KI nutzen, ohne Bauchschmerzen beim Datenschutz
Darf die Kollegin die Kundenmail in ChatGPT kopieren? Wem gehört das Konto, und wo landen die Daten? Solche Fragen bleiben in vielen Betrieben offen, und manche trauen sich deshalb gar nicht erst an KI heran. Ich erkläre Ihnen verständlich, worauf es bei Datenschutz und KI-Verordnung ankommt. Dann legen wir Regeln fest, mit denen Ihr Team gut arbeiten kann.
Erstgespräch: 30 Minuten, kostenfrei und unverbindlich.
Kennen Sie das?
Wo es beim KI-Einsatz unsicher wird
Jeder nutzt sein eigenes Konto.
Die einen nehmen ChatGPT mit der privaten E-Mail-Adresse, die anderen eine Gratis-App vom Handy. Was mit den Eingaben passiert, weiß niemand so genau.
Kundendaten landen im Chatfenster.
Schnell die Reklamation zusammenfassen, schnell das Angebot umformulieren. Gut gemeint, aber oft mit Namen und Details, die da nicht hineingehören.
Keiner weiß, was erlaubt ist.
Es gibt keine Regel, also entscheidet jeder selbst. Die Vorsichtigen lassen KI ganz weg, die Mutigen fragen lieber nicht.
Die KI-Verordnung klingt nach Aufwand.
Man hört von Pflichten aus Brüssel und fragt sich, ob man jetzt einen KI-Beauftragten, ein Zertifikat oder gleich einen Anwalt braucht.
Der Agent sagt: Klingt nach Paragrafen? Weiter unten steht alles in normalen Sätzen. Mit Quellen, falls Sie es genau wissen wollen.
Ist ChatGPT DSGVO-konform?
Die ehrliche Antwort: Das kommt darauf an. Nicht auf den Namen des Werkzeugs, sondern darauf, welches Konto Ihr Team nutzt, welcher Vertrag dahintersteht, welche Daten hineingehen und wie es eingestellt ist. Das gilt für ChatGPT genauso wie für Copilot, Gemini und andere. Ein geschäftliches Konto ist die Grundlage, aber kein Freifahrtschein. Was ChatGPT mit Eingaben macht, steht in der Antwort zu ChatGPT und Datenschutz. Wie private Konten im Alltag entstehen, steht unter Schatten-KI.
Kostenloses ErstgesprächPrivates Gratis-Konto
Mit der eigenen E-Mail-Adresse angemeldet
- In der Regel kein Vertrag zur Auftragsverarbeitung
- Sie sehen nicht, was eingegeben wird
- Einstellungen legt jeder selbst fest
- Wer geht, nimmt seine Chats mit
Geschäftliches Konto
Vom Unternehmen bereitgestellt und verwaltet
- Vertrag zur Auftragsverarbeitung prüfen und abschließen
- Speicherung und Einstellungen zentral festlegen
- Zugänge vergeben und wieder entziehen
- Klare Regel, welche Daten hinein dürfen
Worauf es ankommt
Zehn Punkte, die Sie klären sollten
Diese Themen tauchen beim KI-Einsatz im Unternehmen immer wieder auf, und sie gehören zu jeder KI-Einführung. Haken Sie ab, was bei Ihnen schon geklärt ist.
Datenschutz nach DSGVO
Sobald personenbezogene Daten in ein KI-Werkzeug gehen, also alles, was sich einer Person zuordnen lässt, gilt die Datenschutz-Grundverordnung. Ob ein Einsatz passt, hängt nicht am Namen des Werkzeugs, sondern an Vertrag, Einstellungen und Daten.
Private und geschäftliche Konten
Ein privates Konto gehört dem Mitarbeiter, nicht Ihnen. Sie sehen nicht, was dort passiert, und wer geht, nimmt seine Chats mit. Ein geschäftliches Konto verwalten Sie selbst: Sie vergeben Zugänge und können sie wieder entziehen.
Auftragsverarbeitungsvertrag (AVV)
Verarbeitet ein KI-Anbieter personenbezogene Daten in Ihrem Auftrag, braucht es nach Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Private Gratis-Konten bieten das in der Regel nicht. Bei geschäftlichen Angeboten lohnt der Blick ins Kleingedruckte.
Speicherorte
Wo werden Eingaben, Dateien und Chatverläufe gespeichert, und wie lange? Das steht im Vertrag und in den Einstellungen, nicht in der Werbung des Anbieters. Bei Lösungen, die ich mit meinem Team baue, laufen die Systeme auf Wunsch in der EU.
