DSGVO-konforme KI: Welche Daten verlassen bei welchem Aufbau Ihr Haus?

Lokal heißt nicht telemetriefrei, und eine EU-Zusage hängt am Bereitstellungstyp. Was bei vier gängigen Aufbauten wirklich übertragen wird, mit Zitaten aus den Datenschutzerklärungen der Anbieter.

Stand: 2026-10-09

Die Frage, die Unternehmen beim Thema KI wirklich umtreibt, lautet selten „welches Modell ist das beste“. Sie lautet: Was passiert mit unseren Daten, wenn wir das benutzen? Bei Mandantenunterlagen, Personalakten, Konstruktionszeichnungen oder Patientendaten ist das keine Geschmacksfrage, sondern die Voraussetzung dafür, überhaupt anzufangen.

Die Antwort hängt weniger am Modell als am Aufbau. Vier sind gängig, und sie unterscheiden sich stärker, als die Werbung vermuten lässt.

Die vier Aufbauten im Überblick

1. Lokal, ohne Netzanbindung. Ein offenes Modell läuft auf Ihrer eigenen Hardware. Ollama beschreibt das in seiner Datenschutzerklärung so: „Ollama runs on your local device. We do not collect, store, transmit, or have access to your prompts, responses, model interactions, or other content you process locally. Your data stays on your machine.“ LM Studio formuliert es ähnlich: „If you download and run models locally, none of your messages, chat histories, and documents are ever transmitted from your system - everything is saved locally on your device.“

2. Lokal, mit Rückfall auf ein Modell in der Cloud. Derselbe Aufbau, aber die Software kann größere Modelle über das Netz ansprechen. Sobald das geschieht, gilt die Zusage aus Punkt 1 nicht mehr. Ollama beschreibt diesen Fall an zwei Stellen. In der Zusammenfassung: „When using cloud-hosted models, we process your prompts and responses transiently to provide the service and never train on it.“ Ausführlicher im Haupttext, mit einer Angabe zur Speicherdauer: „When using cloud-hosted models, we process this content transiently to provide the Service and this content is not stored beyond the time required to fulfill the request.“

3. Ein Dienst mit Zusage zum Verarbeitungsort, etwa Azure OpenAI mit festgelegter Region.

4. Ein Dienst ohne Ortszusage, also der Normalfall bei Werkzeugen, die man sich einfach im Browser anmeldet.

Zwischen 1 und 4 liegt der eigentliche Unterschied. Zwischen 1 und 2 liegt eine Falle.

Erste Falle: lokal heißt nicht telemetriefrei

Beide verbreiteten Programme für lokale Modelle übertragen etwas, auch wenn kein einziges Ihrer Dokumente das Haus verlässt.

Ollama nennt es im selben Absatz, in dem die Zusage steht: „We may collect limited device and usage metadata (such as app version and request counts) that does not include your prompt or response content.“ Übersetzt heißt das: Der Anbieter kann erfahren, welche Programmversion Sie einsetzen und wie oft Sie es benutzen, aber nicht, was Sie hineingeschrieben haben. Unter den Angaben, die automatisch anfallen können, nennt die Erklärung außerdem die IP-Adresse, den ungefähren Standort und Angaben zu heruntergeladenen Modellen.

LM Studio sammelt an zwei anderen Stellen: Programmversion, Betriebssystem und IP-Adresse, wenn die Anwendung nach Aktualisierungen sucht, die IP-Adresse auch beim Herunterladen eines Modells, und anonymisierte Suchanfragen, wenn Sie im Katalog nach einem Modell suchen. Zugleich enthält die Erklärung einen bemerkenswerten Satz: „Because the application does not include telemetry or user-specific tracking, we are unable to fulfill data subject requests such as providing a copy of your data or deleting your information.“ Wer nichts über Sie weiß, kann Ihnen auch keine Auskunft erteilen.

Für Ihre Verarbeitungsdokumentation ist beides gut zu wissen und in aller Regel unkritisch. Gefährlich wird es nur, wenn jemand die Zusage „läuft lokal, es geht nichts raus“ pauschal in ein Datenschutzdokument schreibt. Das stimmt für die Inhalte, nicht für alles.

