# KI-Anbieter auswählen – Checkliste mit 19 Prüffragen > Einen KI-Anbieter wählst du am besten mit festen Prüffragen zu Vertrag, Datenort und Training, Kontrolle, Ausstieg und Kosten. Belastbar ist eine Antwort erst, wenn du sie im Vertrag, in einer öffentlichen Liste oder in den Einstellungen nachlesen kannst. Diese Checkliste nennt 19 Fragen und woran du eine gute Antwort erkennst. Stand: 2026-11-09 · Quelle: Veröffentlicht am 8. November 2026 · Aktualisiert am 9. November 2026 · Quellen geprüft am 9. November 2026 Überblick, keine Rechtsberatung. Stand der Rechtslage: November 2026. Herausgegeben von [GRETUS®](https://gretus.de/ueber-gretus#redaktion), Anbieter eines KI-Assistenten für Unternehmen. Wo wir GRETUS nennen, steht es so da. ## So nutzt du die Checkliste Die 19 Fragen passen auf jeden Anbieter eines KI-Assistenten, egal ob Software mit eingebauter KI oder Sprachmodell direkt beim KI-Anbieter. Stell sie im Gespräch oder prüfe sie selbst anhand der Unterlagen. Zu jeder Frage steht, woran du eine belastbare Antwort erkennst. Drei Faustregeln gelten für alle Fragen: - **Schriftlich zählt:** Eine Antwort ist erst belastbar, wenn sie im Vertrag, im Auftragsverarbeitungsvertrag (AVV), in den Bedingungen oder in einer öffentlichen Liste steht. - **Vor dem Test lesbar:** Gute Anbieter zeigen Verträge und Listen ohne Konto, damit du vorher prüfen kannst. - **Zwei Ebenen:** Nutzt eine Software das Sprachmodell eines anderen Anbieters, prüfe beide, die Software und den KI-Anbieter dahinter. Welche Daten deine Mitarbeitenden im Alltag überhaupt eingeben sollten, zeigt der Ratgeber [Kundendaten in KI eingeben](https://gretus.de/ratgeber/kundendaten-in-ki-eingeben). ## 1. Vertrag und AVV - **Gibt es einen AVV nach Art. 28 DSGVO, und kann ich ihn vor dem Vertrag lesen?** Woran du es erkennst: Der Vertrag ist öffentlich oder auf Anfrage sofort verfügbar, nennt Gegenstand, Art der Daten und Betroffene und gilt schon in der Testphase. Art. 28 Abs. 3 DSGVO zählt die Pflichtinhalte auf. - **Welche Unterauftragsverarbeiter setzt der Anbieter ein?** Woran du es erkennst: eine Liste mit Name, Zweck und Ort jedes Dienstleisters, auch des KI-Anbieters. Nach Art. 28 Abs. 2 DSGVO braucht der Einsatz weiterer Auftragsverarbeiter deine Genehmigung, bei einer allgemeinen Genehmigung muss der Anbieter Änderungen vorher mitteilen, damit du widersprechen kannst. - **Welche technischen und organisatorischen Maßnahmen gelten?** Woran du es erkennst: eine konkrete Beschreibung, meist als Anlage zum AVV, etwa zu Verschlüsselung, Zugriffsrechten, Trennung der Kundendaten und Datensicherung (Art. 32 DSGVO). Allgemeine Sätze wie „höchste Sicherheitsstandards“ reichen nicht. - **Wie schnell meldet der Anbieter eine Datenpanne?** Woran du es erkennst: Der AVV verpflichtet ihn, dich unverzüglich zu informieren (Art. 33 Abs. 2 DSGVO), besser mit einer konkreten Frist. Du selbst musst eine meldepflichtige Panne in der Regel unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden (Art. 33 Abs. 1 DSGVO). ## 2. Datenort und Training - **Wo laufen Betrieb, Datenbank und Speicher der Software?** Woran du es erkennst: eine Angabe zum Rechenzentrum in der Liste der Unterauftragsverarbeiter oder im AVV, nicht nur auf der Startseite. - **Wo verarbeitet das Sprachmodell deine Anfragen?