Während Sie das hier lesen, tippt jemand in Ihrem Betrieb wahrscheinlich gerade eine Kundenmail in ChatGPT. Gut gemeint, denn es spart ja Zeit. Nur wandern damit Name, Adresse und Vertragsnummer eines echten Kunden auf einen fremden Server. Kein Vertrag, keine Kontrolle. Das ist kein Ausrutscher, das ist Alltag in den meisten Betrieben. Und die Chefetage bekommt es meist erst mit, wenn es längst zu spät ist.
Keine Sorge, das hier ist kein Plädoyer gegen KI – im Gegenteil. KI im Betrieb ist erlaubt und sinnvoll. Sie müssen nur vorher ein paar Dinge klären, sonst hängen Sie am Ende mit drin. Genau die gehen wir jetzt durch: Tarif, Vertrag, Einstellungen, eine Richtlinie fürs Team und die neuen Pflichten aus dem EU AI Act. Danach wissen Sie, ob Ihr Setup sauber ist – oder wo es noch hakt.
Wenig Zeit? Die Kurzfassung bringt Sie in drei Minuten auf Stand.
„Tarif, AVV, EU-Verarbeitung, KI-Richtlinie und die neuen Pflichten aus dem EU AI Act – Schritt für Schritt erklärt, damit Sie KI im Betrieb rechtssicher einsetzen."
Das Problem: Wohin gehen Ihre Daten?
Nehmen Sie den kostenlosen Tarif oder „Plus". Da laufen zwei Dinge im Hintergrund, die schnell heikel werden.
Das eine: Was Sie eintippen, kann ins Training des Modells fließen. Kundennamen, Angebote, interne Zahlen – alles, was reingeht, kann Teil des Systems werden. Die Kontrolle darüber? Weg.
Das andere: Es gibt keinen Vertrag, der regelt, was mit den Daten passiert. Die DSGVO verlangt so einen aber: den Auftragsverarbeitungsvertrag, kurz AVV (Artikel 28). In den privaten Tarifen bekommen Sie ihn nicht. Und ohne ihn fehlt schlicht die Rechtsgrundlage, sobald echte Personendaten im Spiel sind.
Klingt nach Kleingedrucktem, kann aber teuer werden: Bis zu 20 Millionen Euro oder 4 % vom weltweiten Jahresumsatz sind bei einem DSGVO-Verstoß möglich – je nachdem, was höher ist (Artikel 83). Und Hand aufs Herz: Der Vertrauensverlust beim Kunden wiegt oft noch schwerer als die Strafe.
Für „Schreib mir ein Geburtstagsgedicht" ist ChatGPT Plus also völlig fine. Für Kundendaten eben nicht. Und ja, bei Claude, Copilot und Co. stellen Sie sich genau dieselben Fragen.
Schritt 1: Prüfen Sie Ihren Tarif und schließen Sie einen AVV ab
Für echte Kundendaten kommen nur die geschäftlichen Varianten infrage: bei ChatGPT sind das Team/Business, Enterprise oder die API. Nur dort bekommen Sie einen AVV, und nur dort wird standardmäßig nicht auf Ihren Eingaben trainiert. Free, Plus und Pro fallen raus.
Und der AVV kommt nicht von allein. Sie schließen ihn aktiv ab und legen ihn ab. Erst damit wird der Anbieter zum Auftragsverarbeiter – also zum Dienstleister, der nach Ihren Regeln arbeitet, nicht nach seinen.
Welcher Tarif darf Kundendaten sehen?
| Free / Plus | Team/Business, Enterprise, API | |
|---|---|---|
| AVV (Art. 28) verfügbar | ❌ | ✅ |
| Training standardmäßig aus | ❌ | ✅ |
| EU-Datenverarbeitung wählbar | ❌ | ✅ |
| Für Kundendaten geeignet | ❌ | ✅ |
Schritt 2: Schalten Sie das Training ab und wählen Sie EU-Verarbeitung
In den geschäftlichen Tarifen ist das Training auf Ihren Daten meist schon aus. Trotzdem: einmal selbst in die Einstellungen schauen, nicht blind darauf verlassen. Wer ganz sichergehen will, legt die Datenverarbeitung nach Europa – OpenAI bietet berechtigten Kunden sowohl die Speicherung als auch die eigentliche Verarbeitung (Inferenz) in der EU an. Für viele ist genau das der Moment, in dem aus „läuft irgendwie" ein „passt" wird.
Die richtigen Einstellungen:
- Modelltraining mit meinen Daten: Aus
- Datenregion: Europa (EU)
Schritt 3: Schreiben Sie eine KI-Richtlinie, die jeder versteht
Das beste Tool bringt nichts, wenn die Kollegin nebenbei doch die Kundenmail in die private App kippt. Deshalb: eine Richtlinie. Kurz, klar, eine Seite reicht.
