DSGVO-konforme KI

DSGVO-konforme KI: woran Sie sie erkennen – und was dafür nötig ist

„DSGVO-konform“ steht inzwischen auf fast jeder KI-Website. Als Prüfsiegel taugt der Begriff nicht, denn konform ist nicht das Werkzeug, sondern seine Nutzung in Ihrem Unternehmen. Diese Seite zeigt, welche Voraussetzungen ein Anbieter schaffen muss, was Sie selbst regeln müssen – und wie wir es bei novendix.AI umsetzen.

Prüfliste mit sieben PunktenHosting in DeutschlandOhne Siegel-Versprechen

Was „DSGVO-konform“ bei KI konkret bedeutet

Vier Fragen entscheiden, ob Sie eine KI im Unternehmen mit gutem Gewissen nutzen können. Alle vier lassen sich schriftlich beantworten – wenn nicht, ist das bereits die Antwort.

Gibt es einen Vertrag zur Auftragsverarbeitung?

Sobald personenbezogene Daten im Spiel sind – eine Kundenmail, ein Lebenslauf, ein Gesprächsprotokoll –, brauchen Sie einen AV-Vertrag nach Art. 28 DSGVO. Ohne ihn ist die Verarbeitung unzulässig, egal wie gut die Technik ist.

Wo werden die Daten verarbeitet?

Entscheidend ist der Ort der Verarbeitung und Speicherung, nicht der Firmensitz des Modellherstellers. Bei Übermittlungen in Drittländer brauchen Sie zusätzliche Garantien und eine Dokumentation.

Wird mit Ihren Eingaben trainiert?

Eingaben, die in das Training eines Modells einfließen, lassen sich nicht zurückholen. Der Ausschluss gehört in den Vertrag, nicht nur in eine Einstellung, die jemand versehentlich wieder einschaltet.

Lässt sich der Einsatz steuern und belegen?

Wer hat Zugriff, wer verwaltet die Konten, wie wird gelöscht, wenn jemand das Unternehmen verlässt? Im Prüfungsfall müssen Sie zeigen können, wie mit Daten umgegangen wurde.

Die Prüfliste für jede KI-Lösung

Unabhängig davon, für welchen Anbieter Sie sich entscheiden: Diese sieben Punkte sollten vor dem Start erledigt sein.

  • AV-Vertrag nach Art. 28 DSGVO. Unterschrieben bzw. wirksam vereinbart, mit Liste der Unterauftragsverarbeiter.
  • Benannter Verarbeitungsort. Rechenzentrum in Deutschland oder der EU, schriftlich zugesichert. Ausnahmen müssen offen ausgewiesen sein.
  • Kein Training, keine Speicherung beim Modellanbieter. Vertraglich ausgeschlossen – idealerweise als Zero Data Retention.
  • Zentrale Verwaltung der Zugänge. Konten gehören dem Unternehmen, Rechte lassen sich nach Rolle vergeben und entziehen.
  • Technische Schutzmaßnahmen. Verschlüsselte Übertragung, Zwei-Faktor-Anmeldung, Sicherungen, ein dokumentiertes Löschkonzept.
  • Interne KI-Richtlinie. Welche Daten dürfen hinein, welche nicht, wer ist Ansprechpartner. Ihr Datenschutzbeauftragter gehört an diesen Tisch.
  • Schulung der Mitarbeitenden. Seit Februar 2025 verlangt der EU AI Act in Art. 4 ausreichende KI-Kompetenz bei allen, die KI-Systeme im Unternehmen einsetzen.

Wie das konkret für ChatGPT aussieht, steht auf ChatGPT DSGVO-konform nutzen; sichere Alternativen vergleicht ChatGPT-Alternative für Unternehmen. Was der EU AI Act darüber hinaus verlangt, erklärt EU AI Act im Mittelstand.

Gratiszugang, Geschäftslizenz oder Plattform im Vergleich

Drei Wege, wie KI heute in Unternehmen ankommt. Der Unterschied liegt selten in der Qualität der Antworten, sondern im Rahmen drumherum.