Berechtigungen
Ein KI-Assistent sollte nur sehen, was er für seine Aufgabe braucht. Ein neuer Kollege im Vertrieb bekommt ja auch nicht gleich den Schlüssel zum Personalschrank.
KI-Richtlinie
Eine KI-Richtlinie hält fest, welche Werkzeuge erlaubt sind, wofür, und welche Daten draußen bleiben. Eine Seite, die jeder versteht, hilft mehr als zwanzig, die keiner liest.
Kunden- und Mitarbeiterdaten
Namen, Adressen, Gehälter, Bewerbungen, Krankmeldungen: Hier ist besondere Vorsicht gefragt. Oft geht es auch ohne, etwa wenn man Namen vor dem Einfügen durch Platzhalter ersetzt.
Menschliche Freigabe
KI kann sich irren und klingt dabei trotzdem überzeugt. Was nach außen geht oder Menschen betrifft, liest vorher jemand. Für Entscheidungen über Menschen, die allein automatisiert fallen, gibt es mit Art. 22 DSGVO sogar eine eigene Regel.
KI-Kompetenz nach Art. 4 KI-Verordnung
Wer KI im Unternehmen einsetzt, ergreift Maßnahmen, um die KI-Kompetenz seiner Leute zu unterstützen, passend zu Rolle, Vorwissen und Einsatz. Ein Zertifikat oder ein KI-Beauftragter ist laut EU-Kommission nicht vorgeschrieben.
Dokumentation
Halten Sie fest, welche Werkzeuge erlaubt sind, welche Verträge es gibt und wer welche Schulung bekommen hat. Für Art. 4 hält die EU-Kommission eine Dokumentation für sinnvoll. Und wenn jemand fragt, wissen Sie, wo es steht.
0 von 10 Punkten sind bei Ihnen geklärt.
Haken Sie oben ab, was bei Ihnen schon geklärt ist. Hier sehen Sie dann, wo Sie stehen.
Da ist noch einiges offen. Das ist kein Grund zur Panik, es lässt sich gut ordnen. Eine Bestandsaufnahme zeigt, womit Sie anfangen sollten.
Eine gute Grundlage. Die offenen Punkte lassen sich gezielt angehen, am besten zusammen mit Ihrem Datenschutzverantwortlichen.
Sie sind gut aufgestellt. Wenn Sie möchten, schauen wir gemeinsam auf die Details, bevor Sie den nächsten Schritt mit KI gehen.
Eine Orientierung für Sie, keine rechtliche Prüfung.
Berechtigungen
Ein Assistent sieht nur, was er sehen darf
Ich prüfe jeden Zugriff. Freigegebene Quellen lese ich, Personaldaten nicht. Was ich für meine Aufgabe nicht brauche, sehe ich gar nicht erst.
Wissensassistent Vertrieb
BeispielEin erfundener Assistent, der beim Vorbereiten von Angeboten hilft. Bevor er startet, legen wir fest, was er lesen darf.
Darf lesen
- Preisliste und Lieferzeiten
- Textbausteine für Angebote
- Produktdatenblätter
Gesperrt
- Personalakten und Gehälter
- Krankmeldungen und Bewerbungen
- Postfächer der Kollegen
So antwortet er
Frage: Wie lang ist die Lieferzeit für die Serie Nordlicht?
Antwort, Zugriff erlaubt: Steht in der Lieferzeitenliste. Ich nenne Ihnen die Zeile, damit Sie nachprüfen können.
Frage: Was verdient eigentlich Herr Petersen?
Antwort, Zugriff gesperrt: Darauf habe ich keinen Zugriff. Personaldaten gehören nicht zu meinen Quellen.
Die Rechte halten wir schriftlich fest, abgestimmt mit Ihrem Datenschutzverantwortlichen. Ändert sich die Aufgabe, ändern sich die Rechte.
KI-Verordnung und DSGVO: welche Pflichten gelten
Hier steht in kurzen Sätzen, was die Regeln verlangen, jeweils mit offizieller Quelle. Das ist eine Erklärung und keine Rechtsberatung. Für Ihren Einzelfall ist Ihr Datenschutzverantwortlicher die richtige Adresse. Was Art. 4 für Ihr Team bedeutet, steht unter KI-Schulungen.
KI-Kompetenz, Art. 4 KI-Verordnung: gilt seit 2. Februar 2025, seit 27. Juli 2026 in der Fassung des „Digital Omnibus“. Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren. Laut EU-Kommission sind weder ein Zertifikat noch ein KI-Beauftragter vorgeschrieben. Die Maßnahmen richten sich nach Rolle, Vorwissen und Einsatz, eine Dokumentation ist sinnvoll.
