei einem Kundennamen in einer E-Mail, die die KI umformulieren soll.
Für Cloud-KI-Werkzeuge brauchen Sie in der Regel einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO.
Die Datenschutzkonferenz (DSK) empfiehlt in ihrer Orientierungshilfe vom 6. Mai 2024 geschlossene Systeme, die Eingaben nicht an Dritte weitergeben oder zum Training nutzen.
Datenübermittlungen in die USA sind über das EU-US Data Privacy Framework möglich. Das EU-Gericht hat es am 3. September 2025 bestätigt; ein Rechtsmittel beim EuGH ist anhängig.
Über Menschen entscheidet am Ende ein Mensch: Artikel 22 DSGVO verbietet ausschließlich automatisierte Entscheidungen mit rechtlicher Wirkung.

Wann gilt die DSGVO beim Einsatz von KI?

Immer dann, wenn personenbezogene Daten verarbeitet werden. Das sind alle Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen: Name, E-Mail-Adresse, Telefonnummer, Kundennummer, aber auch eine Beschreibung, die eindeutig auf jemanden schließen lässt („unser Hauptkunde aus der Nachbarstraße“).

Im Alltag passiert das schneller, als man denkt. Wer eine Beschwerde-E-Mail in einen KI-Chat kopiert, um eine Antwort zu entwerfen, überträgt Name, Adresse und oft eine Bestellnummer an den Anbieter des Werkzeugs. Für den Betrieb heißt das: Er ist Verantwortlicher im Sinne der DSGVO und muss sicherstellen, dass diese Übertragung zulässig ist. Ob die Daten danach beim Anbieter gespeichert, ausgewertet oder zum Training verwendet werden, hängt vom Werkzeug und vom gewählten Tarif ab.

Was muss ein KI-Werkzeug für den Betrieb mitbringen?

Bevor personenbezogene Daten in ein KI-Werkzeug dürfen, sollte es diese Punkte erfüllen. Die meisten großen Anbieter bieten dafür eigene Geschäftstarife an, die sich von den kostenlosen Versionen deutlich unterscheiden.

Prüfpunkt	Warum	Worauf achten
Vertrag zur Auftragsverarbeitung	Pflicht nach Art. 28 DSGVO, wenn der Anbieter Daten in Ihrem Auftrag verarbeitet	Bei Geschäftstarifen meist als „Data Processing Addendum“ verfügbar
Kein Training mit Ihren Eingaben	Sonst gehen Ihre Daten in das Modell ein und lassen sich nicht zurückholen	Vertraglich zugesichert, nicht nur als Schalter in den Einstellungen
Speicherort und Übermittlung	Drittlandübermittlungen brauchen eine Grundlage	EU-Speicherung oder Zertifizierung nach dem Data Privacy Framework
Löschung und Aufbewahrung	Daten dürfen nicht länger als nötig gespeichert werden	Einstellbare Aufbewahrungsfristen für Chats
Zugriff und Konten	Kontrolle, wer was eingibt	Firmenkonten mit zentraler Verwaltung statt privater Konten

Artikel 28 DSGVO beschreibt den Maßstab so:

„Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.“ Art. 28 Abs. 1 DSGVO

Welche Daten dürfen in welches Werkzeug?

Eine einfache Ampel hilft Mitarbeitenden, im Alltag schnell richtig zu entscheiden. Sie gehört in jede KI-Nutzungsrichtlinie.

Stufe	Beispiele	Regel
Grün: öffentlich	Texte der eigenen Website, Pressemitteilungen, allgemeine Fachfragen	In allen freigegebenen Werkzeugen erlaubt
Gelb: intern	Interne Abläufe, Entwürfe, Protokolle ohne Namen	Nur in geprüften Werkzeugen mit Firmenkonto
Rot: vertraulich	Kunden- und Personaldaten, Gesundheitsangaben, Verträge, Preise, Zugangsdaten	Nur in Werkzeugen, die ausdrücklich dafür freigegeben sind, sonst gar nicht

Der wirksamste Schutz ist oft der einfachste: Daten weglassen oder ersetzen. Aus „Frau Schulz von der Bäckerei Schulz beschwert sich über die Lieferung vom 3. März“ wird „Eine Kundin beschwert sich über eine verspätete Lieferung“. Für einen guten Antwortentwurf braucht die KI den Namen nicht; er wird danach von Hand eingesetzt.

Was gilt für Daten von Mitarbeitenden und Bewerbungen?

Hier ist besondere Vorsicht nötig. Beschäftigtendaten sind sensibel, und Entscheidungen über Menschen haben rechtliche Folgen.

Keine automatisierten Entscheidungen: Nach Artikel 22 DSGVO dürfen Entscheidungen mit rechtlicher Wirkung, etwa eine Absage oder eine Kündigung, nicht ausschließlich automatisiert fallen. Die DSK betont, dass am Ende ein Mensch mit echtem Entscheidungsspielraum entscheiden muss.
Betriebsrat: Wo es einen Betriebsrat gibt, ist er bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können, in der Regel zu beteiligen. Viele KI-Werkzeuge fallen darunter, schon weil sie Eingaben protokollieren.
KI-Verordnung: KI zur Bewerberauswahl oder Leistungsbewertung gilt als Hochrisiko-Anwendung. Die besonderen Pflichten für Betreiber greifen ab dem 2. Dezember 2027.

Was muss dokumentiert werden?

Datenschutz ist auch Dokumentation. Für den KI-Einsatz sind das in der Regel vier Dinge:

Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO): Eintrag für jedes KI-Werkzeug, mit dem personenbezogene Daten verarbeitet werden.
Vertrag zur Auftragsverarbeitung mit dem Anbieter, abgelegt und auffindbar.
Datenschutz-Folgenabschätzung (Art. 35 DSGVO), wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt, etwa bei Gesundheitsdaten oder umfangreicher Auswertung von Beschäftigtendaten.
Datenschutzerklärung, wenn Daten von Kunden oder Website-Besuchern mit KI verarbeitet werden, zum Beispiel über einen Chatbot.

Hinzu kommt die Richtigkeit: KI-Ergebnisse können falsche Angaben über Personen enthalten. Wer sie ungeprüft übernimmt, verarbeitet unter Umständen falsche personenbezogene Daten.

Praxisbeispiel: Eine Steuerkanzlei mit zwölf Beschäftigten

Beispiel zur Veranschaulichung: In einer Kanzlei nutzen mehrere Mitarbeitende einen kostenlosen KI-Chat, um Mandantenschreiben zu glätten, und kopieren dabei ganze E-Mail-Verläufe hinein.

Das Problem ist doppelt: Es fehlt ein Vertrag zur Auftragsverarbeitung, und als Berufsgeheimnisträger unterliegt die Kanzlei zusätzlichen Verschwiegenheitspflichten. Der Weg aus der Situation: ein Werkzeug mit Geschäftstarif und Auftragsverarbeitungsvertrag wählen, Hinweise der eigenen Berufskammer beachten, eine Richtlinie mit Datenampel einführen und alle Beteiligten schulen. Bis dahin gilt: Mandantendaten nur anonymisiert, also ohne Namen, Steuernummern und Beträge, die Rückschlüsse erlauben.

Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Recherchiert mit KI-Unterstützung, geprüft von Florian Ischinsky.