Ja, aber nur unter bestimmten Voraussetzungen. Sobald ein Name, eine E-Mail-Adresse oder eine Kundennummer in ein KI-Tool fließt, greift die DSGVO in vollem Umfang. Du brauchst dafür eine Rechtsgrundlage nach Art. 6 DSGVO und in der Regel einen Auftragsverarbeitungsvertrag mit dem Anbieter. Die kostenlose Version von ChatGPT & Co. reicht dafür meist nicht aus. Mit einem Business-Account, einem AVV und klaren internen Regeln ist der Einsatz von Kundendaten in KI-Tools aber grundsätzlich erlaubt.
Im Rest dieses Artikels zeige ich dir, was das konkret für deinen Handwerksbetrieb oder dein KMU bedeutet: welche Daten wirklich kritisch sind, welche drei Voraussetzungen du erfüllen musst und wie du im Alltag entscheidest, was du bedenkenlos in eine KI eingeben kannst – und was nicht.
Bild anzeigen
Personenbezogene Daten sind laut DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Im Handwerks- und KMU-Alltag betrifft das mehr, als man zunächst denkt: Name, Adresse, Telefonnummer und E-Mail sind offensichtlich. Aber auch eine Kundennummer, ein Baustellenfoto mit erkennbaren Personen, eine WhatsApp-Nachricht mit Namen im Text oder eine Sprachnotiz mit einem Kundengespräch fallen darunter.
Nicht betroffen sind dagegen anonyme oder rein sachliche Informationen: ein Angebotstext ohne Namen, eine allgemeine Produktbeschreibung oder ein Code-Schnipsel ohne Personenbezug. Die Grenze verläuft also nicht bei „ist das ein KI-Tool", sondern bei „steckt eine identifizierbare Person in den Daten".
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage – das gilt für KI-Tools genauso wie für jede andere Software. Im Geschäftsalltag kommen meist zwei Varianten infrage: Die Verarbeitung ist zur Vertragserfüllung erforderlich (etwa wenn KI dir hilft, ein Angebot für einen konkreten Kunden zu formulieren), oder dein Unternehmen hat ein berechtigtes Interesse, das die Interessen der betroffenen Person nicht überwiegt.
Eine ausdrückliche Einwilligung des Kunden ist der sicherste, aber auch aufwendigste Weg – und jederzeit widerrufbar. Für den laufenden Betrieb reicht in den meisten Fällen die Vertragserfüllung oder das berechtigte Interesse aus, solange du die Daten sparsam und zweckgebunden einsetzt.
Setzt ein externer Dienstleister wie OpenAI, Google oder Microsoft personenbezogene Daten in deinem Auftrag ein, schreibt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag vor. Ohne AVV ist die Nutzung eines KI-Tools mit Kundendaten rechtlich riskant – unabhängig davon, ob der Anbieter amerikanisch oder europäisch ist.
Als Faustregel gilt: Nur bezahlte Business- oder Enterprise-Pläne bieten in der Regel einen AVV, kostenlose Consumer-Versionen fast nie. Wer eine Kundenliste in die kostenlose ChatGPT-Version kopiert, bewegt sich damit in den allermeisten Fällen außerhalb der DSGVO.
Der Grundsatz der Datenminimierung gilt bei KI besonders, weil die Versuchung groß ist, möglichst viel in den Prompt zu packen, um ein besseres Ergebnis zu bekommen. Die Regel lautet: Nur Daten eingeben, die die KI für die konkrete Aufgabe tatsächlich braucht. Ein praktischer Trick ist, Namen durch Platzhalter zu ersetzen – „Kunde A" statt „Herr Müller" –, wenn der echte Name für die Aufgabe nicht zwingend nötig ist.
Unproblematisch, auch ohne AVV:
Nur mit AVV und Business-Account:
Grundsätzlich tabu bzw. nur mit sehr strenger Absicherung:
1. Personenbezug klären.Frag dich bei jeder Aufgabe: Enthält das, was ich eingebe, Namen, Kontaktdaten oder andere Merkmale, die eine Person identifizierbar machen? Wenn nein, ist die DSGVO für diese Eingabe nicht relevant.
2. Tool-Version prüfen.Nutzt du die kostenlose Consumer-Version oder einen bezahlten Business-Account? Nur Business-Accounts bieten in der Regel einen AVV – die Voraussetzung für die Verarbeitung von Kundendaten.
3. AVV abschließen oder prüfen.Bei den meisten Business-Tools findest du den AVV in den Einstellungen unter „Legal", „Datenschutz" oder „Business Terms". Ohne unterschriebenen AVV keine Kundendaten.
4. Rechtsgrundlage benennen.Halte kurz fest, auf welcher Grundlage nach Art. 6 DSGVO die Verarbeitung basiert – Vertragserfüllung, berechtigtes Interesse oder Einwilligung.
5. Datenminimierung anwenden.Prüfe vor jeder Eingabe, ob wirklich alle Daten nötig sind, oder ob Platzhalter reichen würden.
6. In der Datenschutzerklärung dokumentieren.Setzt du KI-Tools mit Kundendaten regelmäßig ein, gehört das in dein Verarbeitungsverzeichnis und in deine Datenschutzerklärung.