Kriterium Privater Gratiszugang Geschäftslizenz eines großen Anbieters Plattform mit Hosting in Deutschland (z. B. novendix.AI)
AV-Vertrag Nein Ja Ja, Teil der AGB
Verarbeitungsort Meist offen, häufig USA Je nach Anbieter und Tarif, teils EU-Datenresidenz wählbar Plattform in Deutschland, Modelle in EU-Rechenzentren
Training mit Eingaben Oft standardmäßig möglich, abschaltbar In Geschäftstarifen in der Regel ausgeschlossen Vertraglich ausgeschlossen, nur Modelle mit Zero Data Retention
Rechteverwaltung Keine Ja Ja, mit Rollen und Teams
Modellauswahl Ein Hersteller Ein Hersteller Mehrere Modellreihen über einen Zugang
Ansprechpartner Keiner Support oder Partner Fester persönlicher Ansprechpartner

Allgemeine Einordnung, keine Bewertung einzelner Anbieter. Konkrete Bedingungen hängen vom jeweiligen Vertrag ab.

So löst novendix.AI die Datenschutzfrage

Wir verkaufen kein Siegel, sondern beschreiben, was technisch und vertraglich dahintersteht – inklusive der Stellen, an denen Daten die EU verlassen können.

  • Plattform in Deutschland, Modelle in der EU. novendix.AI läuft standardmäßig in einem deutschen Rechenzentrum, die Sprachmodelle in Rechenzentren innerhalb der EU.
  • Nur Modelle mit Zero Data Retention. Ein Modell wird nur freigeschaltet, wenn vertraglich zugesichert ist, dass es nicht mit Kundendaten trainiert und Anfragen nicht speichert. Modelle ohne diese Zusage lehnt unser Gateway ab.
  • Auftragsverarbeitung geregelt. Der AV-Vertrag nach Art. 28 DSGVO ist in unseren AGB verankert und als eigene Seite einsehbar.
  • Sicherung und Zugriffsschutz. Tägliche verschlüsselte Sicherung nach Frankfurt, 60 Tage unveränderbar. Zwei-Faktor-Anmeldung in allen Paketen, Administration nur über VPN.
  • Keine Nachladeprozesse von Drittanbietern. Die Oberfläche lädt nichts von fremden Servern nach, die Spracherkennung läuft auf eigenen Servern.
  • Ausnahmen offen benannt. Bei Bilderzeugung (nur der Prompt, vorher auf personenbezogene Daten geprüft), App-Verbindungen, Push-Benachrichtigungen und Websuche können Daten die EU verlassen. Sie entscheiden, ob Sie diese Funktionen nutzen.
  • Zertifizierung ehrlich dargestellt. Unser Infrastrukturanbieter ist nach ISO 27001 zertifiziert. Unser eigenes Informationssicherheits-Managementsystem ist im Aufbau – ein eigenes Zertifikat behaupten wir nicht.

Alle Details zu Hosting, Verschlüsselung und Unterauftragsverarbeitern stehen auf Datenschutz und Sicherheit. Warum der Verarbeitungsort wichtiger ist als die Herkunft des Modells, erklärt Europäische KI.

In drei Schritten zur DSGVO-konformen KI-Nutzung

01

Regeln festlegen

KI-Richtlinie mit Ihrem Datenschutzbeauftragten abstimmen: erlaubte Daten, verbotene Daten, Zuständigkeiten. Bei hohem Risiko für Betroffene eine Datenschutz-Folgenabschätzung durchführen.

02

Werkzeug mit Vertrag einführen

Eine Lösung mit AV-Vertrag, benanntem Verarbeitungsort und Trainingsausschluss bereitstellen – damit niemand mehr auf private Zugänge ausweicht.

03

Mitarbeitende befähigen

Schulung zu Möglichkeiten und Grenzen, gemeinsame Vorlagen, ein Ansprechpartner für Fragen. Das erfüllt nebenbei die Pflicht zur KI-Kompetenz aus dem EU AI Act.

Unser Onboarding-Workshop deckt Schritt zwei und drei ab und endet mit einem schriftlichen 90-Tage-Fahrplan. Wie so ein Fahrplan aussieht, zeigt KI-Einführung in 90 Tagen. Warum Verbote allein nicht helfen, steht in Schatten-KI im Unternehmen.

