Dein Rechtsteam blockiert KI wegen DSGVO – dabei sind 80 % deiner Marketing-Daten gar keine personenbezogenen Daten
Hier ist das Ding: Die meisten DACH-Unternehmen verschwenden gerade Monate in juristischen Prüfschleifen, bevor sie ein einziges KI-Content-Tool freigeben. Und der Grund? Eine kollektive Überreaktion auf DSGVO-Risiken, die in der Praxis für Marketing- und Growth-Teams größtenteils gar nicht existieren. Ganz ehrlich, das ist eines der frustrierendsten Muster, das ich nach 26 Jahren in der digitalen Produktentwicklung immer wieder sehe.
Ich habe bei AI NATION über 200 KI-Startups begleitet und bei Simplifiers.ai mehr als 100 digitale Projekte umgesetzt. Und was mir dabei auffällt: Die eigentliche Datenschutz-Gefahr für DACH-Unternehmen liegt nicht darin, KI zu rücksichtslos einzusetzen. Sie liegt darin, Geschäftsgeheimnisse wie Preisstrategien, Go-to-Market-Pläne und Produktroadmaps völlig unbedarft in externe KI-Tools einzutippen, während die Rechtsabteilung gleichzeitig harmlose Use Cases monatelang blockiert. Das ist die echte Risikoverschiebung, über die niemand spricht.
Kurze Antwort: KI-Content-Tools werden erst zum DSGVO-Thema, wenn du personenbezogene Daten eingibst. Reine Firmendaten wie Kampagnenbriefings, Preislisten oder Produktbeschreibungen sind kein personenbezogenes Datum und fallen nicht unter die DSGVO – dein größtes Risiko ist hier das Geschäftsgeheimnisgesetz (GeschGehG), nicht der Datenschutz.
⚡ TL;DR – Die wichtigsten Erkenntnisse:
- ✅ Firmendaten ohne Personenbezug (Kampagnenpläne, Preise, Briefings) fallen nicht unter die DSGVO – trotzdem gibt es Risiken durch das Geschäftsgeheimnisgesetz.
- ✅ Sobald du Namen, E-Mails oder Nutzerverhalten in KI-Tools eingibst, gilt die DSGVO und du brauchst eine Rechtsgrundlage plus ggf. einen AV-Vertrag.
- ✅ Die stärkste Schutzmaßnahme ist nicht ein Verbot, sondern eine klare Dateninventur: Was ist personenbezogen? Was ist Geschäftsgeheimnis? Was ist beides?
- ✅ Laut einer Bitkom-Studie (2023) hatten 15 % der deutschen Unternehmen bereits IP- oder Datenverluste durch Cloud- und SaaS-Tools – das ist ein Unternehmens-Risiko, kein reines DSGVO-Problem.
1. Welche Daten bei KI-Content-Tools tatsächlich abfließen
Was ist es: Wenn du einen Prompt in ein KI-Content-Tool eingibst, landet dieser Text auf den Servern des Anbieters. Was danach damit passiert, hängt vollständig von den Nutzungsbedingungen ab. Einige Anbieter nutzen Eingaben standardmäßig zum Nachtrainieren ihrer Modelle, andere speichern sie temporär für Support-Zwecke, wieder andere bieten explizite Opt-out-Optionen oder Enterprise-Pläne mit strikter Datentrennung.
Für wen relevant: Für alle Marketing- und Growth-Teams, die täglich mit KI-Tools arbeiten. Besonders brisant wird es, sobald du reale Kundendaten, interne Strategie-Dokumente oder unveröffentlichte Produktinformationen in Prompts packst, weil du dann nicht mehr weißt, wo diese Daten landen.
Was konkret abfließen kann:
- Personenbezogene Daten: Kundennamen, E-Mail-Adressen, Telefonnummern, Nutzerverhaltensdaten aus CRM oder Analytics
- Geschäftsgeheimnisse: Preismodelle, Rabattstrukturen, nicht-öffentliche Produktpläne, M&A-sensitive Inhalte
- Interne Prozessdaten: Workflow-Dokumentation, Organigramme, interne Kennzahlen
- Marktstrategische Daten: Kampagnenbriefings mit Wettbewerbsanalysen, Go-to-Market-Pläne
Grenze: Reine Strukturdaten wie ein leeres Briefing-Template oder eine generische Content-Anfrage ohne Unternehmensbezug sind in der Regel unkritisch. Das Problem entsteht erst durch den konkreten Inhalt der Eingabe, nicht durch das Tool an sich.
