Welche Daten darf ich in ChatGPT oder Claude eingeben?

Sobald es in einer Beratung oder in einem Workshop um KI geht, hören wir diese Fragen.

• „Wie muss die Einwilligung dazu aussehen?“
• „Darf man das?“
• „Das geht doch bestimmt nicht, wegen Datenschutz?“
• „Darf man anonymisierte Daten verwenden?“

Viele Betriebe sind massiv verunsichert und gehen davon aus, dass man bei KI wegen Datenschutz gar nichts darf. Das stimmt so nicht. Nicht alles ist erlaubt, aber deutlich mehr als gedacht.

In diesem Beitrag geht es darum, welche Daten wirklich heikel sind, welche meist unkritisch sind und was dazwischen liegt. Dazu zeigen wir, wie wir das bei unserer eigenen App Knuffel machen, welcher Tarif sich eignet und wie eine einfache KI-Richtlinie für den Anfang aussehen kann.

Was wirklich schützenswert ist

Die DSGVO schützt personenbezogene Daten. Gemeint sind alle Informationen, die sich einer bestimmten Person zuordnen lassen. Also Name, Adresse und Telefonnummer, aber auch eine Kundennummer oder ein Vorgang, aus dem hervorgeht, um wen es geht.

Besonders streng ist die DSGVO bei Gesundheitsdaten. Sie gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten, zusammen mit Angaben etwa zur religiösen Überzeugung, zur Gewerkschaftszugehörigkeit oder zur sexuellen Orientierung. Solche Daten dürfen grundsätzlich nicht verarbeitet werden, außer in den Ausnahmen, die Art. 9 Abs. 2 aufzählt, zum Beispiel mit ausdrücklicher Einwilligung.

Warum das so ist, merkt man spätestens bei den eigenen Daten. Stefan Antonelli, der Gründer von operunAI, war beim Hautarzt und hat einen Ganzkörper-Scan zur Hautkrebs-Vorsorge machen lassen. Für ihn war das „ein ziemlich unwürdiger Moment“. Solche Daten sollen weder im Internet landen noch ungefragt an Dritte weitergegeben werden. Genau dafür gibt es den besonderen Schutz.

Schützenswert ist aber nicht nur, was die DSGVO regelt. Für einen Betrieb gehören genauso Betriebsgeheimnisse dazu, also Kalkulationen, Konditionen oder Konstruktionsdaten, und alles andere, was bei einem Datenabfluss Schaden anrichtet. Hier geht es nicht um die Rechte anderer, sondern um das eigene Geschäft.

Sorgfalt mit sensiblen Daten ist dabei kein Thema, das erst mit KI aufgekommen ist. Stefan hat das Prinzip schon 1999 in seiner IT-Ausbildung gelernt, und es ist ihm bis heute extrem wichtig. Mit KI kommt nur ein weiterer Weg dazu, auf dem Daten das Haus verlassen können.

Was meist unkritisch ist

Vieles, wofür Betriebe KI einsetzen, ist dagegen meist unkritisch.

• Inhalte, die ohnehin veröffentlicht werden. Texte für die Website, Produktbeschreibungen, Social-Media-Beiträge und Pressetexte. Was morgen sowieso jeder lesen kann, musst du der KI nicht vorenthalten.
• Echt anonymisierte Daten. Daten, bei denen niemand mehr herausfinden kann, um welche Person es geht.

Eine Einschränkung gibt es auch hier. Veröffentlichte Daten fallen ebenfalls unter die DSGVO, sobald Personen darin vorkommen. Der Pressetext mit Namen und Zitat eines Mitarbeiters bleibt personenbezogen, auch wenn er schon auf der Website steht. Das Risiko ist aber ein anderes, weil die Information ohnehin öffentlich ist.

Anonymisiert oder pseudonymisiert

Damit zur Frage aus dem Einstieg, ob man anonymisierte Daten verwenden darf. Die Antwort ist ja, wenn sie wirklich anonymisiert sind. Entscheidend ist dabei der Unterschied zu pseudonymisierten Daten, denn die beiden werden im Alltag gerne verwechselt.

