---
title: "DSGVO-konforme KI für Unternehmen: Hosting für KI, E-Mail und Cloud im Vergleich"
url: https://coding9.de/blog/dsgvo-konformes-ki-hosting-leitfaden
author: "Alexander Schikowsky"
datePublished: 2025-06-03T00:00:00.000Z
dateModified: 2025-06-03T00:00:00.000Z
description: "DSGVO-konformes Hosting für KI, Business-E-Mail und Cloud: rechtssichere Anbieter, AVV-Checkliste, EU-Alternativen zu US-Diensten. Praxis-Leitfaden 2026."
---

# DSGVO-konforme KI für Unternehmen: Hosting für KI, E-Mail und Cloud im Vergleich

DSGVO-konformes Hosting bedeutet: Server in der EU, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, dokumentierte technische und organisatorische Maßnahmen und kein ungeregelter Drittlandtransfer. Das gilt für KI-Systeme genauso wie für Business-E-Mail und Cloud-Speicher. Dieser Leitfaden zeigt, welche Anbieter diese Anforderungen erfüllen.

*Wichtiger Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Die hier präsentierten Informationen basieren auf unserem aktuellen Wissensstand und dienen ausschließlich der allgemeinen Information. Für konkrete rechtliche Fragestellungen sollten Sie stets qualifizierten Rechtsrat einholen. Die Rechtslage im Bereich KI und Datenschutz entwickelt sich dynamisch, daher können sich Anforderungen und Interpretationen ändern.*

Seit KI-Anwendungen in den Fachabteilungen ankommen, stellt sich in jedem Unternehmen dieselbe Frage: Wie lassen sich Modelle wie ChatGPT, Claude oder eigene Machine-Learning-Systeme so hosten und nutzen, dass die DSGVO eingehalten wird? Die Antwort hängt vom Anbieter, vom Vertrag und von den eingegebenen Daten ab.

Dieser Leitfaden stützt sich auf Stellungnahmen deutscher Datenschutzbehörden, den EU AI Act und Projekte aus unserer Praxis. Er geht die Anforderungen der Reihe nach durch: Verträge, technische Maßnahmen, DSFA, Betroffenenrechte und Anbieterauswahl.

Springen Sie gern direkt zu dem Teil, der Sie gerade beschäftigt:

- [Auftragsverarbeitungsvertrag (AVV) für KI-Dienste](#avv)
- [Technische und organisatorische Maßnahmen](#tom)
- [Datenschutz-Folgenabschätzung](#dsfa)
- [DSGVO-konformes E-Mail-Hosting](#e-mail-hosting)
- [Europäische Alternativen zu US-KI-Anbietern](#eu-alternativen)
- [Umsetzung in drei Stufen](#umsetzung)
- [Kosten und ROI](#kosten)
- [Häufige Fragen](#haeufige-fragen)

## **Die rechtlichen Grundlagen: DSGVO trifft auf KI**

Die [Datenschutz-Grundverordnung (DSGVO)](https://eur-lex.europa.eu/eli/reg/2016/679/oj) wurde lange vor dem Boom rund um künstliche Intelligenz verabschiedet, gilt aber vollumfänglich für KI-Systeme. Vor dem Einsatz von KI steht deshalb dieselbe Frage wie bei jeder anderen Software: Welche Rechtsgrundlage für die Verarbeitung personenbezogener Daten greift - Vertragserfüllung, berechtigtes Interesse oder Einwilligung? Die zentrale Herausforderung: KI-Modelle verarbeiten oft massive Datenmengen auf Arten, die bei Erlass der DSGVO noch nicht vorstellbar waren.

### **Die wichtigsten DSGVO-Artikel für KI-Hosting**

- **Artikel 25 - Datenschutz durch Technikgestaltung:** Privacy by Design ist bei KI-Systemen Pflicht, nicht Kür
- **Artikel 35 - Datenschutz-Folgenabschätzung:** Bei KI-Systemen laut deutschen Aufsichtsbehörden "häufig" erforderlich
- **Artikel 22 - Automatisierte Entscheidungen:** Verbot vollautomatisierter Entscheidungen ohne menschliche Beteiligung
- **Artikel 28 - Auftragsverarbeitung:** Zentral für externe KI-Dienstleister

### **Der neue EU AI Act: Was ab 2025 gilt**

Der [EU AI Act](https://eur-lex.europa.eu/eli/reg/2024/1689/oj), auf Deutsch KI-Verordnung, ist seit 1. August 2024 in Kraft und wird schrittweise anwendbar:

