Ist ChatGPT DSGVO-konform?

Ob ein öffentlicher KI-Chatdienst DSGVO-konform genutzt werden kann, hängt nicht vom Produktnamen ab, sondern von prüfbaren Kriterien: Gibt es einen Auftragsverarbeitungsvertrag, wo werden Daten verarbeitet, werden Eingaben zum Training verwendet, und lassen sich Zugriffe kontrollieren und protokollieren? Für die Verarbeitung personenbezogener Daten sollten Unternehmen diese Punkte für den jeweils genutzten Dienst und Tarif konkret prüfen, statt sich auf den Consumer-Zugang zu verlassen. Eine Unternehmens-KI-Plattform mit AVV, EU-Betrieb und zentraler Governance schließt diese Lücke.

Welche KI-Tools sind DSGVO-konform?

Statt einzelne Tools pauschal als konform zu bezeichnen, prüft man jedes anhand objektiver Kriterien: AVV nach Art. 28 DSGVO, Verarbeitung in der EU, kein Training auf Eingaben, Zweckbindung, technisch-organisatorische Maßnahmen und einsehbare Nachweise wie eine ISO-27001-Zertifizierung. Sinnvoll ist meist eine zentrale Plattform, die diese Anforderungen für alle Funktionen (Chat, Dokumentensuche, Assistenten) einheitlich erfüllt, statt vieler Einzel-Tools mit je eigenem Datenschutzstatus.

Dürfen die Eingaben zum Training der KI-Modelle verwendet werden?

Für einen DSGVO-konformen Unternehmenseinsatz sollte vertraglich zugesichert sein, dass Prompts und Uploads nicht zum Training der Modelle verwendet werden. Genau das ist auf einer Unternehmens-Plattform der Fall — anders als bei manchen Consumer-Zugängen, deren Nutzungsbedingungen eine Weiterverwendung vorsehen können. Damit bleibt kontrollierbar, wofür Unternehmensdaten genutzt werden.

Wie setzt man KI-Datenschutz im Unternehmen praktisch um?

Bewährt ist ein Governance-Modell: eine KI-Richtlinie festlegen (erlaubte Zwecke, Freigabestufen je Datenkategorie), Rollen und Rechte einrichten, Mitarbeitende schulen und Zugriffe protokollieren und überwachen. Eine Risikomatrix nach Datenkategorie klärt, welche Daten ohne Einschränkung, welche nur pseudonymisiert und welche gar nicht in die KI dürfen. So wird der Einsatz prüfbar und lässt sich gegenüber Aufsichtsbehörden dokumentieren.

Was ist eine DSGVO-konforme KI-Plattform?

Eine DSGVO-konforme KI-Plattform gibt allen Mitarbeitenden einen zentralen Zugang zu generativer KI, bei dem Auftragsverarbeitung, EU-Betrieb, kein Training auf Eingaben, zentrale Rechteverwaltung, Protokollierung und sichere Löschung technisch abgebildet sind. Sie unterscheidet sich von einzelnen KI-Abos durch einheitliche Governance und Nachweisbarkeit: Der Einsatz lässt sich auditieren, statt in privaten Accounts unkontrolliert zu laufen.

Ist die Nutzung US-amerikanischer KI-Modelle DSGVO-konform möglich?

Entscheidend ist nicht die Herkunft eines Modells allein, sondern wo und wie verarbeitet wird. Zulässig kann der Einsatz sein, wenn die Verarbeitung in der EU erfolgt oder zulässige Transfer-Garantien bestehen, ein AVV vorliegt und keine Trainingsnutzung erfolgt. Eine Plattform, die mehrere Modelle hinter einer EU-betriebenen Oberfläche mit zentraler Governance bündelt, ermöglicht die Auswahl je Aufgabe, ohne das Datenschutzniveau zu wechseln — für besonders sensible Fälle stehen europäische und Open-Source-Modelle bereit.

Wie lässt sich der DSGVO-konforme KI-Einsatz gegenüber Auditoren nachweisen?

