KI-Tools wie ChatGPT, Google Gemini und Claude sind längst kein Nischen-Spielzeug mehr. Viele Geschäftsführer im Raum Stuttgart und Waiblingen nutzen sie täglich – für E-Mails, Angebote, Protokolle, Recherchen. Praktisch, schnell, günstig. Soweit so gut.
Aber spätestens wenn du anfängst, Kundennamen, Adressen, Vertragsdetails oder Mitarbeiterdaten in das Chatfenster einzutippen, bewegst du dich in einer rechtlichen Grauzone – oder bereits drüber hinaus. Und das passiert schneller, als die meisten ahnen.
Die häufigste Frage, die Christian Markus von pirenjo.IT im Erstgespräch hört: „Darf ich ChatGPT eigentlich für Kundendaten nutzen?“ Die kurze Antwort: Nein – zumindest nicht ohne Vorbereitung. Aber es gibt einen sauberen Weg.
Was passiert mit deinen Daten?
Wenn du eine Anfrage an ChatGPT (OpenAI), Gemini (Google) oder Claude (Anthropic) schickst, verlässt diese Anfrage deinen Rechner und landet auf Servern – in der Regel in den USA. Das ist der erste kritische Punkt, wenn es um ChatGPT Datenschutz im Unternehmen geht.
OpenAI / ChatGPT: Ohne aktives Opt-out werden Konversationen standardmäßig gespeichert und können für das Training zukünftiger Modelle verwendet werden. Das gilt für alle kostenlosen und Consumer-Tarife. Erst im Enterprise-Tarif – ChatGPT Enterprise – wird das Training auf Basis deiner Daten vertraglich ausgeschlossen.
Google Gemini: In der kostenlosen Version und in Workspace-Basistarifen werden Daten gespeichert und können durch menschliche Reviewer eingesehen werden. Wer Google Workspace mit entsprechenden Datenschutz-Add-ons nutzt, bekommt mehr Kontrolle – aber nicht automatisch und nicht ohne aktive Konfiguration.
Anthropic Claude: Claude positioniert sich explizit als datenschutzfreundlichere Alternative. Anthropic speichert Konversationen in kostenlosen Tarifen zwar ebenfalls, bietet aber über die API und den Claude for Enterprise-Tarif klarere Regelungen: kein Training auf Kundendaten, kürzere Datenspeicherfristen, Data Processing Agreements (DPA) verfügbar. Gerade für Unternehmen, die mit sensibleren Inhalten arbeiten – etwa Architekturbüros mit Planungsdaten oder Kanzleien mit Mandanteninformationen – ist Claude häufig die besser kontrollierbare Wahl – das zeigen unsere Beratungsgespräche im Rems-Murr-Kreis regelmäßig. Für Microsoft-365-Nutzer gilt die gleiche Logik übrigens für Microsoft Copilot – dem wir einen eigenen Leitfaden gewidmet haben.
Die DSGVO-Risiken im Überblick
Wer KI-Tools ohne die richtige Grundlage einsetzt, riskiert empfindliche Bußgelder: Art. 83 DSGVO sieht bei schwerwiegenden Verstößen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor – je nachdem, was höher ist. Für ein KMU mit 2 Millionen Euro Umsatz sind das bis zu 80.000 Euro. Hinzu kommen Reputationsschäden, die schwerer zu beziffern, aber oft teurer sind.
Drittland-Transfer ohne Rechtsgrundlage
Ein Drittland-Transfer im Sinne der DSGVO liegt vor, wenn personenbezogene Daten in ein Land außerhalb der EU übermittelt werden, für das kein vergleichbares Datenschutzniveau nachgewiesen ist. Server in den USA bedeuten nach DSGVO-Logik genau das: Seit dem Schrems-II-Urteil des EuGH (2020) ist dieser Transfer nur unter strengen Bedingungen erlaubt – konkret über sogenannte Standardvertragsklauseln (SCCs) und ein sorgfältig dokumentiertes Transfer Impact Assessment (TIA). Das klingt bürokratisch, weil es bürokratisch ist – und die meisten KMU ohne eigenen Datenschutzbeauftragten haben dieses Assessment nie gemacht.
