Darf man personenbezogene Daten in einen KI-Chatbot eingeben?

Nur unter Kontrolle. Personenbezogene Daten dürfen verarbeitet werden, wenn eine Rechtsgrundlage (Art. 6 DSGVO) und ein AVV bestehen, der Zweck festgelegt ist und Datenminimierung greift. Besondere Kategorien (Art. 9 DSGVO, etwa Gesundheitsdaten) brauchen eine gesonderte Grundlage und gehören in der Regel nicht ungefiltert in einen Chatbot. Pseudonymisierung reduziert das Risiko, bevor Daten übertragen werden.

Ist ein öffentlicher KI-Chatbot für Unternehmen geeignet?

Das hängt von prüfbaren Kriterien ab, nicht vom Namen: AVV, Verarbeitungsort, Trainingsnutzung, Zugriffssteuerung und Protokollierung. Consumer-Zugänge erfüllen diese Punkte oft nicht standardmäßig und sind für personenbezogene Unternehmensdaten daher riskant. Ein Unternehmens-Chatbot mit AVV, EU-Betrieb und zentraler Governance schließt diese Lücke, ohne dass Mitarbeitende auf private Accounts ausweichen müssen.

Werden die Chatverläufe zum Training der KI verwendet?

Bei einem DSGVO-konformen Unternehmens-Chatbot ist vertraglich zugesichert, dass Prompts, Uploads und Verläufe nicht zum Training der Modelle verwendet werden. Das unterscheidet ihn von manchen Consumer-Chatbots, deren Nutzungsbedingungen eine Weiterverwendung vorsehen können. Bei meinGPT werden Eingaben nicht zum Training genutzt.

Wie kann man einen KI-Chatbot im Unternehmen bereitstellen?

Üblich ist die Bereitstellung über eine zentrale Plattform mit Single Sign-on, Rollen und Rechten — der Chatbot ist damit für alle Mitarbeitenden verfügbar, ohne dass jede Person einen eigenen Account anlegt. Über Rollen wird gesteuert, wer worauf zugreift; über Connectoren lässt sich der Assistent an erlaubte interne Datenquellen anbinden. So bleibt der Betrieb einheitlich, protokolliert und auditierbar.

Muss der Chatbot-Verlauf löschbar sein?

Ja. Zu den Betroffenenrechten (Art. 17 DSGVO) und zu den technisch-organisatorischen Maßnahmen (Art. 32) gehört, dass nicht mehr benötigte Daten sicher gelöscht werden können. Ein DSGVO-konformer Chatbot bietet dafür ein dokumentiertes Löschverfahren, statt Verläufe unkontrolliert in privaten Accounts aufzubewahren.

Worin unterscheidet sich ein DSGVO-konformer Chatbot von einer KI-Plattform?

Der Chatbot ist die Nutzungsschicht — der einzelne Assistent, mit dem Mitarbeitende chatten. Die Plattform ist der Rahmen darum: Auftragsverarbeitung, EU-Betrieb, zentrale Rollen & Rechte, Protokollierung und Löschung. Ein konformer Chatbot setzt eine konforme Plattform voraus. Die Governance- und Auswahl-Perspektive dazu ist auf der Seite DSGVO-konforme KI beschrieben.

Welche Nachweise belegen einen DSGVO-konformen Chatbot?

Ein AVV, Transparenz über den Datenfluss und Unterauftragsverarbeiter, Protokollierung mit regelmäßigen Zugriffsprüfungen sowie unabhängige Nachweise wie eine ISO-27001-Zertifizierung und Penetrationstest-Berichte. meinGPT wird von der ISO-27001-zertifizierten SelectCode GmbH betrieben; Zertifikat, Sicherheitsrichtlinien und der SySS-Penetrationstest sind über das Trust Center einsehbar.

Welche Deployment-Optionen gibt es für einen DSGVO-konformen Chatbot?

Üblich sind zwei Wege: der Self-Service-Zugang, bei dem ein Team die Plattform direkt startet, und der begleitete Rollout mit dedizierter Einrichtung, zentraler Rechteverwaltung und Schulung. In beiden Fällen läuft der Chatbot als gehostete Plattform in der EU unter AVV. Für besonders sensible Anwendungsfälle lassen sich europäische oder Open-Source-Modelle wählen, ohne die Oberfläche, Governance oder das Datenschutzniveau zu wechseln. Welche Option passt, hängt von Größe, Datensensibilität und dem gewünschten Grad an Begleitung ab.

Kann ein DSGVO-konformer Chatbot auf interne Dokumente zugreifen?