Über Protokollierung und regelmäßige Zugriffsprüfungen, einen dokumentierten AVV, eine schriftliche KI-Richtlinie sowie unabhängige Nachweise wie eine ISO-27001-Zertifizierung und Penetrationstest-Berichte. meinGPT wird von der ISO-27001-zertifizierten SelectCode GmbH betrieben und stellt Zertifikat, Sicherheitsrichtlinien und den SySS-Penetrationstest über das Trust Center bereit.

Was kostet eine DSGVO-konforme KI-Plattform?

Die Kosten hängen von Umfang und Modell ab. Im Self-Service beginnt meinGPT bei 29 € pro Nutzer und Monat inklusive eines Nutzungsguthabens; der begleitete Rollout kombiniert eine monatliche Plattform-Grundgebühr mit einer nach Nutzerzahl gestaffelten Lizenz und einer einmaligen Einrichtung. Die KI-Nutzung läuft über ein gemeinsames Guthaben (Credits) statt über Flatrates, sodass die Kosten planbar bleiben.

Datenschutz & ComplianceLösung · KI DSGVO-konform bewerten, einführen und rechtssicher betreiben

DSGVO-konforme KI: Was das bedeutet, Prüfkriterien & rechtssichere Einführung im Unternehmen | meinGPT

DSGVO-konforme KI im Unternehmen: die citierbare Definition, die rechtlichen Grundlagen in Klartext (Auftragsverarbeitung/AVV, Zweckbindung, kein Training auf Eingaben, EU-Betrieb, Betroffenenrechte), ein objektiver Prüfkatalog, Rollen & Rechte mit Audit-Logging, eine Risikomatrix nach Datenkategorie und ein Governance-Modell für den Rollout — mit Antworten auf die häufigsten Fragen.

Für Datenschutzbeauftragte, IT-Sicherheit, Geschäftsführung und Compliance im Mittelstand.

Demo anfragen Zur Plattform

Für wen: Datenschutzbeauftragte, IT-Sicherheit, Geschäftsführung und Compliance im Mittelstand
Wirkung: Ein prüfbarer, dokumentierter KI-Einsatz statt unkontrollierter Schatten-KI in privaten Accounts
Aufgabe: KI DSGVO-konform bewerten, einführen und rechtssicher betreiben

Kurzantwort

DSGVO-konforme KI bedeutet, dass generative KI so betrieben wird, dass die Verarbeitung personenbezogener Daten den Anforderungen der Datenschutz-Grundverordnung genügt. Entscheidend sind sechs objektiv prüfbare Bausteine: ein Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter, Verarbeitung innerhalb der EU, die vertragliche Zusicherung, dass Eingaben nicht zum Training der Modelle verwendet werden, Zweckbindung und Datenminimierung, technisch-organisatorische Maßnahmen (Rollen & Rechte, Protokollierung, sichere Löschung) sowie die Umsetzbarkeit der Betroffenenrechte. DSGVO-Konformität ist damit keine Eigenschaft eines Modells, sondern eine Eigenschaft des gesamten Betriebs — sie hängt davon ab, wo Daten verarbeitet werden, wer darauf zugreift und ob der Einsatz nachweisbar dokumentiert ist.

