"Dürfen wir überhaupt ChatGPT nutzen?" Die Frage landet in jedem Analysegespräch auf dem Tisch. Die Antwort ist weder "Ja, klar" noch "Auf keinen Fall", sondern: Es hängt an der Architektur. Wer den öffentlichen ChatGPT-Browser mit Kundendaten füttert, verletzt DSGVO. Wer eine Enterprise-Variante mit Auftragsverarbeitungsvertrag, deaktiviertem Training und EU-Hosting einsetzt, ist rechtssicher unterwegs. Dazwischen liegt Praxis.
Die DSK und ihr Leitfaden
Die Datenschutzkonferenz (DSK) ist das Gremium der unabhängigen Datenschutzaufsichtsbehörden von Bund und Ländern. Sie gibt Orientierungshilfen heraus, die formal nicht bindend sind, aber in der Praxis die Auslegung der DSGVO prägen und damit auch, wie bei einem Datenschutz-Audit argumentiert werden kann.
Der DSK-Leitfaden für DSGVO-konforme KI-Anwendungen adressiert sechs Kernbereiche:
- Rechtsgrundlage: auf Basis welcher DSGVO-Grundlage werden Daten verarbeitet? Art. 6 (Einwilligung, Vertrag, berechtigtes Interesse) oder Art. 9 (besondere Kategorien)?
- Zweckbindung: was genau macht das KI-System, und darf es mit den Daten nur das tun?
- Datenminimierung: werden nur die nötigen Daten verarbeitet, oder fließt alles ins Modell?
- Transparenz: werden Betroffene ausreichend informiert (Art. 13/14 DSGVO)?
- Betroffenenrechte (Auskunft, Löschung, Widerspruch): wie sind die Prozesse in der KI-Architektur eingebaut?
- Technisch-organisatorische Maßnahmen: Pseudonymisierung, Verschlüsselung, Zugriffskontrolle, Logging.
Die Unterlagen, bei denen es im Büro konkret wird
Im Planungsalltag sind es drei Arten von Unterlagen, bei denen die Frage scharf wird:
- Bauherrendaten aus Verträgen und Korrespondenz. Namen, Anschriften, manchmal Finanzierungsstände.
- Personenbezogene Angaben in Protokollen. Wer auf der Baustelle was gesagt hat, ist eine Aussage über eine Person.
- Bewerbungen. Der sensibelste Stapel im Haus, und gleichzeitig der, den man am liebsten vorsortieren würde.
Für alle drei gilt dasselbe: Es geht nicht darum, ob KI erlaubt ist, sondern ob ein Auftragsverarbeitungsvertrag vorliegt und ob jemand ihn gelesen hat.
Warum es trotzdem kompliziert bleibt
Selbst die Behörden kämpfen mit der Umsetzung. Heise hat ausführlich analysiert, warum Datenschutzbehörden bei ChatGPT und Co tatsächlich schwertun: Die Architektur großer Sprachmodelle widerspricht einigen DSGVO-Kernprinzipien strukturell. "Löschung" bedeutet bei einem trainierten Modell etwas anderes als bei einer Datenbankzeile. "Auskunftsrecht" ist technisch nicht-trivial, wenn die "Daten" in neuronalen Gewichten stecken.
Die praktische Konsequenz: 2024 haben deutsche Datenschützer Verfahren gegen OpenAI eröffnet. Stand April 2026 sind diese Verfahren offen. Für Unternehmen, die Enterprise-Varianten mit Auftragsverarbeitungsvertrag (AVV) einsetzen, hat das aber keine direkte Auswirkung. Der AVV regelt die Verarbeitung im unternehmerischen Kontext separat von den Training-Fragen, die gegen den öffentlichen Dienst laufen.
Zusätzlich zeigt die Zahl: Der Hessische Datenschutzbeauftragte hat 2025 über 6 000 KI-bezogene Beschwerden registriert, deutlich mehr als in den Vorjahren. Das ist kein Grund für Panik, aber ein Grund für saubere Architektur: Wer angemessen aufgestellt ist, kann eine Beschwerde problemlos abarbeiten.
Einordnung für sächsische Planungsbüros
Für sächsische Planungsbüros sind drei Fragestellungen besonders relevant:
- Enterprise- oder Public-ChatGPT? Die kurze Antwort: Enterprise. Immer. Ein Business-Account mit deaktiviertem Training und EU-Hosting kostet eine Lizenzgebühr pro Nutzer und Monat, und damit ist die DSGVO-Grundlage geschaffen. Der kostenlose ChatGPT gehört nicht in den Betrieb.
- Welche Daten dürfen rein? Die Datenklassifizierung aus dem DSK-Leitfaden hilft: öffentliche Daten immer, interne Daten mit AVV meist, personenbezogene Daten nur mit klarer Rechtsgrundlage, besondere Kategorien (Gesundheit, Biometrie) nur in streng geprüften Fällen.
- Wie sieht die interne Nutzungsrichtlinie aus? Das ist der praktische Hebel. Ein 2-Seiter, der klar macht: welche Tools, welche Daten, welche Prompts, welche Dokumentation. Ohne Richtlinie gibt's in der Praxis Chaos. Mit Richtlinie ist der Nachweis gegenüber Aufsicht und Kunden einfach.
