KI im Büro DSGVO-tauglich betreiben: drei Wege im Vergleich

Ob sich KI im Büro DSGVO-tauglich betreiben lässt, entscheiden vor allem der Vertrag mit dem Anbieter und der Ort der Verarbeitung, weniger das einzelne Modell. Drei Wege kommen in Frage: eine Cloud mit Rechenzentrum in der EU, ein deutscher Anbieter oder ein eigener Server. Jeder lässt sich datenschutzgerecht gestalten, keiner ist es von selbst. Eine Garantie gibt dieser Beitrag nicht. Ihren Einzelfall bewerten Ihr Datenschutzbeauftragter oder ein Anwalt.

Gemeint sind Geschäftsangebote mit Vertrag. Verbraucher-Chatdienste kommen für Kunden- oder Projektdaten nicht in Betracht; warum, steht im Beitrag Schatten-KI: wenn Mitarbeitende private Chatdienste nutzen.

Was für jeden Weg gleich gilt

Sobald ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, etwa Namen in Mails, Mieterdaten oder Protokolle mit Teilnehmerlisten, ist er in der Regel Auftragsverarbeiter. Art. 28 Abs. 1 DSGVO erlaubt nur Auftragsverarbeiter, die hinreichende Garantien bieten. Nach Abs. 3 braucht es einen Vertrag (mehr dazu im Beitrag Auftragsverarbeitung bei KI-Diensten). Er muss unter anderem festlegen, dass der Anbieter nur auf Ihre dokumentierte Weisung arbeitet, Vertraulichkeit und Sicherheitsmaßnahmen zusichert, weitere Unterauftragnehmer nur unter Bedingungen einsetzt und die Daten nach Ende der Leistung löscht oder zurückgibt. Die Datenschutzkonferenz (DSK) beschreibt den Fall der Cloud-KI genauso: Zwischen Anbieter und Anwender besteht häufig ein Auftragsverarbeitungsverhältnis, und eine Vereinbarung nach Art. 28 Abs. 3 ist abzuschließen.

Die zweite Frage ist das Training. Die DSK verlangt zu prüfen, ob Ein- und Ausgaben für das Training des Modells verwendet werden, und nennt Anwendungen vorzugswürdig, die das nicht tun. Die dritte Frage ist der Ort: Wo werden die Daten verarbeitet, wo liegen sie, und wohin darf der Anbieter sie übermitteln?

Weg 1: Cloud mit Rechenzentrum in der EU

Als Beispiele für große Anbieter mit EU-Optionen habe ich die Dokumentation von Microsoft (Azure-Modelle) und OpenAI (API-Plattform) gelesen. Beide schreiben dort, dass Ihre Daten standardmäßig nicht zum Training dienen, in den Details unterscheiden sie sich. Maßgeblich ist der Vertrag, den ich nicht geprüft habe.

Microsoft schreibt, dass Eingaben, Ausgaben und Embeddings (aus Ihren Texten berechnete Zahlenreihen für die Suche) anderen Kunden nicht zur Verfügung stehen und nicht ohne Ihre Anweisung zum Training von Basismodellen dienen. Bei der Bereitstellungsart „DataZone“ in einem EU-Mitgliedstaat dürfen Eingaben in jedem EU-Mitgliedstaat verarbeitet werden, gespeicherte Daten bleiben in der gewählten Region. Zur Missbrauchserkennung prüfen Programme Stichproben von Eingaben, bei Bedarf auch Beschäftigte von Microsoft, bei Modellen im EWR Beschäftigte im EWR. Kunden können beantragen, diese Prüfung zu ändern. OpenAI schreibt, Daten der API würden seit dem 1. März 2023 nicht zum Training genutzt, außer bei ausdrücklicher Zustimmung. Missbrauchsprotokolle werden standardmäßig bis zu 30 Tage aufbewahrt. Die Datenresidenz, also die Wahl der Region, lässt sich je Projekt einstellen. Ob Sie dafür berechtigt sind, klärt der Vertrieb von OpenAI, und für Modelle, die ab dem 5. März 2026 erschienen sind, kostet sie 10 Prozent Aufschlag. Außerhalb der USA verlangt OpenAI eine Freigabe für die Missbrauchskontrollen und eine Zusatzvereinbarung zur Aufbewahrung. Systemdaten, also Konto- und Nutzungsdaten ohne Ihre Inhalte, können auch außerhalb der gewählten Region verarbeitet werden.

