Das Spannungsfeld, das alle kennen

Wer im Mittelstand mit KI arbeitet, kennt das Spannungsfeld: Die leistungsfähigsten Modelle laufen auf US-Servern. Die DSGVO verlangt Kontrolle über Datentransfers in Drittländer. Und der Geschäftsführer fragt: „Darf ich ChatGPT eigentlich für die Kundenkorrespondenz nutzen?“

Die ehrliche Antwort ist nicht schwarz oder weiß — sie ist strukturiert. Dieser Artikel gibt die Struktur.

Die vier Weichen, die über DSGVO-Konformität entscheiden

Weiche 1: Wo wird verarbeitet?

Die erste Frage ist geografisch: Wo laufen die Server, auf denen Ihre Daten verarbeitet werden?

EU/EWR-Hosting: DSGVO gilt direkt, kein Transfer-Problem. Anbieter wie Mistral (Frankreich), Aleph Alpha (Deutschland) oder EU-gehostete Instanzen von OpenAI Azure bieten das. Preislich näher am US-Markt als früher, technisch vergleichbar.

US-Hosting: Hier beginnt die Transfer-Prüfung. Das Dreigestirn der rechtlichen Absicherung:

  • Standardvertragsklauseln (SCC): Vertragliche Grundlage, die der EU-Kommission entspricht. Notwendige, aber nicht hinreichende Bedingung — der Anbieter muss SCC anbieten, und Sie müssen den Vertrag auch tatsächlich geschlossen haben.
  • Transfer Impact Assessment (TIA): Pflichtprüfung, ob die SCCs im Zielland tatsächlich vollstreckbar sind. Bei den USA: relevant wegen FISA 702 und Executive Order 14086.
  • EU-US Data Privacy Framework (DPF): Mit Standardvertragsklauseln und dem seit Juli 2023 gültigen EU-US Data Privacy Framework (DPF) grundsätzlich möglich — jedoch mit Vorsicht: Das DPF ist das dritte Instrument dieser Art nach Safe Harbor (2015 vom EuGH gekippt, Schrems I) und Privacy Shield (2020 gefällt, Schrems II). Eine erneute EuGH-Klage durch noyb ist anhängig. Wer auf das DPF allein vertraut, sollte diese Vorgeschichte kennen und zusätzliche Maßnahmen (Datenverschlüsselung, Datenminimierung, EU-Server-Option) prüfen.

Weiche 2: Welche Daten fließen ein?

Nicht alle Daten sind gleich sensibel. Die Prüfung:

Personenbezogene Daten: Namen, E-Mail-Adressen, Kundennummern, IP-Adressen. Schon eine E-Mail-Adresse im Prompt macht den Vorgang relevant für Art. 28 DSGVO (Auftragsverarbeitung).

Besondere Kategorien (Art. 9 DSGVO): Gesundheitsdaten, biometrische Daten, Gewerkschaftszugehörigkeit. Hier gelten erhöhte Anforderungen — Einwilligung oder explizite gesetzliche Ausnahme, plus DSFA.

Keine personenbezogenen Daten: Allgemeine Geschäftstexte, anonymisierte Statistiken, interne Dokumente ohne Personenbezug. Hier entfällt die DSGVO-Relevanz. Viele Anwendungsfälle fallen tatsächlich in diese Kategorie — was die Nutzung erheblich erleichtert.

Die praktische Konsequenz: Wer ChatGPT für anonymisierte Textentwürfe nutzt, hat ein anderes Risikoprofil als wer Kundendaten in Prompts einbettet.

Weiche 3: Vertragslage mit dem KI-Anbieter

Art. 28 DSGVO verlangt einen Auftragsverarbeitungsvertrag (AVV) mit jedem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Das gilt für KI-Anbieter genauso wie für den Cloud-Speicher-Anbieter.

Was ein AVV für KI-Anbieter enthalten muss:

  • Zweckbindung: Der Anbieter darf die Daten nur für die vereinbarte Leistung nutzen, nicht zum Modell-Training ohne Einwilligung
  • Unterauftragnehmer: Wer hat Zugriff auf die Daten außerhalb des primären Anbieters?
  • Löschfristen: Wann werden die Eingaben gelöscht?
  • Weisungsrecht: Können Sie dem Anbieter Weisungen für die Verarbeitung erteilen?

