Datenschutz
KI-Tools und DSGVO: Was kleine Firmen in der EU prüfen sollten
Bevor Kundendaten in ein KI-Tool gehen: Verarbeitungsort, AV-Vertrag, Übermittlungsgarantien, Modelltraining – Chatbase, Sintra, Submagic und Taskade im Vergleich.
Stand 14. Oktober 2026
Ein KI-Tool, das deinen Kunden antwortet, ihnen schreibt oder ihre Projekte speichert, verarbeitet personenbezogene Daten in deinem Auftrag. Nach der DSGVO bleibst du dafür verantwortlich. Fünf Fragen zeigen dir, ob sich ein Tool dafür überhaupt eignet – und die Antworten stehen in den Dokumenten des Anbieters, nicht in seinem Marketing. Dieser Ratgeber erklärt, worauf du achten solltest; er ist keine Rechtsberatung.
Frage 1: Schließt der Anbieter einen Vertrag zur Auftragsverarbeitung?
Verarbeitet ein Dienstleister personenbezogene Daten für dich, verlangt Art. 28 DSGVO einen Vertrag, der ihn an deine Weisungen bindet – den AV-Vertrag (Auftragsverarbeitungsvertrag). Ohne ihn gehören Kundendaten nicht in das Tool. Such nach einer Seite namens „DPA“ oder „Data Processing Addendum“, meist verlinkt aus der Datenschutzerklärung oder im Footer.
Frage 2: Wo werden die Daten verarbeitet?
Verarbeitung außerhalb der EU ist erlaubt, braucht aber eine Rechtsgrundlage für die Übermittlung: einen Angemessenheitsbeschluss (für die USA einen Anbieter, der nach dem EU-US Data Privacy Framework zertifiziert ist) oder die Standardvertragsklauseln der EU (SCCs). Die Datenschutzerklärung oder der AV-Vertrag nennt den Ort und die Garantie.
Frage 3: Werden deine Daten zum Training von KI-Modellen genutzt?
Gute Anbieter sagen klar, dass Kundeninhalte nicht zum Training von Modellen genutzt werden und dass die KI-Anbieter, die sie einsetzen, ebenfalls daran gebunden sind.
Frage 4: Wer sind die Unterauftragsverarbeiter?
Die meisten KI-Tools geben deine Daten an Modellanbieter (OpenAI, Anthropic, Google und andere) und an Hosting-Firmen weiter. Eine veröffentlichte Liste der Unterauftragsverarbeiter, mit Ankündigung vor Änderungen, zeigt dir, wer sonst noch mit deinen Daten arbeitet – und lässt dich widersprechen.
Frage 5: Was passiert mit den Daten, wenn du kündigst?
Prüf, wie lange Daten nach der Kündigung aufbewahrt werden und ob du sie löschen oder exportieren kannst.
Die vier getesteten Tools im Vergleich
| Geprüft | Chatbase | Sintra AI | Submagic | Taskade |
|---|---|---|---|---|
| Unternehmen | Chatbase Inc., USA | playOS, Inc., USA | TURBO STUDIO S.A.S., Paris | Taskcade Inc., USA |
| Verarbeitung | USA (AWS) | USA oder EU, dazu Länder der Unterauftragsverarbeiter | AWS USA/EU; laut Datenschutzhinweis USA | USA (AWS US-East); einige KI-Modelle über Anbieter in China |
| AV-Vertrag für Kunden | Ja, gilt automatisch | Ja, gilt mit der Nutzung | Kurze Klausel zur Auftragsverarbeitung in den Bedingungen, kein eigener AV-Vertrag | Ausdrücklich nicht angeboten |
| Garantie für Übermittlungen | SCCs im AV-Vertrag | SCCs im AV-Vertrag | SCCs | Kunden wird keine angeboten |
| Training mit deinen Daten | Nein, unabhängig vom Tarif | KI-Anbieter dürfen nicht mit personenbezogenen Daten trainieren | Nicht geregelt; Uploads können für Werbung genutzt werden, außer du widersprichst | Anbietern vertraglich untersagt; keine Garantie |
Quellen: Datenschutzerklärung, AV-Vertrag und Sicherheitsseite jedes Anbieters, geprüft am 20. Oktober 2026 – verlinkt am Ende jedes Testberichts.
Was das in der Praxis bedeutet
- Chatbase hat einen AV-Vertrag mit SCCs, der automatisch gilt; ein Support-Bot, der mit deinen Hilfeseiten trainiert ist, ist also machbar – vorausgesetzt, deine Datenschutzerklärung nennt ihn. Siehe den Testbericht zu Chatbase (englisch).
- Sintra AI hat einen AV-Vertrag mit SCCs, aber kein reines EU-Hosting und kein SOC-2- oder ISO-Zertifikat. Nutz es für Marketing-Entwürfe und Social-Media-Posts, nicht für Kundendaten. Siehe den Testbericht zu Sintra (englisch).
- Submagic ist ein EU-Unternehmen mit SCCs, bietet aber nur eine kurze Klausel zur Auftragsverarbeitung in seinen Bedingungen, keinen eigenen AV-Vertrag und sagt nichts zum Modelltraining. Für deine eigenen Marketing-Videos in Ordnung; frag nach, bevor du Aufnahmen von Kunden hochlädst. Siehe den Testbericht zu Submagic (englisch).
- Taskade schreibt in seiner Datenschutzerklärung, dass es weder einen AV-Vertrag noch SCCs abschließt, und einige KI-Modelle leiten Anfragen an Anbieter in China weiter. Halte personenbezogene Kundendaten davon fern. Siehe den Testbericht zu Taskade (englisch).
Eine kurze Checkliste
- Gehen personenbezogene Daten von Kunden oder Beschäftigten in das Tool? Wenn nicht, betrifft dich das meiste hiervon nicht.
- Gibt es einen AV-Vertrag, und gilt er für deinen Tarif?
- Wo werden die Daten verarbeitet, und auf welcher Rechtsgrundlage werden sie übermittelt?
- Sind Kundeninhalte vom Modelltraining ausgeschlossen?
- Gibt es eine Liste der Unterauftragsverarbeiter?
- Ist das Tool in deiner eigenen Datenschutzerklärung genannt?
Im Zweifel frag den Anbieter schriftlich und bewahr die Antwort auf. Gehst du mit sensiblen Daten um, sprich vor der Anmeldung mit einer Fachperson für Datenschutz.