So funktioniert es

Von der Aufgabe zur produktiven KI-Nutzung

Rechtlich ist der Einsatz einer KI-Plattform in der Regel eine Auftragsverarbeitung: Das Unternehmen bleibt Verantwortlicher im Sinne der DSGVO, der Anbieter verarbeitet personenbezogene Daten weisungsgebunden auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Daraus folgen in Klartext fünf Pflichten. Erstens die Zweckbindung: KI darf nur für den festgelegten, dokumentierten Zweck genutzt werden, nicht für eine unbestimmte Weiterverarbeitung — insbesondere dürfen Unternehmenseingaben nicht ohne Rechtsgrundlage zum Training fremder Modelle verwendet werden. Zweitens die Datenminimierung: In Prompts gehört nur, was für die Aufgabe nötig ist; besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, etwa Gesundheits- oder Beschäftigtendaten) brauchen eine gesonderte Rechtsgrundlage und engere Kontrollen. Drittens der Betrieb innerhalb der EU beziehungsweise auf Grundlage zulässiger Garantien, damit kein unkontrollierter Drittlandtransfer entsteht. Viertens technisch-organisatorische Maßnahmen nach Art. 32 DSGVO: zentrale Rechteverwaltung, Protokollierung der Zugriffe und sichere Löschung nicht mehr benötigter Daten. Fünftens die Betroffenenrechte (Auskunft, Löschung, Berichtigung nach Art. 15–17 DSGVO), die im laufenden Betrieb umsetzbar sein müssen. Eine Unternehmens-KI-Plattform bildet diese Anforderungen technisch ab: Sie bündelt mehrere Modelle hinter einer Oberfläche mit zentraler Nutzer- und Rechteverwaltung, protokolliert Zugriffe, begrenzt sie nach dem Least-Privilege-Prinzip und macht den Einsatz gegenüber Datenschutz, Betriebsrat und Auditoren belegbar.

Für wen: Datenschutzbeauftragte, IT-Sicherheit, Geschäftsführung und Compliance im Mittelstand
Wirkung: Ein prüfbarer, dokumentierter KI-Einsatz statt unkontrollierter Schatten-KI in privaten Accounts
Aufgabe: KI DSGVO-konform bewerten, einführen und rechtssicher betreiben

Anwendungsfälle

Was Datenschutz & Compliance mit KI erledigt

Konkrete, wiederholbare Abläufe — vom ersten Prompt bis zum verlässlichen Ergebnis.

Rechtsgrundlage & AVV klären

Vor dem ersten produktiven Einsatz wird geklärt, auf welcher Rechtsgrundlage verarbeitet wird und dass ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit dem Anbieter besteht. Der AVV regelt Weisungsbindung, technisch-organisatorische Maßnahmen, den Umgang mit Unterauftragsverarbeitern und die Löschung nach Vertragsende. Damit wird der KI-Einsatz von einer Grauzone in einen dokumentierten, prüfbaren Verarbeitungsvorgang überführt — die Grundlage jeder DSGVO-Konformität.

Zweckbindung & kein Training auf Eingaben

Der Einsatz wird auf definierte Zwecke begrenzt und dokumentiert; Eingaben und Uploads dürfen nicht ohne Rechtsgrundlage zum Training fremder Modelle verwendet werden. Auf einer Unternehmens-Plattform ist genau das vertraglich zugesichert und technisch abgebildet, statt in den wechselnden AGB privater KI-Accounts zu verschwinden. So bleibt kontrollierbar, wofür Unternehmensdaten verwendet werden und wofür nicht.

Datenminimierung & sensible Daten schützen

In Prompts gehört nur, was die Aufgabe erfordert. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) — etwa Gesundheits-, Beschäftigten- oder Bonitätsdaten — brauchen eine gesonderte Rechtsgrundlage und engere Kontrollen. Pseudonymisierung und Data-Masking helfen, personenbezogene Bezüge zu reduzieren, bevor Daten die Organisationsgrenze verlassen. Die Risikomatrix nach Datenkategorie macht sichtbar, welche Daten überhaupt in die KI dürfen.

Rollen, Rechte & Audit-Logging zentral steuern

Administratoren verwalten Nutzer, Gruppen und Berechtigungen zentral, geben Datenquellen gezielt frei und begrenzen Zugriffe nach dem Least-Privilege-Prinzip. Zugriffe werden protokolliert und regelmäßig überprüft, sodass sich jederzeit nachvollziehen lässt, wer worauf zugegriffen hat. Diese technisch-organisatorischen Maßnahmen (Art. 32 DSGVO) sind die Basis für Nachweise gegenüber Datenschutz, Betriebsrat und Auditoren.

