Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.
Kurz gesagt: KI-Werkzeuge wie Chatbots lassen sich datenschutzkonform einsetzen, wenn Sie Zweck und Rechtsgrundlage klären, möglichst keine personenbezogenen Daten eingeben, Anwendungen bevorzugen, die Ihre Eingaben nicht zum Training nutzen, mit dem Anbieter einen Auftragsverarbeitungsvertrag schließen und Übermittlungen in Drittländer absichern. Die deutschen Datenschutzbehörden halten technisch geschlossene Systeme für vorzugswürdig. Die geschlossenste Variante ist ein Sprachmodell auf Ihrem eigenen Server.
Was die Datenschutzkonferenz empfiehlt
Die Datenschutzkonferenz (DSK), das Gremium der deutschen Datenschutzaufsichtsbehörden, hat im Mai 2024 eine Orientierungshilfe „Künstliche Intelligenz und Datenschutz" veröffentlicht. Die wichtigsten Punkte für Unternehmen, die KI-Anwendungen einsetzen:
Vor der Auswahl
- Einsatzzweck festlegen und prüfen, ob er rechtmäßig ist.
- Ohne personenbezogene Daten arbeiten, wo es geht.
- Rechtsgrundlage klären, sobald personenbezogene Daten verarbeitet werden.
- Keine automatisierte Letztentscheidung: Entscheidungen mit Rechtswirkung dürfen nach Art. 22 DSGVO grundsätzlich nicht allein von einer KI getroffen werden.
- Geschlossenes oder offenes System? Offene Cloud-Systeme bergen das Risiko, dass Eingaben zu anderen Zwecken verarbeitet oder in Drittländer übermittelt werden. Technisch geschlossene Systeme sind aus Sicht der DSK vorzugswürdig.
- Training: Prüfen, ob Ein- und Ausgaben für das Training genutzt werden, und ob sich das ausschließen lässt. Vorzugswürdig sind Anwendungen, die sie nicht dafür verwenden.
- Eingabe-Historie: Nutzer sollen selbst entscheiden können, ob ihre Eingaben gespeichert werden.
- Betroffenenrechte (Berichtigung, Löschung) müssen umsetzbar sein.
- Datenschutzbeauftragte und Beschäftigtenvertretung einbinden.
Bei der Einführung
- Verantwortlichkeit festlegen und vertraglich regeln, zum Beispiel per Auftragsverarbeitungsvertrag
- interne Regeln für die Nutzung aufstellen
- eine Datenschutz-Folgenabschätzung prüfen
- betriebliche Accounts bereitstellen, damit Beschäftigte keine privaten Konten nutzen
- Datenschutz durch Technikgestaltung und sichere Voreinstellungen
- Beschäftigte schulen
Bei der Nutzung
- Vorsicht bei der Eingabe und Ausgabe personenbezogener Daten, besonders bei Gesundheits- oder anderen besonderen Kategorien
- Ergebnisse auf Richtigkeit und Diskriminierung prüfen
Quelle: DSK, Orientierungshilfe Künstliche Intelligenz und Datenschutz, Version 1.0, 6. Mai 2024.
Checkliste: KI-Werkzeug auswählen
- [ ] Zweck dokumentiert, personenbezogene Daten auf das Nötigste reduziert
- [ ] Nutzung der Eingaben für Training ausgeschlossen (vertraglich oder per Einstellung)
- [ ] AVV mit dem Anbieter geschlossen (siehe Auftragsverarbeitungsvertrag)
- [ ] Serverstandort bekannt; Drittland-Übermittlungen abgesichert
- [ ] Betriebliche Accounts statt privater Konten
- [ ] Interne Nutzungsregeln und Schulung
- [ ] Datenschutz-Folgenabschätzung geprüft
- [ ] Keine automatisierten Entscheidungen mit Rechtswirkung ohne menschliche Prüfung
DSGVO-freundliche Alternativen zu öffentlichen Chatbots
| Option | Datenschutz-Vorteil | Aufwand |
|---|---|---|
| Business-Versionen großer Anbieter mit AVV und Trainings-Ausschluss | vertraglich geregelt | gering; Drittland-Fragen prüfen |
| KI-Dienste europäischer Anbieter mit Hosting in der EU | Serverstandort EU | gering bis mittel |
| Eigenes Sprachmodell auf einem eigenen Server (z. B. Ollama mit Open WebUI) | Eingaben verlassen Ihren Server nicht | mittel; Leistung abhängig von Hardware |
| Hybrid: sensible Daten lokal, alles andere per API | Balance aus Leistung und Kontrolle | mittel |
Ein eigenes Modell ist technisch ein geschlossenes System im Sinne der DSK-Orientierungshilfe. Wie das geht, erklären Ollama & Open WebUI auf eigenem Server und KI-Server: CPU oder GPU?. Wichtig: Auch dann brauchen Sie einen AVV mit Ihrem Hoster und einen sauberen Zugriffsschutz.
Selbst gehostete KI bei GB Hosting
Auf einem Managed VPS bei GB Hosting laufen kleinere Sprachmodelle, KI-Agenten und Automatisierungen in Deutschland, mit AVV, täglichen Backups und Betreuung des Betriebssystems. KI-Agenten hosten · Managed VPS
Häufige Fragen
Darf ich ChatGPT im Unternehmen nutzen?
Das hängt von der Version, den Vertragsbedingungen und den eingegebenen Daten ab. Prüfen Sie AVV, Trainings-Ausschluss, Datenstandort und interne Regeln anhand der Checkliste oben und mit Ihrem Datenschutzbeauftragten.
Ist ein selbst gehostetes Modell automatisch DSGVO-konform?
Nein, aber es löst die größten Risiken offener Systeme (Training, Drittland, fremde Zugriffe). Rechtsgrundlage, Zugriffsschutz, Betroffenenrechte und AVV mit dem Hoster bleiben Ihre Aufgabe.
Brauche ich eine Datenschutz-Folgenabschätzung für KI?
Wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte der Betroffenen hat, ja. Die DSK empfiehlt, das beim Einsatz von KI-Anwendungen zu prüfen.