Wissen
KI datenschutzkonform nutzen: was im Handwerksbetrieb erlaubt ist
KI datenschutzkonform nutzen: welche Kundendaten in ChatGPT und Co. dürfen, welche Plattform passt und welche Regeln deine Leute brauchen.
Dominik Walter
Darf dein Büro eine Kundenmail in ChatGPT kopieren, um schneller zu antworten? Mit einem privaten, kostenlosen Konto: nein. Wer KI datenschutzkonform nutzen will, braucht drei Dinge: eine Firmen-KI mit Vertrag, eine einfache Regel für die Daten und Leute, die wissen, was sie tun.
Klingt nach Bürokratie. Eine Seite Regeln ist aber schnell geschrieben, und erklären kannst du sie ohne Juristendeutsch, so dass sie auch auf der Baustelle hängen bleiben.
Dass das Thema bremst, ist kein Geheimnis. In einer Bitkom‒Umfrage unter 504 Handwerksbetrieben nennen 96 Prozent bei der Digitalisierung „Bedenken hinsichtlich IT- und Datensicherheit sowie Datenschutz“. Gleichzeitig setzen erst 4 Prozent der Betriebe KI ein. Die Sorge ist berechtigt. Stehenbleiben löst sie aber nicht. Die Frage ist nicht, ob deine Leute KI nutzen. Die Frage ist, ob sie es auf dem privaten Handy tun oder in einem System, das du im Griff hast.
Die kurze Antwort: KI datenschutzkonform nutzen in fünf Regeln
Wenn du nur eine Minute hast, nimm diese fünf Regeln mit:
- Keine Kundendaten in private oder kostenlose KI-Konten. Namen, Adressen, Telefonnummern und Fotos mit Gesichtern bleiben draußen.
- Nutze eine Firmen-KI, deren Anbieter deine Eingaben nicht für eigene Zwecke verwendet, und schließ mit ihm einen Vertrag zur Auftragsverarbeitung.
- Gib nur so viele Daten ein wie nötig. Für eine gute Antwort braucht die KI selten den vollen Namen.
- Ein Mensch prüft jedes Ergebnis, bevor es den Betrieb verlässt.
- Schreib die Regeln auf eine Seite und sorg dafür, dass alle sie kennen.
Der Rest dieses Artikels erklärt, warum diese Regeln gelten und wie du sie im Alltag umsetzt.
Warum das private ChatGPT-Konto im Betrieb nichts zu suchen hat
Ein privates KI-Konto im Betrieb ist wie ein Firmenwagen ohne Fahrtenbuch. Er fährt. Aber wenn jemand fragt, was passiert ist, kannst du nichts nachweisen.
Genau darum geht es im Datenschutz. Wenn dein Betrieb Kundendaten verarbeitet, bist du dafür verantwortlich und musst nachweisen können, dass du dich an die Regeln hältst. So steht es in Artikel 5 der DSGVO. Derselbe Artikel verlangt, Daten auf das nötige Maß zu beschränken. Gibst du Kundendaten an einen Dienstleister weiter, der sie für dich verarbeitet, brauchst du nach Artikel 28 einen Vertrag, der ihn an deine Vorgaben bindet. Das ist der Vertrag zur Auftragsverarbeitung.
Beim kostenlosen Privatkonto fehlt genau das. Die Hamburger Datenschutzaufsicht sagt es in ihrer Checkliste für KI‒Chatbots deutlich: Behält sich ein Anbieter vor, die Eingaben für eigene Zwecke zu nutzen, dürfen grundsätzlich keine personenbezogenen Daten in die KI. Und wer das Training mit seinen Eingaben abschalten will, muss teilweise ein eigenes Vertragsmodell buchen, das sich von der kostenfreien Standardanwendung unterscheidet.
Wer kostenlos arbeitet, zahlt im Zweifel mit den Daten seiner Kunden.
Was „personenbezogen“ im Handwerk heißt
Personenbezogen ist alles, was sich einem Menschen zuordnen lässt. Im Betrieb sind das vor allem:
- Name, Adresse, Telefonnummer und E-Mail-Adresse von Kunden
- Fotos von der Baustelle, auf denen Gesichter oder Autokennzeichen zu sehen sind
- Daten deiner Leute: Krankmeldungen, Stundenzettel mit Namen, Bewerbungen
- Kundenmails mit Signatur und Vorgeschichte
Ein Leistungsverzeichnis ohne Namen, Produktdaten, Normen oder eine allgemeine Fachfrage sind datenschutzrechtlich meist unkritisch. Achte trotzdem darauf, dass sich aus dem Zusammenhang kein Kunde und kein Bauvorhaben erkennen lässt, und gib keine Betriebsgeheimnisse ein.