2. Warum das für Unternehmen ein echtes Risiko ist – und welches genau
Was ist es: Hier kommt der Haken, den die meisten Datenschutz-Guides komplett ignorieren. Es gibt zwei völlig verschiedene Risikodimensionen, die du nicht verwechseln solltest: DSGVO-Risiken betreffen nur personenbezogene Daten. Geschäftsgeheimnis-Risiken betreffen alles andere, was deinem Unternehmen einen Wettbewerbsvorteil verschafft.
Für wen relevant: Für SMB-Marketing-Manager und Scale-up-Growth-Teams, die täglich strategische Inhalte erstellen. Also für dich, wenn du gerade diesen Artikel liest.
Die zwei Risiko-Ebenen im Überblick:
| Datentyp | Beispiele | Regulierung | Risiko bei unkontrolliertem KI-Einsatz |
|---|---|---|---|
| Personenbezogene Daten | Kundennamen, E-Mails, Nutzerverhalten | DSGVO (Art. 4 Nr. 1) | Bußgelder bis 4 % des Jahresumsatzes, Abmahnungen |
| Geschäftsgeheimnisse | Preismodelle, Produktroadmaps, M&A-Daten | GeschGehG (§ 2 Nr. 1) | Verlust von Wettbewerbsvorteilen, Vertragsbruch |
| Neutrale Firmendaten | Briefing-Templates, allg. Prozessdoku | Keine direkte Regulierung | Minimal bis keines |
| Gemischte Daten | CRM-Kampagnenexporte mit Kundennamen | DSGVO + ggf. GeschGehG | Hoch – beides gilt gleichzeitig |
Stärke dieser Einordnung: Wenn du diese Trennung einmal verstanden hast, kannst du 80 % deiner Content-Workflows sofort und ohne juristische Prüfschleife mit KI beschleunigen. Weil eben 80 % deiner täglichen Marketing-Aufgaben mit Daten arbeiten, die keine personenbezogenen Daten im Sinne der DSGVO sind.
Grenze: Die Bitkom-Studie aus 2023 zeigt, dass 15 % der deutschen Unternehmen bereits Datenverluste durch Cloud- und SaaS-Tools erlebt haben. Das GeschGehG-Risiko ist also kein theoretisches Konstrukt. Es passiert gerade, während du diesen Satz liest. Mehr erfahren: KI DSGVO.
3. Worauf du bei Vertraulichkeit und DSGVO konkret achten musst
Was ist es: Der Datenschutz-Experte Jousef Murad bringt es für den DACH-Raum auf den Punkt: Im DACH-Raum ist Datenschutz Pflicht, und KI-Systeme sollten von Anfang an DSGVO-konform dokumentiert werden. Das klingt trocken. In der Praxis bedeutet es: Du brauchst drei Dinge, bevor du personenbezogene Daten in ein KI-Tool gibst.
Für wen relevant: Für alle, die KI-Tools in Workflows einbinden, die mit Kontaktdaten, CRM-Exporten, Bewerbungsunterlagen oder Nutzeranalysen arbeiten. Also auch für Marketing-Teams, sobald Kundendaten ins Spiel kommen.
Die drei DSGVO-Pflichten für KI-Content-Tools:
- Rechtsgrundlage (Art. 6 DSGVO): Auf welcher Basis verarbeitest du die Daten? Einwilligung, berechtigtes Interesse oder Vertragserfüllung. Ohne Rechtsgrundlage kein legaler KI-Einsatz mit personenbezogenen Daten.
- Auftragsverarbeitungsvertrag (AV-Vertrag): Wenn ein externer KI-Anbieter personenbezogene Daten für dich verarbeitet, ist ein AV-Vertrag nach DSGVO verpflichtend. Viele Tools bieten das in ihren Enterprise-Plänen an, im Free-Plan meistens nicht.
- Datenminimierung (Art. 5 DSGVO): Gib nur die Daten in KI-Tools ein, die für den konkreten Zweck wirklich notwendig sind. Alles andere vorher anonymisieren oder weglassen.
Stärke: Tilman Möller von INTEGRI betont zudem, dass KI-Einführungen ohne klaren Einführungsplan und Compliance-Rahmen regelmäßig scheitern oder keinen messbaren Nutzen liefern. Ein dokumentierter Prozess schützt also nicht nur rechtlich, sondern sorgt auch für bessere Ergebnisse.