Ja — über Connectoren an freigegebene Datenquellen (Dateiablagen, Wikis, Ticketsysteme). Der Zugriff folgt den vergebenen Berechtigungen nach dem Least-Privilege-Prinzip: Der Chatbot sieht nur, wofür die jeweilige Person freigegeben ist, und die Zugriffe werden protokolliert. So liefert der Assistent mit Quellen belegte Antworten aus dem eigenen Unternehmenswissen, ohne dass unkontrolliert auf alle Daten zugegriffen wird.

Datenschutz & ComplianceLösung · Einen KI-Chatbot DSGVO-konform bewerten und einsetzen

DSGVO-konformer Chatbot: Was das voraussetzt, sichere Nutzung & Prüf-Checkliste | meinGPT

DSGVO-konformer KI-Chatbot im Unternehmen: was einen Chatbot datenschutzkonform macht (Datenfluss, wohin Prompts gehen, Protokollierung, PII-Handling), sichere vs. unsichere Nutzung an konkreten Beispielen, Deployment-Optionen, eine Bewertungs-Checkliste und Antworten auf die häufigsten Fragen — competitor-neutral und kriterien-geführt.

Für Datenschutzbeauftragte, IT und Fachbereiche, die einen KI-Assistenten produktiv nutzen wollen.

Demo anfragen Zur Plattform

Für wen: Datenschutzbeauftragte, IT und Fachbereiche, die einen KI-Assistenten produktiv nutzen wollen
Wirkung: Mitarbeitende chatten mit KI, ohne dass personenbezogene Daten unkontrolliert das Unternehmen verlassen
Aufgabe: Einen KI-Chatbot DSGVO-konform bewerten und einsetzen

Kurzantwort

Ein DSGVO-konformer Chatbot ist ein KI-Assistent, dessen Verarbeitung von Eingaben (Prompts), Uploads und Antworten den Anforderungen der Datenschutz-Grundverordnung entspricht. Konkret heißt das: Es ist klar und dokumentiert, wohin die Eingaben fließen und wer sie verarbeitet (Auftragsverarbeitung nach Art. 28 DSGVO), die Verarbeitung erfolgt in der EU oder unter zulässigen Garantien, Eingaben werden nicht zum Training der Modelle verwendet, Zugriffe sind über Rollen & Rechte begrenzt und protokolliert, und personenbezogene Daten werden minimiert oder pseudonymisiert. Anders als ein öffentlicher Consumer-Chatbot ist ein DSGVO-konformer Chatbot damit kein isolierter Chat, sondern ein kontrollierter, auditierbarer Verarbeitungsvorgang — der Unterschied liegt nicht im Chatfenster, sondern im Datenfluss dahinter.

So funktioniert es

Von der Aufgabe zur produktiven KI-Nutzung

Der entscheidende Punkt bei einem Chatbot ist der Datenfluss: Jede Eingabe verlässt das Gerät der nutzenden Person und wird an ein Sprachmodell übertragen. Bei einem DSGVO-konformen Chatbot ist dieser Weg definiert und abgesichert. Die Eingaben laufen über eine Plattform, die als Auftragsverarbeiter unter einem AVV agiert, die Verarbeitung erfolgt in der EU beziehungsweise unter zulässigen Transfer-Garantien, und die Inhalte werden nicht zum Training der Modelle weiterverwendet. Für das Handling personenbezogener Daten (PII) gilt Datenminimierung: In den Prompt gehört nur, was die Aufgabe erfordert; Pseudonymisierung und Data-Masking reduzieren personenbezogene Bezüge, bevor Daten die Organisationsgrenze verlassen. Wer den Chatbot nutzen darf und auf welche internen Datenquellen er zugreift, steuert eine zentrale Rollen- und Rechteverwaltung nach dem Least-Privilege-Prinzip; Zugriffe werden protokolliert und regelmäßig überprüft. So bleibt nachvollziehbar, welche Person welche Anfrage gestellt und auf welche Daten der Assistent zugegriffen hat. Antworten aus angebundenen Unternehmensquellen sind mit Quellen belegt, statt allgemeiner Internet-Auskünfte — und weil mehrere Modelle hinter derselben Oberfläche liegen, lässt sich je nach Sensibilität ein europäisches oder Open-Source-Modell wählen, ohne das Datenschutzniveau zu wechseln.

Für wen: Datenschutzbeauftragte, IT und Fachbereiche, die einen KI-Assistenten produktiv nutzen wollen
Wirkung: Mitarbeitende chatten mit KI, ohne dass personenbezogene Daten unkontrolliert das Unternehmen verlassen
Aufgabe: Einen KI-Chatbot DSGVO-konform bewerten und einsetzen

Anwendungsfälle

Was Datenschutz & Compliance mit KI erledigt

Konkrete, wiederholbare Abläufe — vom ersten Prompt bis zum verlässlichen Ergebnis.