DSGVO: Auftragsverarbeitungsvertrag nach Art. 28, wenn ein Anbieter personenbezogene Daten im Auftrag verarbeitet. Private Gratis-Konten bieten das in der Regel nicht. Orientierung: DSK-Orientierungshilfe „KI und Datenschutz“.
Automatisierte Entscheidungen, Art. 22 DSGVO: regelt Entscheidungen über Menschen, die ausschließlich automatisiert fallen. Ob die Regel greift, hängt vom Einzelfall ab. Ein guter Grundsatz für den Alltag: Über Menschen entscheidet ein Mensch.
Der Agent sagt: Justus sagt Ihnen ehrlich, wo seine Erklärung aufhört und die Rechtsberatung anfängt. Dann holt er Fachleute dazu.
Meine Empfehlung für den Start
KI-Startklar
Sie bekommen Überblick, Regeln und Prioritäten: die Grundlage für alles Weitere.
Für Unternehmen, in denen KI schon genutzt wird, aber ohne gemeinsamen Plan.
Enthalten
- Bestandsaufnahme von Werkzeugen und Nutzung
- Datenschutz- und Rechte-Check mit Ihrem Datenschutzverantwortlichen
- Entwurf einer KI-Richtlinie
- 3 bis 5 priorisierte Anwendungsfälle
- Grundlagen-Workshop für das Kernteam
Ergebnis: Überblick, klare Regeln, eine Prioritätenliste und ein geschultes Kernteam.
Fragen
Häufige Fragen.
Das lässt sich nicht pauschal sagen, weder mit Ja noch mit Nein. Es kommt darauf an, welches Konto und welcher Vertrag dahinterstehen, welche Daten hineingehen und wie das Werkzeug eingestellt ist. Mit einem privaten Gratis-Konto und Kundendaten wird es schwierig, weil es dort in der Regel keinen Vertrag zur Auftragsverarbeitung gibt. Wie es bei Ihnen aussieht, prüfen wir zusammen mit Ihrem Datenschutzverantwortlichen.
Nein. Ich arbeite mit Ihrem Datenschutzverantwortlichen zusammen und erkläre die Anforderungen verständlich. Für rechtliche Einzelfragen ziehen wir Fachleute hinzu.
Das hängt von Vertrag, Werkzeug, Einstellungen und Zweck ab. Oft geht es auch ohne: Für viele Aufgaben reicht es, Namen und Details wegzulassen oder durch Platzhalter zu ersetzen. Was bei Ihnen erlaubt ist, halten wir in der KI-Richtlinie fest, abgestimmt mit Ihrem Datenschutzverantwortlichen.
Für Art. 4 KI-Verordnung ist laut EU-Kommission beides nicht vorgeschrieben. Verlangt wird, dass Sie Maßnahmen ergreifen, um die KI-Kompetenz Ihrer Leute zu unterstützen, passend zu Rolle, Vorwissen und Einsatz. Festzuhalten, wer welche Schulung bekommen hat, ist sinnvoll.
Welche Werkzeuge erlaubt sind und wofür, welche Daten tabu sind, wann ein Mensch freigibt und wer im Haus Ansprechpartner ist. Der Bitkom empfiehlt außerdem Regeln zur Kennzeichnung von KI-Inhalten und zum Urheberrecht. Am besten passt das auf wenige Seiten, die jeder versteht.
Davon rate ich ab. Der Wunsch, schneller zu arbeiten, verschwindet durch ein Verbot nicht, die Nutzung wird dann oft nur unsichtbarer. Besser ist eine einfache Übergangsregel, zum Beispiel: keine Kunden- und Personaldaten in private Konten. Und dann zügig ein gutes Werkzeug mit geschäftlichem Konto.
Die Pflicht aus Art. 4 gilt seit 2. Februar 2025, und seit 2. August 2026 sind nationale Behörden für die Aufsicht über die KI-Verordnung zuständig. Wichtiger ist aber der Alltag: Ohne Regeln landen Daten dort, wo sie nicht hingehören, und niemand merkt es.
Wie sicher nutzt Ihr Team KI heute?
Erzählen Sie kurz, welche Werkzeuge bei Ihnen im Einsatz sind und was Sie unsicher macht. Ich melde mich persönlich, und im Erstgespräch schauen wir, ob eine Bestandsaufnahme der richtige erste Schritt ist.
Erstgespräch: 30 Minuten, kostenfrei und unverbindlich.
Danke. Ihre Nachricht ist angekommen.
Ich melde mich persönlich bei Ihnen.