DSGVO-konforme KI für Unternehmen, so funktioniert sie in der Praxis
KI im Unternehmen ist kein Datenschutzproblem, wenn Vertrag, Datenwege, Rechte und Betrieb stimmen. Wir zeigen, worauf es ankommt, und richten die Plattform dafür ein: gehostet in Deutschland, in Ihrer Private Cloud oder on-premise.
- AV-Vertragwird mit DSGPT geschlossen
- DEHosting oder eigene Server
- ab 3.900 €Einrichtung, einmalig, netto
Kurz erklärt
DSGVO-konforme KI heißt nicht, ein Gütesiegel zu kaufen. Sie entsteht durch das Setup: einen AV-Vertrag mit jedem Anbieter, bekannte und dokumentierte Datenwege, geklärte Drittlandtransfers, Löschfristen, Rollen und Rechte sowie Schutzmaßnahmen für sensible Daten. Eine eigene Plattform in Deutschland oder in Ihrer Infrastruktur macht das deutlich einfacher, weil Sie Standort, Zugriffe und Modelle selbst steuern. Ob ein konkreter Einsatz konform ist, entscheiden am Ende Konfiguration und Anwendungsfall.
Sieben Punkte, auf die es ankommt
Diese Fragen stellt Ihr Datenschutzteam. Wer sie vorab klärt, spart Wochen im Freigabeprozess.
1. Vertrag
Auftragsverarbeitung nach Art. 28 DSGVO mit dem Plattformbetreiber und jedem Modellanbieter, inklusive Weisungsbindung und Unterauftragsverarbeitern.
2. Standort und Datenweg
Wo laufen Oberfläche, Datenbank und Modell? Externe Modelle verarbeiten Eingabe und Kontext beim Anbieter. Das muss in der Oberfläche sichtbar sein.
3. Drittlandtransfer
Übermittlungen in die USA stützen sich meist auf das EU-US Data Privacy Framework (Art. 44 ff. DSGVO). Der EDSA hat im Juli 2026 eine Neubewertung gefordert, beim EuGH läuft eine Berufung. Ein Plan B lohnt sich.
4. Training und Speicherung
Werden Eingaben zum Training genutzt? Wie lange werden Chats, Dateien und Logs gespeichert? Das hängt von Anbieter und Tarif ab.
5. Zugriff und Rechte
Anmeldung über das Firmenkonto, Rollen je Nutzergruppe, Modellfreigaben und klare Regeln, wer Chats einsehen darf.
6. Sensible Daten
Personenbezogene Daten erkennen, bevor sie an ein Modell gehen: warnen, maskieren oder blockieren. Für besondere Fälle ein lokales Modell.
7. Organisation
Nutzungsrichtlinie, Schulung und dokumentierte KI-Kompetenz nach Art. 4 KI-Verordnung, benannte Ansprechpersonen und ein Vorgehen bei Vorfällen.
Welches Betriebsmodell passt zu Ihren Daten?
Es gibt nicht die eine richtige Antwort. Die Wahl hängt davon ab, welche Daten Sie verarbeiten und wie viel Kontrolle Sie brauchen.
| Kriterium | Lokal / On-Premise | Plattform in DE, Modelle gemischt | US-Cloud-Dienst direkt |
|---|---|---|---|
| Wo liegen Ihre Daten? | Auf Ihrer Infrastruktur, nichts geht an externe Anbieter | Plattform in Deutschland oder der EU, bei externen Modellen beim jeweiligen Anbieter | Beim US-Anbieter, bei Business-Tarifen auf Wunsch mit Speicherung in Europa |
| Kontrolle | Am höchsten | Hoch, Modelle und Rechte steuern Sie selbst | Begrenzt auf die Funktionen des Anbieters |
| Modellauswahl | Open-Weight-Modelle wie Llama, Mistral, Qwen | Lokal und extern (GPT, Claude, Mistral) kombinierbar | Modelle des Anbieters |
| Vorbereitung | Server und GPU passend zur Modellgröße nötig | Gering, Start in wenigen Tagen | Gering, Vertrags- und Transferprüfung bleibt bei Ihnen |
| Kosten | Einrichtung einmalig, Hardware, keine Token-Kosten beim Anbieter | Einrichtung einmalig, Token ca. 2 € pro Nutzer und Monat, Hosting ab 35 € | Lizenz pro Nutzer und Monat |
Die Bewertung hängt immer von Konfiguration und Anwendungsfall ab. Viele Unternehmen kombinieren die ersten beiden Spalten: ein lokales Modell für sensible Inhalte, ein externes für unkritische Texte.