Daten als Trainingsmaterial
Wenn deine Kundendaten – auch nur eine E-Mail-Adresse oder ein Firmenname in einem Prompt – in Trainingsläufe einfließen, verlierst du die Kontrolle über diese Daten dauerhaft. Eine nachträgliche Löschung ist technisch nahezu unmöglich. Das ist nicht nur ein theoretisches Problem: Die deutschen Datenschutzbehörden haben KI-Anbieter bereits im Visier, und erste Verfahren laufen.
Fehlende Auftragsverarbeitungsverträge
Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist die vertragliche Grundlage dafür, dass ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeiten darf. Den musst du aktiv abschließen – und dokumentieren. Wer ChatGPT im Consumer-Modus nutzt, hat keinen AVV. Punkt.
Relevanz für NIS2
Falls du in Branchen tätig bist, die unter die NIS2-Richtlinie fallen – Logistik, Gesundheit, kommunale Infrastruktur, IT-Dienstleister – verschärft sich das Thema nochmals. Der unsichere Einsatz von KI-Tools kann als Versäumnis beim technischen Risikomanagement gewertet werden und direkte Konsequenzen für die Compliance-Bewertung deines Unternehmens haben.
Ein Beispiel aus der Praxis – Raum Stuttgart
Ein Ingenieurbüro aus dem Rems-Murr-Kreis hat ChatGPT eingeführt, um Angebotsentwürfe zu beschleunigen. Gut gemeint – aber in der Praxis tippten die Mitarbeitenden Projektnamen, Auftraggeber und Budgetrahmen direkt in den Prompt, weil das eben am schnellsten geht.
Das Ergebnis: personenbezogene Daten und Geschäftsgeheimnisse wurden an US-Server übertragen, ohne AVV, ohne Rechtsgrundlage, ohne dass die Geschäftsführung das überhaupt wusste. Das Büro war nicht fahrlässig – es hatte schlicht keine klaren Regeln und keine technische Absicherung. Genau das ist das häufigste Muster, das wir bei pirenjo.IT im Erstgespräch vorfinden.
„ChatGPT Datenschutz im Unternehmen ist kein IT-Problem – das ist ein Führungsproblem. Wer keine klaren Regeln vorgibt, bekommt Wildwuchs.“
Christian Markus, pirenjo.IT
Du erkennst dein Unternehmen in diesem Muster? Dann ist ein konkretes Gespräch der sinnvollste nächste Schritt – kein Vortrag, kein Verkaufsgespräch, sondern ein ehrlicher Blick auf eure aktuelle Situation. Jetzt unverbindlich anfragen.
Was du tatsächlich tun darfst – und wie
Der saubere KI-Einsatz im Unternehmen ist möglich. Er braucht aber einen Rahmen, der technische Konfiguration, vertragliche Absicherung und klare interne Regeln verbindet.
Keine personenbezogenen Daten in Consumer-Tools
Die einfachste Grundregel lautet: Alles, was einen Namen, eine Adresse, eine Vertragsnummer oder irgendwas trägt, das auf eine natürliche Person schließen lässt, kommt nicht in den kostenlosen Chatbot. Pseudonymisiere, wenn möglich – ersetze echte Namen durch Platzhalter, bevor du einen Prompt formulierst.
Enterprise-Tarife mit AVV nutzen
ChatGPT Enterprise / OpenAI API schließt Training auf Kundendaten vertraglich aus, bietet einen AVV und erlaubt es, den Serverstandort zu konfigurieren. Google Workspace mit Gemini for Workspace (Business/Enterprise) bietet ebenfalls eine DSGVO-konforme AVV-Grundlage – aber nur, wenn das richtig eingerichtet ist. Wer diese Konfiguration nicht aktiv vorgenommen hat, ist nicht geschützt – unabhängig davon, welchen Tarif er bezahlt.
Lokale Modelle als Alternative prüfen
Für Unternehmen mit erhöhtem Schutzbedarf – etwa im Gesundheitsbereich, in der Rechtsberatung oder bei Behörden – gibt es eine Alternative: lokal betriebene Sprachmodelle wie Ollama mit Open-Source-Modellen (LLaMA, Mistral). Diese laufen auf eigener Hardware oder in einer privaten Cloud-Umgebung und übertragen keine Daten an externe Server. Der Aufwand für Einrichtung und Betrieb ist höher, aber für bestimmte Anwendungsfälle ist das die einzig vertretbare Lösung – eine Einschätzung aus unseren Projekten im Rems-Murr-Kreis.