DSGVO und KI sind keine Gegensätze, aber sie sind nur lösbar, wenn man bei der Architektur anfängt, nicht beim Disclaimer im Kleingedruckten.
Die Handelsblatt-Übersicht zum ChatGPT-Datenschutz und der Handelsblatt-Live-Leitfaden zu KI und Datenschutz bringen die praktischen Empfehlungen auf einen Nenner: Enterprise-Varianten, AVV, Rollenkonzept, Schulung.
Der AI-Act-Layer obendrauf
Seit 2. Februar 2025 gilt die KI-Kompetenz-Pflicht aus Artikel 4 des EU AI Act. Das bedeutet: Mitarbeitende, die KI-Systeme nutzen oder deren Output verarbeiten, müssen nachweislich geschult sein. Der AI Act und die DSGVO laufen dabei nebeneinander. Wer beides sauber macht, ist auf der sicheren Seite.
In der Praxis integrieren wir die AI-Act-Schulung in die DSGVO-Schulung. 90 Minuten einmal im Jahr, dokumentierte Teilnahme, fertig.
Handlungsempfehlungen: Fünf Schritte für Büros
1. Enterprise-Variante mit AVV wählen
ChatGPT Enterprise, Microsoft Copilot for Business, Claude Teams, Google Workspace KI: alle bieten AVV, deaktiviertes Training und (bei EU-Varianten) europäisches Hosting. Der Public-ChatGPT-Browser gehört nicht in den produktiven Betrieb.
2. Interne Nutzungsrichtlinie schreiben
Zwei Seiten reichen. Inhalt: welche Tools erlaubt, welche Daten-Kategorien dürfen rein, welche Dokumentationspflicht, wer ist Ansprechpartner, was passiert bei Zweifeln. Unterschrift von allen Mitarbeitenden dokumentieren.
3. Schulung nach AI Act Artikel 4
Einmalig 60 bis 90 Minuten, jährliche Auffrischung. Teilnehmerliste ablegen. Das erfüllt gleichzeitig die AI-Act-Schulungspflicht und die DSGVO-Awareness-Verantwortung aus Art. 32.
4. Technische Trennung personenbezogener Daten
Bei KI-Anwendungen, die mit Kundendaten arbeiten: Pseudonymisierung (Kunde statt Max Müller), Zugriffsrollen, Logging. Für interne Anwendungen (Wissens-Agent, Angebots-KI) reicht oft eine klare Nicht-Vermischung zwischen Kundendaten-Systemen und KI-Workflow.
5. Betroffenenrechte-Prozess definieren
Was passiert, wenn ein Kunde Auskunft über KI-gestützte Verarbeitung verlangt? Wer in Ihrem Büro ist Ansprechpartner? Wie wird die Antwort technisch hergeleitet? Ein einfaches Flowchart reicht für die meisten Büros.
Unser Take
In unseren über 15 Projekten halten wir uns an eine einfache Regel: DSGVO-Architektur wird vor dem ersten Prompt geklärt, nicht nachträglich. Wer die fünf Schritte zum Projekt-Kick-off hat, kann die KI produktiv einsetzen, ohne dass Datenschutz-Fragen zur Projekt-Bremse werden. Die EU-Kommission arbeitet parallel an einer Klarstellung, wie "berechtigtes Interesse" bei KI-Training ausgelegt werden kann. Das wird bis Ende 2026 für weitere Rechtsklarheit sorgen.
Für sächsische Planungsbüros ist der Weg klar: Enterprise-Architektur, saubere Dokumentation, klare Schulung. Alles andere ist unnötige Unsicherheit und bremst Projekte, die sonst in 4 bis 12 Wochen produktiv wären.
Häufige Fragen
Was ist die Datenschutzkonferenz?
Gemeinsames Gremium der unabhängigen Datenschutzaufsichtsbehörden von Bund und Ländern. Veröffentlicht Orientierungshilfen, die die Anwendungspraxis der DSGVO prägen.
Gibt es einen DSK-Leitfaden zu KI?
Ja. Die Orientierungshilfe für DSGVO-konforme KI behandelt Rechtsgrundlagen, Transparenz, Betroffenenrechte und technische Maßnahmen.
Darf ich ChatGPT im Betrieb nutzen?
Ja, mit Einschränkungen. Enterprise-Variante mit AVV und EU-Hosting ist der saubere Weg. Der Public-ChatGPT gehört nicht in den Betrieb.
Was ist mit dem OpenAI-Verfahren?
Offen, Stand April 2026. Für Enterprise-Nutzer mit AVV aber ohne direkte Auswirkung. Der AVV regelt die Verarbeitung separat.
Was sollen Planungsbüros 2026 tun?
Fünf Schritte: Enterprise + AVV, Nutzungsrichtlinie, Schulung dokumentieren, technische Trennung personenbezogener Daten, Betroffenenrechte-Prozess.
Stand: April 2026. Datenschutzrecht und KI entwickeln sich weiter. Aktuelle Rechtslage immer im konkreten Projekt prüfen.