KI-Tools DSGVO-sicher einführen: AVV, EU-Hosting und klare Regeln

KI-Tools lassen sich im KMU DSGVO-konform einsetzen, wenn vier Dinge stimmen: ein Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter, ein Business-Tarif statt Gratis-Accounts, Klarheit darüber, welche Daten hinein dürfen — und eine kurze, verständliche Regel fürs Team. Wer diese vier Bausteine umsetzt, nutzt ChatGPT, Claude & Co. rechtlich sauber und ohne Bauchweh.

Warum der Gratis-Account das eigentliche Problem ist

Die meisten KMU „führen KI ein”, indem einzelne Mitarbeiter private Gratis-Accounts nutzen. Genau dort entsteht das Datenschutz-Risiko: Bei vielen Gratis-Diensten dürfen Eingaben fürs Training verwendet werden, es gibt keinen AVV, und niemand im Betrieb weiß, welche Daten schon in welchem Tool gelandet sind. Das ist keine böse Absicht der Mitarbeiter — es ist fehlende Struktur. Die gute Nachricht: Die Struktur ist mit überschaubarem Aufwand nachrüstbar.

Baustein 1 — Der AVV mit dem KI-Anbieter

Sobald personenbezogene Daten (Kundennamen, Mail-Adressen, Mitarbeiterdaten) in ein KI-Tool fließen, verarbeitet der Anbieter diese Daten in eurem Auftrag — dafür verlangt die DSGVO einen Auftragsverarbeitungsvertrag. Die großen Anbieter bieten AVVs in ihren Business-Tarifen an (OpenAI, Anthropic, Microsoft, Google), oft zum Selbst-Abschließen im Kundenkonto. Prüft dabei: Wird das Training mit euren Daten ausgeschlossen? Wo wird verarbeitet? Welche Subunternehmer sind gelistet?

Baustein 2 — Business-Tarif und Datenresidenz

Business- und Enterprise-Tarife unterscheiden sich vom Gratis-Account genau an den Stellen, die für die DSGVO zählen: kein Training mit euren Eingaben, Admin-Kontrolle über Accounts, und zunehmend EU-Datenresidenz als Option. EU-Hosting allein macht ein Tool aber noch nicht konform — es ist ein Baustein von mehreren, kein Freifahrtschein. Umgekehrt gilt: US-Anbieter sind nicht automatisch tabu; mit AVV, EU-Standardvertragsklauseln bzw. Data-Privacy-Framework-Zertifizierung und Trainings-Ausschluss ist ein sauberer Einsatz möglich.

Baustein 3 — Welche Daten dürfen rein? Die Drei-Klassen-Regel

Die einfachste Regel, die jedes Team sofort versteht:

• Grün — unkritisch: öffentliche Infos, allgemeine Texte, anonymisierte Beispiele. Darf in jedes freigegebene Tool.
• Gelb — personenbezogen: Kundennamen, Mail-Verläufe, Bewerbungen. Nur in Tools mit AVV und Trainings-Ausschluss — und nur wenn nötig.
• Rot — besonders geschützt: Gesundheitsdaten, Finanzdaten Dritter, Geschäftsgeheimnisse. Bleibt draußen, Punkt.

Diese Ampel auf eine Seite gedruckt neben den Bildschirm wirkt mehr als jede 40-seitige Richtlinie.

Baustein 4 — Eine Seite Richtlinie plus zehn Minuten Schulung

Legt fest: Welche Tools sind freigegeben? Wer schaltet neue Tools frei? Was gilt für die drei Datenklassen? Wohin melde ich Unsicherheiten? Das passt auf eine A4-Seite. Dazu eine kurze Team-Runde, in der die Ampel-Regel durchgespielt wird — fertig ist die KI-Grundordnung. Nicht vergessen: Das freigegebene Tool-Set ins Verzeichnis der Verarbeitungstätigkeiten aufnehmen.

FAQ

Brauchen wir eine Datenschutz-Folgenabschätzung (DSFA)? Für typische Büro-Anwendungen (Texte entwerfen, zusammenfassen, übersetzen) meist nicht. Sobald KI systematisch Personen bewertet (Bewerber-Scoring, Kundenprofile), wird die DSFA relevant — dann vorher prüfen.

Dürfen Mitarbeiter private KI-Accounts beruflich nutzen? Besser nicht. Der Betrieb hat keinen AVV, keine Kontrolle und kein Löschkonzept für diese Accounts. Die Alternative: ein freigegebener Business-Zugang, der genauso bequem ist.

Reicht es, ein „EU-KI-Tool” zu wählen? EU-Hosting ist ein Plus, ersetzt aber weder AVV noch Datendisziplin. Ein EU-Tool ohne AVV ist schlechter als ein US-Tool mit sauberem Vertragswerk und Trainings-Ausschluss.

Was ist mit dem AI Act? Für die typische KMU-Nutzung (Assistenz-Tools) gelten vor allem Transparenz- und Kompetenzpflichten (Art. 4: KI-Kompetenz im Team). Die hier beschriebenen vier Bausteine decken die DSGVO-Seite ab und sind zugleich die halbe Miete für Art. 4.

Nächster Schritt

Ihr wollt KI im Betrieb nutzen, ohne Datenschutz-Blindflug? Wir richten euch das Fundament ein: Tool-Auswahl, AVV-Check, Drei-Klassen-Regel und eine Team-Schulung, die hängen bleibt. AI, Datenschutz und IT-Betrieb aus einer Hand, lokal in Österreich. IT. Weitergedacht.