Datenminimierung
Nur die Informationen weitergeben, die für den Schritt nötig sind.
DSGVO-konforme KI für Unternehmen — welche Modelle und Plattformen?
DSGVO-konforme KI ist für Unternehmen machbar, wenn drei Bedingungen erfüllt sind: ein Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter, EU-Datenhaltung oder eine gültige Rechtsgrundlage für Drittlandtransfers und keine Nutzung der Daten zum Modelltraining. Culturetek bewertet für Mittelständler, welche KI-Plattformen diese Kriterien erfüllen: Self-Hosting (Mistral, Llama) bietet die höchste Kontrolle, EU-Cloud-Regionen (Azure OpenAI, Google Vertex AI, OpenAI EU-Region) sind praktikabel, kostenlose Consumer-Tools sind für personenbezogene Daten ungeeignet.
Worauf es ankommt
Technisch und organisatorisch relevant.
Rollen und Rechte
Nicht jeder Agent darf jede Quelle lesen oder jede Aktion auslösen.
Nachvollziehbarkeit
Entscheidungen, Übergaben und Datenbewegungen müssen sichtbar sein.
Human-in-control
Kritische Entscheidungen bleiben bei Menschen mit Verantwortung.
Wöchentliche KI Live-Calls jetzt auf der Seite eingebunden.
Jeden Samstag um 11:00 Uhr Europe/Berlin gibt es ein kompaktes Live-Format mit Marktfilter, Praxisfällen, Fragen und klaren nächsten Schritten.
Samstag, 8. August 2026 um 11:00 · Europe/Berlin1x pro WocheLive Q&A
- für Unternehmer, Teams und operative Entscheider
- mit realen Business-Fällen statt KI-Gerede
- inklusive Startkalender und fester Auftakt-Serie
Nächste Session: Samstag, 8. August 2026 um 11:00 · Europe/Berlin. Danach geht die Serie im Wochenrhythmus weiter.
Was wir bewusst nicht behaupten
Wir verwenden bewusst Formulierungen wie GDPR-aware, privacy-conscious und governance-ready statt unprüfbarer Vollgarantien.
Compliance entsteht erst im Zusammenspiel aus Technik, Verträgen, Prozessen und tatsächlicher Nutzung.
Key Takeaways: DSGVO-konforme KI
Was DSGVO-konforme KI-Nutzung im Unternehmen konkret voraussetzt.
- DSGVO-konforme KI erfordert einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter — nach Art. 28 DSGVO verpflichtend, sobald personenbezogene Daten durch einen Cloud-Dienstleister verarbeitet werden (Quelle: DSGVO Art. 28).
- Die höchste Datenschutzkontrolle bietet Self-Hosting eines offenen Modells (Mistral, Meta Llama) auf eigener EU-Infrastruktur — hier verlassen keine Daten das eigene Rechenzentrum.
- EU-Cloud-Regionen machen große Modelle DSGVO-tauglich: Azure OpenAI Service, Google Vertex AI und die OpenAI-EU-Region bieten EU-Datenhaltung plus AVV.
- Kostenlose Consumer-Versionen von KI-Chatbots sind für personenbezogene oder vertrauliche Unternehmensdaten ungeeignet, da Eingaben je nach Tarif zum Modelltraining genutzt werden können.
- Culturetek bewertet KI-Plattformen mit einer Datenschutz-Ampel (EU-Hosting, AVV, kein Training) und wählt pro Anwendungsfall die konforme Option.
Datenschutz-Ampel: KI-Plattformen für DSGVO-konforme Nutzung
Bewertung gängiger KI-Plattformen nach EU-Datenhaltung, Auftragsverarbeitungsvertrag und Trainings-Ausschluss. Ampel: Grün = gut geeignet, Gelb = mit Konfiguration/Vertrag möglich, Rot = für personenbezogene Daten ungeeignet. Quellen: Anbieter-Dokumentationen, Stand 07/2026.
