KI-Tools vergleichen: ChatGPT, Copilot & Gemini auf dem DSGVO-Prüfstand

Datenminimierung als Grundprinzip  

Datenminimierung zählt zu den wichtigsten Grundsätzen der DSGVO (Art. 5). Erlaubt ist nur die Verarbeitung jener personenbezogenen Daten, die für den Verarbeitungszweck unbedingt nötig sind. KI-Tools benötigen für ihre Funktion oft große Datenmengen. Unternehmen stehen vor der Herausforderung, die Verarbeitung personenbezogener Daten beim Einsatz von KI auf ein sinnvolles Maß zu begrenzen.

• ChatGPT (insbesondere in der Enterprise- oder API-Variante) ermöglicht es Geschäftskunden, den Webzugriff gezielt einzuschränken. Die Nutzung von Nutzereingaben zu Trainingszwecken kann vertraglich ausgeschlossen werden. Eine vollständige Deaktivierung des „Abuse Monitoring“ ist in der Regel jedoch nicht möglich, da OpenAI – wie alle Anbieter – gesetzlich zur Missbrauchserkennung verpflichtet bleibt.

• Microsoft Copilot greift auf Microsoft 365-Daten zu, doch Admins können den Datenzugriff granular über das Admincenter steuern. Microsoft dokumentiert dies ausführlich im Compliance Center und Auftragsverarbeitungsvertrag. Die Trennung von Geschäfts- und Trainingsdaten ist Standard und Traingsdaten werden nicht aus Kundendaten abgeleitet.

• Google Gemini in Google Workspace ist direkt mit mehreren Google-Diensten verknüpft – von Gmail bis Docs. Laut Data Protection Terms und Admin Guide erfolgt die Zugangskontrolle über Admin-Richtlinien. Sie muss jedoch aktiv angepasst werden, um datenschutzfreundliche Einstellungen zu gewährleisten - andernfalls ist die Standardkonfiguration meist sehr weitreichend.

Praxisbeispiel: Bei der Nutzung von KI für die Vertragserstellung sollten Unternehmen den Zugriff auf sensible HR-Daten oder Mails sperren. Nur so lässt sich die Datenminimierung tatsächlich leben.

Transparenz in der KI-Datenverarbeitung  

Transparenz verpflichtet Anbieter und Anwender, offenzulegen, wie personenbezogene Daten verarbeitet werden.

• ChatGPT stellt im Trust Portal Informationen zu Datenverarbeitungsprozessen bereit. In der Enterprise-Variante können Unternehmen die Speicherdauer und Löschroutinen konfigurieren. Standardmäßig werden Konversationen für einen begrenzten Zeitraum gespeichert. Die genaue Dauer und Löschoptionen sind abhängig von der gewählten Produktvariante und den vertraglichen Vereinbarungen.

• Microsoft Copilot punktet mit klarer Dokumentation und einem Data Processing Addendum (DPA), welches die Bedingungen der Datenverarbeitung detailliert regelt.

• Google Gemini bietet Datenschutzinformationen, die je nach Variante unterschiedlich transparent sind. In der Workspace-Version gelten die Google Controller-Data Protection Terms.  

Achtung Black Box: Trotz verbesserter Dokumentation bleiben automatisierte Entscheidungslogiken vieler KI-Tools für Anwender schwer nachvollziehbar – hier gilt es, die Datenflüsse regelmäßig zu überprüfen.

Aktueller Rechtsstreit um Datenspeicherung bei OpenAI:

Im laufenden Rechtsstreit zwischen OpenAI und der New York Times verlangt die NYT, dass OpenAI sämtliche Nutzerdaten, API-Logs und Ausgaben, die sich auf Inhalte der NYT beziehen könnten, auf unbestimmte Zeit speichert. OpenAI wehrt sich gegen diese gerichtliche Anordnung mit dem Argument, dass eine solche umfassende und unbefristete Speicherung technisch unverhältnismäßig ist, massive Datenschutzrisiken für alle Nutzer birgt und gegen die eigene Privacy-by-Design-Philosophie verstößt. Es wird betont, dass Chatverläufe grundsätzlich nicht gespeichert werden, sofern Nutzer nicht aktiv zustimmen, und dass für Unternehmenskunden mit Zero Data Retention (ZDR) ohnehin keine Daten gespeichert werden. Der Fall zeigt, dass auch externe rechtliche Anforderungen die Datenschutzpraxis beeinflussen können und Anbieter wie OpenAI sich aktiv für den Schutz der Nutzerdaten einsetzen.

Kontrollierbarkeit von KI-Tools  

DSGVO und Best Practices fordern, dass KI-gestützte Entscheidungen stets durch Menschen kontrollierbar bleiben.

• ChatGPT Enterprise bietet Admin-Funktionen, um Konversationen zu verwalten und Sicherheitsstufen festzulegen. Ein vollständiger Einblick in alle Nutzerdaten ist jedoch aus Datenschutzgründen nicht vorgesehen; vielmehr stehen Funktionen zur Verfügung, um Löschungen und Zugriffsbeschränkungen umzusetzen.

• Microsoft Copilot integriert sich in das Microsoft 365-Rechtemanagement und bietet umfangreiche Kontroll- und Nachverfolgungsmöglichkeiten.

• Google Gemini ermöglicht Admins, App-Zugriffe und Rechte granular zu steuern – wobei die Komplexität mit wachsendem Funktionsumfang zunimmt.  

Tipp: Unternehmensrichtlinien sollten vorgeben, dass kritische KI-Entscheidungen einer menschlichen Überprüfung bedürfen (sog. Human-in-the-loop).  