- **2. Februar 2025:** Verbot bestimmter KI-Praktiken (z.B. Social Scoring, Emotionserkennung am Arbeitsplatz)
- **2. August 2026:** Vollständige Anwendbarkeit aller Regelungen
- **Hochrisiko-KI-Systeme:** Für die im AI Act gelisteten Hochrisiko-Bereiche - unter anderem Personalauswahl, Kreditwürdigkeitsprüfung und Zugang zu Bildung - verlangt die Verordnung Risikomanagement, Anforderungen an die Datenqualität, Protokollierung und menschliche Aufsicht
- **Strafen:** Bis zu 40 Mio. EUR oder 7% des weltweiten Jahresumsatzes

## **Auftragsverarbeitungsverträge (AVV) für KI-Services**

Ein rechtssicherer Auftragsverarbeitungsvertrag (AVV) ist das Fundament jeder externen KI-Nutzung. Die Anforderungen gehen dabei weit über Standard-AVVs hinaus.

### **Pflichtinhalte eines KI-AVV**

1. **Klare Zweckbindung:** Exakte Definition, wofür die KI genutzt werden darf
2. **Trainingsverbot:** Ausschluss der Nutzung von Kundendaten für Modelltraining
3. **Weisungsgebundenheit:** KI-Anbieter muss Weisungen des Auftraggebers befolgen
4. **Löschkonzept:** Klare Regelungen zur Datenlöschung nach Vertragsende
5. **Subunternehmer:** Transparenz über alle beteiligten Dienstleister

### **Besondere Herausforderungen bei US-Anbietern**

Nach dem Schrems-II-Urteil des EuGH (Juli 2020) ist die Datenübertragung in die USA besonders heikel. Das neue EU-U.S. Data Privacy Framework (Juli 2023) bietet zwar Erleichterung, löst aber nicht alle Probleme:

Wie real der US-Zugriff ist, zeigt ein Fall aus 2025: Ein US-Gericht hatte OpenAI verpflichtet, sämtliche ChatGPT-Konversationen aufzubewahren, auch von Nutzern gelöschte Chats. Die Pflicht endete im September 2025, die Daten aus diesen Monaten bleiben aber gespeichert. Was das für Unternehmen konkret bedeutet, analysieren wir im Beitrag zur [ChatGPT-Speicherpflicht und ihren Konsequenzen](https://coding9.de/blog/openai-chatgpt-speicherpflicht-konsequenzen).

- Standardvertragsklauseln (SCCs) bleiben notwendig
- Zusätzliche technische Schutzmaßnahmen erforderlich
- Transfer Impact Assessment (TIA) dokumentieren
- Verschlüsselung mit EU-kontrollierten Schlüsseln empfohlen

## **Technische und organisatorische Maßnahmen (TOM)**

Die technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO reichen bei KI-Systemen weiter als bei klassischen Anwendungen, weil Eingaben, Zwischenergebnisse und Ausgaben getrennt abgesichert werden müssen. Die deutschen Datenschutzbehörden haben dazu im Mai 2024 konkrete Vorgaben veröffentlicht.

### **Technische Maßnahmen für KI-Hosting**

#### **1. Zugriffskontrolle**

- Ausschließlich unternehmenseigene Accounts
- Multi-Faktor-Authentifizierung (MFA) verpflichtend
- Rollenbasierte Zugriffsrechte (RBAC)
- API-Keys mit eingeschränkten Berechtigungen

#### **2. Verschlüsselung**

- Ende-zu-Ende-Verschlüsselung für alle Datenübertragungen
- Verschlüsselung ruhender Daten (Encryption at Rest)
- Schlüsselverwaltung in der EU
- Hardware Security Modules (HSM) für kritische Anwendungen

#### **3. Datenminimierung**

- Pseudonymisierung vor KI-Verarbeitung
- Automatische Löschung nach definiertem Zeitraum
- Verhinderung der Eingabe personenbezogener Daten
- Output-Filter für generierte Inhalte

#### **4. Protokollierung und Monitoring**

- Lückenlose Audit-Logs aller KI-Interaktionen
- Anomalie-Erkennung für ungewöhnliche Zugriffsmuster
- Echtzeit-Alerts bei Datenschutzverletzungen
- Regelmäßige Security Audits

### **Organisatorische Maßnahmen**

#### **1. KI-Governance-Struktur**

- Benennung eines KI-Verantwortlichen
- Klare Verantwortlichkeiten und Freigabeprozesse
- Dokumentation aller KI-Systeme in einem zentralen Register
- Regelmäßige Management-Reviews

