Darf mein Betrieb ChatGPT & Co. nutzen? DSGVO einfach erklärt

Die Kurzantwort

Ja, die meisten Betriebe dürfen Cloud-KI wie ChatGPT, Claude oder Gemini geschäftlich nutzen – aber nicht für alle Daten und nicht ohne Hausaufgaben. Entscheidend ist, welche Daten Sie der KI geben und ob Ihr Betrieb einem Berufsgeheimnis unterliegt.

Drei Datenkategorien, drei völlig verschiedene Regeln

Die DSGVO unterscheidet grob drei Stufen – und daran hängt alles:

• Gewöhnliche personenbezogene Daten (Art. 6 DSGVO): Namen, Adressen, Anfragen, Rechnungsdaten. Cloud-KI ist zulässig, wenn die Pflichten (siehe unten) erfüllt sind. Das betrifft die meisten Gewerke: Installateure, Tischler, Gastronomen, Händler.
• Besondere Kategorien (Art. 9 DSGVO): Gesundheitsdaten, politische/religiöse Überzeugungen, biometrische Daten. Hier ist Cloud-Verarbeitung nur in engen Ausnahmen möglich – praktisch: Finger weg.
• Berufsgeheimnisse: Ärztliche Schweigepflicht (§ 54 ÄrzteG), anwaltliche Verschwiegenheit (§ 9 RAO), psychologische/psychotherapeutische Verschwiegenheit. Diese verbieten die Weitergabe an fremde Cloud-Dienste unabhängig von jedem Vertrag – für Ordinationen, Kanzleien und Praxen ist Cloud-KI mit Patienten- oder Mandantendaten tabu.

Die Pflichten, wenn Cloud-KI erlaubt ist

Auch im erlaubten Bereich gibt es vier Hausaufgaben: Erstens ein Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) mit dem KI-Anbieter – bei Business-Tarifen von OpenAI oder Anthropic verfügbar, aber Sie müssen ihn aktiv abschließen. Zweitens Transparenz: Ihre Datenschutzerklärung muss die KI-Verarbeitung nennen (Art. 13). Drittens Datenminimierung: Nur die Daten hineingeben, die für die Aufgabe nötig sind. Viertens der USA-Transfer: Er stützt sich derzeit auf das EU-US Data Privacy Framework – das rechtlich unter Druck steht (Stichwort „Schrems III", eine EuGH-Entscheidung wird für Ende 2026/Anfang 2027 erwartet). Zusätzliche Standardvertragsklauseln sind daher die robustere Absicherung.

Wichtig zu wissen: Der Standort Ihres eigenen Servers oder Hosters ändert daran nichts. Entscheidend ist, wo die eigentliche KI-Verarbeitung stattfindet.

Die Alternative: KI, die das Haus nicht verlässt

Für Berufsgeheimnisträger – und für alle, die grundsätzlich keine Geschäftsdaten an US-Anbieter geben wollen – gibt es einen sauberen Ausweg: ein lokales Sprachmodell auf eigener Hardware im Betrieb. Die Daten verlassen das Haus physisch nicht, es gibt keinen Drittanbieter, keinen USA-Transfer und keine Abhängigkeit von der weiteren Entwicklung des Data Privacy Framework. Genau das ist die Idee hinter unserem Produkt THE VAULT.

Praxis-Checkliste

Bevor Ihr Betrieb Cloud-KI einsetzt:

• Klären: Unterliegt mein Betrieb einem Berufsgeheimnis? Wenn ja → nur lokale Verarbeitung.
• AVV mit dem KI-Anbieter abschließen (Business-Tarif, nicht Privat-Account).
• Datenschutzerklärung um die KI-Verarbeitung ergänzen.
• Team-Regel aufstellen: Keine Gesundheitsdaten, keine sensiblen Kundendaten in Prompts.
• Bei Unsicherheit: kurz beraten lassen, bevor etwas passiert – nicht danach.