Grenze: Automatisierte Entscheidungen mit rechtlicher Wirkung, zum Beispiel eine KI, die allein über Kreditvergabe oder Bewerberauswahl entscheidet, sind nach DSGVO Art. 22 grundsätzlich unzulässig. Ein Mensch muss hier immer prüfen und mittragen. Das gilt auch dann, wenn der AV-Vertrag unterschrieben ist.
4. Wie sich Datenhoheit technisch sicherstellen lässt
Was ist es: Datenhoheit bedeutet, dass du weißt, wo deine Daten liegen, wer Zugriff hat und wie du diesen Zugriff entziehen kannst. Das ist keine philosophische Forderung, sondern eine technische Konfigurationsfrage. Und die gute Nachricht: Es gibt heute praktikable Lösungen für Teams jeder Größe.
Für wen relevant: Besonders für Scale-ups und mittelständische Unternehmen, die KI nicht nur in einem einzelnen Tool einsetzen, sondern in mehreren parallelen Workflows. Je mehr Tools, desto größer der Überblicksverlust.
Technische Optionen von einfach bis komplex:
- Anbieter-Einstellungen nutzen: Viele Tools wie ChatGPT Team oder Microsoft Copilot M365 bieten Opt-out-Optionen für das Modell-Training. Das ist der schnellste erste Schritt und kostet nichts außer fünf Minuten Konfigurationszeit.
- Enterprise- oder EU-Hosting wählen: Tools mit EU-Rechenzentrum und dedizierten Enterprise-Plänen halten Daten innerhalb des EU-Rechtsraums. Das vereinfacht die DSGVO-Compliance erheblich.
- Lokale oder private KI-Instanzen: Für besonders sensible Daten, etwa aus dem Bereich Finanzen oder HR, können lokal betriebene Modelle wie LLaMA oder private Azure-OpenAI-Instanzen sinnvoll sein. Aufwand hoch, Kontrolle vollständig.
- Datenmaskierung vor dem Prompt: Personenbezogene Daten vor der Eingabe systematisch anonymisieren oder pseudonymisieren. Ein einfaches Skript oder ein Middleware-Layer kann das automatisieren.
Stärke: In unserer Redaktionsarbeit bei AI Redaktion erstellen wir Fachartikel aus Experteninterviews. Dabei sehen wir regelmäßig, dass Teams, die eine einmalige technische Einrichtung für sichere KI-Workflows investieren, danach deutlich schneller arbeiten als solche, die jede Anfrage einzeln manuell prüfen.
Grenze: Lokale Modelle lösen das GeschGehG-Problem, sind aber kein Allheilmittel. Wenn Zugriffsrechte intern nicht sauber geregelt sind, kann ein Mitarbeiter Geschäftsgeheimnisse auch lokal in ein KI-System eingeben, das von Kollegen mitgenutzt wird. Technologie ersetzt keine Richtlinien.
5. Checkliste: KI-Content-Tools DSGVO-sicher und datensouverän einsetzen
Was ist es: Eine kompakte Checkliste für Marketing-Manager und Growth-Teams, die KI-Tools bereits nutzen oder gerade einführen. Kein juristisches Dokument, sondern ein Praxis-Check für den Alltag.
Für wen relevant: Für dich, wenn du heute noch mit deinem Team besprechen willst, welche Daten ihr in welche Tools gebt. Und für alle, die ihrem Management erklären müssen, dass ihr nicht leichtfertig handelt. Empfohlener Artikel: KI Kennzeichnungspflicht.
Die Checkliste:
- ✅ Dateninventur gemacht: Welche Daten in euren KI-Workflows sind personenbezogen? Welche sind Geschäftsgeheimnisse? Welche sind neutral?
- ✅ Rechtsgrundlage geprüft: Für jeden Use Case mit personenbezogenen Daten gibt es eine dokumentierte Rechtsgrundlage nach Art. 6 DSGVO.
- ✅ AV-Vertrag abgeschlossen: Mit jedem externen KI-Anbieter, der personenbezogene Daten verarbeitet, besteht ein gültiger Auftragsverarbeitungsvertrag.
- ✅ Training-Opt-out aktiviert: In allen genutzten KI-Tools sind die Einstellungen geprüft, die verhindern, dass Eingaben für Modell-Training verwendet werden.
- ✅ Datenminimierung umgesetzt: Prompts enthalten nur die Daten, die für den jeweiligen Zweck wirklich notwendig sind. Alles andere wird vorher entfernt oder anonymisiert.