| Plattform / Modell | EU-Datenhaltung | AVV verfügbar | Kein Training mit Daten | Ampel |
|---|---|---|---|---|
| Self-Hosting (Mistral / Llama on-prem) | Ja — eigene EU-Infrastruktur | Nicht nötig (interne Verarbeitung) | Ja — Daten verlassen das Haus nicht | 🟢 Grün |
| Mistral (la Plateforme, EU-Cloud) | Ja — EU-Server standardmäßig | Ja | Ja (Enterprise; EU-externe Flüsse deaktivierbar) | 🟢 Grün |
| Azure OpenAI Service (EU-Region) | Ja — EU-Regionen / Data Zones | Ja (Microsoft-DPA) | Ja — kein Training mit Kundendaten | 🟢 Grün |
| Google Gemini via Vertex AI (EU) | Ja — EU-Regionen | Ja (Google-Cloud-DPA) | Ja — kein Training mit Vertex-Daten | 🟢 Grün |
| OpenAI API (EU-Datenresidenz-Region) | Ja — Region 'Europe' mit Zero Data Retention | Ja (OpenAI-DPA) | Ja — kein Training mit API-Daten | 🟢 Grün |
| Anthropic Claude (via Bedrock / Vertex EU) | Ja — über AWS-/Google-EU-Regionen | Ja (DPA mit SCCs; ZDR auf Anfrage) | Ja — kein Training mit API-Daten | 🟢 Grün |
| Anthropic Claude (first-party API) | Eingeschränkt (keine dedizierte EU-Region first-party) | Ja (DPA mit SCCs) | Ja — kein Training mit API-Daten | 🟡 Gelb |
| Kostenlose Consumer-Chatbots (Free-Tier) | Meist US, keine Zusage | Nein / eingeschränkt | Nein — Eingaben können zum Training dienen | 🔴 Rot |
DSGVO & KI in Zahlen
Die zentralen Fakten zur rechtssicheren KI-Nutzung.
Häufige Fragen zu DSGVO-konformer KI
Welche KI ist DSGVO-konform?
DSGVO-konform ist keine Eigenschaft eines einzelnen Tools, sondern der richtigen Konfiguration. Am sichersten sind self-gehostete offene Modelle (Mistral, Llama) auf eigener EU-Infrastruktur. Bei Cloud-Anbietern sind Azure OpenAI, Google Vertex AI, die OpenAI-EU-Region und Anthropic Claude (über AWS Bedrock oder Google Vertex) DSGVO-tauglich, sofern ein AVV geschlossen und die EU-Region gewählt wird. Kostenlose Consumer-Chatbots sind für personenbezogene Daten ungeeignet.
Brauche ich einen AVV, wenn ich KI-Tools im Unternehmen nutze?
Ja. Sobald ein KI-Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO verpflichtend. Alle großen Anbieter — Anthropic, OpenAI, Google und Mistral — stellen einen entsprechenden Data Processing Addendum bereit. Culturetek stellt sicher, dass der AVV geschlossen und die Verarbeitung korrekt konfiguriert ist.
Darf ich ChatGPT im Unternehmen für personenbezogene Daten nutzen?
In der kostenlosen Consumer-Version ist davon abzuraten, da Eingaben je nach Einstellung zum Training genutzt werden können. Über die OpenAI-API mit EU-Datenresidenz-Region (Zero Data Retention) oder über den Azure OpenAI Service mit EU-Region und Microsoft-DPA ist eine DSGVO-konforme Nutzung dagegen möglich. Entscheidend sind AVV, EU-Region und der Ausschluss des Trainings mit Ihren Daten.
Ist Self-Hosting die datenschutzsicherste KI-Option?
Ja, aus Datenschutzsicht ist Self-Hosting die kontrollierteste Option. Bei einem selbst betriebenen offenen Modell wie Mistral oder Meta Llama auf eigener EU-Infrastruktur verlassen weder Prompts noch Ausgaben das eigene Rechenzentrum. Der Trade-off sind höhere Betriebs- und Infrastrukturkosten sowie eigener Wartungsaufwand — Culturetek wägt das pro Anwendungsfall ab.
Werden meine Daten zum Training des KI-Modells verwendet?
Bei API- und Enterprise-Tarifen der führenden Anbieter (Anthropic, OpenAI, Google, Mistral) werden Ihre Eingaben standardmäßig nicht zum Modelltraining verwendet. Bei kostenlosen Consumer-Versionen kann das anders sein — dort können Eingaben je nach Tarif und Einstellung ins Training fließen. Für Unternehmensdaten sind daher API-/Enterprise-Tarife oder Self-Hosting der richtige Weg.
Gibt es eine offizielle deutsche Leitlinie zu KI und Datenschutz?
Ja. Die Datenschutzkonferenz (DSK), das Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden, hat die 'Orientierungshilfe Künstliche Intelligenz und Datenschutz' (erstmals Mai 2024) veröffentlicht — eine praxisnahe Checkliste für Unternehmen, die KI-Anwendungen einsetzen, ergänzt um weitere Handreichungen zu technisch-organisatorischen Maßnahmen und RAG-Systemen. Culturetek richtet die Umsetzung an dieser Orientierungshilfe aus (Quelle: Datenschutzkonferenz, datenschutzkonferenz-online.de).
Potenzialanalyse starten
Wenn Sie einen Prozess konkret priorisieren wollen, reichen wenige Angaben für eine belastbare erste Einschätzung.