• Anonymisiert heißt, dass niemand den Personenbezug wiederherstellen kann, auch du selbst nicht. Solche Daten fallen nach Erwägungsgrund 26 nicht mehr unter die DSGVO.
• Pseudonymisiert heißt, dass zum Beispiel nur der Name gegen ein Kürzel getauscht wurde. Aus Maria Huber wird Kundin K-1047. Solange es irgendwo eine Liste gibt, die das Kürzel wieder einer Person zuordnet, lässt sich der Bezug herstellen. Für deinen Betrieb bleiben solche Daten personenbezogen.

Vorsicht auch bei Daten, die nur auf den ersten Blick anonym sind. Eine Reklamation ohne Namen, aber mit Ort, Datum und genauer Beschreibung des Auftrags lässt sich in einem kleinen Betrieb oft trotzdem einer Person zuordnen. Wer nur den Namen schwärzt, hat noch nicht anonymisiert.

Die Grauzone: Kundendaten aus der Geschäftsbeziehung

Schwieriger wird es bei allem dazwischen, also bei Mails von Kunden, Angeboten und Reklamationen. Das sind personenbezogene Daten, in der Regel aber keine Gesundheitsdaten und keine Betriebsgeheimnisse. Und genau hier wäre KI oft am nützlichsten, beim Entwurf einer Antwort, bei der Vorbereitung eines Angebots oder bei der Zusammenfassung einer Reklamation.

Unsere Empfehlung dafür ist eindeutig.

„Ich rate ausschließlich zu Business-Tarifen mit entsprechender vertraglicher Grundlage. Wo sensible Daten zum Einsatz kommen oder man Datenabfluss befürchtet, zum Beispiel bei Betriebsgeheimnissen oder Wirtschaftsspionage, rate ich zu lokalen Modellen.“

Stefan Antonelli

Ein Business-Tarif heißt dabei drei Dinge.

• Er kostet Geld. Kostenlose Privat-Accounts haben im Betrieb nichts verloren. Bei Gemini mit einem privaten Google-Konto zum Beispiel werden Chats standardmäßig genutzt, um die Modelle zu verbessern, und ein Teil davon wird von Menschen gelesen (Google).
• Es gibt einen Vertrag zur Auftragsverarbeitung. Kurz AVV, geregelt in Art. 28 DSGVO. Darin verpflichtet sich der Anbieter unter anderem, die Daten nur nach deinen Weisungen zu verarbeiten und angemessen zu schützen.
• Deine Eingaben werden nicht zum Training verwendet. Was du eingibst, fließt standardmäßig nicht in die nächste Generation des Modells ein.

Kostenpflichtig allein reicht allerdings nicht. Claude Pro und Max oder ChatGPT Plus und Pro kosten auch Geld, sind aber Tarife für Privatpersonen. Einen AVV gibt es dafür nicht, und die Nutzung der Chats für das Training muss man dort selbst abschalten. Anthropic schließt in seinen Bedingungen für Verbraucher in Europa die Nutzung für geschäftliche Zwecke sogar ausdrücklich aus (Anthropic).

Und die Frage nach der Einwilligung aus dem Einstieg? Für normale Kundendaten aus der Geschäftsbeziehung braucht es in der Regel keine Einwilligung jedes einzelnen Kunden. Der Anbieter ist im Business-Tarif rechtlich ein Auftragsverarbeiter, so wie der Anbieter deines Mailservers oder deiner Buchhaltungssoftware in der Cloud. Was es dafür braucht, ist vor allem der AVV.

Für alles, was das Haus auf keinen Fall verlassen soll, bleibt das lokale Modell. Es läuft auf einem Rechner im eigenen Betrieb, die Daten gehen an keinen Anbieter. Dafür ist ein lokales Modell meist weniger leistungsfähig als die großen Modelle in der Cloud, und Einrichtung und Betrieb liegen bei dir. Für Kalkulationen, Konstruktionsdaten oder Strategiepapiere kann sich das trotzdem lohnen.

So machen wir es selbst bei Knuffel

Wie das in der Praxis aussieht, zeigen wir an unserer eigenen App. Knuffel ist das Startup von Stefan Antonelli und Sebastian Kaiser für personalisierte Kinderbücher. Texte und Bilder entstehen dort mit KI.

