Kundendaten und KI: Datenwege kennen, bevor Sie etwas eingeben
Eine Kundin schreibt eine längere Beschwerde. Die Kollegin will schnell und höflich antworten, kopiert die E-Mail in ein KI-Werkzeug und lässt sich einen Entwurf schreiben. Praktisch ist das. Aber in der E-Mail stehen Name, Adresse und Vertragsdetails. Wohin gehen diese Daten nach dem Klick auf „Senden“?
Ob ein KI-Einsatz datenschutzrechtlich zulässig ist, hängt nicht vom Werkzeug allein ab, sondern davon, welche Daten wofür, wo und auf welcher Vertragsgrundlage verarbeitet werden. Auf dieser Seite erklären wir die Datenwege, die Sie kennen sollten, und sagen offen, was wir prüfen und was Ihr Datenschutzbeauftragter bewertet.
Warum es keine pauschale Antwort gibt
Kein KI-Werkzeug ist von sich aus „datenschutzkonform“. Datenschutz entsteht im konkreten Einsatz.
Dasselbe Werkzeug kann für einen Zweck unproblematisch und für einen anderen ungeeignet sein. Einen allgemeinen Werbetext ohne Personenbezug von einer KI formulieren zu lassen, ist etwas anderes, als Patientendaten in einen Cloud-Dienst zu kopieren. Deshalb schauen wir nicht auf Werbeversprechen, sondern auf fünf Fragen: Welche Daten? Wofür? Wohin? Auf welcher Vertragsgrundlage? Wie lange?
Die DSGVO gilt dabei unverändert. Ein Vorschlag der EU-Kommission zur Änderung der DSGVO (Digital Omnibus) war am 02.10.2026 noch nicht verabschiedet. Auf geplante Änderungen sollten Sie sich deshalb nicht stützen.
Der Weg Ihrer Daten durch ein KI-Werkzeug
-
Eingabe
Was gibt Ihr Team ein? Text, angehängte Dokumente, ganze Postfächer oder Ordner, auf die ein Werkzeug zugreifen darf.
-
Übertragung
Wohin gehen die Daten? Zu einem Anbieter in der EU, in die USA oder bleiben sie in Ihrem Netz?
-
Verarbeitung
Wer verarbeitet die Daten, und auf welcher Vertragsgrundlage?
-
Speicherung
Werden Eingaben und Antworten gespeichert, wie lange und wo?
-
Weiterverwendung
Nutzt der Anbieter die Eingaben für eigene Zwecke, etwa zum Training seiner Modelle?
Erst wenn diese fünf Stationen für ein Werkzeug klar sind, lässt sich bewerten, welche Daten hineingehören.
Personenbezogene Daten: was dazugehört
Personenbezogen sind alle Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen. Schon das Eingeben in ein KI-Werkzeug ist eine Verarbeitung im Sinne der DSGVO.
-
Personenbezogen sind zum Beispiel
- Namen, Adressen, Telefonnummern, E-Mail-Adressen
- Kundennummern, Vertragsdaten, Rechnungen
- eine E-Mail mit Absender, ein Gesprächsprotokoll, eine Notiz zu einem Kunden
-
Besonders sensibel sind zum Beispiel
- Gesundheitsdaten, etwa in Pflege und Praxis (Art. 9 DSGVO)
- Daten über Beschäftigte, etwa Bewerbungen oder Krankmeldungen
- Daten, die einer beruflichen Schweigepflicht unterliegen, etwa in Arztpraxen, Kanzleien und Heilberufen (§ 203 StGB)
Für die letzte Gruppe gelten strengere Regeln. Hier sollten Sie vor jedem KI-Einsatz Ihren Datenschutzbeauftragten einbinden.
Auftragsverarbeitung: der Vertrag hinter dem Werkzeug
Wenn ein externer Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie in der Regel einen Auftragsverarbeitungsvertrag (AV-Vertrag, Art. 28 DSGVO). Darin verpflichtet sich der Anbieter, die Daten nur nach Ihren Weisungen zu verarbeiten und angemessen zu schützen.
Worauf Sie achten sollten:
- Gibt es einen AV-Vertrag, und haben Sie ihn abgeschlossen? Bei kostenlosen Verbraucherversionen vieler KI-Dienste gibt es keinen. Bei geschäftlichen Tarifen ist er häufig vorgesehen, muss aber für Ihr Konto gelten.
- Was sagt der Vertrag zur Nutzung für das Training? Verlassen Sie sich auf das, was im Vertrag steht, nicht auf Werbeaussagen.
