21. Oktober 2026

KI und Datenschutz: Darf ich Kundendaten eingeben?

Die kurze Antwort: Manchmal ja – aber nicht einfach so. Sobald Sie Namen, E-Mail-Adressen oder andere Angaben zu Kundinnen und Kunden in ein KI-Tool eingeben, gilt die Datenschutz-Grundverordnung (DSGVO). In diesem Artikel erklären wir die wichtigsten Grundlagen in einfacher Sprache und zeigen, wie Sie KI trotzdem sicher nutzen.

Keine Rechtsberatung: Dieser Artikel gibt einen allgemeinen, vereinfachten Überblick und ersetzt keine Rechtsberatung. Für Ihren konkreten Fall wenden Sie sich bitte an Ihre Datenschutzbeauftragte bzw. Ihren Datenschutzbeauftragten oder an eine Anwältin bzw. einen Anwalt. Stand: Oktober 2026.

Was sind personenbezogene Daten?

Personenbezogen sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 4 DSGVO). Dazu gehören nicht nur Name und Adresse, sondern zum Beispiel auch:

E-Mail-Adressen und Telefonnummern,
Kunden- und Rechnungsnummern,
der Inhalt einer Kunden-E-Mail, wenn man erkennen kann, von wem sie stammt,
Notizen aus einem Kundengespräch.

Besonders streng geschützt sind etwa Gesundheitsdaten, Angaben zur Religion oder zur politischen Meinung (Art. 9 DSGVO). Solche Daten gehören in kein KI-Tool ohne vorherige fachliche Prüfung.

Was die DSGVO verlangt – vereinfacht

Wenn Sie personenbezogene Daten in ein KI-Tool eingeben, verarbeiten Sie sie im Sinne der DSGVO. Dafür brauchen Sie vor allem:

Eine Rechtsgrundlage (Art. 6 DSGVO), etwa weil die Verarbeitung für die Erfüllung eines Vertrags nötig ist.
Datensparsamkeit (Art. 5 DSGVO): nur so viele Daten wie für die Aufgabe nötig.
Einen Vertrag mit dem Anbieter, wenn dieser die Daten in Ihrem Auftrag verarbeitet – den AVV.
Absicherung bei Übermittlung in Drittländer wie die USA, etwa über Standardvertragsklauseln oder einen Angemessenheitsbeschluss der EU-Kommission.
Transparenz: Ihre Datenschutzerklärung sollte den Einsatz solcher Dienste abdecken.

Der Auftragsverarbeitungsvertrag (AVV)

Ein AVV (Art. 28 DSGVO) regelt, dass der Anbieter Ihre Daten nur nach Ihren Weisungen verarbeitet und angemessen schützt. Ohne AVV ist der Anbieter rechtlich gesehen kein „Helfer“ in Ihrem Auftrag – und Sie geben die Daten an einen Dritten weiter. Die gute Nachricht: Bei den großen Anbietern ist der AVV in den Firmen-Tarifen meist bereits in den Geschäftsbedingungen enthalten, etwa bei Anthropic für Claude Team und Enterprise. Welche Tarife das bei ChatGPT, Copilot und Gemini sind, steht in unserem Tool-Vergleich.

Gratis- und Privat-Tarife vs. Business-Tarife

	Gratis / privat (z. B. ChatGPT Plus, Claude Pro)	Business (z. B. ChatGPT Business, Claude Team)
AVV	In der Regel nein	Ja
Training mit Ihren Eingaben	Oft möglich, abschaltbar in den Einstellungen	Laut Anbietern standardmäßig nicht
Verwaltung, Rechte, Zugänge	Nein	Ja
Für Kundendaten geeignet?	Nein	Möglich, nach Prüfung

Was die Tarife kosten und wann sich ein Abo lohnt, lesen Sie in Kostenlos oder bezahlt? Wann sich ein KI-Abo lohnt; Tipps speziell für Einzelunternehmen in KI-Agenten für Selbstständige.

Faustregel: Echte Kundendaten nur im Firmen-Tarif mit AVV. Private Konten nutzen Sie nur für Aufgaben ohne personenbezogene Daten – zum Beispiel für allgemeine Texte oder Übungen mit erfundenen Daten, wie in unserer Anleitung zum E-Mail-Vorsortieren.