#### **2. Mitarbeiterschulung**

- Verpflichtende Schulungen zum datenschutzkonformen KI-Einsatz
- Sensibilisierung für Risiken (Halluzinationen, Bias, Datenlecks)
- Praktische Übungen zur sicheren Prompt-Gestaltung
- Regelmäßige Auffrischungen bei neuen Entwicklungen

#### **3. Richtlinien und Verfahren**

- Schriftliche KI-Nutzungsrichtlinie
- Verfahren zur Datenschutz-Folgenabschätzung (DSFA)
- Incident-Response-Plan für KI-bezogene Vorfälle
- Prozess zur Bearbeitung von Betroffenenrechten

## **Datenschutz-Folgenabschätzung (DSFA) für KI**

Eine Datenschutz-Folgenabschätzung ist bei KI-Systemen in den meisten Fällen verpflichtend. Die deutschen Aufsichtsbehörden betonen, dass bei KI-Anwendungen "häufig" von einem hohen Risiko auszugehen ist.

### **Wann ist eine DSFA erforderlich?**

- Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO)
- Systematische und umfangreiche Bewertung persönlicher Aspekte
- Verwendung neuer Technologien (KI fällt hierunter)
- Scoring oder Profiling mit Rechtsfolgen

### **Inhalt einer KI-DSFA**

1. **Systematische Beschreibung:** Zweck, Art und Umfang der KI-Verarbeitung
2. **Notwendigkeitsprüfung:** Verhältnismäßigkeit zum verfolgten Zweck
3. **Risikobewertung:** Identifikation und Bewertung spezifischer KI-Risiken
4. **Abhilfemaßnahmen:** Technische und organisatorische Schutzmaßnahmen
5. **Konsultation:** Einbeziehung des Datenschutzbeauftragten

## **Betroffenenrechte bei KI-Verarbeitung**

Die Wahrung der Betroffenenrechte stellt bei KI-Systemen eine besondere Herausforderung dar, insbesondere bei Large Language Models (LLMs), die Trainingsdaten nicht einfach "vergessen" können.

### **Die wichtigsten Betroffenenrechte**

#### **1. Informationsrecht (Art. 13/14 DSGVO)**

- Transparente Information über KI-Einsatz
- Erklärung der Funktionsweise in verständlicher Sprache
- Angabe der Datenquellen und Verarbeitungszwecke

#### **2. Auskunftsrecht (Art. 15 DSGVO)**

- Auskunft über verarbeitete personenbezogene Daten
- Information über involvierte Logik bei automatisierten Entscheidungen
- Tragweite und angestrebte Auswirkungen

#### **3. Löschungsrecht (Art. 17 DSGVO)**

Die größte Herausforderung bei KI-Systemen:

- LLMs können Trainingsdaten nicht "entlernen"
- Lösung: Output-Filter und Zugangsbeschränkungen
- Dokumentation der getroffenen Maßnahmen essentiell

#### **4. Widerspruchsrecht (Art. 21 DSGVO)**

- Opt-out-Möglichkeiten müssen implementiert werden
- Alternative Verarbeitungswege ohne KI anbieten
- Klare Kommunikation der Widerspruchsmöglichkeiten

## **DSGVO-konformes Business-E-Mail-Hosting**

Auch beim geschäftlichen E-Mail-Hosting gelten die Grundregeln dieses Leitfadens: Ohne Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist ein E-Mail-Anbieter für Unternehmen nicht einsetzbar, denn E-Mail-Postfächer enthalten fast immer personenbezogene Daten von Kunden und Mitarbeitern.

Worauf es bei der Auswahl ankommt: Serverstandort in der EU (idealerweise Deutschland), ein AVV als Standardbestandteil des Vertrags, Transportverschlüsselung (TLS) und Verschlüsselung ruhender Daten, dokumentierte Löschkonzepte sowie Zwei-Faktor-Authentifizierung für alle Postfächer. Bei US-Anbietern wie Google Workspace oder Microsoft 365 gelten dieselben Einschränkungen wie bei US-KI-Diensten: Der CLOUD Act ermöglicht US-Behörden Zugriff auch auf EU-Rechenzentren, weshalb Standardvertragsklauseln und ein dokumentiertes Transfer Impact Assessment nötig sind. Europäische Anbieter mit Sitz und Servern in Deutschland oder der EU vermeiden diese Zusatzanforderungen und sind für die meisten Mittelständler der einfachere Weg zur Compliance.