Den Datenfluss kontrollieren

Bevor Mitarbeitende einen Chatbot nutzen, wird geklärt, wohin die Eingaben fließen: an welchen Anbieter, in welche Region, mit welchen Unterauftragsverarbeitern. Bei einem DSGVO-konformen Chatbot ist dieser Weg über einen AVV geregelt und die Verarbeitung in der EU verortet. Damit wird aus einem intransparenten Consumer-Chat ein definierter, prüfbarer Verarbeitungsvorgang.

Eingaben nicht zum Training freigeben

Ein zentraler Unterschied zu vielen öffentlichen Chatbots: Prompts und Uploads werden nicht zum Training der Modelle verwendet. Auf einer Unternehmens-Plattform ist das vertraglich zugesichert und technisch abgebildet. So bleibt kontrollierbar, dass Unternehmenswissen und personenbezogene Daten nicht in fremde Modelle einfließen.

Personenbezogene Daten minimieren

In den Prompt gehört nur, was die Aufgabe erfordert. Pseudonymisierung und Data-Masking helfen, Namen, Kundennummern oder Gesundheitsangaben zu reduzieren, bevor Daten übertragen werden. Besondere Kategorien nach Art. 9 DSGVO gehören nur nach gesonderter Prüfung in einen Chatbot — die Beispiele weiter unten zeigen, welche Nutzung sicher ist und welche nicht.

Zugriff über Rollen & Rechte steuern

Wer den Chatbot nutzen darf und auf welche internen Datenquellen er zugreift, steuert eine zentrale Rechteverwaltung nach dem Least-Privilege-Prinzip. Jede Person sieht nur, wofür sie freigegeben ist. So greift der Assistent nicht unkontrolliert auf alle Unternehmensdaten zu, sondern nur auf die erlaubten Scopes.

Anfragen protokollieren und auditieren

Anfragen und Zugriffe auf interne Systeme werden protokolliert und regelmäßig überprüft. Damit lässt sich nachvollziehen, welche Person welche Anfrage gestellt und auf welche Daten der Chatbot zugegriffen hat — die Grundlage für Nachweise gegenüber Datenschutz, Betriebsrat und Auditoren.

Sichere von unsicherer Nutzung trennen

Eine kurze KI-Richtlinie legt fest, welche Nutzung erlaubt ist: allgemeine Formulierungshilfe, Zusammenfassungen interner Dokumente über freigegebene Quellen, Recherche — und welche nicht: das ungefragte Einfügen sensibler personenbezogener oder geheimnisgeschützter Daten. Schulung und klare Beispiele verhindern, dass Mitarbeitende auf private Accounts (Schatten-KI) ausweichen.

Offenes Beispiel

Ein echter Prompt, eine echte Antwort

Nichts versteckt — Sie sehen Eingabe und Ergebnis, bevor Sie sich anmelden.

Prompt

Wir wollen unseren Mitarbeitenden einen KI-Chatbot bereitstellen und brauchen eine kurze, verständliche Nutzungsrichtlinie. Erstelle eine Tabelle mit typischen Anfragen und ordne sie ein: sicher, nur pseudonymisiert oder nicht erlaubt. Nenne je Zeile eine kurze Begründung aus Datenschutzsicht.

So arbeitet meinGPT an Ihrer Aufgabe

Antwort von meinGPT

Beispiel-Anfrage	Einordnung	Begründung
Formuliere diese Produktbeschreibung freundlicher	Sicher	Kein Personenbezug, keine sensiblen Daten
Fasse dieses interne Protokoll zusammen (über freigegebene Quelle)	Sicher	Zugriff über Rollen & Rechte, protokolliert
Entwirf eine Antwort an einen namentlich genannten Kunden inkl. seiner Mail	Nur mit Kontrolle	Personenbezug → Datenminimierung, Zweckbindung, kein Training
Analysiere eine Krankmeldung / Diagnose	Nicht ohne Prüfung	Besondere Kategorie (Art. 9 DSGVO) — gesonderte Grundlage nötig
Werte eine komplette Gehaltsliste aus	Nicht erlaubt (ungefiltert)	Sensible Beschäftigtendaten → nur pseudonymisiert & eng freigegeben

Sofort einsatzbereit

Im eigenen Unternehmen umsetzen

In einer kurzen Live-Demo zeigen wir, wie diese Lösung mit meinGPT DSGVO-konform in Ihrem Unternehmen läuft — anhand Ihrer Anwendungsfälle.

