KI und DSGVO 2026: ChatGPT & Co. rechtssicher nutzen (mit Checkliste)
DSGVO ist kein Showstopper für KI — wenn Sie wissen, wo die roten Linien liegen.
DSGVO und KI vertragen sich — wenn Sie ein paar Grundregeln beachten. Kein Grund, KI zu meiden. Sehr wohl Grund, sie bewusst einzusetzen. Seit 2025 sind die Regeln klarer geworden, weil EU AI Act, EDSA-Leitlinien und die Datenschutzbehörde Österreich konkret geworden sind. Dieser Guide übersetzt die Regeln für EPU/KMU — ohne Juristen-Sprech, mit Checkliste am Ende.
Die drei roten Linien
1) Keine identifizierbaren Kundendaten in Standard-ChatGPT (Free/Plus) für sensible Inhalte. Wenn der Kunde Frau Maria Huber, Wien, Mail xy@…, mit Krankenakte/Finanzdaten/Strafregister vorkommt, gehört das nicht in den Free-/Plus-Tarif. Punkt.
2) Kein automatisierter Vertragsabschluss ohne menschliche Kontrolle. Art. 22 DSGVO verbietet vollautomatisierte Entscheidungen mit rechtlicher/erheblicher Wirkung ohne menschliche Prüfung. Praktisch: KI darf Angebote vorbereiten, der Mensch sendet.
3) Kein Profiling ohne Rechtsgrundlage. „KI bewertet Bewerber automatisch“ ist riskant. Mindestens transparent informieren, idealerweise menschliche Endkontrolle. Im EU AI Act als „High Risk“ eingestuft.
Sichere Anbieter für KMU (Stand 2026)
| Anbieter | DSGVO-tauglich | AVV | EU-Daten | Hinweis |
|---|---|---|---|---|
| ChatGPT Team/Enterprise | ✅ | ✅ | optional EU | Trainingsausschluss Standard |
| Claude for Work | ✅ | ✅ | ✅ | Anthropic mit EU-Cluster |
| Mistral Le Chat / La Plateforme | ✅ | ✅ | ✅ (Frankreich) | EU-Sovereign-Option |
| Microsoft Copilot (M365) | ✅ | ✅ | ✅ EU-Data-Boundary | beste DSGVO-Story |
| Google Gemini (Workspace) | ✅ | ✅ | ✅ (Workspace Enterprise) | M365-äquivalent |
| ChatGPT Free/Plus (Privat) | ⚠️ | nur Plus | – | nur für nicht-personenbezogene Daten |
| Perplexity Pro | ⚠️ | eingeschränkt | – | für Recherche ok, keine Kundendaten |
Die Datenschutzkonferenz (DSK) der deutschen Aufsichtsbehörden hat 2024 eine Orientierungshilfe zu KI veröffentlicht — Pflichtlektüre vor jeder Tool-Auswahl.
Was Sie unbedingt brauchen — Compliance-Pakete
Für jeden KI-Einsatz mit personenbezogenen Daten:
- AVV (Auftragsverarbeitungsvertrag) mit dem Anbieter (Art. 28 DSGVO). Alle Business-Tarife der oben genannten Anbieter stellen einen bereit.
- Datenschutzerklärung anpassen — KI-Nutzung explizit erwähnen, Anbieter nennen, Datenkategorien beschreiben.
- Verarbeitungsverzeichnis (Art. 30 DSGVO) — KI-Tools als eigene Verarbeitungstätigkeit eintragen.
- Mitarbeiter-Briefing — was rein darf und was nicht. Schriftlich, nicht „hab ich mal gesagt“.
- TOMs (technische und organisatorische Maßnahmen) dokumentieren.
Für EPU ohne Mitarbeiter entfallen Mitarbeiter-Briefing und teilweise das Verzeichnis — Datenschutzerklärung und AVV bleiben Pflicht.
EU AI Act — was sich seit 2025 geändert hat
Der EU AI Act ist seit Mitte 2024 in Kraft, die Bestimmungen werden gestaffelt scharf gestellt. Für EPU/KMU relevante Punkte:
- Verbotene Praktiken (seit Feb 2025): Social Scoring, manipulative KI bei Schutzbefohlenen, bestimmtes Profiling. Für die meisten EPU irrelevant.
- Transparenzpflichten für GenAI (seit Aug 2025): Wenn Sie KI-generierten Content veröffentlichen, muss das erkennbar sein (Wasserzeichen oder Hinweis). Praktisch: AI-Bilder kennzeichnen, KI-Newsletter mit Hinweis „mit KI erstellt“ markieren.