Das Restrisiko liegt im US-Recht. 18 U.S.C. § 2713 (CLOUD Act) verpflichtet Anbieter elektronischer Kommunikations- und Cloud-Dienste, Inhalte und Kundendaten zu sichern und herauszugeben, soweit diese in ihrem Besitz, Gewahrsam oder ihrer Kontrolle sind, ausdrücklich unabhängig davon, ob sie innerhalb oder außerhalb der USA liegen. Nach dem Wortlaut knüpft die Vorschrift also an den Anbieter an und nicht an den Speicherort. Das ist meine Lesart des Gesetzestextes und keine Rechtsauskunft. Wie weit sie im Einzelfall reicht, etwa bei einer EU-Tochtergesellschaft, klärt ein Anwalt.

Hinzu kommt die Übermittlung in Drittländer. Nach Art. 44 DSGVO ist sie nur zulässig, wenn die Bedingungen des Kapitels eingehalten werden, etwa über einen Angemessenheitsbeschluss nach Art. 45. Für die USA gibt es den Beschluss (EU) 2023/1795 zum Data Privacy Framework. Das Gericht der EU hat die Klage dagegen am 3. September 2025 abgewiesen (T-553/23). Der Kläger hat am 31. Oktober 2025 Rechtsmittel zum Gerichtshof eingelegt (C-703/25 P). Bis zum 13. November 2026 habe ich keine Entscheidung gefunden. Wer auf dieser Grundlage arbeitet, sollte wissen, dass sie noch angefochten ist.

Weg 2: Deutscher Anbieter

Beispielhaft habe ich die öffentlichen Unterlagen von IONOS gelesen. Die Produktseite des AI Model Hub wirbt mit Hosting in Deutschland, damit, dass Daten nicht für Trainingszwecke genutzt werden, und nennt sich „100 % DSGVO-konform“. Das sind Werbeaussagen. Belastbarer sind die Dokumentation und die Vertragsunterlagen.

Die Dokumentation schreibt: Die Verarbeitung findet in Rechenzentren in Deutschland statt. Der Inhalt von Eingaben und Ausgaben wird nicht protokolliert, nicht von Beschäftigten eingesehen und nicht zum Training genutzt. Unterauftragnehmer sind für den Dienst nicht eingesetzt, und der Zugriff auf Betriebsdaten erfolgt nur aus der EU. Die Rechenzentren sind nach ISO 27001 zertifiziert, und der Dienst fällt laut Dokumentation in den Geltungsbereich von BSI C5. Vertraglich gelten das Datenschutzpaket (Version 7.4, Stand 06/2023) und die Nutzungsbedingungen für KI-Dienste. Deren Nr. 2.3 untersagt jede Nutzung der Ein- und Ausgaben für das Training. Eine Verarbeitung zur Verbesserung der Dienste erlaubt sie nur bei Software als Dienst, nicht beim Zugang zu Modellen über eine Schnittstelle, wie ihn der Hub bietet. Ausgenommen sind Funktionen, bei denen Sie eigene oder fremde KI-Modelle anbinden. Dafür sind Sie allein verantwortlich.