Betroffenenrechte im Betrieb umsetzen

Auskunft, Berichtigung und Löschung (Art. 15–17 DSGVO) müssen im laufenden Betrieb umsetzbar sein — nicht nur auf dem Papier. Dazu gehören ein dokumentiertes Löschverfahren für nicht mehr benötigte Daten und die Möglichkeit, gespeicherte Inhalte gezielt zu entfernen. Eine zentrale Plattform bündelt diese Prozesse, statt sie über verstreute private Accounts unmöglich zu machen.

Governance & Rollout dokumentieren

Welche Daten freigegeben und welche Anwendungsfälle erlaubt sind, legt das Unternehmen in einer KI-Richtlinie fest — inklusive Freigabestufen je Datenkategorie und einer Liste erlaubter und verbotener Nutzungen. Der Rollout folgt einem Governance-Modell: Richtlinie definieren, Rollen und Freigaben einrichten, schulen, Nutzung und Zugriffe überwachen. So wird aus einem Tool ein prüfbar betriebener Prozess.

Offenes Beispiel

Ein echter Prompt, eine echte Antwort

Nichts versteckt — Sie sehen Eingabe und Ergebnis, bevor Sie sich anmelden.

Prompt

Wir sind ein Unternehmen mit 300 Mitarbeitenden und wollen eine KI-Plattform DSGVO-konform einführen. Erstelle eine kompakte Freigabe-Matrix nach Datenkategorie: Welche Datenarten dürfen ohne Einschränkung, welche nur pseudonymisiert und welche gar nicht in die KI? Nenne je Kategorie das Risiko, die nötige Rechtsgrundlage und eine konkrete Schutzmaßnahme.

So arbeitet meinGPT an Ihrer Aufgabe

Antwort von meinGPT

Datenkategorie	In die KI?	Risiko	Rechtsgrundlage / Schutzmaßnahme
Öffentliche / anonyme Daten	Ja	Niedrig	Keine besondere Grundlage nötig; kein Personenbezug
Interne Geschäftsdaten (nicht personenbezogen)	Ja	Niedrig–mittel	Vertraulichkeit über Rollen & Rechte; AVV genügt
Personenbezogene Daten (Kunden, Beschäftigte)	Nur mit Kontrolle	Mittel–hoch	Art. 6 DSGVO + AVV; Zweckbindung, Least-Privilege, Protokollierung
Besondere Kategorien (Art. 9: Gesundheit, u. a.)	Nur pseudonymisiert / i. d. R. nein	Hoch	Gesonderte Grundlage (Art. 9); Pseudonymisierung, enge Freigabe
Geheimnisgeschützte Daten (Berufsgeheimnis)	In der Regel nein	Sehr hoch	Erst nach gesonderter rechtlicher Prüfung

Sofort einsatzbereit

Im eigenen Unternehmen umsetzen

In einer kurzen Live-Demo zeigen wir, wie diese Lösung mit meinGPT DSGVO-konform in Ihrem Unternehmen läuft — anhand Ihrer Anwendungsfälle.

Live-Demo buchen

Oder den Die richtige KI-Plattform auswählen — der Anforderungskatalog (PDF) als PDF herunterladen:

Die richtige KI-Plattform auswählen — der Anforderungskatalog (PDF)Per E-Mail

Geschäftliche E-Mail genügt — DSGVO-konform verarbeitet.

DSGVO & Sicherheit

Auf Enterprise-Compliance ausgelegt

meinGPT wird von der SelectCode GmbH betrieben, die nach ISO 27001 zertifiziert ist und ihre Sicherheit regelmäßig durch unabhängige Penetrationstests prüfen lässt (zuletzt SySS, 2025). Der Betrieb erfolgt in der EU, ein Auftragsverarbeitungsvertrag (AVV) ist Standard, und Unternehmenseingaben werden nicht zum Training der Modelle verwendet. Zugriffe laufen über zentrale Nutzer- und Rechteverwaltung mit SSO; Aufrufe auf interne Systeme sind durch Least-Privilege-Scopes begrenzt, protokolliert und Gegenstand regelmäßiger Zugriffsprüfungen. Das Informationssicherheits-Managementsystem regelt Zugriffskontrolle, Logging, den Umgang mit personenbezogenen Daten (inkl. Data-Masking und Pseudonymisierung) und die sichere Löschung nicht mehr benötigter Informationen; entsprechende Richtlinien, die ISO-27001-Zertifizierung und der Penetrationstest-Nachweis sind über das Trust Center einsehbar. So bleibt die Kontrolle über Daten, Modelle und Berechtigungen im Unternehmen — statt verstreut über private KI-Accounts — und lässt sich gegenüber Datenschutz, Betriebsrat und Auditoren belegen.