Was für KI im Unternehmen gilt
Die wichtigsten Grundlagen auf einen Blick, mit Stand Oktober 2026.
DSGVO und Datenschutzbehörden
Der Europäische Datenschutzausschuss hat am 18. Dezember 2024 die Stellungnahme 28/2024 zu KI-Modellen veröffentlicht. Die Datenschutzkonferenz hat im Oktober 2025 eine Orientierungshilfe zu generativen KI-Systemen mit RAG-Methode vorgelegt, einschlägig für interne Wissensdatenbanken.
BSI
Für extern bereitgestellte Modelle ist der Kriterienkatalog zur Integration von extern bereitgestellten generativen KI-Modellen in eigene Anwendungen vom 24. Juni 2025 einschlägig. DSGPT kann sich daran orientieren, ist aber nicht BSI-zertifiziert.
KI-Verordnung, Art. 4
Die KI-Kompetenzpflicht gilt seit dem 2. Februar 2025 für Anbieter und Betreiber, also auch für Unternehmen, die KI nur einsetzen. Seit dem 2. August 2026 ist sie behördlich durchsetzbar.
Stand und Quellen: DSGPT Wissen, Blog zur KI-Kompetenz, Blog zum Data Privacy Framework. Keine Rechtsberatung.
Wie DSGPT das für Sie aufsetzt
Wir richten eine der drei Open-Source-Plattformen ein und sorgen dafür, dass Ihr Datenschutzteam das Setup prüfen kann.
AV-Vertrag und Datenwege
Mit DSGPT schließen Sie einen AV-Vertrag. Anbieter, Regionen, Löschfristen und Datenwege legen wir vor dem Start fest und dokumentieren sie.
Rechte und Anmeldung
Optional Single Sign-on über Microsoft Entra ID (ab 750 €) und ein Rollenkonzept mit Modellfreigaben je Nutzergruppe (ab 750 €).
Schutz sensibler Inhalte
Ein optionaler PII-Filter (ab 1.500 €) warnt, maskiert oder blockiert. Für besonders sensible Fälle laufen lokale Modelle auf Ihrer Hardware.
Kostenkontrolle
Optional ab 900 €: Token-Limits, Monatsbudgets und Warnungen je Nutzer, Modell oder Bereich.
BSI-orientierte Dokumentation
Auf Wunsch ab 2.900 €: Sicherheitsdokumentation nach den BSI-Empfehlungen für generative KI. Eine Zertifizierung ist das nicht.
Wahl der Plattform
Open WebUI ab 3.900 €, LibreChat ab 4.900 €, AnythingLLM ab 4.900 €, jeweils einmalig und netto.
Datenschutz-Fragen für Ihre KI-Plattform
32 Fragen in 8 Bereichen, die Ihr Datenschutzteam stellen wird: von AV-Vertrag und Datenwegen über Löschfristen und Rechte bis zu KI-Kompetenz und Betrieb. Abhaken, Lücken sehen, Gespräch vorbereiten.
So sieht der Einsatz in Ihrer Branche aus
Versicherung, Behörde, Forschung, Kanzlei oder Mittelstand: Die Anforderungen an Datenschutz und Betrieb unterscheiden sich. Die Plattform und das Modell-Setup richten wir danach aus.
Versicherung (intern)
Interne KI für Sachbearbeitung und Fachabteilungen
- Versicherungsbedingungen, Arbeitsanweisungen und Rundschreiben per Chat durchsuchen, mit Quellenangabe
- Schadenmeldungen und Gutachten zusammenfassen lassen
- Entwürfe für Kundenschreiben vorbereiten, die Mitarbeitende prüfen und freigeben
- Neue Kolleginnen und Kollegen finden Antworten ohne Rückfrage im Team
In Vorgängen können Gesundheitsdaten stecken, die nach Art. 9 DSGVO besonders geschützt sind. Solche Inhalte gehören in ein lokales Modell, dazu ein PII-Filter und Rechte je Abteilung.
Wissensdatenbank mit AnythingLLM oder Open WebUI mit lokalen Modellen, Anmeldung über Entra ID, auf Wunsch BSI-orientierte Dokumentation.