- ✅ Keine vollautomatisierten Entscheidungen: Kein KI-System trifft allein Entscheidungen mit rechtlicher Wirkung für Personen. Es gibt immer einen menschlichen Review-Schritt.
- ✅ Mitarbeiter-Richtlinie existiert: Alle Teammitglieder wissen, welche Daten sie in welche Tools eingeben dürfen und welche nicht. Die Richtlinie ist schriftlich und zugänglich.
- ✅ GeschGehG-Bewusstsein vorhanden: Das Team weiß, dass Preismodelle, Produktroadmaps und M&A-sensitive Informationen auch dann nicht in externe KI-Tools gehören, wenn sie keine personenbezogenen Daten enthalten.
- ✅ Anbieter-Bedingungen regelmäßig geprüft: KI-Anbieter ändern ihre Nutzungsbedingungen. Es gibt einen festen Prozess (z.B. halbjährlich), um Änderungen zu überprüfen.
Stärke: Diese Checkliste deckt beide Risikodimensionen ab, also DSGVO und GeschGehG. Die meisten anderen Guides fokussieren sich nur auf eine davon. Das ist, ehrlich gesagt, zu kurz gedacht.
Grenze: Eine Checkliste ersetzt keine vollständige Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO, die bei bestimmten Hochrisiko-Verarbeitungen verpflichtend ist. Bei komplexen Use Cases, etwa KI-gestützter Personalisierung mit Kundenprofilen, empfehle ich immer zusätzlich einen Datenschutzbeauftragten einzubinden.
Was schiefgehen kann – und wie du es vermeidest
Ganz ehrlich, die häufigsten Fehler, die ich bei der KI-Einführung in Marketing-Teams sehe, sind nicht technischer Natur. Sie sind organisatorischer Natur. Hier die drei, die ich am häufigsten beobachte:
Fehler 1: Compliance-Paralysis. Das Rechtsteam blockiert jeden KI-Use-Case pauschal, ohne zwischen personenbezogenen Daten, Geschäftsgeheimnissen und neutralen Daten zu unterscheiden. Das Ergebnis: Der Wettbewerb aus dem Ausland, der die gleichen Tools nutzt, arbeitet drei Monate schneller. Das ist kein theoretisches Risiko, das ist Realität in vielen DACH-Unternehmen gerade.
Fehler 2: Zu sorgloser Umgang mit Nicht-DSGVO-Daten. Weil die DSGVO-Prüfung ergeben hat, dass keine personenbezogenen Daten vorliegen, gibt das Team danach Preismodelle und Produktroadmaps unbedarft in ChatGPT ein. Das GeschGehG greift auch hier, und das Bewusstsein dafür fehlt in den meisten Teams komplett.
Fehler 3: Einmalige Prüfung, danach nie wieder. Anbieter-Bedingungen ändern sich. Was heute DSGVO-konform ist, kann nächstes Quartal durch ein Update der Nutzungsbedingungen problematisch werden. Ohne regelmäßige Überprüfung entsteht eine falsche Sicherheit.
Die Lösung für alle drei Fehler ist dieselbe: eine klare, schriftliche KI-Nutzungsrichtlinie mit jährlicher Review-Pflicht. Nicht sexy, aber wirksam.
Fazit: Datenhoheit ist dein Kaufargument, nicht dein Hindernis
Wenn du die Datenhoheit in deinen KI-Workflows einmal sauber aufgesetzt hast, wird sie zum echten Wettbewerbsvorteil. Du kannst KI-Tools schneller und breiter einsetzen als Mitbewerber, die noch in der juristischen Lähmung stecken. Und du kannst deinen Kunden und Partnern glaubwürdig sagen, dass du mit ihren Daten verantwortungsvoll umgehst. Das ist im DACH-Raum, wo Vertrauen seit jeher eine Kaufentscheidung beeinflusst, kein kleiner Vorteil. Der entscheidende erste Schritt ist die Dateninventur: Trenne personenbezogene Daten, Geschäftsgeheimnisse und neutrale Daten, und du wirst sehen, dass du sofort viel mehr KI-Potenzial nutzen kannst als du dachtest. Tiefergehende Infos: EU AI Act Content.
Häufig gestellte Fragen (FAQ)
Wie kann KI den Datenschutz in Unternehmen gefährden?