- High-Risk-Systeme (ab Aug 2026): Für HR-Screening, Kreditbewertung, Bildung. Hier wird es teuer — meiden Sie diese Anwendungen, wenn Sie keine Compliance-Abteilung haben.
- GPAI-Modelle: OpenAI, Anthropic, Google haben Pflichten — nicht Sie als Nutzer.
Praktische Checkliste — 1 Seite
Vor jedem KI-Einsatz, in dieser Reihenfolge:
- Frage 1: Verarbeite ich personenbezogene Daten? Nein → Free-Tarif ok, fertig.
- Frage 2: Sind die Daten besonders sensibel (Gesundheit, Finanzen, Religion, sexuelle Orientierung)? Ja → nur Anbieter mit EU-Daten + ausdrücklicher Einwilligung.
- Frage 3: Habe ich AVV mit dem Anbieter? Nein → erst abschließen, dann nutzen.
- Frage 4: Ist meine Datenschutzerklärung aktuell? Nein → vor Live-Gang anpassen.
- Frage 5: Würde es mich stören, wenn diese Daten morgen öffentlich wären? Ja → anonymisieren oder Tool wechseln.
- Frage 6: Trifft die KI eine Entscheidung mit Wirkung auf einen Menschen? Ja → menschliche Endkontrolle einbauen (Art. 22 DSGVO).
Wer diese 6 Fragen vor jedem Einsatz durchgeht, ist auf der sicheren Seite.
Was die Behörden 2024/2025 entschieden haben
- Italien (Garante) hat ChatGPT zeitweise gesperrt und mit OpenAI Auflagen vereinbart — Vorbild für andere Behörden.
- Datenschutzbehörde Österreich prüft seit 2024 Beschwerden zu ChatGPT (insb. Auskunftsrecht).
- EDSA hat 2024 Stellungnahme zu Modelltraining veröffentlicht — Kern: berechtigtes Interesse möglich, aber strenge Abwägung.
- Hessischer Datenschutzbeauftragter hat 2024 detaillierte FAQ veröffentlicht — gut als Leitfaden auch in AT/CH.
Die Linie ist klar: Nutzen erlaubt, Sorgfaltspflicht hoch, Bußgelder real (bis 4 % des Jahresumsatzes nach DSGVO, bis 7 % nach AI Act bei Verstößen).
Quellen & weiterführende Links
Häufige Fragen
+Darf ich Kunden-E-Mails in ChatGPT zur Antwort werfen?
In Plus (privat) heikel und nur bei anonymisierten Inhalten. In Team/Enterprise mit AVV und EU-Option zulässig. Sicherheitshalber Mailadresse und Namen vor dem Einfügen ersetzen — der Tonfall der Antwort wird trotzdem treffend.
+Muss ich KI-Nutzung in der Datenschutzerklärung erwähnen?
Ja, sobald Sie personenbezogene Daten an KI weitergeben. Nennen Sie den Anbieter (z. B. „OpenAI Ireland Ltd.“), die Datenkategorien und die Rechtsgrundlage. Vorlagen z. B. von eRecht24 oder von Ihrem Datenschutzbeauftragten.
+Was ist mit Mitarbeiterdaten?
Besonders heikel. Bewerber-Analyse mit KI ist im EU AI Act als High-Risk eingestuft. Mitarbeiter-Monitoring nur mit Betriebsrat/Einwilligung. Im Zweifel: nicht.
+Brauche ich einen Datenschutzbeauftragten?
In Österreich: meist nein bei EPU/Kleinbetrieben. In Deutschland: ab 20 Personen, die mit personenbezogenen Daten arbeiten — bei EPU also meist nein. KI-Einsatz allein löst keine DSB-Pflicht aus.
+Was passiert bei einem Verstoß?
DSGVO bis 20 Mio. € oder 4 % Jahresumsatz, AI Act bis 35 Mio. € oder 7 %. In der Praxis bei EPU eher Verwarnungen und Auflagen — aber Reputationsschaden ist real. Lieber 2 Stunden Compliance einmal sauber machen.
◆ Bereit zum Anwenden?
Schluss mit Lesen — fangen Sie an zu sparen.
Die Gratis-Analyse zeigt Ihnen in 3 Minuten, wo KI in Ihrem Business diese Woche schon Wirkung zeigen kann.