Die Ampel für den Handwerksbetrieb
Regeln merkt sich niemand. Farben schon. Diese Ampel funktioniert im Büro und auf der Baustelle.
Grün: meist unkritisch
- Text für eine Stellenanzeige, ohne Namen
- Leistungsbeschreibung oder Materialliste ohne Kundendaten
- Beitrag für die Website oder Social Media
- Fachfrage zu einem Ablauf oder einer Formulierung
Gelb: nur in der Firmen-KI mit Vertrag
- Kundenmail beantworten (Namen und Adresse weglassen, wenn sie nicht gebraucht werden)
- Angebotstext aus einem Aufmaß formulieren
- Bautagesbericht aus Sprachnotizen schreiben
- Mängelrüge oder Behinderungsanzeige vorformulieren, Zahlen und Fristen selbst prüfen
Rot: erst klären, dann eingeben
- Krankmeldungen und andere Gesundheitsdaten
- Personalakten und Bewerbungsunterlagen
- Ausweise, Bankdaten, Verträge mit vollem Namen
- alles, bei dem du unsicher bist
Bei Rot gilt: Sprich vorher mit deinem Datenschutzbeauftragten oder dem, der in deinem Betrieb dafür zuständig ist. Gesundheitsdaten schützt die DSGVO nach Artikel 9 besonders streng.
Wie Gelb im Alltag aussieht, zeigt Sanierungstechnik Dommel: Dort schreibt die Firmen-KI die Antwortentwürfe, ein Mensch prüft und schickt ab. Die E-Mail-Arbeit ging so von 1,5 Stunden auf 20 Minuten am Tag zurück. Die ganze Geschichte steht im Artikel E‒Mails mit KI beantworten.
Welche KI ist DSGVO-konform? So wählst du die Plattform
Auf den Vertrag kommt es an, weniger auf den Namen auf der Packung. Diese fünf Fragen stellst du jedem Anbieter, ob er ChatGPT, Copilot oder anders heißt:
- Wo stehen die Server? Am besten in der EU, dann gehen deine Daten nicht in Länder mit schwächerem Datenschutz.
- Gibt es einen Vertrag zur Auftragsverarbeitung? Ohne ihn keine Kundendaten.
- Werden deine Eingaben zum Trainieren genutzt? Wenn ja, oder wenn das unklar ist: Finger weg mit Kundendaten.
- Kannst du steuern, wer was sieht? Im Betrieb soll nicht jeder an alles kommen.
- Gibt es Nachweise zur Sicherheit? Zum Beispiel eine Zertifizierung nach ISO 27001.
Auch für ChatGPT gibt es Geschäftstarife. Ob ein Tarif DSGVO-konform genutzt werden kann, entscheidest du anhand dieser fünf Fragen und des Vertrags, nicht anhand der Werbung.
Wir arbeiten in Betrieben mit Langdock. Die Plattform ist DSGVO-konform, die Server stehen in der EU, und sie ist nach ISO 27001 zertifiziert. Darüber laufen bei uns auch der KI-Führerschein und die Firmen-KI, mit der Betriebe wie Dommel arbeiten. Andere Lösungen können genauso passen. Prüf sie mit denselben fünf Fragen, bevor du kaufst.
KI-Richtlinie für Mitarbeiter: eine Seite, die alle kennen
Die beste Plattform nützt nichts, wenn der Monteur abends doch das private Handy nimmt. Deshalb braucht jeder Betrieb eine KI-Richtlinie. Kein Handbuch, eine Seite. Am besten dort, wo alle vorbeikommen.
So kann sie lauten:
- Für die Arbeit nutzt du nur die Firmen-KI. Kein privates Konto, kein privates Handy für Kundendaten.
- Namen, Adressen und Telefonnummern lässt du weg, wenn sie nicht gebraucht werden. Aus „Frau Müller, Hauptstraße 5“ wird „die Kundin“.
- Keine Fotos mit Gesichtern oder Kennzeichen hochladen.
- Du liest jedes Ergebnis, bevor es rausgeht. Du bist der Absender, nicht die KI.
- Zahlen, Preise und Fristen prüfst du immer selbst.
- Unsicher? Erst fragen, dann eingeben.
Eine Seite Regeln ersetzt aber kein Können. Laut Bitkom verfügen nur 29 Prozent der Handwerksbetriebe über Mitarbeitende, die mit KI umgehen können. Wer ohne Plan loslegt, baut auf Sand. Wer seine Leute schult, macht aus der Regel eine Gewohnheit.