Auch hier lohnt der Blick in die Klauseln. Das Datenschutzpaket erlaubt Verarbeitung in Drittstaaten, wenn die Leistung es erfordert, und weitere Auftragsverarbeiter aufgrund einer allgemeinen Genehmigung. Widerspruch ist binnen 14 Tagen und nur aus sachlichem Grund möglich. Der allgemeine Auftragsverarbeitungsvertrag für andere IONOS-Produkte (Version 1.4, Stand 10/2026) erlaubt in Nr. 12.6 zusätzlich, Daten zu anonymisieren und zur Produktverbesserung zu verwenden. Im Datenschutzpaket habe ich diese Klausel nicht gefunden. Verträge desselben Anbieters unterscheiden sich also je Produkt, und die Produktseite ersetzt keinen Vertragstext.

Ein deutscher Anbieter nimmt Ihnen die Vertragsprüfung nicht ab. Lesen Sie die Liste der Unterauftragnehmer und die Ausnahmen für Drittstaaten. Verlangen Sie aktuelle Nachweise zu Zertifizierungen, die Sie für wichtig halten. Im Wortlaut geprüft habe ich nur die genannten IONOS-Unterlagen.

Weg 3: Eigener Server

Die DSK unterscheidet geschlossene und offene Systeme. Bei einem geschlossenen System läuft die Verarbeitung in einer eingegrenzten, technisch abgeschlossenen Umgebung, nur ein enger Kreis hat Zugriff, und die Kontrolle über Ein- und Ausgaben liegt bei den Anwendenden. Solche Systeme nennt die DSK aus datenschutzrechtlicher Sicht vorzugswürdig. Ein eigener KI-Server kann dazu gehören. Dafür tragen Sie die Pflichten selbst: Zugriffsrechte, Sicherheitsupdates, Protokolle, Löschung, Sicherung. Die DSK hat dazu im Juni 2025 eine Orientierungshilfe zu technischen und organisatorischen Maßnahmen bei Entwicklung und Betrieb von KI-Systemen veröffentlicht, im Oktober 2025 eine zu Systemen, die in eigenen Dokumenten suchen (Retrieval Augmented Generation). Deren Inhalt habe ich für diesen Beitrag nicht ausgewertet.

Wie Sie entscheiden

Entscheiden Sie nach Datenklassen, nicht pauschal. Für allgemeine Texte ohne Personenbezug genügen andere Anforderungen als für Mieterakten, Personalunterlagen oder Gesundheitsdaten. Für besonders geschützte Daten nach Art. 9 DSGVO gilt nach Abs. 1 ein grundsätzliches Verarbeitungsverbot mit engen Ausnahmen, wie auch die DSK schreibt. Namen und Anschriften aus einer Eingabe zu streichen, reicht oft nicht, weil sich der Personenbezug aus dem Zusammenhang ergeben kann. Die DSK weist zudem darauf hin, dass bei KI-Anwendungen vielfach ein hohes Risiko vorliegen wird, das eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO auslöst.

Auch bei einem Rechnungsarchiv in der Cloud zählt der Ort: Rechnungen sind nach dem Umsatzsteuergesetz im Inland aufzubewahren, bei elektronischer Ablage mit Online-Zugriff auch im übrigen EU-Gebiet (Näheres im Beitrag E-Rechnung aufbewahren).

Was Sie jetzt tun können

1. Schreiben Sie auf, welche Datenarten in Ihrem Betrieb schon in KI-Werkzeuge gelangen, getrennt nach Daten ohne und mit Personenbezug.
2. Fordern Sie von jedem Anbieter, den Sie erwägen, schriftlich an: Auftragsverarbeitungsvertrag, Unterauftragnehmerliste, Aussage zum Training und zum Verarbeitungsort.
3. Fragen Sie Ihren Datenschutzbeauftragten oder einen Anwalt, ob eine Datenschutz-Folgenabschätzung nötig ist und ob der Weg für Ihre Daten trägt.
4. Legen Sie je Datenklasse fest, welcher Weg erlaubt ist, und halten Sie das in einer kurzen KI-Richtlinie fest.