Glossar
DSGVO und KI
DSGVO und KI bezeichnet die Anwendung der EU-Datenschutz-Grundverordnung auf Systeme künstlicher Intelligenz: Personenbezogene Daten dürfen nur mit Rechtsgrundlage, Zweckbindung und Datenminimierung verarbeitet werden. Für kleine und mittlere Unternehmen bedeutet das, vor dem KI-Einsatz zu klären, welche Daten ein Werkzeug verarbeitet, wo dies geschieht und ob ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vorliegt.
Stand: 2026-08-03
Die DSGVO kennt keinen eigenen KI-Paragrafen – ihre Grundsätze gelten für KI-Systeme genauso wie für jede andere Datenverarbeitung. Wer personenbezogene Daten durch ein Sprachmodell verarbeiten lässt, braucht eine Rechtsgrundlage (Art. 6 DSGVO), muss den Zweck festlegen und darf nur die Daten übergeben, die dafür nötig sind. Setzt ein Unternehmen einen KI-Anbieter ein, wird dieser in der Regel Auftragsverarbeiter – dann verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Hinzu kommen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, etwa Verschlüsselung und Zugriffskontrolle.
Im Unternehmensalltag entscheidet sich Datenschutz beim KI-Einsatz an konkreten Fragen: Wo werden Eingaben verarbeitet – in der EU oder in einem Drittland? Werden sie nach der Antwort gespeichert oder für das Training von Modellen verwendet? Und wer im Unternehmen darf welche Inhalte überhaupt an eine KI übergeben? Gerade in KMU entsteht Risiko oft nebenbei, wenn Beschäftigte Kundendaten in frei verfügbare Chatbots kopieren, für die weder ein Vertrag noch eine Kontrolle existiert. Eine kurze interne KI-Richtlinie und geprüfte Werkzeuge beugen dem vor.
Chifty setzt diese Anforderungen als konkrete Maßnahmen um, statt ein pauschales Siegel zu behaupten: Inhalte liegen auf Servern in Deutschland, die KI-Verarbeitung läuft standardmäßig in der EU (Google Cloud Vertex AI, Region europe-west1), und die Übertragung ist durchgehend TLS-verschlüsselt. Mit Google Cloud Vertex AI und OpenAI ist vertraglich vereinbart, dass Anfragen nach der Verarbeitung nicht dauerhaft gespeichert werden; zum Training der eingesetzten Modelle werden Ihre Inhalte nicht verwendet. Einen AVV nach Art. 28 DSGVO erhalten Sie auf Anfrage.
Dazu kommt der Berechtigungs-Grundsatz: Die KI darf Berechtigungen nicht umgehen. Antworten stützen sich nur auf Quellen, die für die anfragende Person freigegeben sind, und zeigen Quellenangaben – Datenminimierung nicht als Absichtserklärung, sondern als technischer Filter zur Abfragezeit. Zu unterscheiden ist die DSGVO vom EU AI Act: Die Verordnung (EU) 2024/1689 regelt KI-Systeme selbst, die DSGVO den Umgang mit personenbezogenen Daten. Beide gelten nebeneinander.