Häufige Fragen zu DSGVO-konformer KI

Gibt es überhaupt eine DSGVO-konforme KI?

Kein Werkzeug ist aus sich heraus DSGVO-konform. Konform ist der Einsatz, wenn Rechtsgrundlage, AV-Vertrag, Verarbeitungsort, Trainingsausschluss, Rechteverwaltung und interne Regeln stimmen. Ein Anbieter kann die technischen und vertraglichen Voraussetzungen schaffen – die Regeln für Ihr Unternehmen bleiben Ihre Aufgabe.

Ist ChatGPT DSGVO-konform?

Der private Gratiszugang ist für personenbezogene Daten ungeeignet, weil ein AV-Vertrag fehlt. Mit einem Geschäftstarif, AV-Vertrag und interner Richtlinie ist ein datenschutzkonformer Einsatz möglich. Die Einzelheiten stehen auf ChatGPT DSGVO-konform nutzen.

Reicht es, wenn der Server in der EU steht?

Es ist eine wichtige Voraussetzung, aber nicht die einzige. Ebenso wichtig sind der AV-Vertrag, der Ausschluss von Training und Speicherung beim Modellanbieter und die Frage, welche Unterauftragsverarbeiter beteiligt sind.

Brauchen wir eine Datenschutz-Folgenabschätzung?

Nach Art. 35 DSGVO dann, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene birgt – etwa bei der systematischen Bewertung von Beschäftigten oder Bewerbern. Für den Einsatz als Schreib- und Rechercheassistent ist sie oft nicht zwingend, die Abwägung sollte aber dokumentiert werden. Entscheiden Sie das mit Ihrem Datenschutzbeauftragten.

Dürfen wir personenbezogene Daten in novendix.AI verarbeiten?

Ja, auf Grundlage des AV-Vertrags und Ihrer eigenen Rechtsgrundlage. Für die Funktionen, bei denen Daten die EU verlassen können – Bilderzeugung, App-Verbindungen, Push-Benachrichtigungen und Websuche –, sollten Sie in Ihrer Richtlinie festlegen, ob und wie sie genutzt werden.

Wie schnell können wir starten?

Der Testzugang ist nach manueller Prüfung Ihrer Registrierung freigeschaltet und läuft zehn Tage kostenlos, ohne Zahlungsdaten. Danach buchen Sie ab einem Nutzer, ohne Mindestabnahme.

Gibt es einen DSGVO-konformen KI-Chat?

Ja – entscheidend ist nicht der Chat selbst, sondern der Rahmen: AV-Vertrag, benannter Verarbeitungsort, Ausschluss von Training und Speicherung beim Modellanbieter und eine zentrale Rechteverwaltung. novendix.AI ist ein solcher KI-Chat für Unternehmen: Plattform in einem deutschen Rechenzentrum, Modelle in Rechenzentren innerhalb der EU, freigeschaltet sind nur Modelle mit Zero Data Retention.

Welche KI ist DSGVO-konform?

Keine KI ist es von sich aus – auch nicht eine europäische. Prüfen Sie jeden Anbieter anhand der sieben Punkte der Prüfliste oben: AV-Vertrag, Verarbeitungsort, Trainingsausschluss, Rechteverwaltung, Schutzmaßnahmen, interne Richtlinie und Schulung.

Gibt es eine kostenlose DSGVO-konforme KI?

Für den Einsatz im Unternehmen kaum: Kostenlose Zugänge kommen in der Regel ohne AV-Vertrag und ohne zugesicherten Verarbeitungsort. novendix.AI können Sie zehn Tage kostenlos testen, ohne Zahlungsdaten – danach ab 25 € je Nutzer und Monat zzgl. MwSt.

Datenschutz prüfen, bevor Sie sich entscheiden

Zehn Tage kostenlos testen, AV-Vertrag und Sicherheitskonzept vorab lesen – und Ihre Fragen mit einem festen Ansprechpartner klären, nicht mit einem Ticketsystem.

Zehn Tage testenDatenschutz und Sicherheit




novendix.AI gibt es jetzt als AppLaden im App StoreJetzt bei Google PlayLaden fürmacOSLaden fürWindows