Wichtig für die Praxis: Wer KI-Funktionen im Postfach nutzt (Smart-Reply, automatische Zusammenfassungen), lässt E-Mail-Inhalte zusätzlich durch ein KI-System laufen. Dann gelten die AVV- und DSFA-Anforderungen aus den vorherigen Abschnitten dieses Leitfadens auch dafür.

## **Europäische Alternativen zu US-KI-Anbietern**

Für maximale DSGVO-Compliance empfiehlt sich der Einsatz europäischer KI-Anbieter. Diese bieten oft vergleichbare Leistungen bei besserer Rechtssicherheit.

### **Führende europäische KI-Anbieter**

#### **1. Aleph Alpha (Deutschland)**

- Luminous-Modellfamilie mit Explainable AI
- On-Premise-Deployment möglich
- Vollständige DSGVO-Compliance garantiert
- Besonders geeignet für Behörden und kritische Infrastruktur

#### **2. Neuroflash (Deutschland)**

- Spezialisiert auf Marketing-Content
- Server ausschließlich in Deutschland
- Keine Nutzung von Kundendaten für Training
- TÜV-geprüfter Datenschutz

#### **3. Mistral AI (Frankreich)**

- Open-Source-Modelle verfügbar
- Europäische Datenschutzstandards
- Self-Hosting-Optionen
- Open-Weight-Modelle im eigenen Rechenzentrum betreibbar (z.B. Llama 3.3, Mistral Large, gpt-oss-120b)

#### **4. DeepL Write (Deutschland)**

- Fokus auf Textverbesserung und Übersetzung
- Strenge Datenschutzrichtlinien
- Keine Speicherung von Nutzertexten
- ISO 27001 zertifiziert

### **Open-Source-Lösungen für maximale Kontrolle**

Für höchste Datenschutzanforderungen empfiehlt sich der Einsatz von Open-Source-Modellen auf eigener Infrastruktur:

- **LLaMA 2/3 (Meta) - kommerziell nutzbar**
- **Falcon (Technology Innovation Institute) - Apache 2.0 Lizenz**
- **BLOOM (BigScience) - mehrsprachiges Modell**
- **GPT-J/GPT-NeoX (EleutherAI) - vollständig open source**

## **Praktische Umsetzung: 3-Stufen-Plan**

Die Implementierung DSGVO-konformer KI-Systeme erfolgt idealerweise in drei strukturierten Phasen:

### **Stufe 1: Planungsphase (2-4 Wochen)**

1. **Use-Case-Definition:** Klare Zwecke und Grenzen festlegen
2. **Rechtsgrundlage prüfen:** Berechtigtes Interesse vs. Einwilligung
3. **Stakeholder identifizieren:** IT, Datenschutz, Betriebsrat, Fachabteilungen
4. **Anbieterauswahl:** Bewertung nach Datenschutzkriterien

### **Stufe 2: Implementierung (4-8 Wochen)**

1. **Vertragsgestaltung:** AVV und SLAs verhandeln
2. **DSFA durchführen:** Risiken bewerten und dokumentieren
3. **Technische Integration:** APIs, Verschlüsselung, Zugriffskontrollen
4. **Pilotphase:** Limitierter Test mit unkritischen Daten

### **Stufe 3: Produktivbetrieb (fortlaufend)**

1. **Monitoring:** Kontinuierliche Überwachung aller Prozesse
2. **Schulungen:** Regelmäßige Mitarbeitertrainings
3. **Audits:** Jährliche Compliance-Überprüfungen
4. **Updates:** Anpassung an neue rechtliche Anforderungen

## **Kosten und ROI**

Die Investition in DSGVO-konforme KI-Lösungen zahlt sich mehrfach aus:

### **Kostenfaktoren**

- **Lizenzkosten:** 500-5.000 EUR/Monat je nach Anbieter und Volumen
- **Beratung:** 10.000-50.000 EUR für initiale Compliance-Beratung
- **Implementierung:** 20.000-100.000 EUR je nach Komplexität
- **Laufende Compliance:** 2.000-10.000 EUR/Monat

### **ROI-Betrachtung**

- **Vermeidung von Bußgeldern:** Bis zu 20 Mio. EUR oder 4% des Jahresumsatzes
- **Reputationsschutz:** Unbezahlbar bei Datenschutzvorfällen
- **Wettbewerbsvorteil:** "Privacy als USP" bei datenschutzsensiblen Kunden
- **Zeitersparnis im Tagesgeschäft:** 20-40% Produktivitätssteigerung durch KI