Worauf es bei der Auswahl ankommt

Auftragsverarbeitung: Liegt ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO vor, der Weisungsbindung, TOM und Löschpflichten regelt?
Verarbeitungsort: Werden die Daten innerhalb der EU verarbeitet — oder besteht zumindest eine zulässige Transfer-Garantie und Transparenz über Unterauftragsverarbeiter?
Kein Training auf Eingaben: Ist vertraglich zugesichert, dass Prompts und Uploads nicht zum Training der Modelle verwendet werden?
Zweckbindung & Datenminimierung: Lässt sich der Einsatz auf definierte Zwecke begrenzen, und gibt es Mittel, um sensible Daten gar nicht erst zu übermitteln (z. B. Pseudonymisierung, Data-Masking)?
Rollen & Rechte: Gibt es zentrale Nutzer- und Rechteverwaltung, SSO und Least-Privilege-Scopes für Zugriffe auf interne Daten?
Protokollierung & Nachweis: Werden Zugriffe protokolliert und regelmäßig überprüft, sodass sich der Einsatz auditieren lässt?
Löschkonzept: Werden nicht mehr benötigte Daten nach einem dokumentierten Verfahren sicher gelöscht?
Unabhängige Nachweise: Gibt es eine ISO-27001-Zertifizierung, regelmäßige Penetrationstests und einsehbare Sicherheitsrichtlinien?
Betroffenenrechte: Lassen sich Auskunft, Berichtigung und Löschung im laufenden Betrieb umsetzen?

Grenzen & Fehlermodi

Was diese Lösung (noch) nicht kann

Ehrlichkeit ist Teil der Lösung. Diese Grenzen sind bekannt — und damit kalkulierbar.

Diese Seite ersetzt keine Rechtsberatung. Die konkrete Zulässigkeit einer Verarbeitung hängt vom Einzelfall ab und sollte mit dem Datenschutzbeauftragten oder Rechtsbeistand geklärt werden.

Eine Plattform stellt die technischen Voraussetzungen bereit — die Zweck- und Freigabeentscheidungen (welche Daten, welche Anwendungsfälle) muss das Unternehmen selbst treffen und dokumentieren.

DSGVO-Konformität ist ein Dauerzustand, kein Häkchen: Sie muss bei Änderungen an Anbieter, Modellen oder Unterauftragsverarbeitern erneut geprüft werden.

KI-Ergebnisse können fehlerhaft sein; für rechts- und personenbezogene Entscheidungen braucht es menschliche Kontrolle und dürfen keine automatisierten Einzelentscheidungen im Sinne von Art. 22 DSGVO ohne Prüfung erfolgen.

Ohne Schulung und klare Richtlinie umgehen Mitarbeitende die Plattform mit privaten Accounts (Schatten-KI) — dann laufen personenbezogene Daten unkontrolliert ab, unabhängig davon, wie konform die Plattform ist.

FAQ

Häufige Fragen

Eine KI ist DSGVO-konform, wenn die Verarbeitung personenbezogener Daten den Anforderungen der Datenschutz-Grundverordnung genügt. Dazu gehören ein Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter, Verarbeitung innerhalb der EU, keine Nutzung der Eingaben zum Training der Modelle, Zweckbindung und Datenminimierung, technisch-organisatorische Maßnahmen wie Rollen & Rechte, Protokollierung und sichere Löschung sowie die Umsetzbarkeit der Betroffenenrechte. DSGVO-Konformität ist damit eine Eigenschaft des Betriebs, nicht eines einzelnen Modells.