KI im Unternehmen DSGVO-konform nutzen – das Wichtigste

Kurz gesagt

Wer KI im Unternehmen mit personenbezogenen Daten nutzt, braucht vor allem vier Dinge, Auftragsverarbeitungsverträge mit dem Softwareanbieter und dem KI-Anbieter, einen KI-Anbieter mit geklärtem Verarbeitungsort, die Gewissheit, dass Inhalte nicht zum Training genutzt werden, und Regeln für Aufbewahrung und Löschung. Am einfachsten wird es mit einem KI-Anbieter, der einen Verarbeitungsort in der EU zusagt.

Veröffentlicht am · Aktualisiert am · Quellen geprüft am

Überblick, keine Rechtsberatung. Stand der Rechtslage: November 2026.

Herausgegeben von GRETUS®, Anbieter eines KI-Assistenten für Unternehmen. Wo wir GRETUS nennen, steht es so da.

Wer ist wofür verantwortlich?

Setzt dein Unternehmen einen KI-Assistenten ein, bleibst du für die Verarbeitung personenbezogener Daten verantwortlich. Der Softwareanbieter verarbeitet die Daten in deinem Auftrag, ebenso die KI-Anbieter und Dienstleister, die er einsetzt. Daraus ergeben sich die wichtigsten Pflichten:

  • Auftragsverarbeitungsvertrag (AVV) mit dem Softwareanbieter nach Art. 28 DSGVO
  • Übersicht der Unterauftragsverarbeiter, also wer die Daten außerdem verarbeitet
  • Rechtsgrundlage für die jeweilige Verarbeitung
  • Information der Betroffenen, etwa in deiner Datenschutzerklärung
  • Eintrag im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO, ein Muster steht im Ratgeber KI im Verarbeitungsverzeichnis

In GRETUS schließt du den AVV unter Einstellungen → Datenschutz mit einem Klick ab. Den Vertrag und die Liste der Unterauftragsverarbeiter findest du auch öffentlich unter Auftragsverarbeitung.

Wo werden die Daten verarbeitet?

Bei einem KI-Assistenten gibt es zwei Orte: wo die Software läuft und Daten speichert, und wo das Sprachmodell die Anfragen verarbeitet.

Bei GRETUS liegen Betrieb und Speicher in einem Rechenzentrum in der EU. Für das Sprachmodell wählst du den Anbieter selbst:

  • Mistral AI aus Frankreich speichert Daten standardmäßig in der EU. Einen festen Verarbeitungsort in der EU sagt Mistral nur für seinen EU-Endpunkt zu, den GRETUS heute nicht nutzt. Mistral ist unsere Empfehlung.
  • Google Gemini, Anthropic Claude und OpenAI GPT sagen für den Zugang, den GRETUS nutzt, keine Verarbeitung in der EU zu. Anthropic speichert Daten in den USA und kann Anfragen weltweit verarbeiten (Anthropic), Google darf Anfragen kurzzeitig in jedem Land speichern, in dem Google oder seine Dienstleister Standorte haben (Bedingungen von Google), und OpenAI sagt keinen festen Verarbeitungsort zu (OpenAI). GRETUS weist bei der Auswahl darauf hin.

Bleiben Speicherung und Verarbeitung vertraglich in der EU, entfällt die Frage der Übermittlung in ein Drittland. Mistral weist selbst darauf hin, dass Daten je nach Funktion vorübergehend an Dienstleister außerhalb der EU gehen können. Woran du einen europäischen Anbieter erkennst und welche Wege es gibt, zeigt der Ratgeber Europäische KI für Unternehmen. Mehr zu den Unterschieden im Ratgeber Mistral, Gemini, Claude oder GPT?, was speziell beim Einsatz von ChatGPT gilt, im Ratgeber ChatGPT im Unternehmen.

Training mit deinen Daten

Viele Unternehmen fürchten, dass vertrauliche Inhalte in künftige KI-Modelle einfließen. Dafür gibt es zwei Ebenen:

  • Die Software: GRETUS nutzt deine Inhalte nicht zum Training von KI-Modellen.
  • Der KI-Anbieter: Was er mit deinen Eingaben darf, regeln dein Vertrag und deine Einstellungen dort. OpenAI nutzt Daten aus seiner Schnittstelle nach eigenen Angaben nicht zum Training, solange du nicht ausdrücklich zustimmst (OpenAI), und Anthropic darf mit Inhalten aus seiner Schnittstelle laut seinen Geschäftsbedingungen keine Modelle trainieren (Anthropic). Google nutzt Anfragen und Antworten der Gemini-Schnittstelle bei bezahltem Zugang nicht zur Verbesserung seiner Produkte. Für Nutzer im Europäischen Wirtschaftsraum (EWR), in der Schweiz und im Vereinigten Königreich gilt das laut den Bedingungen in der Fassung vom 23. März 2026 auch für das kostenlose Kontingent (Bedingungen von Google). Bei Mistral können Eingaben und Antworten in bestimmten Fällen in Trainingsprogramme einfließen, abschalten lässt sich das im Admin-Bereich unter Privacy (Anleitung von Mistral). Stand: November 2026.

Für Firmendaten solltest du deshalb Bedingungen und Einstellungen beim Anbieter prüfen. Bei GRETUS läuft die inklusive KI über Mistral AI als Unterauftragsverarbeiter, mit eigenem Schlüssel vereinbarst du die Bedingungen direkt mit dem Anbieter. Siehe Eigener KI-Schlüssel.