## **Zertifizierungen und Standards**

Für den Nachweis der Compliance sind folgende Zertifizierungen relevant:

### **Aktuelle Standards**

- **ISO/IEC 42001:2023:** AI Management System Standard
- **ISO/IEC 27001:** Informationssicherheits-Managementsystem
- **BSI C5:** Cloud Computing Compliance Criteria Catalogue
- **TISAX:** Für Automotive-Branche

### **Zertifizierungsprozess**

1. Gap-Analyse durchführen
2. Managementsystem implementieren
3. Interne Audits durchführen
4. Externe Zertifizierung beauftragen
5. Jährliche Überwachungsaudits

## **Fazit und Handlungsempfehlungen**

DSGVO-konformes KI-Hosting ist eine rechtliche Pflicht, sobald personenbezogene Daten im Spiel sind. Der Aufwand verteilt sich auf Vertrag, Technik und Dokumentation und lässt sich in wenigen Monaten abarbeiten.

### **Die fünf Punkte, die bleiben**

1. **Keine KI ohne AVV:** Vertragsgestaltung ist essentiell
2. **DSFA ist Pflicht:** Bei KI-Systemen "häufig" erforderlich
3. **EU-Anbieter bevorzugen:** Rechtssicherheit geht vor Features
4. **Dokumentation ist alles:** Nachweispflicht liegt beim Verantwortlichen
5. **Kontinuierliche Anpassung:** Rechtslage entwickelt sich dynamisch

### **Sofortmaßnahmen**

Diese fünf Schritte stehen am Anfang:

1. Bestandsaufnahme aller genutzten KI-Systeme
2. Prüfung bestehender Verträge auf DSGVO-Konformität
3. Einbeziehung des Datenschutzbeauftragten
4. Erstellung einer KI-Nutzungsrichtlinie
5. Evaluierung europäischer Alternativen

Wer diese Punkte abgearbeitet hat, kann KI produktiv einsetzen, ohne bei der nächsten Prüfung durch die Aufsichtsbehörde in Erklärungsnot zu geraten. Das erspart Bußgelder und beantwortet zugleich die Datenschutzfragen, die Kunden im Einkaufsprozess stellen.

Wenn Sie konkret mit Claude arbeiten (wollen): Was für API, Team, Enterprise und Claude Code jeweils gilt, von AVV über Training-Opt-out bis EU-Hosting, steht in einem eigenen Leitfaden: [Claude DSGVO-konform nutzen](https://coding9.de/blog/claude-dsgvo-konform-nutzen).

Und wenn Sie die Umsetzung nicht allein stemmen wollen: Wir begleiten Unternehmen bei Anbieter-Auswahl, AVV, TOM und dem Umzug auf EU-Hosting. Mehr dazu unter [DSGVO-konforme KI-Lösungen](https://coding9.de/leistungen/ki/dsgvo). Ein Erstgespräch ist kostenlos und unverbindlich.

## **Häufig gestellte Fragen (FAQ)**

### **Muss ich für ChatGPT einen AVV abschließen?**

Ja, sobald personenbezogene Daten verarbeitet werden. OpenAI bietet für Enterprise-Kunden einen Data Processing Agreement (DPA) an. Für die kostenlose Version ist dies nicht möglich - hier sollten keine personenbezogenen Daten eingegeben werden.

### **Kann ich US-basierte KI-Dienste DSGVO-konform nutzen?**

Ja, aber mit erhöhtem Aufwand. Sie benötigen Standardvertragsklauseln (SCCs), zusätzliche technische Schutzmaßnahmen und eine dokumentierte Transfer Impact Assessment. Das EU-U.S. Data Privacy Framework erleichtert dies, eliminiert aber nicht alle Risiken.

### **Was passiert bei einem Datenschutzvorfall mit KI?**

Sie müssen innerhalb von 72 Stunden die Aufsichtsbehörde informieren und bei hohem Risiko auch die Betroffenen. Dokumentieren Sie den Vorfall genau und leiten Sie Abhilfemaßnahmen ein. Ein vorbereiteter Incident-Response-Plan ist essentiell.

### **Brauche ich für jede KI-Anwendung eine separate DSFA?**

Nicht unbedingt. Ähnliche Verarbeitungen können in einer DSFA zusammengefasst werden. Neue Anwendungsfälle oder signifikante Änderungen erfordern aber eine Aktualisierung oder neue DSFA.