OpenAI bietet einen AVV an (Enterprise-Tier, nicht im kostenlosen Plan). Microsoft Copilot ebenfalls. Google Workspace AI ebenfalls. Wer den Dienst ohne AVV nutzt und personenbezogene Daten einbettet, hat eine offene DSGVO-Flanke.

Weiche 4: Audit Trail und Nachweisbarkeit

Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) verlangt, dass Sie nachweisen können, dass Sie DSGVO-konform handeln. Für KI-Einsatz bedeutet das:

  • Welche personenbezogenen Daten fließen in welche KI-Systeme?
  • Auf Basis welcher Rechtsgrundlage?
  • Mit welchem AVV?
  • Mit welchem Transfer-Instrument?

Wer das nicht dokumentiert hat, kann es im Prüfungsfall nicht nachweisen. Und „wir haben das immer so gemacht“ ist keine Rechtsgrundlage.

Die häufigsten Missverständnisse

„Wenn der Anbieter DSGVO-konform ist, bin ich es auch.“ Nein. Der Anbieter trägt seine Pflichten als Auftragsverarbeiter. Sie tragen Ihre Pflichten als Verantwortlicher — Rechtsgrundlage für die Verarbeitung, Einwilligung oder berechtigtes Interesse, Transparenzpflichten gegenüber Betroffenen, AVV-Abschluss. Diese Pflichten delegieren Sie nicht durch den Kauf eines DSGVO-konformen Produkts.

„Anonymisierte Daten sind immer safe.“ Anonymisierung ist technisch anspruchsvoller als gedacht. Was informal als „anonymisiert“ gilt (Name entfernt, Kundennummer entfernt), kann durch Kombination mit anderen Daten re-identifizierbar sein. Echte Anonymisierung im DSGVO-Sinne ist irreversibel — wenn das nicht sichergestellt ist, handelt es sich um Pseudonymisierung mit weiterhin geltendem DSGVO-Schutz.

„ChatGPT speichert keine Daten.“ In der Standard-Konsumentenversion speichert OpenAI Eingaben für 30 Tage und kann sie für Modell-Training nutzen (opt-out möglich). Im Enterprise-Tier mit AVV gilt: keine Speicherung über den API-Aufruf hinaus, kein Training auf Kundendaten. Das ist ein wesentlicher Unterschied — und die Vertragslage entscheidet, welcher gilt.

Ein pragmatischer Einstiegspfad

Für Mittelständler, die ihren KI-Einsatz DSGVO-kompatibel strukturieren wollen:

Schritt 1: KI-Inventar erstellen. Welche Systeme sind aktiv, welche Daten fließen ein?

Schritt 2: Datenkategorien klären. Welche Eingaben enthalten personenbezogene Daten, welche nicht?

Schritt 3: Für Systeme mit Personenbezug: AVV prüfen und nachfordern. Für US-Anbieter: Transfer-Instrument dokumentieren.

Schritt 4: Für Hochrisiko-Verarbeitungen (Art. 9 DSGVO oder Hochrisiko nach EU AI Act): DSFA durchführen.

Schritt 5: Verarbeitungsverzeichnis (Art. 30 DSGVO) um KI-Systeme ergänzen.

Das ist kein Sechs-Monats-Projekt. Schritt 1–3 sind in zwei Arbeitstagen realisierbar, wenn jemand die Verantwortung übernimmt.

Wie AthenaRun angeht

Die Applikationen, die wir bauen, haben drei Eigenschaften, die DSGVO-Konformität strukturell unterstützen:

Hosting in der EU. Kein Transfer-Problem, kein DPF-Risiko.

Datenverschlüsselung in Transit und at Rest. Kein Zugriff auf Klardaten ohne explizite Entschlüsselung.

Audit Trail als Standard. Jede KI-gestützte Verarbeitung ist dokumentiert: was wurde eingegeben, was wurde ausgegeben, wann, von wem. Das ist die technische Grundlage für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Wenn Sie wissen wollen, wie konform Ihr aktueller KI-Einsatz ist: Erstgespräch buchen, 30 Minuten, kostenfrei. Wir gehen die vier Weichen mit Ihnen durch.

Stand: 2026-05-26 · AthenaRun GmbH, Frankfurt am Main