** Woran du es erkennst: Der Anbieter trennt Speicherort und Verarbeitungsort und belegt beide mit den Bedingungen des KI-Anbieters. „Daten in der EU“ ohne diese Unterscheidung ist zu ungenau, denn viele KI-Anbieter sagen einen Verarbeitungsort nur für bestimmte Zugänge zu. Die Unterschiede der großen Anbieter zeigt der Ratgeber [Mistral, Gemini, Claude oder GPT?](https://gretus.de/ratgeber/ki-anbieter-vergleich). - **Auf welcher Grundlage gehen Daten in Länder außerhalb der EU?** Woran du es erkennst: Für jeden Dienstleister außerhalb des Europäischen Wirtschaftsraums ist eine Grundlage nach Art. 44 ff. DSGVO genannt, etwa ein Angemessenheitsbeschluss wie das EU-US Data Privacy Framework oder Standardvertragsklauseln. - **Werden meine Eingaben zum Training genutzt, und von wem?** Woran du es erkennst: eine ausdrückliche Regel für die Software und für den KI-Anbieter, im Vertrag oder in den Bedingungen. Lässt sich Training nur über eine Einstellung abschalten, sollte klar sein, wer sie setzt und wo. ## 3. Kontrolle: Freigaben und Protokoll - **Was darf der Assistent ohne Rückfrage tun?** Woran du es erkennst: eine klare Liste der Aktionen, die standardmäßig eine Freigabe brauchen, etwa Senden, Anlegen, Ändern und Löschen. Eine allgemeine Zusage wie „Du behältst die Kontrolle“ ohne diese Liste reicht nicht. - **Kann ich Freigaben je Programm oder je Assistent einstellen?** Woran du es erkennst: Du siehst in der Software, wo du lockerst oder verschärfst, und weißt, wer das darf. Gut ist, wenn selbstständiges Handeln eine ausdrückliche Bestätigung braucht. - **Gibt es ein Protokoll, und wie lange bleibt es?** Woran du es erkennst: Jede Aktion steht mit Zeitpunkt, Programm und Freigabe oder Ablehnung im Protokoll, und die Aufbewahrungsdauer ist genannt. - **Wer im Team sieht welche Daten, und wie geht die Software mit fremden Anweisungen um?** Woran du es erkennst: Postfach und Gespräche sind persönlich, geteilt wird nur, was du freigibst. Dazu sagt der Anbieter, wie er verhindert, dass Anweisungen in fremden E-Mails oder Dateien den Assistenten steuern. Mehr dazu im Ratgeber [KI-Agenten sicher einsetzen](https://gretus.de/ratgeber/ki-agenten-sicher-einsetzen). ## 4. Export und Kündigung - **Kann ich alle Daten selbst exportieren, und in welchem Format?** Woran du es erkennst: ein Export, den du in der Software jederzeit selbst anstößt, in gängigen Formaten wie ZIP und CSV, ohne Anfrage beim Support. - **Wie und wann kann ich kündigen?** Woran du es erkennst: Laufzeit, Verlängerung und Frist stehen in den AGB, und du kündigst selbst im Konto. - **Was passiert mit meinen Daten nach dem Vertragsende?** Woran du es erkennst: eine Regel zu Löschung oder Rückgabe im AVV, wie Art. 28 Abs. 3 DSGVO sie verlangt, mit einer Frist und am besten mit einer Erinnerung vorher, damit du rechtzeitig exportierst. - **Kann ich den KI-Anbieter wechseln, ohne neu anzufangen?** Woran du es erkennst: Der Wechsel ist eine Einstellung, Gespräche, Assistenten und Wissen bleiben erhalten. Neue Modelle erscheinen in kurzen Abständen, eine feste Bindung an ein Modell wird schnell teuer. ## 5. Kosten und Grenzen - **Was steckt im Preis, und wer braucht eine Lizenz?** Woran du es erkennst: Der Preis pro Person nennt, ob die KI enthalten ist und ob Zusatzmodule extra kosten. Klar ist auch, ob eingeladene Kolleginnen und Kollegen ohne eigene Arbeit in der Software einen Platz brauchen. - **Was passiert, wenn das Kontingent aufgebraucht ist?