Interne KI-Richtlinie einführen
Eine interne KI-Nutzungsrichtlinie ist kein Luxus, sondern Grundlage. Sie regelt, welche Tools erlaubt sind, welche Datenklassen niemals in Prompts dürfen und wer bei Unklarheiten entscheidet. Ohne diese Richtlinie bist du als Geschäftsführer im Zweifelsfall persönlich haftbar – denn Unwissenheit schützt vor DSGVO-Bußgeldern nicht. In Unternehmen ab 20 Mitarbeitenden mit regelmäßiger Datenverarbeitung ist außerdem ein Datenschutzbeauftragter (DSB) gesetzlich Pflicht – er sollte die KI-Richtlinie formell abnehmen und bei der Auswahl der Tools eingebunden sein.
Welches Tool für welchen Zweck?
Nicht jedes KI-Tool passt zu jedem Anwendungsfall – und das hat weniger mit Features zu tun als mit dem Datenschutzrahmen, den das jeweilige Tool mitbringt. Die folgende Einordnung basiert auf dem Stand der verfügbaren Unternehmens-Tarife und Vertragsbedingungen.
Für allgemeine Textentwürfe ohne Personenbezug reichen günstige Consumer-Tarife – solange du konsequent pseudonymisierst. Für Aufgaben mit Kundenbezug brauchst du zwingend einen Enterprise-Tarif mit AVV. Für hochsensible Daten – Gesundheitsdaten, Mandantenakten, sicherheitskritische Infrastruktur – sind lokale Modelle die einzige wirklich saubere Option. Diese Differenzierung ist es, die in vielen Unternehmen fehlt: nicht das Bewusstsein für das Problem, sondern die Übersetzung in klare, alltagstaugliche Regeln.
Wenn du wissen willst, wie pirenjo.IT das konkret umsetzt, schau dir unseren Ansatz bei der IT-Sicherheit für KMU an – dort findest du auch, wie wir Datenschutz und sichere Infrastruktur zusammendenken. Und wenn du lieber direkt sprechen willst: Nimm Kontakt auf – ein erstes Gespräch kostet dich nichts außer 30 Minuten.
Häufige Fragen
In der kostenlosen Version oder im Consumer-Tarif: nein. Ohne Auftragsverarbeitungsvertrag (AVV) und ohne vertraglichen Ausschluss des Modelltrainings fehlt die rechtliche Grundlage nach DSGVO. Mit einem Enterprise-Tarif und sauber konfiguriertem AVV ist es möglich – aber nur, wenn du diese Einrichtung auch aktiv vorgenommen und dokumentiert hast.
ChatGPT Enterprise schließt vertraglich aus, dass deine Eingaben für das Training von KI-Modellen genutzt werden – im Standard-Tarif ist das nicht der Fall. Außerdem gibt es im Enterprise-Tarif einen AVV nach Art. 28 DSGVO, der im Consumer-Modus schlicht nicht existiert. Das ist der entscheidende Unterschied für den rechtskonformen Einsatz im Unternehmen.
In der Tendenz ja – Anthropic bietet klarere Vertragsbedingungen für den Unternehmenseinsatz und kommuniziert Datenspeicherfristen transparenter. Das macht Claude jedoch nicht automatisch DSGVO-konform: Auch hier brauchst du einen Enterprise-Tarif mit DPA, und auch hier verlassen deine Daten die EU. Die Frage ist nicht, welches Tool „sicherer“ klingt, sondern welches du nachweisbar DSGVO-konform konfiguriert hast.
Eine interne KI-Richtlinie legt fest, welche Tools im Unternehmen erlaubt sind, welche Daten niemals in Prompts eingegeben werden dürfen und wie mit Unsicherheiten umzugehen ist. Ohne diese Richtlinie haftest du als Geschäftsführer persönlich, wenn Mitarbeitende unwissentlich DSGVO-Verstöße begehen. Sie muss nicht lang sein – aber sie muss existieren und kommuniziert werden.
Ja. Wir unterstützen KMU im Raum Stuttgart und Waiblingen dabei, KI-Tools so einzuführen, dass Technik, Verträge und interne Regeln zusammenpassen. Das fängt mit einem Erstgespräch an, in dem wir deinen aktuellen Stand bewerten – ohne Beratungssprech, ohne Pauschalangebote. Meld dich einfach.