In drei Schritten eingeführt
- Bestandsaufnahme. Frag deine Leute offen, wer heute schon KI nutzt und wofür. Ohne Ärger. Es geht um das Bild, nicht um Schuld. Meist kommt raus, dass mehr läuft, als du denkst, und zwar auf privaten Konten.
- Plattform wählen und Vertrag schließen. Geh die fünf Fragen von oben mit zwei, drei Anbietern durch. Entscheide dich für eine Firmen-KI, schließ den Vertrag zur Auftragsverarbeitung und richte die Zugänge ein.
- Regeln aushängen und schulen. Häng die Seite mit den Regeln aus, zeig in einer kurzen Runde die Ampel und übe an echten Aufgaben aus eurem Alltag. Nach 30 Tagen fragst du nach: Was läuft gut, wo hakt es, wo wird doch noch privat gearbeitet?
Das Ganze ist kein Projekt für ein Jahr. Rechne mit Wochen. Bei Dommel waren nach 30 Tagen 17 von 20 Leuten dabei. Danach steckt der Datenschutz den Rahmen ab, in dem deine Leute sicher mit KI arbeiten.
Häufige Fragen
Darf ich personenbezogene Daten in ChatGPT eingeben?
Mit einem privaten oder kostenlosen Konto solltest du das nicht tun. Du hast dort in der Regel keinen Vertrag zur Auftragsverarbeitung und keine Kontrolle darüber, was mit den Daten passiert. In einer Firmen-KI mit Vertrag ist es möglich, aber auch dort nur so viel wie nötig.
Brauche ich einen Vertrag zur Auftragsverarbeitung?
Ja, sobald ein Dienstleister für dich personenbezogene Daten verarbeitet. Das gilt für die KI-Plattform genauso wie für deine Branchensoftware oder dein Rechenzentrum. Seriöse Anbieter stellen diesen Vertrag bereit.
Ist ChatGPT DSGVO-konform?
Das hängt weniger am Produkt als an deinem Vertrag mit dem Anbieter. Ein privates Gratiskonto ist für Kundendaten nicht gedacht. Bei Geschäftstarifen kommt es auf Vertrag, Serverstandort und Training an. Geh die fünf Fragen oben durch.
Muss ich meine Leute schulen?
Die KI-Verordnung der EU verlangt von Betrieben, die KI einsetzen, Maßnahmen, die ihre Leute im Umgang mit KI unterstützen. Seit der Änderung im Juli 2026 heißt es dort „unterstützen“ statt „sicherstellen“ (Überblick bei Haufe). Ein bestimmtes Niveau je Person muss der Betrieb nicht garantieren. Unabhängig vom Gesetz gilt: Wer nicht weiß, was er eingibt, macht Fehler. Schulung ist die günstigste Versicherung.
Was sagt der ZDH dazu?
Der Zentralverband des Deutschen Handwerks hat mit „Praxis Datenschutz“ einen eigenen Leitfaden zum Datenschutz beim KI‒Einsatz im Handwerksbetrieb veröffentlicht. Die Kernpunkte decken sich mit diesem Artikel: Daten sparsam eingeben, keine privaten Geräte, Vertrag zur Auftragsverarbeitung.
Fazit: Datenschutz ist kein Grund, auf KI zu verzichten
KI datenschutzkonform nutzen ist keine Raketenwissenschaft. Du brauchst eine Firmen-KI mit Vertrag, die Ampel für die Daten und eine Seite Regeln für deine Leute. Die Regeln sind schnell geschrieben, bis alle danach arbeiten, vergehen ein paar Wochen. Dann läuft KI im Alltag, ohne dass Kundendaten irgendwo landen, wo sie nicht hingehören.
Du willst das sauber aufsetzen, statt es selbst zusammenzusuchen? Im Infogespräch schauen wir, welche Daten in deinem Betrieb wo landen und wie deine Leute mit dem KI‒Führerschein sicher damit arbeiten. Programm mit IHK-Zertifikat, auf einer DSGVO-konformen Plattform. Wie das in echten Betrieben aussieht, zeigen die Beispiele auf handwerk‒ki.net. Weitere Artikel findest du unter Wissen.
Dieser Artikel ersetzt keine Rechtsberatung.
Das Wichtigste
Kundendaten gehören nicht in ein privates KI-Konto. 96 Prozent der Handwerksbetriebe nennen laut Bitkom Bedenken hinsichtlich IT- und Datensicherheit sowie Datenschutz. Mit einer Firmen-KI, einem Vertrag zur Auftragsverarbeitung und einer Seite Regeln für deine Leute nutzt du KI trotzdem.