** Woran du es erkennst: Der Anbieter beschreibt genau, ob die KI stoppt, gedrosselt weiterläuft oder Mehrkosten entstehen, und ob du vorher einen Hinweis bekommst. Mit eigenem Schlüssel beim KI-Anbieter zählt, ob du dort ein Ausgabenlimit setzen kannst. - **Wie kündigt der Anbieter Preisänderungen an?** Woran du es erkennst: eine Frist für die Ankündigung in den AGB und ein Recht, zum Inkrafttreten zu kündigen. Was ein KI-Assistent insgesamt kostet, mit Rechenbeispiel und Listenpreisen der KI-Anbieter, steht im Ratgeber [Was kostet ein KI-Assistent?](https://gretus.de/ratgeber/was-kostet-ein-ki-assistent). ## So hilft GRETUS dabei Damit du vergleichen kannst, hier die Antworten für GRETUS, jeweils mit der Stelle zum Nachlesen. **Vertrag und AVV:** Der [Auftragsverarbeitungsvertrag](https://gretus.de/rechtliches/avv) nach Art. 28 DSGVO ist öffentlich, Inhaber oder Admins schließen ihn im Konto mit einem Klick ab, auch in der Testphase. Die technischen und organisatorischen Maßnahmen stehen in Anlage 1. Alle Dienstleister stehen mit Zweck und Ort in der Liste der [Unterauftragsverarbeiter](https://gretus.de/rechtliches/unterauftragsverarbeiter), Änderungen kündigen wir mindestens 14 Tage vorher an, und aus wichtigem Grund kannst du widersprechen. Datenpannen melden wir unverzüglich, möglichst innerhalb von 24 Stunden. **Datenort und Training:** Betrieb, Datenbank und Speicher liegen in einem Rechenzentrum in der EU. Die inklusive KI läuft über Mistral AI aus Frankreich als Unterauftragsverarbeiter. Mistral speichert Daten standardmäßig in der EU, einen festen Ort für die Verarbeitung sagt Mistral für den Zugang von GRETUS nicht zu. Mit eigenem Schlüssel bei Google, Anthropic oder OpenAI ist eine Verarbeitung auch außerhalb der EU möglich, darauf weist GRETUS bei der Auswahl hin. GRETUS selbst trainiert keine KI mit deinen Inhalten, so steht es im AVV. Was der KI-Anbieter selbst mit Eingaben tun darf, regeln seine Bedingungen: Bei der inklusiven KI beauftragt GRETUS Mistral AI, mit eigenem Schlüssel gilt der Vertrag deiner Firma mit dem Anbieter. Die Bedingungen jedes Anbieters sind unter [Sicherheit](https://gretus.de/sicherheit#ki-anbieter) verlinkt. **Kontrolle:** Senden, Anlegen, Ändern und Löschen legt GRETUS standardmäßig zur Freigabe vor. Je Integration wählst du, ob GRETUS immer, nur bei Änderungen oder nie nachfragt. Ohne Rückfrage handelt ein KI-Mitarbeiter bei Integrationen auf „nie nachfragen“ oder wenn du ihn selbstständig arbeiten lässt und das Risiko ausdrücklich bestätigst; bei Kunden, Angeboten und Integrationen auf „immer nachfragen“ fragt GRETUS trotzdem. Offene Freigaben verfallen nach 30 Tagen, jede Aktion steht 24 Monate im Protokoll. Anweisungen in fremden Mails und Dateien sind für GRETUS Inhalt, kein Auftrag. Gespräche, Postfach und Kalender sieht nur die jeweilige Person, Kunden und freigegebenes Wissen teilt ihr in der Firma. **Export und Kündigung:** Den Export forderst du jederzeit selbst als ZIP an, der Link gilt 24 Stunden. Als Inhaber exportierst du die ganze Firma, Kunden und Vorgänge auch als CSV. Kündigen können Inhaber und Admins jederzeit zum Ende des Abrechnungszeitraums selbst unter Abo & Rechnungen, so steht es in den [AGB](https://gretus.de/rechtliches/agb). 