KI kann personenbezogene Daten ungewollt speichern, an den Anbieter weitergeben oder für das Training neuer Modelle nutzen. Das Risiko entsteht nicht durch die Technologie an sich, sondern durch unklare Anbieter-Bedingungen, fehlende Anonymisierung und fehlende interne Kontrollprozesse. Hinzu kommt ein zweites, oft übersehenes Risiko: Auch nicht-personenbezogene Daten wie Preismodelle oder Produktroadmaps können durch das Geschäftsgeheimnisgesetz (GeschGehG) geschützt sein und dürfen ohne entsprechende Freigabe nicht in externe Tools eingegeben werden.
Sind Firmendaten auch personenbezogene Daten?
Ja, sobald sich Firmendaten auf eine identifizierbare natürliche Person beziehen, zum Beispiel auf Ansprechpartner mit Namen, E-Mail-Adresse, Telefonnummer oder auf Nutzerverhalten, das einer Person zugeordnet werden kann. Reine Unternehmensdaten ohne jeden Personenbezug, etwa eine anonyme Preisliste oder ein allgemeines Produkt-Briefing, sind keine personenbezogenen Daten im Sinne der DSGVO und fallen damit nicht in deren Anwendungsbereich.
Welche Informationen dürfen nicht durch KI verarbeitet werden?
Drei Kategorien sind besonders kritisch: Erstens personenbezogene Daten ohne passende Rechtsgrundlage und ohne AV-Vertrag. Zweitens besonders sensible Daten wie Gesundheitsdaten, politische Überzeugungen oder biometrische Merkmale, für die die DSGVO noch höhere Hürden setzt. Drittens Geschäftsgeheimnisse, also Informationen, die dem Unternehmen einen Wettbewerbsvorteil verschaffen und die das Unternehmen aktiv schützt, ohne dass eine ausdrückliche Freigabe für die externe KI-Verarbeitung vorliegt.
Wann muss der Datenschutz bei der Nutzung von KI beachtet werden?
Immer dann, wenn KI personenbezogene Daten verarbeitet. Das gilt schon bei der Eingabe in den Prompt, nicht erst bei der Ausgabe. Auch die Analyse, Speicherung, Weitergabe an den Anbieter oder das Training eines Modells mit diesen Daten löst DSGVO-Pflichten aus. Kurz: Sobald eine reale, identifizierbare Person in deinen Daten vorkommt, ist der Datenschutz relevant.
Braucht man für KI einen Auftragsverarbeitungsvertrag?
Ja, wenn ein externer KI-Anbieter personenbezogene Daten in deinem Auftrag verarbeitet, ist ein Auftragsverarbeitungsvertrag (AV-Vertrag) nach DSGVO Art. 28 verpflichtend. Viele KI-Anbieter bieten diesen Vertrag in kostenpflichtigen Business- oder Enterprise-Tarifen an. In kostenlosen Tarifen fehlt er oft, was bedeutet, dass personenbezogene Daten dort grundsätzlich nicht verarbeitet werden dürfen.
Darf KI über Menschen allein entscheiden?
Nein. Entscheidungen, die rechtliche oder ähnlich erhebliche Auswirkungen auf Personen haben, dürfen nach DSGVO Art. 22 nicht vollständig automatisiert und ohne menschliche Prüfung getroffen werden. Ein Mensch muss die Entscheidung mittragen und nachvollziehen können. Das gilt für Bereiche wie Kreditvergabe, Personalauswahl oder Preisdiskriminierung auf Basis von Profilen.
Wie schützt man Firmendaten bei KI-Tools?
Die wichtigsten Maßnahmen: Nur tatsächlich notwendige Daten in Prompts eingeben, personenbezogene Daten vorab anonymisieren oder pseudonymisieren, ausschließlich dienstliche Geräte für berufliche KI-Nutzung verwenden, Zugriffsrechte auf KI-Tools intern begrenzen und die Nutzungsbedingungen des Anbieters regelmäßig prüfen. Für Geschäftsgeheimnisse empfiehlt sich zusätzlich eine schriftliche Richtlinie, die klar definiert, welche Informationen nicht in externe KI-Systeme eingegeben werden dürfen.
Was fordert die Wirtschaft beim Thema KI und Datenschutz?
Die deutschen Wirtschaftsverbände, vertreten unter anderem durch den GDV, fordern klarere und praxisnähere Regeln, damit Datenschutz und KI im Unternehmensalltag besser zusammenpassen. Konkret geht es um ein wettbewerbsfähigeres Datenschutzrecht, das den Einsatz von KI im deutschen und europäischen Unternehmensumfeld ermöglicht, ohne international ins Hintertreffen zu geraten. Die Diskussionen dazu laufen intensiv für 2025 und 2026.