--- title: "DSGVO-konforme KI: So setzt ihr KI rechtssicher ein" lang: de type: knowledge canonical: https://www.arocom.de/wissen/ki/dsgvo-konforme-ki alternate: https://www.arocom.de/en/knowledge/ai/gdpr-compliant-ai author: "Axel Roth" published: 2026-07-24 last_updated: 2026-10-31 --- # DSGVO-konforme KI: So setzt ihr KI rechtssicher ein KI-Tools verarbeiten oft personenbezogene Daten, damit gelten DSGVO und ab August 2026 zusätzlich die Transparenzpflichten des EU AI Act. Vier Fragen entscheiden über die Rechtssicherheit: Gibt es einen Auftragsverarbeitungsvertrag, wo liegen die Server, werden Eingaben für Training genutzt, und wer kontrolliert die Zugriffe? Consumer-Accounts fallen fast immer durch, Business-Tarife und API-Zugänge der großen Anbieter bestehen den Test. arocom zeigt die Kriterien und ordnet die gängigen Tools ein. ## DSGVO-konforme KI-Nutzung im Unternehmen In den meisten Unternehmen wird längst mit KI gearbeitet, die Frage ist nur, ob offiziell oder als [Schatten-KI](https://www.arocom.de/wissen/ki/schatten-ki) auf privaten Accounts. Genau da beginnt das Datenschutzproblem: Wer Kundendaten in einen Consumer-Chatbot kopiert, gibt sie ohne Auftragsverarbeitungsvertrag an einen Dritten weiter, oft mit Trainingsfreigabe. Ob die Verarbeitung als solche rechtmäßig ist, richtet sich nach Art. 6 DSGVO und lässt sich im Einzelfall begründen. Der fehlende Vertrag nach Art. 28 bleibt trotzdem ein Verstoß. Praktisch heißt das: privater Account raus, Business-Tarif mit AVV rein. Die Lösung ist nicht das Verbot, sondern der geordnete Einsatz. Dieser Artikel zeigt die vier Kernfragen, den Zeitplan des EU AI Act und welche Tools die Anforderungen erfüllen. Er ersetzt keine Rechtsberatung, gibt aber die Struktur für das Gespräch mit eurem Datenschutzbeauftragten. ## Die vier Kernfragen vor jedem KI-Einsatz **1. Gibt es einen Auftragsverarbeitungsvertrag (AVV)?** Sobald ein KI-Dienst personenbezogene Daten verarbeitet, braucht es einen AVV nach Art. 28 DSGVO. Consumer-Angebote bieten keinen, Business-Tarife und API-Zugänge der großen Anbieter schon. **2. Wo werden die Daten verarbeitet?** Fragt getrennt nach Speicherung und Verarbeitung, das ist nicht dasselbe. OpenAI bietet EU-Datenresidenz für Enterprise-Tarife an, bei Anthropic führt der EU-Weg über AWS Bedrock in Frankfurt, womit sich der Vertragspartner ändert. [Mistral](https://www.arocom.de/wissen/ki/mistral) verarbeitet standardmäßig in Europa. Bei US-Anbietern bleibt der US CLOUD Act als Restrisiko, das ihr bewerten und dokumentieren müsst. **3. Werden Eingaben für Modelltraining genutzt?** Das K.-o.-Kriterium. Bei Consumer-Diensten ist Training oft standardmäßig aktiv, bei Business- und API-Zugängen vertraglich ausgeschlossen. Prüft das schriftlich, nicht per Werbeversprechen. **4. Wer kontrolliert Zugriffe und Nutzung?** SSO, Rechteverwaltung und Audit-Logs machen KI-Nutzung nachvollziehbar. Ohne zentrale Verwaltung entsteht Schatten-KI, und die Nachweispflichten der DSGVO laufen ins Leere. ![Entscheidungsbaum: DSGVO-konforme KI-Nutzung prüfen](https://www.arocom.de/images/screenshots/wissen/ki/dsgvo-konforme-ki.webp) *Die vier Kernfragen als Entscheidungsbaum.