Damit das greifbarer wird, hier ein typisches Muster – kein dokumentierter Einzelfall, sondern eine Zusammenfassung, wie wir es in Beratungsgesprächen häufig erleben:
Ein Handwerksbetrieb nutzt die kostenlose ChatGPT-Version, um Kundenanfragen zusammenzufassen und Angebote vorzuformulieren – inklusive echter Namen und Adressen. Nach einer kurzen Bestandsaufnahme stellt sich heraus: Ohne AVV ist das ein Verstoß gegen die DSGVO, auch wenn die Absicht harmlos war. Die Lösung ist meist unkompliziert: Umstieg auf einen Business-Account mit AVV, eine kurze interne Regel („Kundendaten nur im freigegebenen Tool"), fertig. Der Arbeitsablauf selbst muss sich dabei kaum ändern.
Die kostenlose Version für dienstliche Zwecke nutzen. Der klassische Fehler: Ein Mitarbeiter kopiert schnell eine Kundenanfrage in die private, kostenlose ChatGPT-App. Ohne AVV ist das ein Datenschutzverstoß – auch wenn es „nur schnell" gemeint war.
Annehmen, Popularität sei eine Rechtsgrundlage. „Alle nutzen das doch" ist kein Argument nach Art. 6 DSGVO. Jede Eingabe braucht ihre eigene rechtliche Grundlage.
Keine interne Richtlinie haben. Die beste technische Absicherung nützt wenig, wenn Mitarbeitende nicht wissen, welche Tools erlaubt sind und welche Daten hineindürfen. Eine kurze, verständliche Richtlinie – welche Tools, welche Daten, wer ist Ansprechpartner – deckt die meisten Alltagsfälle ab.
Ergebnisse ungeprüft übernehmen. Auch datenschutzrechtlich ist das relevant: Der Grundsatz der Richtigkeit (Art. 5 Abs. 1 lit. d DSGVO) verlangt, dass Daten korrekt sind. Fehlerhafte KI-Ausgaben mit Personenbezug solltest du deshalb immer gegenprüfen, bevor sie weiterverwendet werden.
Mehr dazu, wie du KI insgesamt rechtssicher in deinem Betrieb verankerst, findest du im Beitrag ISO 42001: Warum KI ohne Managementsystem ein Risiko ist.
Darf ich Kundendaten in ChatGPT eingeben?Nur mit einem Business-Account und abgeschlossenem Auftragsverarbeitungsvertrag (AVV). In der kostenlosen Consumer-Version ist das in den allermeisten Fällen ein Datenschutzverstoß.
Was passiert, wenn ich versehentlich Kundendaten in ein nicht freigegebenes KI-Tool eingebe?Das kann ein meldepflichtiger Datenschutzvorfall sein. Verantwortlich ist das Unternehmen, nicht der einzelne Mitarbeitende – deshalb ist eine klare interne Richtlinie so wichtig.
Brauche ich für jedes KI-Tool einen eigenen AVV?Ja, für jedes Tool, mit dem personenbezogene Daten verarbeitet werden. Es reicht nicht, einen AVV für ein Tool zu haben und anzunehmen, das gelte automatisch für alle anderen.
Sind europäische KI-Anbieter automatisch unproblematischer als US-Anbieter?Nicht automatisch. Entscheidend ist, ob ein AVV vorliegt und wie der Anbieter mit den Daten umgeht – unabhängig vom Sitzland. Bei US-Anbietern kommt zusätzlich die Frage des Drittlandtransfers hinzu.
Darf ich Baustellenfotos mit erkennbaren Personen in eine KI hochladen?Nur, wenn eine Rechtsgrundlage vorliegt und die Personen nicht identifizierbar gemacht werden müssten, um die Aufgabe zu erledigen. Im Zweifel: Gesichter unkenntlich machen oder auf das Hochladen verzichten.
Wie dokumentiere ich den KI-Einsatz datenschutzrechtlich richtig?Trage den KI-Einsatz mit Zweck, Rechtsgrundlage und verarbeiteten Daten in dein Verarbeitungsverzeichnis nach Art. 30 DSGVO ein und ergänze deine Datenschutzerklärung entsprechend.
Kundendaten in KI-Tools einzugeben ist kein grundsätzliches Tabu – aber auch kein Selbstläufer. Mit einer klaren Rechtsgrundlage, einem Auftragsverarbeitungsvertrag und dem Grundsatz „nur so viel wie nötig" bist du auf der sicheren Seite. Die größte Gefahr ist nicht die bewusste Regelverletzung, sondern die unbedachte Nutzung der falschen, kostenlosen Tool-Version im Alltag.
Wenn du unsicher bist, welche KI-Tools in deinem Betrieb sicher einsetzbar sind und wie du das intern regelst, lass uns gemeinsam draufschauen. Vereinbare jetzt ein unverbindliches Erstgespräch und kläre den Datenschutz für deinen KI-Einsatz ein für alle Mal.
Ich helfe dabei Managementsysteme und Wissen über KI-Systeme zu verbessern und auf das nächste Level zu bringen.
Auf dieser Website werden teilweise mit Unterstützung künstlicher Intelligenz erstellte Texte und Bilder verwendet. Alle Inhalte werden vor der Veröffentlichung geprüft und freigegeben.
