ChatGPT & Co. im Unternehmen: DSGVO-konforme KI-Nutzung

In vielen Betrieben nutzen Mitarbeiter:innen längst ChatGPT, Copilot oder ähnliche Werkzeuge im Arbeitsalltag. Oft mit privaten Zugängen und ohne dass die Geschäftsführung davon weiß. Diese sogenannte "Schatten-KI" ist einer der Hauptgründe, warum das Thema DSGVO-konforme KI-Nutzung 2026 für österreichische und deutsche KMU an Dringlichkeit gewonnen hat. Wer Kundendaten, Vertragsentwürfe oder interne Unterlagen in ein KI-System eingibt, verarbeitet damit möglicherweise personenbezogene Daten, mit allen Pflichten, die die DSGVO dafür vorsieht. Dieser Beitrag ordnet ein, worauf es ankommt.

Warum ChatGPT im Unternehmen ein Datenschutzthema ist

Sobald ein Mitarbeiter Namen, E-Mail-Adressen, Kundendaten oder andere personenbezogene Informationen in ein KI-Tool eingibt, findet eine Verarbeitung personenbezogener Daten statt. Das gilt unabhängig davon, ob es sich um eine bewusste Unternehmensentscheidung oder um die private Nutzung eines dienstlichen Accounts handelt. Problematisch wird es vor allem dann, wenn dabei besondere Kategorien personenbezogener Daten (Gesundheitsdaten, Daten zu Mitarbeitenden, sensible Kundeninformationen) betroffen sind. Oder wenn unklar ist, ob und wie der Anbieter diese Daten für eigene Zwecke weiterverwendet, etwa zum Training seiner Modelle.

Besonders heikel ist dabei die bereits erwähnte Schatten-KI: Mitarbeiter:innen kopieren einen Kundenauftrag, einen Vertragsentwurf oder ein Bewerbungsschreiben in ein kostenloses KI-Tool, um schneller eine Zusammenfassung oder Formulierungshilfe zu bekommen. Meist in guter Absicht und ohne Bewusstsein für die datenschutzrechtliche Tragweite. Aus Unternehmenssicht ist das doppelt riskant: Es fehlt sowohl die vertragliche Grundlage mit dem Anbieter als auch die Kontrolle darüber, welche Daten das Unternehmen überhaupt verlassen haben. Ein Verbot allein löst dieses Problem erfahrungsgemäß nicht. Erst ein freigegebenes, gut nutzbares Werkzeug in Kombination mit klaren Regeln nimmt der Schatten-KI ihre Anziehungskraft.

Auftragsverarbeitung: Was bei den gängigen Anbietern gilt

Für die kommerzielle Nutzung braucht es in der Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Hier unterscheiden sich die Angebote deutlich:

• OpenAI/ChatGPT: Ein Auftragsverarbeitungsvertrag ist in den Business-Tarifen (Team, Enterprise, API) vorgesehen, nicht aber in einfachen Consumer-Abos. OpenAI hat in den vergangenen Jahren zusätzliche Optionen für eine Datenverarbeitung innerhalb der EU eingeführt. Details und aktueller Umfang sollten vor Vertragsabschluss direkt geprüft werden, da sich Angebote laufend weiterentwickeln.
• Microsoft 365 Copilot: Microsoft bewirbt Zusagen zur EU-Datengrenze ("EU Data Boundary"), wonach Kundendaten grundsätzlich innerhalb der EU verarbeitet werden. Berichten zufolge gibt es jedoch Ausnahmen, etwa bei Lastspitzen oder beim Einsatz bestimmter Subunternehmer-Modelle, bei denen eine Verarbeitung außerhalb der EU nicht ausgeschlossen ist. Wer hier auf Nummer sicher gehen will, sollte die aktuellen Vertragsbedingungen und Konfigurationsoptionen genau prüfen, nicht nur das Marketingversprechen.
• Andere Anbieter (Google, Anthropic, europäische Alternativen): Auch hier gilt: Auftragsverarbeitungsvertrag, Serverstandort und Trainingsausschluss sind vor dem produktiven Einsatz zu klären, nicht danach.

Eine Besonderheit vieler großer KI-Anbieter ist, dass sie nicht ausschließlich als klassischer Auftragsverarbeiter auftreten, sondern teils auch eigene Interessen verfolgen (etwa Produktverbesserung). Diese doppelte Rolle macht die rechtliche Einordnung komplexer als bei einem klassischen IT-Dienstleister und erhöht das Risiko, wenn Verträge nicht sorgfältig geprüft werden.