• Der KI-Teil. Hier verarbeiten wir keine personenbezogenen Daten, also keine Kundendaten.
• Die Kundendaten. Sie liegen auf Systemen in Europa und sind klar vom KI-Teil getrennt. Diese Daten kommen nie mit KI in Berührung.
• Die Verträge. Dort, wo wir KI einsetzen, und zwar ausdrücklich mit unkritischen Daten, nutzen wir kostenpflichtige Business-Tarife und APIs mit AVV und vertraglicher Grundlage, konkret Google Workspace und Claude Team.

Wir wissen also sehr genau, was wir tun. Und das Projekt funktioniert für uns in Europa auch nur, weil wir im KI-Teil zum Beispiel kein Foto des Kindes verwenden, nicht einmal seinen Namen. Knuffel arbeitet stattdessen mit dem Foto des Kuscheltiers.

Die Botschaft dahinter ist einfach. Die Trennung wird beim Aufbau des Systems entschieden, nicht erst beim Prompt. Wer erst beim Eintippen überlegt, ob etwas heikel ist, verlässt sich darauf, dass jeder im Team jedes Mal richtig entscheidet. Was ein System gar nicht erst zu sehen bekommt, kann es auch nicht weitergeben.

Das wird umso wichtiger, je selbstständiger KI im Betrieb arbeitet. Ein KI-Agent, der Mails liest, Angebote vorbereitet und Daten zwischen Systemen abgleicht, sieht alles, worauf er Zugriff hat. Deshalb gehört zum Aufbau auch die Frage, welche Rechte ein Agent bekommt.

Wenn Datenschutz zur Kostenfrage wird

Manchmal ist die Frage nicht, ob etwas datenschutzkonform geht, sondern was es kostet. Ein Fall aus unserer Praxis zeigt das gut.

Ein Landkreis hat bei uns eine Telefon-KI angefragt. Das Projekt kam nicht zustande, und der Grund war der Datenschutz. Die Telefon-KI nutzt Infrastruktur von Microsoft, konkret die Cloud-Plattform Azure. Für den Datenschutzbeauftragten vor Ort ist sie damit nicht zulässig. Er beruft sich auf die Aussagen des Landesdatenschutzbeauftragten. Solange es von dort kein eindeutiges OK für Microsoft gibt, geht es nicht weiter.

„Wir können das natürlich auch datenschutzkonform lösen, aber dann zum 20-fachen Preis des aktuellen Angebots.“

Stefan Antonelli

Eindeutig ist die Lage bei Microsoft tatsächlich nicht. Die Datenschutzkonferenz von Bund und Ländern hat 2022 festgestellt, dass sich ein datenschutzkonformer Einsatz von Microsoft 365 auf Grundlage der damaligen Vertragsunterlagen nicht nachweisen lässt (DSK). Seitdem gehen die Einschätzungen der Aufsichtsbehörden auseinander. Einzelne halten einen datenschutzkonformen Betrieb inzwischen unter Bedingungen für möglich, andere sehen weiterhin offene Fragen. Dazu kommt die Frage der Übermittlung in die USA. Microsoft ist dafür unter dem EU-US Data Privacy Framework zertifiziert. Eine erste Klage dagegen hat das Gericht der EU 2025 abgewiesen, über die Berufung entscheidet jetzt der Europäische Gerichtshof (Rechtssache C-703/25 P). Die beiden Vorgängerregelungen hat der Gerichtshof 2015 und 2020 für ungültig erklärt.

Aus Sicht des Datenschutzbeauftragten ist die Entscheidung nachvollziehbar, er orientiert sich an der Aufsicht. Der Fall zeigt aber den Zielkonflikt, um den es in vielen Projekten geht. Mehr Rechtssicherheit kostet Geld, manchmal ein Vielfaches. Wie viel Sicherheit sich ein Betrieb leisten will und wo er mit einem verbleibenden Risiko leben kann, ist eine Abwägung. Treffen muss sie der Verantwortliche.

Welcher Tarif es sein sollte

Für die meisten Betriebe ist ein Business-Tarif bei einem der großen Anbieter der richtige Start. Wir setzen selbst Google Workspace und Claude Team ein und empfehlen beides. Was die beiden Tarife zusagen, haben wir für diesen Beitrag in den Bedingungen der Anbieter nachgesehen, Stand Oktober 2026. Die Bedingungen ändern sich regelmäßig, ein Blick vor dem Abschluss lohnt sich also.

