ChatGPT, Claude, Gemini — überall KI, aber kaum jemand weiß genau, ob man diese Tools als Unternehmer in Deutschland legal nutzen darf. Die Frage ist berechtigt: Die DSGVO macht klare Vorgaben, und ein Verstoß kann teuer werden.
In diesem Artikel erkläre ich dir ohne Juristendeutsch, was erlaubt ist, was du vermeiden solltest und welche Tools du bedenkenlos einsetzen kannst.
Das Grundprinzip: Was ist eigentlich das Problem?
Die DSGVO schützt personenbezogene Daten — also alle Informationen, die eine natürliche Person identifizierbar machen. Wenn du KI-Tools nutzt und dabei Kundendaten, Namen, E-Mails oder Gesundheitsinformationen eingibst, verarbeitest du diese Daten auf fremden Servern.
Das ist nicht automatisch verboten — aber du brauchst eine Rechtsgrundlage. Außerdem musst du sicherstellen, dass die Daten nicht für das Training der KI-Modelle verwendet werden.
Die 3 wichtigsten Regeln für KI im Unternehmen
- Keine sensiblen Kundendaten eingeben — Namen, E-Mails, Gesundheitsdaten, Finanzdaten gehören nicht in ChatGPT & Co.
- Training-Opt-Out aktivieren — Alle großen Anbieter bieten die Möglichkeit, das Training der eigenen Daten zu deaktivieren. Mach das.
- Datenschutzerklärung aktualisieren — Wenn du KI im Kundenkontakt einsetzt, muss das in deiner Datenschutzerklärung stehen.
Tool-Vergleich: Was ist erlaubt?
| Tool | Server-Standort | Training-Opt-Out | Für Unternehmen |
|---|---|---|---|
| IT-RECHTBOX | EU (Cloudflare EU) | ✓ Standard | ✓ Empfohlen |
| ChatGPT (API) | USA | ✓ Opt-Out möglich | ⚠ Mit Vorsicht |
| ChatGPT (Web) | USA | ⚠ Manuell | − Ohne Opt-Out riskant |
| Claude (API) | USA | ✓ Kein Training | ⚠ Mit Vorsicht |
| Microsoft Copilot | EU möglich | ✓ Enterprise | ✓ Enterprise-Plan |
| Google Gemini | USA | ⚠ Workspace nötig | ⚠ Workspace-Plan |
Was du konkret tun solltest
Schritt 1: Training deaktivieren
Bei ChatGPT: Einstellungen → Datenkontrolle → "Modell verbessern" deaktivieren. Bei Claude (claude.ai): Unter Privacy Settings das Modell-Training deaktivieren.
Schritt 2: Keine Klartext-Kundendaten eingeben
Statt "Schreib eine E-Mail an Max Mustermann, Kundennummer 12345" schreibe lieber "Schreib eine E-Mail an einen Kunden, der sein Paket nicht erhalten hat." Anonymisiere, was du anonymisieren kannst.
Schritt 3: Datenschutzerklärung prüfen
Wenn du KI für Kundenkommunikation oder Datenverarbeitung nutzt, muss das in deiner Datenschutzerklärung erwähnt werden. Lass das von einem Anwalt prüfen.
Mein Fazit
DSGVO und KI schließen sich nicht aus. Mit den richtigen Maßnahmen — Training deaktivieren, keine sensiblen Daten eingeben, Datenschutzerklärung aktualisieren — kannst du KI-Tools legal und sinnvoll in deinem Unternehmen einsetzen.
Wer auf Nummer sicher gehen will: IT-RECHTBOX ist speziell für den deutschen Markt entwickelt und nutzt EU-Server.
Häufige Fragen
Darf ich ChatGPT für die Arbeit nutzen?
Für interne Aufgaben ohne Kundendaten: ja. Für Aufgaben mit personenbezogenen Kundendaten: nur wenn du das Training deaktiviert hast und die Daten nicht anderweitig verarbeitet werden. Im Zweifel: anonymisieren.
Was passiert bei einem DSGVO-Verstoß?
Die Strafen können erheblich sein — bis zu 4% des globalen Jahresumsatzes oder 20 Millionen Euro, je nachdem was höher ist. Für kleine Unternehmen sind die Strafen meist niedriger, aber der Reputationsschaden kann erheblich sein.
Brauche ich einen Datenschutzbeauftragten?
Für die meisten Selbstständigen und kleinen Unternehmen (unter 20 Mitarbeiter mit Datenzugang) ist kein externer DSB Pflicht. Bei der Verarbeitung sensibler Daten oder regelmäßiger Überwachung kann es anders aussehen.