Die Position der Datenschutzbehörden

Die Datenschutzbehörden in Österreich und der EU beobachten den Einsatz von KI-Chatbots aufmerksam. Die österreichische Datenschutzbehörde (DSB) hat wiederholt darauf hingewiesen, dass sensible Informationen nicht unbedacht in KI-Systeme eingegeben werden sollten, und empfiehlt, auf Transparenz bei der Datenverarbeitung zu achten. Etwa durch Werkzeuge, bei denen nachvollziehbar ist, wie mit eingegebenen Daten umgegangen wird. International sorgte insbesondere die italienische Datenschutzbehörde für Aufsehen, die gegen OpenAI ein zweistelliges Millionen-Euro-Bußgeld wegen unzureichender Transparenz bei der Datenverarbeitung verhängte. Auch in Österreich zeigen aufsichtsbehördliche Verfahren gegen automatisierte HR-Anwendungen wie KI-gestütztes Bewerber-Screening, dass fehlende Information der Betroffenen und eine fehlende dokumentierte menschliche Endkontrolle empfindliche Konsequenzen haben können. Solche Entscheidungen zeigen: Aufsichtsbehörden nehmen den Themenbereich ernst, auch wenn viele Detailfragen weiterhin diskutiert werden, etwa zum Training von Modellen mit personenbezogenen Daten.

Die KI-Verordnung (AI Act) ab 2026: Zusätzliche Pflichten

Neben der DSGVO greifen ab 2026 zunehmend Vorgaben der europäischen KI-Verordnung. Für Unternehmen relevant sind unter anderem:

• Schulungspflicht: Mitarbeiter:innen, die KI-Systeme nutzen, sollen über die damit verbundenen Risiken und den sachgerechten Umgang informiert sein.
• Transparenzpflichten: Bei bestimmten Anwendungen, etwa Chatbots im Kundenkontakt, muss erkennbar sein, dass mit einer KI und nicht mit einem Menschen kommuniziert wird.
• Hochrisiko-Anwendungen: Für Anwendungsfälle wie automatisiertes Bewerber-Screening gelten deutlich strengere Anforderungen, inklusive Dokumentation und im Zweifel einer Konformitätsbewertung.

Die genaue Ausgestaltung und der zeitliche Anwendungsbereich einzelner Pflichten sind komplex und werden laufend konkretisiert. Diese Übersicht ersetzt keine Rechtsberatung. Bei konkreten Anwendungsfällen, insbesondere im Personalbereich oder bei sensiblen Daten, empfiehlt sich die Abstimmung mit einem Rechtsbeistand oder einer Datenschutzbeauftragten.

Praktische Checkliste für den Unternehmenseinsatz

Nicht jedes KMU hat eine eigene Datenschutzabteilung. Umso wichtiger ist eine kurze, verständliche Vorgehensweise, die im Alltag tatsächlich befolgt wird, statt in einer Schublade zu verstauben:

• Kläre vor dem Einsatz, ob ein gültiger Auftragsverarbeitungsvertrag mit dem Anbieter besteht.
• Definiere klar, welche Daten in ein KI-Tool eingegeben werden dürfen und welche nicht (z. B. Gesundheitsdaten, sensible Kundendaten, Geschäftsgeheimnisse Dritter).
• Ersetze oder pseudonymisiere personenbezogene Daten, wo es möglich ist, bevor sie an eine Cloud-KI übermittelt werden.
• Schule Mitarbeiter:innen zu Chancen und Risiken, statt die Nutzung stillschweigend zu dulden oder pauschal zu verbieten. Verbote führen erfahrungsgemäß eher zu unkontrollierter Schatten-KI-Nutzung.
• Dokumentiere, welche Tools für welche Zwecke im Einsatz sind. Das erleichtert spätere Nachweispflichten erheblich.
• Sieh bei rechtlich oder finanziell bindenden Aussagen (Angebote, Zusagen, Verträge) immer eine menschliche Prüfung vor.

EU-Hosting und Datensparsamkeit als Architekturfrage

Wer besonders sensible Prozesse automatisieren möchte, kann technische Entscheidungen treffen, die das Risiko von vornherein reduzieren: etwa selbst gehostete Open-Source-Modelle, europäische Anbieter mit garantierter EU-Verarbeitung oder Workflows, die personenbezogene Daten vor der Übermittlung an eine Cloud-KI automatisch schwärzen. Diese Lösungen sind meist aufwendiger in der Einrichtung, bieten aber mehr Kontrolle. Eine Abwägung, die je nach Datenkategorie unterschiedlich ausfallen sollte.

Datenschutzkonforme KI-Nutzung ist kein einmaliges Häkchen, sondern eine laufende Aufgabe, die technisches Verständnis und rechtliche Sorgfalt verbindet. Lindorfer Technologies berät österreichische KMU dabei, KI-Werkzeuge so einzuführen, dass sie produktiv nutzbar und gleichzeitig rechtlich vertretbar bleiben, inklusive Sicherheits-Check vor dem Go-Live. Für eine erste Einschätzung deiner Situation nimm gerne Kontakt auf.