### **Wie kann ich das Löschungsrecht bei KI umsetzen?**

Da trainierte KI-Modelle Daten nicht "vergessen" können, müssen alternative Maßnahmen ergriffen werden: Output-Filter, Zugangsbeschränkungen, Löschung aus Trainingsdatensätzen für zukünftige Modelle. Dokumentieren Sie Ihre Maßnahmen sorgfältig. Wie Trainingsdaten für ein eigenes Modell aufgebaut und gegen personenbezogene Inhalte abgegrenzt werden, beschreibt unser [Praxis-Guide zum Fine-Tuning von KI-Modellen](https://coding9.de/blog/finetuning-ki-modelle-guide).

### **Welche Strafen drohen bei Verstößen?**

DSGVO: Bis zu 20 Mio. EUR oder 4% des weltweiten Jahresumsatzes. EU AI Act: Bis zu 40 Mio. EUR oder 7% für verbotene Praktiken. Zusätzlich drohen Schadensersatzforderungen Betroffener und Reputationsschäden.

### **Muss der Betriebsrat bei KI-Einführung beteiligt werden?**

In Deutschland ja, wenn die KI zur Überwachung von Mitarbeitern geeignet ist oder deren Arbeitsplätze betrifft. Dies gilt auch für KI-Tools wie ChatGPT am Arbeitsplatz. Eine Betriebsvereinbarung ist oft sinnvoll.

### **Sind Open-Source-KI-Modelle automatisch DSGVO-konform?**

Nein. Sie haben zwar volle Kontrolle über die Infrastruktur, müssen aber selbst für alle DSGVO-Anforderungen sorgen: Sicherheit, Dokumentation, Betroffenenrechte etc. Der Vorteil liegt in der Datenhoheit und Transparenz.

### **Wie oft muss ich meine KI-Compliance überprüfen?**

Mindestens jährlich, bei wesentlichen Änderungen sofort. Beachten Sie neue Gerichtsurteile, Behördenvorgaben und Gesetzesänderungen. Der EU AI Act bringt ab 2025/2026 neue Anforderungen.

### **Kann ich KI für automatisierte Entscheidungen nutzen?**

Nur mit erheblichen Einschränkungen. Vollautomatisierte Entscheidungen mit Rechtswirkung sind nach Art. 22 DSGVO grundsätzlich verboten. Ausnahmen: Vertragserfüllung, gesetzliche Erlaubnis oder ausdrückliche Einwilligung. Immer erforderlich: menschliche Überprüfungsmöglichkeit.

## Häufige Fragen

### Ist Claude DSGVO-konform nutzbar?

Claude lässt sich DSGVO-konform einsetzen, wenn Sie es über einen Anbieter mit EU-Hosting (etwa AWS Bedrock in Frankfurt oder Google Vertex AI in der EU) nutzen, einen Auftragsverarbeitungsvertrag (AVV) abschließen und technische und organisatorische Maßnahmen dokumentieren. Die Consumer-App claude.ai erfüllt diese Anforderungen in der Regel nicht.

### Welche KI-Dienste sind DSGVO-konform?

DSGVO-konform sind vor allem Modelle mit EU-Hosting und AVV: Mistral (EU), Claude über AWS Bedrock EU, Azure OpenAI in einer EU-Region oder selbst gehostete Open-Weight-Modelle wie Llama, Mistral und GPT-OSS. Entscheidend ist nicht das Modell selbst, sondern wo und wie es betrieben wird.

### Brauche ich einen AVV für KI-Tools wie ChatGPT oder Claude?

Ja. Sobald personenbezogene Daten verarbeitet werden, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO Pflicht. Anbieter wie OpenAI, Anthropic und Mistral stellen für ihre Business- und API-Angebote einen AVV bereit - die kostenlosen Consumer-Versionen meist nicht.

### Wie nutze ich ChatGPT oder Claude rechtssicher im Unternehmen?

Über die API oder Enterprise-Angebote mit AVV, EU-Hosting und deaktiviertem Training auf Ihren Daten - idealerweise hinter einer selbst gehosteten Oberfläche wie OpenWebUI. So behalten Sie die Kontrolle über Daten, Zugriffe und Protokollierung.

---

Quelle: [DSGVO-konforme KI für Unternehmen: Hosting für KI, E-Mail und Cloud im Vergleich](https://coding9.de/blog/dsgvo-konformes-ki-hosting-leitfaden)