KI-Adoption & Coding Workshops by KIeserIT × celox - Zurück in den Fahrersitz - mit KI im eigenen Unternehmen.

KI & Datenschutz · Stand Oktober 2026

KI im Betrieb nutzen, ohne dass Daten die EU verlassen

ChatGPT, Gemini oder Claude schreiben Angebote vor, fassen Mails zusammen und lesen Belege aus. Das spart jeden Tag Zeit. Sobald aber Kundendaten, Preise oder Personalthemen im Spiel sind, stellt sich die Frage: Wo landen diese Daten, und wer darf sie sehen? Hier erfahren Sie, worauf es ankommt und wie Sie KI so einführen, dass Ihre Daten in der EU bleiben.

Das Wichtigste in Kürze

  • Schatten-KI ist Alltag: In jedem vierten Unternehmen nutzen Beschäftigte private KI-Zugänge für die Arbeit, aber nur 26 % stellen selbst einen offiziellen Zugang bereit.
  • Privatkonten sind für Kundendaten tabu: Ohne Vertrag zur Auftragsverarbeitung und mit möglichem Training auf Ihren Eingaben fehlt die Grundlage nach DSGVO.
  • Speicherort reicht nicht: Entscheidend ist, wo die KI rechnet. Große Anbieter bieten dafür inzwischen EU-Standorte an, man muss sie aber ausdrücklich wählen.
  • Regeln und Schulung gehören dazu: Die KI-Verordnung verlangt von jedem Betrieb, der KI einsetzt, Maßnahmen für die KI-Kompetenz seiner Leute.

Das Problem: Schatten-KI

Viele Beschäftigte warten nicht, bis der Chef ein KI-Werkzeug einführt. Laut einer Umfrage des Branchenverbands Bitkom unter 604 Unternehmen ist die Nutzung privater KI-Zugänge im Job in 8 % der Unternehmen weit verbreitet und kommt in weiteren 17 % in Einzelfällen vor. Ein Jahr zuvor waren es noch 4 und 13 %. Nur 29 % sind sicher, dass so etwas bei ihnen nicht passiert. Gleichzeitig stellen nur 26 % ihren Beschäftigten selbst einen Zugang zu generativer KI bereit (Bitkom, 21.10.2025).

Das Risiko liegt weniger in der KI selbst als im Zugang: Wer eine Kundenmail in sein privates Konto kopiert, gibt personenbezogene Daten an einen Anbieter weiter, mit dem Ihr Betrieb keinen Vertrag hat. Je nach Einstellung dürfen Eingaben dort auch zum Training künftiger Modelle verwendet werden. Und niemand im Betrieb weiß davon.

Welche Daten sind heikel?

  • Personenbezogene Daten: Namen, E-Mail-Adressen, Anschriften, Telefonnummern, Kundennummern, erst recht Gesundheits- oder Personaldaten.
  • Geschäftsgeheimnisse: Kalkulationen, Angebote, Verträge, Zugangsdaten, interne Zahlen.
  • Unterlagen Ihrer Kunden: alles, was Sie im Auftrag eines Kunden bearbeiten und für das Sie ihm Vertraulichkeit schulden.

Weitgehend unkritisch sind dagegen allgemeine Texte, Ideen, öffentliche Informationen oder Programmcode ohne Zugangsdaten. Ein einfacher Trick hilft oft schon: Namen und Kontaktdaten vor dem Einfügen durch Platzhalter wie „Kunde A“ ersetzen.

Was die DSGVO verlangt

Verarbeitet ein KI-Anbieter personenbezogene Daten in Ihrem Auftrag, ist er Auftragsverarbeiter. Dann brauchen Sie mit ihm einen Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO, der regelt, was der Anbieter mit den Daten tun darf. Bei privaten Konten gibt es diesen Vertrag nicht.

Gehen Daten in ein Land außerhalb der EU, gelten zusätzlich die Regeln für Drittlandübermittlungen (Art. 44 ff. DSGVO). Für die USA stützen sich viele Anbieter auf das EU-US Data Privacy Framework von 2023. Das Gericht der EU hat es im September 2025 bestätigt, dagegen läuft aber ein Rechtsmittel beim Europäischen Gerichtshof (Rechtssache C-703/25 P, Amtsblatt der EU). Seine Vorgänger hat der Gerichtshof 2015 und 2020 gekippt. Wer die Verarbeitung von vornherein in der EU hält, muss sich um diese Frage nicht sorgen.

Eine gute Checkliste für die Auswahl und Einführung von KI-Anwendungen haben die deutschen Datenschutzbehörden veröffentlicht: die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der Datenschutzkonferenz (DSK, 06.05.2024).

Speicherort ist nicht gleich Verarbeitungsort

Viele Angebote werben mit „Daten in der EU“. Gemeint ist oft nur, wo Gespräche und Dateien gespeichert werden. Für den Datenschutz genauso wichtig ist, wo die KI Ihre Anfrage verarbeitet, also auf welchen Rechnern das Modell tatsächlich rechnet. Fragen Sie deshalb immer nach beidem.