Zweite Falle: die EU-Zusage hängt am Bereitstellungstyp

Dies ist der teuerste Irrtum der vier, weil er wie Sicherheit aussieht.

Azure OpenAI sagt in der Dokumentation: „Prompts and responses are processed within the customer-specified geography (unless you are using a Global or DataZone deployment type), but may be processed between regions within the geography for operational purposes (including performance and capacity management).“ Der Nebensatz in der Klammer trägt die ganze Aussage. Wer eine Bereitstellung vom Typ Global wählt, hat die geografische Zusage nicht, obwohl der Dienst derselbe ist und dieselbe Rechnung schreibt.

Wenn Sie also von Ihrer IT oder einem Dienstleister die Zusage bekommen, die Verarbeitung bleibe in der EU, dann ist die Frage nicht, ob Azure OpenAI eingesetzt wird. Die Frage lautet: welcher Bereitstellungstyp? Das ist eine Einstellung, keine Vertragsklausel, und sie lässt sich in der Verwaltungsoberfläche ändern, ohne dass jemand eine Datenschutzerklärung anfassen muss.

Dritte Falle: kein Training heißt nicht, dass niemand mitliest

Viele Anbieter werben damit, dass Geschäftsdaten nicht für das Training verwendet werden. Für Azure OpenAI stimmt das ausdrücklich: „The models are stateless: no prompts or completions are stored in the model. Additionally, prompts and completions are not used to train, retrain, or improve the base models.“

Das ist eine andere Aussage als „niemand sieht Ihre Eingaben“. Dieselbe Dokumentation beschreibt eine Missbrauchserkennung, die an eine Bedingung geknüpft ist: „When these indicators are detected, a sample of customer's prompts and completions may be selected for review. Review is conducted by automated means including by AI models such as LLMs by default, with additional reviews by human reviewers as necessary.“

Entscheidend ist der erste Halbsatz. Es wird nicht laufend mitgelesen; erst wenn die Erkennung anschlägt, kann eine Stichprobe geprüft werden, zunächst maschinell und bei Bedarf durch Menschen. Wer diese Prüfung übernimmt, ist ebenfalls beschrieben: „The human reviewers are authorized Microsoft employees who access the data via point wise queries using request IDs, Secure Access Workstations (SAWs), and Just-In-Time (JIT) request approval granted by team managers.“

Für deutsche Unternehmen entschärft ein weiterer Satz den Punkt erheblich: „For Models sold by Azure deployed in the European Economic Area, the authorized Microsoft employees are located in the European Economic Area.“ Die Prüfung verlässt den Europäischen Wirtschaftsraum also nicht, sofern das Modell dort bereitgestellt ist.

Für viele Anwendungen ist das insgesamt hinnehmbar. Für anwaltliche Mandantenkommunikation, Personalvorgänge oder Patientendaten ist es eine Angabe, die in die Abwägung gehört, und nicht eine, die man nachträglich entdecken möchte.

Microsoft bietet eine Ausnahme an, die Kunden beantragen können, und sie ist nicht vollständig: „If the customer has been approved for modified abuse monitoring […], the data storage and human review process described above is not performed. However, automated review may still be conducted, leveraging algorithms including AI models that review prompts and completions at the time provided or generated, as applicable.“ Die menschliche Prüfung entfällt damit, die maschinelle nicht. Ob die Ausnahme in Ihrem Konto bewilligt ist, beantwortet Ihre IT und nicht die Produktseite.

Was das für Ihre Dokumentation bedeutet

Drei Punkte, die sich aus dem Obigen unmittelbar ergeben:

Der Aufbau gehört ins Verzeichnis, nicht nur der Produktname. „Wir setzen Azure OpenAI ein“ beschreibt den Sachverhalt nicht ausreichend, solange der Bereitstellungstyp fehlt. Bei lokalen Modellen gehört dazu, ob ein Rückfall auf Modelle in der Cloud eingerichtet ist.