- Welche Unterauftragnehmer sind beteiligt? Viele KI-Dienste nutzen ihrerseits Rechenzentren oder Modelle anderer Anbieter.
Ein AV-Vertrag allein macht einen Einsatz nicht automatisch zulässig. Sie brauchen außerdem eine Rechtsgrundlage für die Verarbeitung (Art. 6 DSGVO) und müssen Betroffene informieren.
Drittland: wenn Daten die EU verlassen
Viele große KI-Anbieter sitzen in den USA. Werden personenbezogene Daten außerhalb der EU und des EWR verarbeitet, gelten zusätzliche Anforderungen (Art. 44 ff. DSGVO). Zulässig ist eine Übermittlung nur auf einer anerkannten Grundlage, etwa einem Angemessenheitsbeschluss oder Standardvertragsklauseln.
Für Sie heißt das praktisch:
- Fragen Sie nach, wo die Daten verarbeitet und gespeichert werden. Manche Anbieter bieten eine Verarbeitung in der EU an; das muss vertraglich vereinbart und für Ihr Konto eingestellt sein.
- Prüfen Sie, auf welche Übermittlungsgrundlage sich der Anbieter beruft, und lassen Sie das von Ihrem Datenschutzbeauftragten bewerten.
Lokale Verarbeitung als Option
Eine Möglichkeit, Datenwege kurz zu halten, ist lokale KI: Das KI-Modell läuft auf Hardware in Ihrem Betrieb statt bei einem Cloud-Anbieter. Bei rein lokaler Modellverarbeitung bleiben die übergebenen Inhalte vor Ort.
Lokale KI ist kein Freifahrtschein. Auch dann brauchen Sie eine Rechtsgrundlage, klare Zugriffsrechte, eine Löschregel und Schutz vor unbefugtem Zugriff. Und sobald zusätzliche Dienste ins Spiel kommen, etwa eine Websuche oder ein Cloud-Modell für bestimmte Aufgaben, haben diese eigene Datenwege, die gesondert geprüft werden müssen.
Mit LNIT Vision lässt sich festlegen, welche Arbeitsbereiche nur lokale Modelle nutzen dürfen; das wird serverseitig durchgesetzt. Wo eine Cloud-Nutzung vereinbart ist, kann Vision Inhalte vor der Übergabe schwärzen. Zugriffsrechte auf Unterlagen steuern wir über die Gruppen in Ihrem Verzeichnis.
→ Lokale KI im Unternehmen: wann sich ein eigener KI-Server lohnt · LNIT Vision ansehen
Rechte der betroffenen Personen
Auch wenn KI im Spiel ist, behalten Ihre Kunden, Patienten und Beschäftigten ihre Rechte nach der DSGVO. Planen Sie das von Anfang an mit:
- Information (Art. 13, 14): Betroffene müssen erfahren, dass und wie ihre Daten verarbeitet werden. Prüfen Sie, ob Ihre Datenschutzhinweise den KI-Einsatz abdecken.
- Auskunft, Berichtigung, Löschung (Art. 15 bis 17): Wissen Sie, wo Eingaben und Antworten gespeichert sind, damit Sie Anfragen beantworten können?
- Keine Entscheidung allein durch die Maschine (Art. 22): Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Bedeutung sollten nicht allein automatisiert fallen. Bei uns gilt deshalb: KI bereitet vor, ein Mensch entscheidet.
- Datenschutz-Folgenabschätzung (Art. 35): Bei voraussichtlich hohem Risiko, etwa bei umfangreicher Verarbeitung sensibler Daten, kann sie erforderlich sein. Ob das zutrifft, bewertet Ihr Datenschutzbeauftragter.
Was Sie diese Woche selbst tun können
- Fragen Sie im Team nach, welche KI-Werkzeuge genutzt werden, auch privat angelegte Konten.
- Legen Sie eine Übergangsregel fest
Keine Kundendaten, Gesundheitsdaten, Personaldaten oder Zugangsdaten in nicht freigegebene KI-Werkzeuge.
- Zeigen Sie, wie es ohne Personenbezug geht
Statt „Antwort an Frau Müller aus der Goethestraße wegen der verspäteten Lieferung“ reicht „höfliche Antwort an eine Kundin wegen einer verspäteten Lieferung“.
-
Sammeln Sie die Verträge der KI-Dienste, die Sie geschäftlich nutzen, und schauen Sie, ob ein AV-Vertrag vorliegt.
- Sprechen Sie Ihren Datenschutzbeauftragten an und vereinbaren Sie, welche Werkzeuge er sich zuerst ansieht.