Claude Team

• Training. Eingaben und Ergebnisse werden standardmäßig nicht zum Training verwendet. Eine Ausnahme sind Bewertungen mit Daumen hoch oder runter, die bewertete Unterhaltung darf Anthropic dann für das Training nutzen. Die Bewertungsfunktion lässt sich für das ganze Team abschalten (Anthropic).
• AVV. Der AVV ist automatisch Teil der kommerziellen Bedingungen, eine eigene Unterschrift braucht es nicht. Er enthält die Standardvertragsklauseln der EU, die die Übermittlung in die USA regeln (Anthropic).
• Datenstandort. Die Daten werden in den USA gespeichert. Eine Option, sie in der EU zu halten, gibt es für Claude Team nicht. Eine Verarbeitung in der EU ist nur möglich, wenn man die Modelle über AWS oder Google Cloud anbindet, nicht in der Chat-Oberfläche von Claude (Anthropic).
• Einstellungen für Admins. Admins verwalten die Mitglieder, können Single Sign-on einrichten und Funktionen wie Websuche, Codeausführung, Gedächtnis und Konnektoren zu anderen Diensten ein- oder ausschalten. Protokolle und eigene Löschfristen gibt es erst im Enterprise-Tarif (Claude).

Google Workspace mit Gemini

• Training. Eingaben, Inhalte und Antworten werden ohne Erlaubnis weder von Menschen geprüft noch außerhalb deiner Organisation zum Training verwendet. Das gilt für Gemini in Gmail, Docs und den anderen Workspace-Apps genauso wie für die Gemini-App, solange du mit dem Firmenkonto angemeldet bist (Google).
• AVV. Googles AVV heißt Cloud Data Processing Addendum und ist Teil der Vertragsbedingungen. Ist er im Vertrag noch nicht enthalten, muss ein Super-Admin ihn in der Admin-Konsole in den Kontoeinstellungen akzeptieren. Google empfiehlt, das im Zweifel zu tun (Google).
• Datenstandort. Ab Business Standard kann der Admin festlegen, dass gespeicherte Daten in der EU liegen, auch die Eingaben und Antworten von Gemini. Business Starter hat diese Option nicht. Eine Zusage, dass die Daten auch in der EU verarbeitet werden, gibt es erst mit bestimmten Enterprise-Tarifen oder einem kostenpflichtigen Zusatzpaket (Google).
• Einstellungen für Admins. Die Gemini-App lässt sich für einzelne Abteilungen oder Gruppen ein- und ausschalten. Außerdem legt der Admin fest, ob der Verlauf gespeichert wird und nach wie vielen Monaten er automatisch gelöscht wird (Google).

Zum Vergleich: ChatGPT Business und Enterprise

Auch OpenAI verwendet Daten aus ChatGPT Business und Enterprise standardmäßig nicht zum Training (OpenAI). Den AVV schließt du dort über ein Online-Formular ab, er kommt also nicht automatisch. Eine Speicherung in Europa bietet OpenAI für Enterprise an (OpenAI).

Mit dem Abschluss allein ist es nicht getan. Ein Admin sollte einmal durchgehen, welche Funktionen eingeschaltet sind, vor allem bei Konnektoren zu Postfach, Dateiablage oder CRM. Je mehr Zugriff ein Assistent hat, desto mehr kann über ihn auch ungewollt abfließen. Wie das passieren kann, steht im Beitrag zu Prompt Injection.

Eine KI-Richtlinie für den Anfang

Damit nicht jeder im Team selbst entscheiden muss, was er eingeben darf, braucht es ein paar klare Regeln. Eine KI-Richtlinie muss dafür nicht lang sein. Für den Anfang reichen fünf Punkte.