Telemetrie und Inhalte sind zwei verschiedene Empfänger. Bei einem lokalen Aufbau gehen Inhalte nirgendwohin, Betriebsdaten aber schon. Beides in einem Satz zusammenzufassen führt zu einer Aussage, die entweder zu viel oder zu wenig verspricht.

Eine Zusage ohne Prüfpfad veraltet unbemerkt. Anbieter ändern ihre Bedingungen, und der Bereitstellungstyp ist eine Einstellung. Halten Sie neben jeder Aussage fest, woher sie stammt und wann Sie sie zuletzt geprüft haben. Die Zitate auf dieser Seite tragen deshalb ihr Lesedatum.

Schulen und Lehrkräfte

Für Lehrkräfte gilt zusätzlich das Schulrecht, und das regelt jedes Land selbst, auch die Frage, ob Schülerdaten auf einem privaten Gerät verarbeitet werden dürfen. Drei Beispiele: In Nordrhein-Westfalen braucht es dafür eine schriftliche Genehmigung der Schulleitung, und welche Daten erlaubt sind, zählt Anlage 3 der Verordnung auf (§ 2 Abs. 2 VO-DV I). Hat die Lehrkraft ein persönliches Dienstgerät erhalten, darf die Genehmigung nicht erteilt werden, und eine bereits erteilte erlischt. An staatlichen Schulen in Bayern ist die Verarbeitung „grundsätzlich nur auf schulischen Endgeräten zulässig“ (Nr. 3.2.4 VollzBek DS-Schulen). Ein privates Gerät kommt nur in Frage, wenn kein geeignetes schulisches zur Verfügung steht, und muss der Schule angezeigt werden. Ob es genutzt werden darf, entscheidet die Schulleitung, und zwar einschließlich der Anwendungen, die darauf laufen dürfen. Hessen verlangt eine vorherige schriftliche Genehmigung der Schulleitung (§ 20 SchDSV).

Dass Ihre Inhalte bei einem lokalen Modell das Gerät nicht verlassen, hilft hier nicht. Diese Regeln greifen, sobald Schülerdaten auf dem privaten Gerät verarbeitet werden, gleich mit welchem Programm. Keine der drei Vorschriften erwähnt KI, und keine nimmt Programme aus, die nichts ins Netz schicken: Sie regeln gerade die Verarbeitung auf dem Gerät selbst.

Auch der ländergemeinsame Schul-Chatbot ist in Nordrhein-Westfalen kein Weg für Schülerdaten. Das Schulministerium NRW schreibt, dass „in das System über den Prompt keine personenbezogenen Daten eingegeben werden dürfen“.

Klären Sie deshalb vor dem ersten Einsatz mit Ihrer Schulleitung, ob und mit welchem Programm Sie Schülerdaten auf Ihrem Gerät verarbeiten dürfen.

Die Belege im Einzelnen

Die Zitate zu Ollama, LM Studio und Microsoft sind am 18. September 2026 an der Quelle geprüft:

Die Angaben zu Schulen sind am 9. Oktober 2026 an der Quelle geprüft:

Die Gegenüberstellung aller vier Aufbauten nach Datenart finden Sie in unserer Datenschutz-Ampel; den ersten Aufbau, lokal ohne Netzanbindung, zeigt sie getrennt für Ollama und LM Studio. Jede Zelle trägt Zitat, Fundstelle und Lesedatum.

Wenn es geschäftlich wird

Die Entscheidung zwischen den vier Aufbauten ist selten eine rein technische. Sie hängt daran, welche Daten Sie verarbeiten, welche Rechtsgrundlage Sie dafür haben und was Sie dokumentieren müssen. Kommt der EU AI Act dazu, stellt sich zusätzlich die Frage nach den Pflichten, die schon heute gelten. Für Anwälte, Ärzte, Steuerberater und andere Berufsgeheimnisträger kommt § 203 StGB hinzu; was das für KI bedeutet, steht in KI für Berufsgeheimnisträger.