Was wir übernehmen, und was Ihr Datenschutzbeauftragter bewertet
-
Das übernehmen wir als IT-Systemhaus
- die technischen Datenwege Ihrer KI-Werkzeuge prüfen und verständlich darstellen
- Alternativen zeigen, etwa EU-Hosting laut Anbietervertrag oder lokalen Betrieb
- die Auftragsverarbeitungsverträge und Datenschutzunterlagen der Anbieter für Sie zusammenstellen
- technische Schutzmaßnahmen umsetzen: Zugriffsrechte, Anmeldung, Protokollierung, Datensicherung, Einstellungen zum Training und zur Speicherung
- Ihr Team schulen: KI-Kompetenz-Schulung
-
Das bewertet Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung
- Rechtsgrundlage und Zweck der Verarbeitung
- Zulässigkeit von Drittlandübermittlungen
- Notwendigkeit und Ergebnis einer Datenschutz-Folgenabschätzung
- Inhalt Ihrer Datenschutzhinweise
Die rechtliche Bewertung trifft Ihr Unternehmen mit seinem Datenschutzbeauftragten oder seiner Rechtsberatung. Wir liefern die technischen Grundlagen dafür und zeigen, was rechtlich zu klären ist.
Häufige Fragen zu KI und Datenschutz
-
In kostenlose Verbraucherversionen sollten Sie keine personenbezogenen Kundendaten eingeben: Dort fehlt in der Regel ein AV-Vertrag, und Eingaben können je nach Einstellung für das Training genutzt werden. Bei geschäftlichen Tarifen sieht es anders aus, wenn Vertrag, Speicherort und Einstellungen passen. Die Bewertung im Einzelfall trifft Ihr Datenschutzbeauftragter.
-
Das lässt sich nicht pauschal sagen. Copilot arbeitet im Rahmen Ihres Microsoft-365-Vertrags und sieht alles, worauf die jeweilige Person Zugriff hat. Entscheidend sind deshalb auch saubere Berechtigungen in Ihrer Ablage. Wir prüfen Einstellungen und Rechte, die rechtliche Bewertung bleibt bei Ihnen. Mehr dazu: Copilot oder eigene KI?
-
Oft hilft es viel. Aber auch ohne Namen kann eine Person bestimmbar sein, etwa über eine seltene Erkrankung, eine Adresse oder eine Vertragsnummer. Ersetzen Sie solche Angaben durch Platzhalter, und geben Sie nur das ein, was die KI für die Aufgabe wirklich braucht.
-
Nein. Bei rein lokaler Modellverarbeitung bleiben die Inhalte vor Ort, das vereinfacht vieles. Rechtsgrundlage, Zugriffsrechte, Löschung und Information der Betroffenen müssen Sie trotzdem regeln.
-
Gesundheitsdaten sind besonders geschützt (Art. 9 DSGVO), dazu kommen berufliche Schweigepflichten. Bevor solche Daten mit KI verarbeitet werden, sollten Datenwege, Verträge und Rechte besonders genau geprüft und vom Datenschutzbeauftragten bewertet werden. Lokale Verarbeitung ist hier oft eine Option, die sich zu prüfen lohnt.
Quellen
Abgerufen bzw. ausgewertet am 02.10.2026.
- Datenschutzkonferenz (DSK), Orientierungshilfe „Künstliche Intelligenz und Datenschutz“, Version 1.0 (06.05.2024) (externer Link, öffnet in neuem Tab) datenschutzkonferenz-online.de
- DSK, Orientierungshilfe zu technischen und organisatorischen Maßnahmen bei KI-Systemen (Juni 2025), Auswertung Rödl & Partner (externer Link, öffnet in neuem Tab) roedl.com
- eRecht24, „KI & Datenschutz“ (01.04.2025) (externer Link, öffnet in neuem Tab) e-recht24.de
- eRecht24, „Digital Omnibus“ (DSGVO-Teil weiterhin Vorschlag) (externer Link, öffnet in neuem Tab) e-recht24.de
Diese Seite gibt eine allgemeine Information zum Stand vom 02.10.2026. Sie ist keine Rechtsberatung und ersetzt nicht die Prüfung Ihres Einzelfalls durch eine Rechtsanwältin, einen Rechtsanwalt oder Ihren Datenschutzbeauftragten.
Erst die Datenwege, dann das Werkzeug
Nennen Sie uns im kostenlosen Erstgespräch die KI-Werkzeuge, die Ihr Team nutzt oder nutzen möchte. Wir zeigen Ihnen, welche Datenwege dahinterliegen und was Ihr Datenschutzbeauftragter sich ansehen sollte.
- 30 Minuten, kostenlos
- Video oder Telefon
- Ehrliche Einschätzung