30 Tage nach dem Ende von Testphase oder Abo löschen wir die Daten, 7 Tage vorher bekommt jedes Mitglied eine E-Mail. Mit eigenem Schlüssel wechselst du den KI-Anbieter jederzeit, ohne Gespräche, KI-Mitarbeiter oder Wissen zu verlieren. **Kosten und Grenzen:** GRETUS kostet 379 € pro Person und Monat zzgl. USt., mit allen Funktionen und der KI inklusive. Eine Lizenz braucht nur, wer selbst mit GRETUS arbeitet. Das Monatskontingent der KI gilt für die ganze Firma und wächst mit jeder Lizenz. Ist es aufgebraucht, arbeitet GRETUS im Sparmodus weiter, danach pausiert die inklusive KI bis zum Ersten des nächsten Monats, Mehrkosten entstehen nicht. Preisänderungen kündigen wir mindestens sechs Wochen vorher an, dann kannst du zum Inkrafttreten kündigen. Alle Angaben zum Datenschutz stehen ausführlich unter [Sicherheit](https://gretus.de/sicherheit), zu Freigaben und Protokoll unter [Freigaben](https://gretus.de/funktionen/freigaben) und zum Preis auf der [Preisseite](https://gretus.de/preis). ## Quellen Stand: November 2026, alle Quellen abgerufen am 9. November 2026. - EUR-Lex: [Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung)](https://eur-lex.europa.eu/eli/reg/2016/679/oj/deu), vor allem Art. 28 zur Auftragsverarbeitung, Art. 32 zur Sicherheit der Verarbeitung, Art. 33 zur Meldung von Datenpannen und Art. 44 ff. zur Übermittlung in Drittländer - EU-Kommission: [EU-US data transfers](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en), zum EU-US Data Privacy Framework, englisch - EU-Kommission: [Standard contractual clauses (SCC)](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en), englisch ## Häufige Fragen ### Welche Fragen sollte ich einem KI-Anbieter vor dem Vertrag stellen? Frag nach Auftragsverarbeitungsvertrag und Unterauftragsverarbeitern, nach dem Ort von Speicherung und Verarbeitung, nach dem Training mit deinen Eingaben, nach Freigaben und Protokoll, nach Export und Kündigung und nach den Kosten bei hoher Nutzung. Lass dir zu jeder Antwort die Stelle im Vertrag, in einer öffentlichen Liste oder in den Einstellungen zeigen. ### Woran erkenne ich, ob ein Anbieter mit meinen Eingaben trainiert? An einer ausdrücklichen Regel im Vertrag oder in den Bedingungen, nicht an einer Aussage im Verkaufsgespräch. Bei Software, die ein Sprachmodell eines anderen Anbieters nutzt, gibt es zwei Ebenen, die Software selbst und den KI-Anbieter dahinter. Für beide sollte nachzulesen sein, was mit deinen Eingaben geschieht und ob sich Training abschalten lässt. ### Was sollte für das Ende der Zusammenarbeit geregelt sein? Wie du kündigst, wie du vorher alle Daten in einem gängigen Format herunterlädst und wann der Anbieter sie danach löscht. Nach Art. 28 Abs. 3 DSGVO muss der Auftragsverarbeitungsvertrag festlegen, dass der Auftragsverarbeiter personenbezogene Daten nach Ende der Leistung nach Wahl des Verantwortlichen löscht oder zurückgibt. ### Reicht eine Zusage des Anbieters per E-Mail? Für wichtige Punkte wie Datenort, Training und Löschung besser nicht. Verlässlich ist, was im Vertrag, im Auftragsverarbeitungsvertrag oder in den veröffentlichten Bedingungen steht, denn darauf kannst du dich später berufen. ## Über GRETUS GRETUS ist ein KI-Assistent für kleine und mittlere Unternehmen in Europa. Er beantwortet Anfragen, bereitet den Arbeitstag vor, schreibt Angebote und erledigt mit eigenen KI-Mitarbeitern (KI-Agenten) wiederkehrende Aufgaben nach Zeitplan. Was nach außen geht, legt GRETUS standardmäßig zur Freigabe vor. [7 Tage kostenlos testen](https://gretus.de/register), ohne Kreditkarte für GRETUS. Die KI ist inklusive, ein eigener Schlüssel ist optional.