Wenn Sie an diesem Punkt jemanden brauchen, der beide Seiten kennt, führt die KI-Beratung von minoka genau dort hin. Für die Frage, welche Pflichten Ihr Fall auslöst, gibt es das EU-AI-Act-Compliance-Audit; für die Umsetzung mit lokalen Modellen die KI-Implementierung.

Welche Modelle auf Ihrer vorhandenen Hardware überhaupt laufen, beantwortet der Rechner auf dieser Seite.

Fazit

Kurz gesagt

Ob Daten Ihr Haus verlassen, hängt weniger am Modell als am Aufbau. Auch lokal betrieben übertragen Ollama und LM Studio Betriebsdaten wie Programmversion und IP-Adresse, nur keine Inhalte. Bei Azure OpenAI hängt die Zusage zum Verarbeitungsort am Bereitstellungstyp, und kein Training heißt nicht, dass niemand mitliest: Schlägt die Missbrauchserkennung an, kann eine Stichprobe geprüft werden. Halten Sie deshalb im Verzeichnis den Aufbau samt Bereitstellungstyp fest und bei jeder Zusage, woher sie stammt und wann Sie sie geprüft haben; Lehrkräfte klären zusätzlich mit der Schulleitung, ob sie Schülerdaten auf dem eigenen Gerät verarbeiten dürfen.

Häufige Fragen

Welche KI ist DSGVO-konform?

Die DSGVO legt die Pflicht nicht dem Werkzeug auf, sondern dem Verantwortlichen, also dem, der über Zweck und Mittel der Verarbeitung entscheidet: Er ist für die Einhaltung ihrer Grundsätze zuständig und muss sie nachweisen können (Art. 4 Nr. 7 und Art. 5 Abs. 2 DSGVO). Ob ein KI-Werkzeug passt, hängt deshalb an Ihren Daten und am Aufbau; welche Daten bei welchem Aufbau das Haus verlassen, zeigt der Abschnitt „Die vier Aufbauten im Überblick“.

Quelle: DSGVO, Amtsblatt

Darf KI personenbezogene Daten verarbeiten?

Ja, aber nur mit einer Rechtsgrundlage, wie jede andere Verarbeitung auch. Art. 6 Abs. 1 DSGVO zählt sie auf, etwa die Einwilligung, die Erfüllung eines Vertrags, eine rechtliche Verpflichtung oder ein berechtigtes Interesse; ohne eine davon ist die Verarbeitung nicht rechtmäßig.

Quelle: DSGVO, Amtsblatt

Gibt es eine kostenlose KI, bei der die Daten im Haus bleiben?

Ja, ein offenes Modell auf dem eigenen Rechner mit Ollama oder LM Studio: Beide kosten für den lokalen Betrieb nichts, und laut beiden Anbietern verlassen Ihre Eingaben dabei das Gerät nicht. Betriebsdaten wie Programmversion und IP-Adresse können trotzdem übertragen werden, siehe „Erste Falle: lokal heißt nicht telemetriefrei“.

Quellen: Ollama, Preise · LM Studio, kostenlos im Beruf · Ollama, Datenschutzerklärung · LM Studio, Datenschutzerklärung

Ist Microsoft Copilot DSGVO-konform?

Für Geschäftskunden von Microsoft 365 erklärt Microsoft, Copilot erfülle die bestehenden Verpflichtungen einschließlich der DSGVO und der EU-Datengrenze. Ausgenommen von der EU-Datengrenze sind derzeit Modelle, die Anthropic als Unterauftragsverarbeiter bereitstellt; ob Ihr Einsatz zulässig ist, bleibt Ihre Prüfung als Verantwortlicher.

Quelle: Microsoft 365 Copilot, Datenschutz

Ersetzt der AI Act die DSGVO?

Nein. Die KI-Verordnung der EU (AI Act) sagt selbst, dass sie die DSGVO bis auf zwei benannte Ausnahmen nicht berührt; wer KI beruflich einsetzt und dabei personenbezogene Daten verarbeitet, hat es deshalb mit beiden zu tun.

Quelle: KI-Verordnung, Amtsblatt

Weitere Ratgeber