Welche KI ist DSGVO-konform? Der 6-Punkte-Test für jeden Anbieter [2026]

Kein KI-Tool ist von sich aus DSGVO-konform. DSGVO-Konformität ist eine Eigenschaft davon, wie dein Unternehmen ein Werkzeug nutzt, kein Siegel, das ein Anbieter auf seine Website drucken kann: Du bist Verantwortlicher, der Anbieter ist dein Auftragsverarbeiter, und die Frage ist, ob das Werkzeug dir erlaubt, deine Pflichten zu erfüllen. Die nützliche Frage lautet also nicht, welche KI DSGVO-konform ist, sondern welche KI sechs Prüfungen besteht, die du an einem Nachmittag bei jedem Anbieter durchführen kannst.

Dieser Leitfaden gibt dir diesen Test, lässt die gängigen Optionen durchlaufen und zeigt, wie du KI ab der ersten Person DSGVO-konform nutzt. Er stützt sich auf die DSGVO selbst und auf die Orientierungshilfe der Datenschutzkonferenz zu KI und Datenschutz vom 6. Mai 2024, die genau für diese Lage geschrieben wurde: ein Unternehmen, das eine KI-Anwendung auswählen und einsetzen will.

Weil die DSGVO die Pflichten beim Verantwortlichen ablegt, und das bist du. Nach Artikel 28 verarbeitet der Anbieter personenbezogene Daten in deinem Auftrag und muss einen AVV unterschreiben, aber Rechtsgrundlage, Zweck, Verarbeitungsverzeichnis, Folgenabschätzung und der Nachweis, dass all das funktioniert, bleiben bei deinem Unternehmen; Artikel 5 Absatz 2 nennt das Rechenschaftspflicht.

Ein Anbieter kann dir das leicht oder unmöglich machen. Leicht heißt: Die Daten bleiben in der EU oder gehen nur in ein Land oder an eine Firma mit Angemessenheitsbeschluss, die Modelle hinter dem Werkzeug trainieren nicht mit deinen Eingaben, das Werkzeug sieht nur, was die jeweilige Person sehen darf, und jeder Zugriff wird protokolliert. Unmöglich heißt: Du kannst nicht herausfinden, wohin eine Anfrage ging, welches Modell geantwortet hat oder wer am letzten Dienstag nach einem Kunden gefragt hat. Die deutschen Aufsichtsbehörden listen genau diese Punkte in ihrer Orientierungshilfe zu KI und Datenschutz, vom Zweck des Einsatzes bis zur Frage, ob das System offen oder geschlossen ist.

Führe diese sechs Prüfungen bei jedem Werkzeug durch, bevor personenbezogene Daten hineingehen. Die ersten zwei betreffen, wohin Daten gehen, die nächsten zwei, was die KI sehen kann, die letzten zwei, was sie tut und was zurückbleibt. Die Prüfungen folgen den sechs Bestandteilen eines KI-Betriebssystems für Unternehmen, denn ein Werkzeug ohne diese Bestandteile fällt meist bei der passenden Prüfung durch.

Keins davon ist von Haus aus konform, und die meisten Business-Tarife lassen sich konform nutzen, wenn du den AVV unterschreibst und die Lücken unten schließt. Die Ausnahme sind kostenlose Verbraucher-Tarife, denn diese sind für private Nutzung gebaut und nicht der Ort für Kunden- oder Personaldaten. Die Tabelle nennt pro Option die Schwachstelle, die du zuerst prüfen solltest, und verlinkt unsere ausführlichen Tests.

Zwei Dinge kann die Tabelle nicht zeigen. Erstens hat ein US-Anbieter mit EU-Hosting trotzdem eine US-Muttergesellschaft, also frag, wie er mit Zugriffsanfragen von US-Behörden umgeht; der Leitfaden zur europäischen KI-Datensouveränität erklärt, warum. Zweitens zählt der Vertrag so viel wie das Produkt: Die AVV-Checkliste für KI-Tools listet die 12 Klauseln, die du vor der Unterschrift lesen solltest.

Nicht für Firmendaten. Ein kostenloser Tarif kann für Texte ohne Personenbezug reichen, aber sobald Namen, Kundendaten oder irgendetwas über Beschäftigte hineingehen, brauchst du einen AVV, und kostenlose Verbraucher-Tarife bieten in der Regel keinen. Der günstigste konforme Weg ist ein bezahlter Business-Tarif oder eine EU-Plattform ohne Mindestabnahme, oder deren kostenloser Test, bevor du dich festlegst.

Der Europäische Datenschutzausschuss hat in seiner Stellungnahme 28/2024 vom 18. Dezember 2024 einen zweiten Punkt gemacht, der hier zählt: Ob ein Modell selbst rechtmäßig trainiert wurde, kann beeinflussen, wie es genutzt werden darf. Ein Grund mehr zu wissen, welche Modelle hinter einem Werkzeug stecken, die zweite Prüfung im Test oben.

Ein Werkzeug zu wählen, das den Test besteht, ist die halbe Arbeit. Die andere Hälfte ist, was dein Unternehmen dokumentiert und entscheidet, und das dauert Tage, nicht Monate.

Teamo AI ist rund um diesen Test gebaut, für Betriebe mit 5 bis 200 Mitarbeitern. Es läuft in der EU mit AVV, ruft mehrere Modellanbieter mit Trainingsausschluss für jeden auf, liest live aus den Werkzeugen, die du schon nutzt (Slack, Teams, Jira, Notion, HubSpot, Pipedrive, dein Kalender), statt sie zu kopieren, setzt Berechtigungen bis auf einzelne Datensätze durch, lässt Agenten nur nach Freigabe durch eine Person schreiben und führt drei getrennte Protokolle über sechs Monate, die du exportieren kannst.

Es kostet 9,97 € pro Nutzer und Monat plus nutzungsbasierte KI-Guthaben, ohne Mindestabnahme, dazu einmalig 500 bis 2.000 € für die Einrichtung inklusive persönlichem Setup mit deinem Team. Alle sechs Prüfungen kannst du im 14-tägigen Test selbst durchführen, auch mit dem eingeschränkten Testnutzer.

Auf die Frage, welche KI DSGVO-konform ist, gibt es keine Liste als Antwort, aber einen Test. Sechs Prüfungen trennen ein Werkzeug, das du mit Firmendaten nutzen kannst, von einem, das du davon fernhalten solltest, und sieben Schritte auf deiner Seite machen aus einem guten Werkzeug eine konforme Nutzung. Führ den Test vor dem Pilot durch, nicht nach der ersten Beschwerde, und vergleich die Ergebnisse mit dem Vergleich von Compliance-Software, wenn du auch Werkzeuge für die Dokumentation brauchst.