Sie klärt drei Dinge – was darf rein, was nicht? Welches Tool ist das offizielle? Und was mache ich im Zweifel? Ein Betrieb, mit dem wir gearbeitet haben, hat es auf zwei Sätze eingedampft: „Angebotstexte ja. Alles mit echten Kundennamen nur im Firmen-Account." Mehr nicht – und trotzdem war die heimliche Nutzung praktisch über Nacht vorbei. Einfach, weil endlich klar war, was geht und was nicht.
So sieht eine KI-Richtlinie aus:
- ✅ Angebots- und Textentwürfe: erlaubt
- ✅ Offizielles Tool: Firmen-Account (Business)
- ❌ Echte Kundennamen/-daten: nur im Firmen-Account
- ❌ Keine Passwörter, keine sensiblen Personendaten
Schritt 4: Erfüllen Sie die KI-Kompetenzpflicht
Seit dem 2. Februar 2025 verlangt der EU AI Act, dass Leute, die mit KI arbeiten, auch wissen, was sie da tun (Artikel 4). Ja, auch im kleinen Betrieb. Und nein, das wurde nicht verschoben.
Aber keine Sorge, es braucht kein Zertifikat. Ein Grundverständnis reicht: Was kann das Tool, wo liegt es daneben, welche Daten haben nichts darin zu suchen. Eine kurze, praxisnahe Schulung deckt das ab – und nebenbei sitzt dann auch Schritt 3, weil Ihr Team die Richtlinie wirklich verstanden hat.
Schritt 5: Denken Sie an die neue Transparenzpflicht
Ab dem 2. August 2026 kommt noch etwas dazu: Wer einen Chatbot laufen lässt oder KI-generierte Inhalte veröffentlicht, muss das kenntlich machen (Artikel 50). Antwortet auf Ihrer Website eine KI, gehört ein Hinweis dran. Ganz einfach.
Die dicken Brocken – die „Hochrisiko"-Regeln, etwa für die automatische Bewerberauswahl – wurden dagegen verschoben. Über das Digital-Omnibus-Paket rutschen sie für eigenständige Systeme auf den 2. Dezember 2027. Für die meisten Selbstständigen und KMU also erstmal kein Thema. Wer aber KI im Recruiting oder für Bonitätschecks einsetzt, sollte sich den Termin trotzdem notieren.
Schritt 6: Der saubere Weg – Datenschutz durch Architektur
Viele Betriebe basteln sich ihre KI aus lauter Einzeltools zusammen – jedes mit eigenen Einstellungen, eigenem Vertrag, eigenem Datenweg. Und dann behält keiner mehr den Überblick.
Es geht auch sauberer: mit einer Lösung, die von vornherein auf Ihren Betrieb und auf europäisches Datenschutzrecht ausgelegt ist. Wo von Anfang an klar ist, wo die Daten liegen, wer rankommt und wofür sie genutzt werden. Genau da setzen wir bei SNIPE Solutions an – mit einem Local-First-Ansatz und privaten Sprachmodellen (LLMs). Heißt konkret: Ihre sensiblen Daten bleiben bei Ihnen, statt auf fremden Servern zu landen. Eigene Berater, eigene KI, eigenes Tech-Team, alles aus einer Hand – und Datenschutz von Anfang an mitgedacht, nicht nachträglich draufgeschraubt.
Ihre Kurz-Checkliste
Bevor Sie loslegen, gehen Sie das hier einmal durch:
- Geschäftlicher Tarif (Team/Business, Enterprise oder API), nicht Free/Plus, sobald Personendaten im Spiel sind
- Auftragsverarbeitungsvertrag (AVV) abgeschlossen und dokumentiert
- Training auf Ihren Daten deaktiviert
- Wenn möglich: Speicherung und Verarbeitung in der EU gewählt
- Klare, einseitige KI-Richtlinie im Team verteilt
- Kurze Schulung für alle, die das Tool nutzen (KI-Kompetenzpflicht)
- Hinweis auf KI, wo Kunden direkt mit ihr kommunizieren
Alle Haken gesetzt? Dann nutzen Sie KI nicht trotz, sondern im Einklang mit der DSGVO.
Fazit
Am Ende ist es simpel: Sauber eingeführte KI wird schneller genutzt – weil keiner mehr heimlich herumtricksen muss. Datenschutz ist dabei kein Bremsklotz, sondern das Fundament, auf dem KI überhaupt Vertrauen aufbaut. Einmal Tarif, Vertrag, Einstellungen, Richtlinie und Schulung richtig aufgesetzt, und das Thema ist vom Tisch.
Nicht sicher, ob Ihr Setup passt? Dann lassen Sie uns im kostenlosen Erstgespräch gemeinsam draufschauen – konkret, ohne Fachchinesisch.
Dieser Beitrag ersetzt keine Rechtsberatung. Er gibt Ihnen einen praxisnahen Überblick über die wichtigsten Datenschutzfragen bei der KI-Nutzung. Für eine verbindliche Bewertung Ihres konkreten Falls ziehen Sie bitte Ihren Datenschutzbeauftragten oder einen Fachanwalt hinzu.