Live-Demo buchen

Oder den Die richtige KI-Plattform auswählen — der Anforderungskatalog (PDF) als PDF herunterladen:

Die richtige KI-Plattform auswählen — der Anforderungskatalog (PDF)By email

Geschäftliche E-Mail genügt — DSGVO-konform verarbeitet.

DSGVO & Sicherheit

Auf Enterprise-Compliance ausgelegt

meinGPT wird von der SelectCode GmbH betrieben, die nach ISO 27001 zertifiziert ist und ihre Sicherheit regelmäßig durch unabhängige Penetrationstests prüfen lässt (zuletzt SySS, 2025). Der Chatbot läuft in der EU, ein Auftragsverarbeitungsvertrag (AVV) ist Standard, und Eingaben werden nicht zum Training der Modelle verwendet. Wer den Assistenten nutzen darf und auf welche internen Datenquellen er zugreift, steuert eine zentrale Nutzer- und Rechteverwaltung mit SSO; Zugriffe sind durch Least-Privilege-Scopes begrenzt, protokolliert und Gegenstand regelmäßiger Prüfungen. Für den Umgang mit personenbezogenen Daten stehen Pseudonymisierung und Data-Masking bereit, und nicht mehr benötigte Inhalte werden nach einem dokumentierten Verfahren sicher gelöscht. Zertifikat, Sicherheitsrichtlinien und der Penetrationstest-Nachweis sind über das Trust Center einsehbar — so lässt sich die konforme Nutzung gegenüber Datenschutz, Betriebsrat und Auditoren belegen.

Worauf es bei der Auswahl ankommt

Datenfluss transparent: Ist dokumentiert, wohin Eingaben übertragen und von wem sie verarbeitet werden (Anbieter, Unterauftragsverarbeiter)?
Auftragsverarbeitung: Liegt ein AVV nach Art. 28 DSGVO vor, und erfolgt die Verarbeitung in der EU bzw. unter zulässigen Garantien?
Kein Training auf Eingaben: Ist zugesichert, dass Prompts und Uploads nicht zum Training der Modelle verwendet werden?
PII-Handling: Gibt es Datenminimierung, Pseudonymisierung oder Data-Masking, um personenbezogene Daten zu schützen?
Zugriff & Rollen: Wird gesteuert, wer den Chatbot nutzen darf und auf welche internen Datenquellen er nach Least-Privilege zugreift?
Protokollierung: Werden Anfragen und Zugriffe protokolliert und regelmäßig überprüft, sodass sich die Nutzung auditieren lässt?
Löschung & Aufbewahrung: Lässt sich der Chat-Verlauf nach einem dokumentierten Verfahren sicher löschen?
Unabhängige Nachweise: Gibt es eine ISO-27001-Zertifizierung und Penetrationstests des Betreibers?

Grenzen & Fehlermodi

Was diese Lösung (noch) nicht kann

Ehrlichkeit ist Teil der Lösung. Diese Grenzen sind bekannt — und damit kalkulierbar.

Diese Seite ersetzt keine Rechtsberatung; ob eine konkrete Chatbot-Nutzung zulässig ist, hängt vom Einzelfall ab und sollte mit dem Datenschutzbeauftragten geklärt werden.

Ein konformer Chatbot verhindert nicht automatisch, dass Mitarbeitende zu viel eingeben — Datenminimierung braucht Schulung und eine klare Richtlinie, nicht nur Technik.

Chatbot-Antworten können falsch oder erfunden sein (Halluzinationen); für verbindliche Auskünfte braucht es Quellenbindung und menschliche Kontrolle.

DSGVO-Konformität muss bei Wechseln von Anbieter, Modell oder Unterauftragsverarbeitern erneut geprüft werden — sie ist kein einmaliger Status.

Automatisierte Einzelentscheidungen mit rechtlicher Wirkung (Art. 22 DSGVO) dürfen nicht ungeprüft aus einem Chatbot übernommen werden.

FAQ

Häufige Fragen

Ein Chatbot ist DSGVO-konform, wenn die Verarbeitung der Eingaben den Anforderungen der DSGVO entspricht: dokumentierter Datenfluss und Auftragsverarbeitung (AVV, Art. 28), Verarbeitung in der EU bzw. unter zulässigen Garantien, keine Nutzung der Eingaben zum Training, Datenminimierung und PII-Schutz sowie Zugriffssteuerung über Rollen & Rechte mit Protokollierung. Entscheidend ist der Datenfluss hinter dem Chatfenster, nicht das Chatfenster selbst.