KI-Strategie & Einführung
Warum die kostenlose ChatGPT-Nutzung mit Personendaten ein Risiko ist – und welche DSGVO-konformen Alternativen es 2026 wirklich gibt, herstellerneutral eingeordnet.
Die kostenlose oder private ChatGPT-Nutzung mit Personen-, Kunden- oder Geschäftsdaten ist für Unternehmen die falsche Wahl. Der Grund: In der kostenlosen und der Plus-Version schließt OpenAI keinen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit Ihnen ab, und Ihre Eingaben können nach den Standardeinstellungen zum Training künftiger Modelle verwendet werden. DSGVO-konforme KI-Nutzung heißt: ein Anbieter mit AVV, nachvollziehbarem Serverstandort und der klaren Zusage, dass Ihre Daten nicht ins Modelltraining fließen. Drei Wege führen dorthin: EU-Aggregatoren wie nele.ai, Langdock oder DeutschlandGPT, europäische Modellanbieter wie Mistral mit Le Chat, oder eine On-Prem-Lösung im eigenen Rechenzentrum. Welche Option zu Ihnen passt, hängt von Budget, Datenschutzanforderungen und internem Know-how ab – dieser Beitrag ordnet die Optionen ein, ohne einen Anbieter zu bevorzugen.
Drei Punkte sind entscheidend. Erstens: der fehlende AVV. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Pflicht, sobald ein externer Dienstleister personenbezogene Daten für Sie verarbeitet. Im privaten oder kostenlosen ChatGPT-Zugang fehlt dieser Vertrag – erst mit ChatGPT Team, Enterprise oder über die API stellt OpenAI ihn regulär bereit. Wer als Mitarbeitender den privaten Zugang für Firmendaten nutzt, umgeht diese Absicherung vollständig, meist ohne es zu merken.
Zweitens: das Modelltraining. In der Consumer-Version werden Eingaben nach Standardeinstellung zum Training verwendet, sofern nicht aktiv widersprochen wird. In Team-, Enterprise- und API-Nutzung ist das in der Regel ausgeschaltet. Der Unterschied zwischen beiden Welten ist für die meisten Beschäftigten unsichtbar – die Oberfläche sieht gleich aus.
Drittens: der Serverstandort. US-Anbieter wie OpenAI und Anthropic speichern Daten standardmäßig in den USA. Das ist für Unternehmen mit strengen Datenschutzanforderungen ein Ausschlusskriterium oder erfordert den Umweg über EU-gehostete Zwischenlösungen wie Azure OpenAI oder AWS Bedrock. Wie genau dieses Muster in Unternehmen entsteht und welche Rolle die private Nutzung von KI-Tools dabei spielt, beschreibt der Beitrag Schatten-KI im Unternehmen.
EU-Aggregatoren. Anbieter wie nele.ai, Langdock, Chat AI oder DeutschlandGPT binden verschiedene, teils europäische, teils internationale Modelle an und bieten Server in Deutschland oder der EU inklusive AVV. Vorteil: schneller Einstieg, DSGVO von Haus aus mitgedacht. Nachteil: Sie sind an die Feinabstimmung des jeweiligen Aggregators gebunden und liegen im Ergebnis oft hinter den führenden Modellen der US-Anbieter zurück – mehr dazu im Beitrag Internes KI-Tool vs. ChatGPT.
Europäische Modellanbieter. Mistral aus Frankreich ist 2026 der einzige europäische Anbieter, der mit einem eigenen Frontier-Modell direkt gegen GPT und Claude antritt. Le Chat Pro und Enterprise bieten einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und hosten Daten standardmäßig in der EU – damit entfällt die Diskussion um Drittlandtransfer und Standardvertragsklauseln, die bei US-Anbietern sonst nötig ist.
On-Prem oder Self-Hosted. Für Organisationen mit besonders hohen Anforderungen – etwa Verwaltung, kritische Infrastruktur oder hochsensible Branchen – bleibt der Betrieb eines Open-Source-Modells im eigenen Rechenzentrum, etwa über eine Plattform wie OpenWebUI. Höchste Kontrolle über Daten und Infrastruktur, aber deutlich höherer Aufwand und eigenes technisches Know-how sind Voraussetzung.
Nein. Ein DSGVO-konformes Tool löst das technische Datenschutzproblem, nicht die Governance-Frage. Ohne Richtlinie, ohne Schulung und ohne klare Regeln für Anwendungsfälle entsteht auch mit dem besten europäischen Tool wieder Wildwuchs – nur eben mit einem anderen Anbieter. Die eigentliche Absicherung entsteht erst im Zusammenspiel aus Tool, Richtlinie und geschulten Mitarbeitenden.
Mit dem 2. August 2026 sind zudem weitere Pflichten aus dem EU AI Act für KI-Systeme wirksam geworden – ein zusätzlicher Grund, die Toolwahl nicht isoliert, sondern als Teil der gesamten KI-Governance zu betrachten.
Testen Sie nicht nur ein Tool. Nehmen Sie zwei bis drei Kandidaten – etwa einen EU-Aggregator und Mistral Le Chat – und lassen Sie dieselbe Testgruppe dieselben Aufgaben damit bearbeiten, über zwei bis drei Wochen. Binden Sie parallel Ihren Datenschutzbeauftragten früh ein, nicht erst kurz vor der Unterschrift: Der AVV, die Zusage zum Modelltraining und der Serverstandort lassen sich meist schon anhand des Vertragsentwurfs prüfen, bevor überhaupt ein Pilot startet. Das kostet ein paar Tage mehr Vorlauf, erspart aber die deutlich teurere Korrektur, wenn ein bereits ausgerolltes Tool nachträglich durchfällt.
Ist ChatGPT grundsätzlich DSGVO-widrig? Nein. Mit einem Team-, Enterprise- oder API-Vertrag bietet OpenAI einen AVV nach Art. 28 DSGVO an. Kritisch ist die kostenlose oder private Nutzung mit Personendaten ohne diesen Vertrag – nicht ChatGPT als Produkt an sich.
Reicht ein EU-Serverstandort allein für DSGVO-Konformität? Nein. Der Serverstandort ist ein wichtiges Kriterium, ersetzt aber nicht den Auftragsverarbeitungsvertrag, die Zusage zum Modelltraining und eine saubere interne Nutzerverwaltung.
Ist Mistral eine vollwertige ChatGPT-Alternative? Für viele Anwendungsfälle ja, mit dem Vorteil eines europäischen AVV und EU-Hosting per Default. Ob die Modellqualität im Einzelfall ausreicht, hängt vom Anwendungsfall ab und sollte vor einer Kaufentscheidung getestet werden.
Brauchen auch kleine Unternehmen eine eigene KI-Infrastruktur? Selten in Form eines eigenen Rechenzentrums. Für die meisten kleinen und mittleren Unternehmen ist ein EU-Aggregator mit AVV der pragmatischere Einstieg als eine On-Prem-Lösung.
Was unterscheidet einen EU-Aggregator von einem eigenen Modellanbieter? Ein Aggregator bindet fremde Modelle an eine eigene, meist DSGVO-konforme Oberfläche, ohne sie selbst zu trainieren. Ein Modellanbieter wie Mistral entwickelt und trainiert das Modell selbst und kontrolliert damit auch dessen Feinabstimmung und Weiterentwicklung.
"Ich schicke regelmäßig kostenlose Updates zum Thema KI, Sicherheit und Anwendungen."
Wählen Sie direkt einen freien Slot in meinem Kalender.
Schreiben Sie mir Ihr Anliegen — ich melde mich zeitnah.