1. Nur freigegebene Tools mit Business-Tarif. Die Richtlinie nennt die Tools, die im Betrieb genutzt werden. Private Accounts sind für betriebliche Daten tabu, auch die bezahlten.
2. Keine personenbezogenen Daten oder Gesundheitsdaten ohne Freigabe. Wer Kundendaten mit KI bearbeiten will, klärt vorher, ob und in welchem Tool das geht.
3. Betriebsgeheimnisse nur in lokalen Modellen oder gar nicht. Kalkulationen, Konditionen, Konstruktionsdaten und alles, was der Konkurrenz nützen würde.
4. Ein Mensch prüft Ergebnisse, bevor sie rausgehen. KI macht Fehler und klingt dabei überzeugend. Was an Kunden, Lieferanten oder die Öffentlichkeit geht, liest vorher jemand.
5. Ein Ansprechpartner im Betrieb für Fragen. Jemand, den man fragt, bevor man etwas eingibt, und nicht erst hinterher.

Damit eine Richtlinie wirkt, muss sie im Alltag praktisch umsetzbar sein. Bei einem Handwerksbetrieb haben wir uns einen Prozess angeschaut und ihn KI-gestützt digitalisiert. Die Theorie war das eine. In der Praxis mussten die Mitarbeiter am Ende nur zwei, drei Kleinigkeiten am Ablauf ändern oder berücksichtigen, damit sich das Ganze DSGVO-konform umsetzen ließ.

Und sie muss im Team akzeptiert sein. Ein KI-Projekt darf nicht von oben übergestülpt werden. Bei einer Agentur konnten wir das Team mit einem frühen Workshop mitnehmen und Ängste abbauen. Durch das Feedback haben wir sogar Prozesse früh und entscheidend angepasst. Weil das Team beteiligt war, stieg die Akzeptanz. Und der enge Kontakt zu denen, die die Lösung später nutzen, hat die Umsetzung ganz nebenbei noch verbessert.

Eine Vorlage für eine solche KI-Richtlinie gibt es als Unterlage in unserem Workshop KI für Unternehmer.

Persönliche Meinung und professioneller Umgang

Eine Unterscheidung ist Stefan beim Thema Datenschutz besonders wichtig.

„Ich persönlich habe keine Grenze. Ich würde sogar medizinische Daten uneingeschränkt in ein Modell kippen, wenn ich mir dadurch positive Effekte auf mein Leben erhoffe, Stichwort Krebs-Erkennung. Mir ist aber wichtig, klar zu differenzieren zwischen meiner persönlichen Meinung und dem professionellen Umgang mit Daten bei Kundenprojekten, im Rahmen der Gesetze oder in Grauzonen, wo die Entscheidung beim Verantwortlichen liegt, also beim Geschäftsführer. Hier muss man aufklären, damit eine fundierte Entscheidung getroffen werden kann.“

Stefan Antonelli

Zum Hautarzt-Beispiel vom Anfang ist das kein Widerspruch. Über die eigenen Daten entscheidet jeder selbst. Bei den Daten anderer gelten die Regeln, und wo sie Spielraum lassen, entscheidet der Verantwortliche.

Das ist auch unsere Rolle bei operunAI. Wir nehmen niemandem die Entscheidung ab, welches Risiko sein Betrieb eingeht. Wir klären auf, welche Daten wohin gehen, was ein Tarif zusagt und was eine Lösung kostet, damit der Verantwortliche fundiert entscheiden kann.

Fazit

Bei KI ist nicht alles erlaubt, aber deutlich mehr als viele denken. Gesundheitsdaten und Betriebsgeheimnisse brauchen besonderen Schutz. Veröffentlichte Inhalte und echt anonymisierte Daten sind meist unkritisch. Für Kundendaten aus dem Alltag braucht es einen Business-Tarif mit AVV, und was das Haus nicht verlassen darf, gehört in ein lokales Modell oder gar nicht in eine KI. Entschieden wird das beim Aufbau des Systems, nicht erst beim Prompt.

Wer das für den eigenen Betrieb durchgehen möchte, findet die Themen in unserem Workshop KI für Unternehmer am 24. November 2026 in Wasserburg am Inn. Auf der Agenda stehen unter anderem „Tarife, Kosten und Daten“ sowie „DSGVO, AI Act und KI-Richtlinie“.

Dieser Beitrag zeigt, worauf es in der Praxis ankommt, und ist keine Rechtsberatung. Im Zweifel gehört dein Datenschutzbeauftragter oder ein Anwalt mit an den Tisch.