* Download: Prüfleitfaden KI-Plattform (auf der Seite: https://www.arocom.de/wissen/ki/dsgvo-konforme-ki) 24 Prüffragen in sechs Achsen, mit Befundbogen. Herstellerneutral. ## EU AI Act: Was ab August 2026 dazukommt Die DSGVO bleibt, der AI Act kommt dazu. Beide Regelwerke gelten nebeneinander. Der Zeitplan in Kurzform: - **Seit Februar 2025:** Verbotene KI-Praktiken sind untersagt, und Art. 4 verlangt KI-Kompetenz. Adressat sind Anbieter und Betreiber, also die Organisation, nicht die einzelne Person. Sie muss nach besten Kräften dafür sorgen, dass ihre Beschäftigten und alle, die in ihrem Auftrag arbeiten, mit KI umgehen können. Das betrifft auch Marketing, HR und Vertrieb. - **Seit August 2025:** Pflichten für Anbieter von General-Purpose-Modellen (GPAI). - **Ab 2. August 2026:** Der AI Act wird allgemein anwendbar. Praktisch relevant sind die Transparenzpflichten: Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte müssen maschinenlesbar gekennzeichnet sein. Bußgelder werden durchsetzbar, bis zu 35 Millionen Euro oder 7 Prozent des Weltumsatzes. - **Ab 2. Dezember 2027 und 2. August 2028:** die Hochrisiko-Pflichten. Der Digital-Omnibus zur KI, Verordnung (EU) 2026/1744 vom 8. Juli 2026, in Kraft seit dem 27. Juli 2026, hat sie über Artikel 113 verschoben: Anhang III auf den 2. Dezember 2027, Anhang I auf den 2. August 2028. Die Transparenzpflichten ab August 2026 bleiben davon unberührt. Quelle: Amtsblatt L, 2026/1744 vom 24.07.2026, abgerufen am 10.08.2026. Wichtig für die Praxis: Als nutzendes Unternehmen könnt ihr die Compliance nicht komplett an den Tool-Anbieter delegieren. Die Verantwortung für Einsatzbereich, Schulung und Transparenz gegenüber Kunden bleibt bei euch. Eine Einordnung für den Mittelstand gibt unser Beitrag zum [EU AI Act](https://www.arocom.de/blog/eu-ai-act-mittelstand). ## Welche Tools die Anforderungen erfüllen | Tool | AVV | EU-Verarbeitung | Kein Training | Zentrale Verwaltung | |---|---|---|---|---| | ChatGPT (privat) | Nein | Nein | Opt-out nötig | Nein | | OpenAI/Anthropic API | Ja | Teilweise, je nach Anbieter und Weg | Ja | Über eigene Integration | | [Langdock](https://www.arocom.de/wissen/ki/langdock) | Ja | Teilweise, EU-Modelle wählbar | Ja | Ja (SSO, Audit-Logs) | | [Mistral](https://www.arocom.de/wissen/ki/mistral) | Ja | Ja (EU-Anbieter) | Ja | Je nach Tarif | Das Muster ist deutlich: Consumer-Zugänge fallen durch, Unternehmens-Tarife und API-Integrationen bestehen bei Vertrag, Training und Verwaltung. Der Unterschied liegt nicht im Modell, sondern im Vertrags- und Betriebsmodell drumherum. Die [Prüfung vor dem Rollout](https://www.arocom.de/leistungen/langdock) und die Einführung danach übernimmt arocom. Bei der EU-Verarbeitung lohnt der zweite Blick. Speicherung und Inferenz sind zwei verschiedene Dinge: Ein Anbieter kann eure Daten in der EU ablegen und die Anfrage trotzdem auf einem Server außerhalb rechnen lassen. Das betrifft mehrere der Einträge oben und lässt sich meist über die Modellauswahl steuern. Fragt danach ausdrücklich, ein pauschales "EU-Hosting" im Werbetext beantwortet die Frage nicht. Für die eigene Plattform gilt dasselbe Prinzip: Wer KI über die [Anthropic-](https://www.arocom.de/wissen/ki/claude) oder OpenAI-API in die eigene Website integriert, kontrolliert Datenfluss, Speicherung und Protokollierung selbst und kann die DSGVO-Konformität technisch erzwingen statt vertraglich hoffen. ## Umsetzung: Vom Verbot zur geregelten Nutzung Der pragmatische Weg in vier Schritten: 1. **Bestandsaufnahme:** Welche KI-Tools sind im Einsatz, offiziell und inoffiziell? 2. **Tool-Entscheidung:** Ein freigegebenes Werkzeug mit AVV, EU-Verarbeitung und zentraler Verwaltung statt zehn geduldeter Einzellösungen. 