Bei den großen Anbietern geht das inzwischen, muss aber ausdrücklich eingestellt werden. Zwei Beispiele:

  • Google Vertex AI: Die Verarbeitung findet in der Region oder Multiregion statt, an die die Anfrage geht, zum Beispiel in der EU-Multiregion (Google Cloud, Datenresidenz).
  • OpenAI: Seit Februar 2025 gibt es Datenresidenz in Europa für die API sowie ChatGPT Enterprise und Edu. API-Projekte mit Region Europa werden auch in Europa verarbeitet (OpenAI, „Introducing data residency in Europe“).

Offen gesagt: Auch mit EU-Standort bleibt ein US-Anbieter ein US-Unternehmen und unterliegt US-Recht. Wer das ausschließen will, greift zu europäischen Anbietern oder betreibt offene Modelle auf einem eigenen Server in Deutschland. Für die meisten kleinen Betriebe ist ein Geschäftszugang mit AVV und fest eingestelltem EU-Standort aber ein guter, praxistauglicher Weg.

Sieben Schritte zur sauberen KI-Einführung

  1. Bestandsaufnahme: Fragen Sie im Team nach, wer welche KI-Werkzeuge schon nutzt und wofür. Verbote ohne Alternative treiben die Nutzung nur in private Konten.
  2. Geschäftszugang statt Privatkonto: Business-, Team- oder API-Zugänge schließen das Training mit Ihren Eingaben in der Regel aus und lassen sich zentral verwalten und wieder entziehen.
  3. Vertrag zur Auftragsverarbeitung: Schließen Sie mit dem Anbieter einen AVV nach Art. 28 DSGVO ab und legen Sie ihn ab. Seriöse Anbieter stellen ihn für Geschäftskunden bereit.
  4. EU-Standort einstellen: Wählen Sie die EU als Region, und zwar für Speicherung und Verarbeitung. Prüfen Sie außerdem, ob Zwischenspeicher und Protokolle abgeschaltet oder kurz befristet sind.
  5. Klare Regeln: Halten Sie auf einer Seite fest, welche Daten in welches Werkzeug dürfen. Eine einfache Ampel reicht: frei, nur im Geschäftszugang, nie.
  6. Schulung: Zeigen Sie Ihrem Team, wie die Werkzeuge funktionieren, wo ihre Grenzen liegen und warum Ergebnisse geprüft werden müssen. Das verlangt auch die KI-Verordnung.
  7. Dokumentation: Nehmen Sie das KI-Werkzeug in Ihr Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) und, wo Kundendaten betroffen sind, in die Datenschutzerklärung auf.

Zur Schulung: Seit 2025 verlangt Art. 4 der europäischen KI-Verordnung, inzwischen durch den sogenannten KI-Omnibus angepasst, dass Anbieter und Betreiber von KI-Systemen Maßnahmen für die KI-Kompetenz ihres Personals ergreifen. Das gilt unabhängig von Branche und Betriebsgröße und ausdrücklich auch für Chatbots. Eine Zertifizierungspflicht gibt es nicht; die Bundesnetzagentur empfiehlt aber, die Maßnahmen zu dokumentieren (Bundesnetzagentur, KI-Kompetenz).

So mache ich es selbst

Bei KIeserIT gibt es drei getrennte KI-Wege, je nachdem, welche Daten im Spiel sind:

  • KInvoice liest Rechnungen mit Google Gemini in Vertex AI aus, fest am Standort EU, ohne Zwischenspeicher und ohne Training. Die Rechnung wird nur im Arbeitsspeicher verarbeitet.
  • Aufträge mit Kundendaten laufen über einen Geschäftszugang in EU-Rechenzentren (AWS Bedrock), ebenfalls ohne Training und mit AVV.
  • Reguläre KI-Abos nutze ich nur für Programmcode und Texte ohne Personenbezug.

Alle Einzelheiten zu Speicherorten, Dienstleistern und Schutzmaßnahmen stehen auf der Seite Datenschutz & Sicherheit.

So unterstütze ich Sie

Sie wollen KI im Betrieb nutzen, aber sauber? Im KI-Check sehen Sie in wenigen Sekunden, welche Büroarbeit KI in Ihrer Branche übernehmen kann. Mit dem Starter-Paket KI-Adoption & Coding Workshops richten wir gemeinsam Werkzeuge mit Leitplanken ein: Geschäftszugänge mit EU-Standort, klare Regeln für Ihr Team und einen Workshop, den Sie als Maßnahme für die KI-Kompetenz dokumentieren können.

Starter-Paket anfragen Zum KI-Check

Quellen

Dieser Artikel gibt meine Einschätzung wieder (Stand Oktober 2026). Zahlen stammen aus den genannten Quellen; er ist keine Rechtsberatung.