Der einfachste Weg: anonymisieren

Für viele Aufgaben braucht die KI gar keine echten Namen. Ersetzen Sie persönliche Angaben vor dem Einfügen durch Platzhalter:

Statt: „Frau Petra Schulz, Lindenweg 4, Kundennummer 48213, beschwert sich über die Lieferung.“
Besser: „[KUNDIN], [ADRESSE], [KUNDENNUMMER] beschwert sich über die Lieferung.“

Den Antwortentwurf ergänzen Sie danach selbst um die echten Angaben. Achtung: Echte Anonymisierung heißt, dass niemand die Person mehr erkennen kann – auch nicht über Details wie einen seltenen Beruf oder einen kleinen Wohnort. Ersetzen Sie nur den Namen, spricht man eher von Pseudonymisierung; dann bleiben die Daten personenbezogen.

Kurz erklärt: der EU AI Act

Die KI-Verordnung der EU (AI Act, Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten und gilt schrittweise. Sie ordnet KI-Systeme nach Risiko ein. Für die meisten Büroanwendungen – Texte schreiben, E-Mails sortieren, zusammenfassen – gelten keine besonderen Pflichten für Sie als Nutzer. Eine Pflicht betrifft aber fast alle Unternehmen: Seit dem 2. Februar 2025 müssen Firmen, die KI einsetzen, dafür sorgen, dass ihre Beschäftigten über ausreichende KI-Kompetenz verfügen (Art. 4). Eine kurze Schulung und klare interne Regeln sind ein guter Anfang. Der AI Act ersetzt die DSGVO übrigens nicht – beide gelten nebeneinander.

Checkliste: Bevor Sie Kundendaten eingeben

Brauche ich für diese Aufgabe überhaupt echte Daten – oder reichen Platzhalter?
Nutze ich einen Firmen-Tarif mit AVV?
Ist das Training mit meinen Daten ausgeschlossen?
Weiß ich, wo die Daten gespeichert und verarbeitet werden?
Hat meine Firma den Einsatz des Tools freigegeben?
Sind keine besonders sensiblen Daten (z. B. Gesundheit) dabei?

Sechsmal „Ja“? Dann sind Sie auf einem guten Weg. Weitere Antworten finden Sie in unseren häufigen Fragen, Fachbegriffe im Glossar und Praxisbeispiele in KI-Agenten im Büroalltag.

Quellen (abgerufen im Oktober 2026)

Gratis-Leitfaden: 10 Aufträge für Ihren ersten KI-Agenten

Melden Sie sich zum Newsletter von Mein Kollege KI an: Jede Woche ein Praxistipp, verständlich und ohne Fachchinesisch. Als Dankeschön erhalten Sie unseren PDF-Leitfaden „10 Aufträge für Ihren ersten KI-Agenten“ kostenlos dazu.

Jetzt kostenlos anmelden

Häufige Fragen

Darf ich Kundendaten in ChatGPT eingeben?

In der kostenlosen oder privaten Version sollten Sie das nicht tun. Im Firmen-Tarif mit Auftragsverarbeitungsvertrag kann es zulässig sein, wenn eine Rechtsgrundlage besteht und Sie nur die nötigen Daten verwenden. Im Zweifel anonymisieren Sie die Daten oder holen fachlichen Rat ein. Dies ist keine Rechtsberatung.

Was ist ein AVV?

Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt, dass ein Dienstleister personenbezogene Daten nur nach Ihren Weisungen verarbeitet und schützt. Bei großen KI-Anbietern ist er in den Firmen-Tarifen meist in den Geschäftsbedingungen enthalten.

Reicht es, nur den Namen zu entfernen?

Oft nicht. Wenn sich die Person über andere Details noch erkennen lässt, bleiben die Daten personenbezogen. Entfernen oder ersetzen Sie alle Angaben, die auf die Person schließen lassen.

Was verlangt der EU AI Act von kleinen Unternehmen?

Für typische Büroanwendungen kaum besondere Pflichten. Seit dem 2. Februar 2025 müssen Unternehmen, die KI einsetzen, aber für ausreichende KI-Kompetenz ihrer Beschäftigten sorgen (Art. 4 KI-Verordnung).