DSGVO-konforme KI: Welche Tools Vereine und kleine Unternehmen wirklich nutzen dürfen

Der Schriftführer vom Sportverein tippt ein Protokoll in ChatGPT, weil es schneller geht. Die Chefin eines kleinen Handwerksbetriebs lässt sich Kundenmails von einer KI vorformulieren. Beides passiert täglich, in tausenden Vereinen und Betrieben im Saarland und anderswo. Und beides ist rechtlich nicht so einfach, wie es sich anfühlt.

Ich bekomme diese Frage in letzter Zeit häufiger: Dürfen wir KI-Tools überhaupt nutzen, ohne gegen die DSGVO zu verstoßen?

Die kurze Antwort: Ja, aber nicht wahllos.

Hier die lange Antwort:

1. Warum das Thema komplizierter ist, als es aussieht

Die DSGVO regelt, wie personenbezogene Daten verarbeitet werden dürfen. Sobald Sie einen Namen, eine E-Mail-Adresse oder eine Mitgliedsnummer in ein KI-Tool eingeben, verarbeiten Sie personenbezogene Daten. Auch wenn das nur ein Halbsatz in einem Prompt ist.

Viele KI-Anbieter sitzen in den USA. Und hier kommt Schrems II ins Spiel: Das ist ein EuGH-Urteil aus 2020, das die Datenübermittlung in die USA erheblich erschwert hat, weil US-Behörden unter bestimmten Gesetzen Zugriff auf Daten europäischer Nutzer verlangen können. Seitdem reicht ein Server “irgendwo in der Cloud” nicht mehr aus. Es kommt darauf an, wo die Daten liegen, wer Zugriff hat und welche vertraglichen Garantien der Anbieter bietet.

Das ist keine Kleinigkeit. Aber es ist auch kein Grund, KI komplett zu meiden.

2. Der AVV: das Dokument, das über allem steht

AVV steht für Auftragsverarbeitungsvertrag. Das ist ein Vertrag zwischen Ihnen und dem Anbieter, der genau regelt, wie Ihre Daten verarbeitet werden dürfen. Ohne AVV gibt es keinen rechtmäßigen Einsatz. Punkt.

Die gute Nachricht: Die großen Anbieter bieten AVVs inzwischen an. OpenAI, Microsoft und Google haben entsprechende Vertragsvorlagen im Business-Bereich. Die schlechte Nachricht: Bei den kostenlosen Consumer-Versionen, also der kostenlosen ChatGPT-App oder dem normalen Google-Konto, fehlt dieser Vertrag meist komplett. Wer dort personenbezogene Daten eingibt, bewegt sich auf dünnem Eis.

Mein Rat: Prüfen Sie vor jedem Tool-Einsatz, ob ein AVV existiert und ob Sie ihn abschließen können. Bei Vereinen reicht oft schon eine E-Mail an den Support, um die Vertragsunterlagen zu bekommen.

3. Serverstandort: Warum “Made in Germany” nicht alles ist

Ein Server in Frankfurt schützt Sie nicht automatisch. Auch deutsche Rechenzentren gehören manchmal zu US-Konzernen, die theoretisch zur Datenherausgabe verpflichtet werden können. Der Standort ist ein Baustein, aber kein Freifahrtschein.

Worauf es ankommt:

Serverstandort EU, idealerweise Deutschland
Anbieter ohne US-Muttergesellschaft oder mit zusätzlichen Garantien (Standardvertragsklauseln, Zertifizierungen)
Klare Aussage, dass keine Trainingsnutzung Ihrer Daten erfolgt

Anbieter wie Aleph Alpha (deutsches Unternehmen) oder Mistral (EU-Unternehmen) haben hier einen strukturellen Vorteil gegenüber US-Anbietern. Das heißt nicht, dass Sie zwangsläufig wechseln müssen. Es heißt, dass Sie wissen sollten, was Sie nutzen.

4. Sichere Einsatzbereiche: wo Sie ruhig anfangen können

Nicht jede KI-Nutzung ist ein Datenschutz-Minenfeld. Es gibt Bereiche, in denen Sie mit vertretbarem Risiko starten können.

Texte ohne Personenbezug. Ein Blogartikel über Vereinsarbeit, eine allgemeine Produktbeschreibung, ein Social-Media-Post ohne Namen und Details. Hier besteht kein Datenschutzproblem, weil keine personenbezogenen Daten im Spiel sind.

Interne Brainstormings. Ideen für die nächste Vereinsaktion, Formulierungshilfen für eine Satzung, Struktur für einen Businessplan. Solange keine echten Namen oder Kontaktdaten eingegeben werden, ist das unproblematisch.

Bildbearbeitung und Design. Ein Logo-Entwurf, ein Flyer-Layout. Auch hier meist unkritisch, solange keine Personenfotos mit Identifizierbarkeit verarbeitet werden.

Schwieriger wird es bei allem, was mit echten Mitgliederdaten, Kundendaten oder Kommunikation mit konkreten Personen zu tun hat. Genau da braucht es den AVV und die Prüfung des Serverstandorts.

5. Praktisches Vorgehen für Vereine und KMU

Ein Verein oder Kleinunternehmen muss keine Rechtsabteilung aufbauen, um sicher mit KI zu arbeiten. Drei Schritte reichen für den Anfang:

Trennen Sie klar zwischen Nutzungsfällen mit und ohne Personenbezug.
Für Fälle mit Personenbezug: Anbieter mit AVV wählen, Business- statt Consumer-Version nutzen.
Dokumentieren Sie kurz, welches Tool wofür genutzt wird. Das reicht meist schon als Nachweis, falls jemand nachfragt.

Nicht hektisch, nicht mit Panik, sondern strukturiert.

Fazit

KI-Tools sind für Vereine und kleine Unternehmen kein Tabu. Aber sie sind auch kein rechtsfreier Raum. Wer weiß, wo Personenbezug beginnt, welcher Anbieter einen AVV anbietet und wo die Server stehen, kann die Werkzeuge sinnvoll nutzen, ohne sich Ärger einzuhandeln.

Wenn Sie unsicher sind, welches Tool für Ihren Verein oder Betrieb passt, oder Ihre Website ohnehin einmal durchleuchtet werden sollte, melden Sie sich bei Schröck Webdesign in Sankt Wendel. Ich schaue mir das mit Ihnen gemeinsam an.

Dieser Beitrag ersetzt keine Rechtsberatung.