KI & Datenschutz: kein Widerspruch.
DSGVO-konforme KI ist kein Marketing-Versprechen, sondern eine Frage der Architektur. Wir erklären, was das konkret bedeutet.
Ist ChatGPT DSGVO-konform?
In der öffentlichen Standardversion nicht ohne Weiteres. Ihre Eingaben werden an Server außerhalb der EU übertragen, und Sie haben keine Kontrolle darüber, was dort damit geschieht. Für allgemeine Fragen mag das genügen – sobald aber Kundendaten, Verträge oder Patientendaten im Spiel sind, verlassen personenbezogene Daten Ihr Unternehmen.
Das Problem lässt sich nicht durch eine Einstellung lösen, sondern nur durch die Architektur: Läuft das Sprachmodell auf Ihrer eigenen Hardware, verlässt keine Eingabe das Haus – und die Frage nach der DSGVO-Konformität stellt sich gar nicht erst. Wie das aussieht, steht unter KI selbst hosten.
Warum der Serverstandort nicht reicht: drei Regeln
Die Frage „Darf ich das?“ entscheidet sich an drei Stellen. Wir sind keine Kanzlei und ersetzen keine Rechtsberatung – aber diese Regeln sollten Sie kennen, bevor Sie einen KI-Dienst auswählen.
Art. 44 ff. DSGVO: Übermittlung in Drittländer
Personenbezogene Daten dürfen die EU nur verlassen, wenn eine der Bedingungen aus Kapitel V erfüllt ist: ein Angemessenheitsbeschluss der EU-Kommission (Art. 45), geeignete Garantien wie Standardvertragsklauseln (Art. 46) oder eine eng gefasste Ausnahme (Art. 49). Jede Eingabe in einen US-Dienst ist eine solche Übermittlung.
Schrems II: Verträge allein genügen nicht
Am 16.07.2020 hat der Europäische Gerichtshof das damalige Privacy Shield gekippt (Rechtssache C-311/18). Standardvertragsklauseln bleiben erlaubt, aber Sie müssen prüfen, ob das Recht im Zielland sie aushebelt. Seit dem 10.07.2023 gilt ein neuer Angemessenheitsbeschluss, das EU-US Data Privacy Framework. Er stützt sich wieder auf Zusagen der US-Regierung – wie sein Vorgänger.
CLOUD Act: Zugriff unabhängig vom Standort
Der US-amerikanische CLOUD Act von 2018 verpflichtet US-Anbieter, Daten auf behördliche Anordnung herauszugeben – auch wenn sie auf Servern in Europa liegen (18 U.S.C. § 2713). Maßgeblich ist, welchem Recht das Unternehmen unterliegt, nicht wo das Rechenzentrum steht. Ein Frankfurter Rechenzentrum eines US-Konzerns löst das Problem deshalb nicht.
Eine KI auf Ihrer eigenen Hardware umgeht alle drei Fragen, weil gar keine Übermittlung stattfindet. Wie sich das gegen ChatGPT rechnet, steht unter ChatGPT oder eigene KI?.
Quellen
- Verordnung (EU) 2016/679 (DSGVO), Kapitel V, Art. 44–50
- EuGH, Urteil vom 16.07.2020, C-311/18 (Data Protection Commissioner / Facebook Ireland und Schrems)
- Durchführungsbeschluss (EU) 2023/1795 zum EU-US Data Privacy Framework
- 18 U.S. Code § 2713 (CLOUD Act) – Required preservation and disclosure of communications and records
DSGVO-Konformität durch Architektur
DSGVO-Konformität entsteht nicht durch Datenschutzversprechen, sondern durch technische Maßnahmen: Daten verlassen die vereinbarte Infrastruktur nicht, Zugriffe sind protokolliert und der gesamte Stack liegt unter Ihrer Kontrolle.
- Betrieb ausschließlich auf deutschen oder EU-Servern
- Kein Transfer in Drittstaaten (USA, etc.)
- Auftragsdatenverarbeitungsvertrag (AVV) möglich
- Nachvollziehbare Datenflüsse und Zugriffsrechte
- Löschkonzept für Embeddings und Logs
On-Premise & Air-Gapped
Für maximale Sicherheit kann die gesamte KI-Infrastruktur ohne Internetverbindung betrieben werden (Air-Gapped). Ein Datenabfluss ist dann technisch ausgeschlossen.
Das ist besonders relevant für Kanzleien, Praxen, Verbände und Unternehmen mit besonders schützenswerten Daten.
Zugriffskontrolle & Auditierbarkeit
Nicht jeder Mitarbeiter soll auf alle Daten zugreifen können – das gilt auch für KI-Systeme.
Rollen & Rechte
Wer darf welche Wissensbasis abfragen? Zugriffskontrolle auf Ebene der Datenquellen und der KI-Oberfläche.
Auditierbarkeit
Anfragen, Antworten und genutzte Quellen werden protokolliert. Nachvollziehbar, wer was gefragt hat.
Daten bleiben intern
Das Modell lernt nicht von Nutzeranfragen. Eingaben werden nicht für Training genutzt – die Wissensbasis bleibt statisch und kontrolliert.
Und wer setzt das um? Bestandsaufnahme, Rechtsgrundlage je Anwendungsfall, Folgenabschätzung und die Unterlagen für den Betriebsrat übernehmen wir gemeinsam mit der Technik – beschrieben unter DSGVO-konforme KI einführen.
Fragen zu Datenschutz und DSGVO
Ist ChatGPT DSGVO-konform?
In der öffentlichen Standardversion nicht ohne Weiteres: Ihre Eingaben werden an Server außerhalb der EU übertragen, und Sie haben keine Kontrolle darüber, was damit geschieht. Für allgemeine Fragen mag das genügen — sobald aber Kundendaten, Verträge oder Patientendaten im Spiel sind, verlassen personenbezogene Daten Ihr Unternehmen. Wer das ausschließen muss, betreibt die KI im eigenen Haus.
- Warum eine eigene KI?
- ChatGPT oder eigene KI?
- KI selbst hosten
- Lokale KI: Hardware und Grenzen
- KI-Benchmark: eigene Messwerte
- Eigene Daten in die KI bringen
- Die eingesetzten Technologien
- KI-Modelle im Vergleich
- KI-Server & Preise
- KI-Portal: Tarife und Preise
- Wie eine eigene KI aufgebaut ist
- Betriebsmodelle im Vergleich
- Anwendungsfälle
- Häufige Fragen zur eigenen KI
- Demo: So arbeitet ein Firmen-Chatbot
- Wie man anfängt
Datenschutz als Ausgangspunkt, nicht als Nachgedanke.
Sprechen Sie mit uns über Ihre konkreten Anforderungen.
Direkter Kontakt – ohne Umwege. Wir melden uns innerhalb eines Werktages.