3. **Regeln und Schulung:** Was darf eingegeben werden, was nicht? Die Schulung erfüllt zugleich die KI-Kompetenz-Pflicht aus Art. 4 AI Act. 4. **Dokumentation:** Verarbeitungsverzeichnis ergänzen, bei sensiblen Anwendungen eine Datenschutz-Folgenabschätzung durchführen. Bei KI-Funktionen in der eigenen Plattform übernimmt arocom die technische Seite: [KI-Integration](https://www.arocom.de/leistungen/ki-integration) mit kontrolliertem Datenfluss, EU-Hosting und sauberer Protokollierung. **KI rechtssicher in eure Plattform bringen?** arocom integriert KI-Funktionen DSGVO-konform in Drupal, mit EU-Hosting und kontrolliertem Datenfluss. Schreibt uns für ein unverbindliches Gespräch. - [KI-Beratung anfragen](https://www.arocom.de/kontakt) ### Ist ChatGPT DSGVO-konform? Die private Version nicht ohne Weiteres, es fehlen AVV und zentrale Kontrolle, und Eingaben können für Training genutzt werden. Die geschäftlichen Tarife und der API-Zugang bieten AVV, Trainingsausschluss und EU-Optionen. Entscheidend ist also der Zugangsweg, nicht das Modell. ### Brauchen wir einen AVV für KI-Tools? Ja, sobald das Tool personenbezogene Daten verarbeitet, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Ohne AVV ist die Nutzung mit Kundendaten, Bewerberdaten oder Mitarbeiterdaten nicht zulässig. ### Was ändert der EU AI Act ab August 2026? Der AI Act wird allgemein anwendbar. Praktisch relevant sind Transparenzpflichten (Chatbots müssen sich als KI zu erkennen geben, KI-Inhalte müssen gekennzeichnet sein) und durchsetzbare Bußgelder. Die KI-Kompetenz-Pflicht aus Art. 4 gilt bereits seit Februar 2025. Die DSGVO gilt unverändert daneben. ### Dürfen Mitarbeitende private KI-Accounts beruflich nutzen? Mit personenbezogenen oder vertraulichen Daten nicht. Es fehlen AVV, Kontrolle und meist der Trainingsausschluss. Der bessere Weg ist ein freigegebenes Unternehmens-Tool mit klaren Eingaberegeln, sonst entsteht Schatten-KI. ### Was ist eine Datenschutz-Folgenabschätzung (DSFA)? Eine strukturierte Risikobewertung nach Art. 35 DSGVO, nötig bei voraussichtlich hohem Risiko für Betroffene. Bei KI-Einsatz mit sensiblen Daten oder automatisierten Entscheidungen ist sie regelmäßig erforderlich. Der AI Act ersetzt sie nicht. ### Reicht EU-Hosting für DSGVO-Konformität? Nein, es ist eine von vier Bedingungen. Dazu kommen AVV, vertraglicher Trainingsausschluss und kontrollierte Zugriffe. Bei US-Anbietern bleibt zudem der CLOUD Act als Restrisiko, das dokumentiert bewertet werden muss. ## Weiterlesen - [Langdock](https://www.arocom.de/wissen/ki/langdock): Multi-Modell-Plattform mit AVV, Grenzen im Detail - [Mistral AI](https://www.arocom.de/wissen/ki/mistral): Der europäische KI-Anbieter - [Claude von Anthropic](https://www.arocom.de/wissen/ki/claude): DSGVO-konforme API-Nutzung - [KI-Anbieter im Vergleich](https://www.arocom.de/wissen/ki/openai): GPT, Claude, Gemini im Detail - [KI-Integration als Leistung](https://www.arocom.de/leistungen/ki-integration): Was arocom konkret anbietet ## Externe Ressourcen - [EU AI Act im Amtsblatt](https://eur-lex.europa.eu/eli/reg/2024/1689/oj): Verordnung (EU) 2024/1689 im Volltext - [AI Act Explorer](https://artificialintelligenceact.eu/): Aufbereiteter Volltext mit Zeitplan - [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/): Orientierungshilfen der Aufsichtsbehörden - [arocon](https://arocon.eu): Beratungsmarke der arocom-Familie