Datensparsamkeit im Alltag

Dieser Ratgeber behandelt, was dein Unternehmen organisieren muss. Welche Daten deine Mitarbeitenden im Alltag in die KI eingeben dürfen und wie sie Texte vorher anonymisieren oder pseudonymisieren, steht mit einer Ampel zum Ausdrucken im Ratgeber Kundendaten in KI eingeben.

  • Rechte klein halten: Ein Assistent bekommt nur die Programme freigegeben, die er für seine Aufgabe braucht.
  • Wissen gezielt teilen: Dokumente sind privat, bis du sie ausdrücklich für das Team freigibst.
  • Keine Geheimnisse ins Gedächtnis: GRETUS merkt sich dauerhafte Fakten wie Firma oder Rolle und soll keine Passwörter, Kontonummern und ähnliche Daten speichern. Einträge kannst du einsehen, bearbeiten und löschen, schau trotzdem ab und zu in die Liste.
  • Zugangsdaten verschlüsselt: KI-Schlüssel und Zugänge zu Programmen werden verschlüsselt gespeichert und erreichen nie ein Sprachmodell.

Aufbewahrung, Löschung und Auskunft

Gespräche sollten nicht länger gespeichert werden als nötig. Unter Einstellungen → Datenschutz legst du fest, nach wie vielen Tagen Gespräche automatisch gelöscht werden. Mit dem Datenexport lädst du alles herunter, was GRETUS über dich gespeichert hat, etwa für eine Auskunftsanfrage.

Nachvollziehbarkeit

Für Datenschutz und interne Kontrolle ist wichtig, was die KI getan hat. Das Protokoll in GRETUS zeigt jede Aktion mit Zeitpunkt, Programm und ob sie freigegeben oder abgelehnt wurde. Wer einem KI-Mitarbeiter selbstständiges Handeln erlaubt hat, steht ebenfalls dort.

Checkliste

  1. AVV mit dem Softwareanbieter abschließen
  2. KI-Anbieter passend zu den Daten wählen, bevorzugt mit Verarbeitung in der EU
  3. Bei Anbietern außerhalb der EU die Grundlage der Übermittlung prüfen
  4. Bedingungen des KI-Anbieters zum Training prüfen
  5. Aufbewahrungsfrist für Gespräche festlegen
  6. Datenschutzerklärung und Verzeichnis der Verarbeitungstätigkeiten ergänzen
  7. Mitarbeitende im Umgang mit KI schulen

Für die Punkte 1 bis 4 gibt es 19 Prüffragen für das Gespräch mit jedem Anbieter, jeweils mit dem, woran du eine belastbare Antwort erkennst, im Ratgeber KI-Anbieter auswählen.

Für Punkt 6 gibt es einen ausgefüllten Mustereintrag und einen Absatz zum Kopieren im Ratgeber KI im Verarbeitungsverzeichnis.

Neben der DSGVO gilt für den Einsatz von KI die KI-Verordnung der EU, für Punkt 7 etwa mit der Pflicht zu Maßnahmen für die KI-Kompetenz. Was sie für Unternehmen bedeutet, die KI nutzen, steht im Ratgeber EU AI Act für Unternehmen.

So hilft GRETUS dabei

GRETUS ist für diese Punkte gebaut: Betrieb und Speicher in einem Rechenzentrum in der EU, den AVV schließt du im Konto mit einem Klick ab, Aufbewahrung und Datenexport stellst du selbst ein, und was nach außen geht, legt GRETUS standardmäßig zur Freigabe vor. Die Einzelheiten stehen unter Sicherheit und Freigaben, was GRETUS kostet, auf der Preisseite. Ausprobieren kannst du GRETUS in der Testphase.

Quellen

Stand: November 2026, alle Quellen abgerufen am 9. November 2026.

Häufige Fragen

Was muss ich beim Einsatz eines KI-Assistenten nach DSGVO beachten?

Vor allem Auftragsverarbeitungsverträge mit dem Softwareanbieter und dem KI-Anbieter, einen geklärten Speicher- und Verarbeitungsort und Bedingungen, die das Training mit deinen Eingaben regeln. Dazu kommen eine Rechtsgrundlage für jede Verarbeitung, Fristen für Aufbewahrung und Löschung und die Information der Betroffenen. Die Checkliste in diesem Ratgeber fasst die Schritte zusammen.

Darf ich Kundendaten in einen KI-Assistenten geben?

Grundsätzlich ja, wenn es eine Rechtsgrundlage gibt, die Verarbeitung vertraglich abgesichert ist und die Daten dem Zweck entsprechend verarbeitet werden. Besonders sensible Daten wie Gesundheitsdaten verlangen zusätzliche Vorsicht. Was im Alltag in die KI darf, zeigt die Ampel im Ratgeber Kundendaten in KI eingeben.

Was ist bei KI-Anbietern aus den USA zu beachten?

Werden personenbezogene Daten in die USA übermittelt, braucht es eine zulässige Grundlage, etwa eine Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework oder Standardvertragsklauseln. Prüfe das für den jeweiligen Anbieter und sprich im Zweifel mit deiner Datenschutzbeauftragten oder deinem Datenschutzbeauftragten.

Wie verhindere ich, dass Kundendaten ins KI-Training gehen?

Über Tarif und Einstellungen beim KI-Anbieter. Nutze Firmenkonten oder die Schnittstelle statt privater Konten, prüfe die Bedingungen zum Training und schalte es ab, wo das eine Einstellung ist, etwa bei Mistral unter Privacy. Die Unterschiede je Anbieter zeigt der Ratgeber Mistral, Gemini, Claude oder GPT?.

Vom Lesen zum Ausprobieren.

Lass GRETUS mit deinem eigenen Postfach, Kalender und Firmenwissen für dich arbeiten.

7 Tage kostenlos testen · Demo anfragen