Behörde und öffentlicher Sektor
KI, die in der eigenen Verwaltungsumgebung bleibt
- Wiederkehrende Anfragen beantworten lassen oder Antwortentwürfe vorbereiten
- Vorschriften, Verwaltungsvorgaben und interne Regelungen durchsuchen
- Protokolle, Vermerke und lange Berichte zusammenfassen
- Mitarbeitende nutzen ein freigegebenes Werkzeug statt privater Accounts
Lokal betreibbar und mit lokalen Modellen auch offline. Auf Wunsch im Betrieb in einer Sicherheitszone (DMZ), mit Rollen, Protokollierung und Betriebsdokumentation.
Open WebUI mit lokalen Modellen auf eigener Hardware, optional DMZ-Betrieb (ab 2.500 €) und BSI-orientierte Sicherheitsdokumentation (ab 2.900 €). DSGPT ist nicht BSI-zertifiziert.
Forschung und Institute
Eine zentrale Plattform für viele Fachbereiche
- Mitarbeitende melden sich mit dem bestehenden Konto an und nutzen zentral angebundene Modelle
- Literatur, Berichte und Anträge zusammenfassen
- Token- und Kostenkontrolle je Nutzergruppe, damit Budgets planbar bleiben
- Modelle zentral wechseln oder ergänzen, ohne dass Teams etwas umstellen
Betrieb auf kundeneigener Infrastruktur, Anmeldung über Microsoft Entra ID, Benutzerverwaltung mit Rollen. Das entspricht dem Referenzprojekt von DSGPT für ein Forschungsinstitut.
Open WebUI mit LLM-Proxy, Entra ID sowie Token- und Kostenkontrolle. Zum Referenzprojekt.
Kanzlei und Rechtsabteilung
Verträge und Akten prüfen, mit Quellenbeleg
- Verträge und Berichte analysieren und zusammenfassen, jede Antwort mit Quellenangabe
- Klauseln und Fristen in Rahmenverträgen schneller finden
- Interne Muster und Wissensdatenbank für Sozietät oder Abteilung
- Erste Entwürfe vorbereiten, die immer fachlich geprüft werden
Berufsgeheimnisse wie das Mandatsgeheimnis erhöhen die Anforderungen. Sinnvoll sind lokale Modelle oder streng ausgewählte Anbieter mit dokumentierten Datenwegen. Die berufsrechtliche Prüfung bleibt bei Ihnen.
AnythingLLM als Wissensdatenbank mit Quellenangabe, wahlweise mit lokalem Modell. Rollen je Mandat oder Team über das Rechtekonzept (ab 750 €).
Mittelstand und Teams
Ein offizielles Werkzeug statt privater ChatGPT-Accounts
- Antworten zu Prozessen, Richtlinien und internem Wissen für das gesamte Team
- Textentwürfe, Übersetzungen und Zusammenfassungen im Arbeitsalltag
- Support und Vertrieb erhalten schnellere Antworten aus der eigenen Wissensbasis
- Budget bleibt planbar: ca. 2 € pro Nutzer und Monat an Token-Kosten
Ein Verbot hilft selten, die Nutzung wandert dann in private Accounts. Ein freigegebenes Werkzeug mit AV-Vertrag und klaren Nutzungsregeln schafft Ordnung.
LibreChat für mehrere Teams und Modelle oder Open WebUI für den schnellen Einstieg. Eine Standard-Einrichtung ist in wenigen Tagen produktiv.
Beispielszenarien aus den typischen Anforderungen der Branchen, keine Kundenprojekte. Als Kundenprojekt nennen wir hier nur das Forschungsinstitut. Ob ein Einsatz zulässig ist, hängt von Konfiguration und Anwendungsfall ab.
Was DSGVO-konforme KI kostet
Einrichtung einmal, danach Token-Kosten und optional Hosting. Stellen Sie Ihre Nutzerzahl ein.
Richtwerte von DSGPT. Support ab 249 € ist optional und hier nicht enthalten. Mit lokalen Modellen auf eigener Hardware entfallen die Token-Kosten beim Anbieter. Genauer rechnet der KI-Kostenrechner.
Angebot anfragenHäufige Fragen zu DSGVO-konformer KI
Was heißt DSGVO-konforme KI?