Risikoabschätzung nach DSGVO  

Gemäß Art. 35 DSGVO ist eine Datenschutzfolgenabschätzung (DSFA) Pflicht, sobald ein hohes Risiko für die Rechte Betroffener besteht – was bei modernen KI-Tools praktisch immer zutrifft. Typische Risiken sind Diskriminierungseffekte durch algorithmic bias, Datenlecks bei fehlerhafter Konfiguration, Zweckentfremdung von Daten und intransparente Entscheidungsfindung.

• ChatGPT: Risiken entstehen insbesondere durch die Verarbeitung personenbezogener Daten auf Servern außerhalb der EU. Durch entsprechende vertragliche Regelungen (z. B. Standardvertragsklauseln, Data Processing Addendum) und technische Maßnahmen kann das Risiko reduziert werden. Eine vollständige DSGVO-Konformität ist jedoch nur bei konsequenter Umsetzung aller Schutzmaßnahmen gewährleistet.

• Microsoft Copilot: Dank EU-US Data Privacy Framework sowie altbewährten Microsoft-Sicherheitsarchitekturen bestehen gute Voraussetzungen – sofern Datenzugriffe restriktiv konfiguriert sind.  

• Google Gemini: Die umfassende Integration und lange Speicherzeiten für Prompts (bis zu 18 Monate) erhöhen die Risiken, insbesondere für Unternehmen mit sensiblen Daten.  

Empfehlung: Führen Sie für jedes Tool eine eigene DSFA durch und dokumentieren Sie sämtliche identifizierten Risiken und getroffenen Schutzmaßnahmen.  

Rechenschaftspflicht als zentrale DSGVO-Verpflichtung (Rechenschaftspflicht DSGVO, gute KI-Tools)

Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, Datenschutz nachzuweisen – von der Konfiguration bis zur täglichen Nutzung.

• ChatGPT: In der Enterprise-Variante ist eine Trennung von Nutzungsdaten und Trainingsdaten möglich, sofern dies vertraglich vereinbart wurde. Die Serverstandorte liegen auch in der EU, wodurch eine ausschließliche Verarbeitung in der EU ausgewählt werden kann. Admins können Konversationen löschen und bestimmte Einstellungen vornehmen, jedoch ist die Kontrolle über alle Datenflüsse technisch und organisatorisch zu prüfen.  

• Microsoft Copilot stellt Tools wie Microsoft Purview zur Verfügung, um Audit- und Compliance-Nachweise zu sichern.  

• Google Gemini bietet auditierbare Protokolle – diese unterscheiden sich je nach gewählter Produktversion.  

Praxistipp: Kontrollmechanismen sollten fortlaufend durch Audits überprüft und dokumentiert werden.  

Tools im DSGVO-Vergleich im Detail

DeepSeek: Ein Negativbeispiel für KI-Tools unter der DSGVO  

DeepSeek ist ein KI-Sprachmodell aus China, das als Paradebeispiel für datenschutzrechtlich problematische Tools gilt:  

• Das Tool speichert zahlreiche Nutzerdaten, darunter IP-Adressen, sämtliche Tastatureingaben und hochgeladene Dokumente – ohne Transparenz über Speicherorte und Datenflüsse.  

• Chinesische Behörden können laut Anbieter auf gespeicherte Nutzerdaten zugreifen; es gibt keinen Angemessenheitsbeschluss zwischen EU und China.  

• DeepSeek stellt keine Auftragsverarbeitungsverträge (AVV) zur Verfügung und ist nicht bereit, solche zu unterzeichnen – ein gravierender Verstoß gegen Art. 28 und 32 DSGVO.  

• Informationspflichten, Zweckbindung und Datensicherheit werden nicht erfüllt, zudem wurden massive Datenlecks dokumentiert.  

• Für Unternehmen drohen bei Nutzung drastische Risiken – von Bußgeldern über Daten- und Reputationsverluste bis hin zum Kontrollverlust über sensible Informationen.  

Fazit: Die Nutzung von DeepSeek ist aus DSGVO-Sicht derzeit nicht empfehlenswert.

Unternehmen sollten ausschließlich auf transparente, zertifizierte KI-Lösungen setzen, die klaren Datenschutz-Vorgaben entsprechen.

Was sind die Best Practices für die DSGVO-konforme Nutzung von KI-Tools?  

• Entwickeln Sie klare Datenschutzrichtlinien und Nutzungsregeln für KI-Tools.

• Schulen Sie Ihre Mitarbeitenden zu Datenschutz und KI.

• Führen Sie regelmäßige Audits und Risikoüberprüfungen durch.

• Vereinbaren Sie immer Auftragsverarbeitungsverträge mit Anbietern und prüfen Sie deren Einhaltung.

Fazit: KI-Tools für Compliance richtig konfigurieren

Der Vergleich zeigt: Auch leistungsstarke KI-Tools wie ChatGPT, Copilot und Gemini sind nur dann DSGVO-konform, wenn sie richtig konfiguriert und kontrolliert werden. Besondere Vorsicht ist bei nicht-europäischen Tools (wie DeepSeek) geboten, da hier zentrale DSGVO-Prinzipien verletzt werden können.

Empfehlung an Unternehmen: Prüfen Sie Tools sorgfältig, achten Sie konsequent auf Datenminimierung, Transparenz, Kontrollmöglichkeiten und regelmäßige Risikoanalysen. Nur so nutzen Sie KI innovativ – und trotzdem datenschutzkonform.

Quellen: OpenAI Trust Portal, Harwardreview, OpenAI Response, OpenAI Enterprise Privacy, Google Support, Microsoft Copilot Privacy, Empfehlung des LfD Niedersachsen zum Einsatz von DeepSeek