Ein Gütesiegel gibt es dafür nicht. Konform wird eine KI-Lösung durch ihr Setup: Verarbeitungszweck, verwendete Daten, Standort der Verarbeitung, vertragliche Einbindung der Anbieter, mögliche Drittlandtransfers, Löschfristen sowie technische und organisatorische Schutzmaßnahmen. Die abschließende Bewertung erfolgt immer am konkreten Einzelfall.
Welche DSGVO-konforme KI-Plattform eignet sich für Unternehmen?
Eine eigene Plattform auf Open-Source-Basis, die in Deutschland oder in Ihrer Infrastruktur läuft, zum Beispiel Open WebUI, LibreChat oder AnythingLLM. Welche passt, hängt vom Einsatz ab: Open WebUI für den schnellen Einstieg und lokale Modelle, LibreChat für mehrere Teams und Modelle, AnythingLLM für Wissensdatenbanken mit Quellenangabe.
Ist ChatGPT im Unternehmen DSGVO-konform nutzbar?
Das hängt vom Tarif und von Ihrer Konfiguration ab. Private Accounts bieten keinen Auftragsverarbeitungsvertrag. Bei Business- und Enterprise-Tarifen trainiert OpenAI laut eigenen Angaben standardmäßig nicht mit Ihren Daten, und neue Workspaces können Daten in Europa speichern. OpenAI bleibt ein US-Unternehmen, Übermittlungen in die USA stützen sich meist auf das EU-US Data Privacy Framework.
Brauche ich einen AV-Vertrag für KI-Dienste?
Ja, sobald ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Nach Art. 28 DSGVO braucht es einen Vertrag zur Auftragsverarbeitung mit Weisungsbindung und Regelung der Unterauftragnehmer. Das gilt für den Plattformbetreiber und für jeden angebundenen externen Modellanbieter. DSGPT schließt einen AV-Vertrag ab.
Gibt es DSGVO-konforme KI kostenlos?
Die Open-Source-Software selbst kostet keine Lizenzgebühr. Für Einrichtung, Absicherung und Betrieb fallen aber Kosten an. Bei DSGPT starten sie bei einmalig 3.900 € netto für Open WebUI. Zum Ausprobieren bekommen Sie einen kostenlosen Testzugang.
Kann ich einen DSGVO-konformen Chatbot testen?
Ja. Nach Ihrer Anfrage richtet DSGPT kurzfristig einen persönlichen Testzugang ein. Sie bekommen Zugriff auf alle drei Umgebungen (Open WebUI, LibreChat, AnythingLLM) und können sie vergleichen.
Muss die KI komplett lokal laufen, damit sie datenschutzkonform ist?
Nein. Lokale Modelle bieten die größte Datenhoheit, weil keine Daten an externe Anbieter gehen. Aber auch externe Modelle lassen sich einsetzen, wenn Anbieter, Tarif, Region, Verträge und Datenwege passen und dokumentiert sind. Viele Unternehmen mischen beides.
Ist KI-Kompetenz der Mitarbeitenden Pflicht?
Ja, die KI-Kompetenzpflicht nach Art. 4 der KI-Verordnung gilt seit dem 2. Februar 2025 und richtet sich auch an Unternehmen, die KI nur einsetzen. Seit dem 2. August 2026 ist sie behördlich durchsetzbar. Der Nachweis läuft über die Dokumentation von Schulungen und Maßnahmen.
Ist DSGPT BSI-zertifiziert?
Nein. DSGPT kann BSI-orientiert geplant, eingerichtet und dokumentiert werden. Eine formale Prüfung oder Zertifizierung hängt von Einsatz, Infrastruktur, Modellanbieter und organisatorischen Maßnahmen ab.
DSGVO-konforme KI bei sich testen
Wir richten Ihnen einen kostenlosen Testzugang ein und besprechen Datenwege, Modelle und Hosting an Ihrem Beispiel. Kostenlos und unverbindlich.
+49 40 743 023 37Quellen
- DSGPT Wissen und DSGVO-konforme KI: Was Unternehmen 2026 wissen müssen
- DSGPT-Blog: Das Data Privacy Framework wackelt (EDSA, Juli 2026; Rechtssache C-703/25 P)
- DSGPT-Blog: KI-Kompetenz nach Artikel 4
- OpenAI: Introducing data residency in Europe
- DSGPT-Preise und DSGPT-FAQ
Zuletzt aktualisiert: 29. Oktober 2026 · ADence GmbH, Hamburg. Diese Seite ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.
Antwort innerhalb 24hTermin buchen