DSGVO-konforme KI im Mittelstand: Was Reinigungsfirmen und Hausverwaltungen beachten müssen

Wann ist der Einsatz von KI im Mittelstand DSGVO-konform?

Wenn eine von vier Bedingungen erfüllt ist: keine personenbezogenen Daten gehen an die KI, oder die KI läuft mit EU-Hosting und Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, oder die KI liefert nur Vorschläge und ein Mensch entscheidet, oder die Verarbeitung findet lokal statt. Das Kernproblem sind öffentliche Werkzeuge: wer Mieter- oder Mitarbeiterdaten in ein kostenloses Chat-Werkzeug eingibt, gibt personenbezogene Daten an einen Dienstleister weiter, mit dem kein Auftragsverarbeitungsvertrag besteht. Dieser Text ersetzt keine Rechtsberatung. Stand: August 2026.

Datenschutz ist nicht die Ausrede, er ist der Grund, es richtig zu machen

In einer Bitkom-Befragung des Handwerks 2026 nennen 96 % der Betriebe Datenschutz und IT-Sicherheit als größtes Hemmnis bei der Digitalisierung. Nicht die Kosten, nicht das fehlende Personal, der Datenschutz.

Das ist in der Reinigung und Hausverwaltung kein Wunder. Sie verarbeiten täglich personenbezogene Daten: Mitarbeiterdaten, Lohndaten, Mieterdaten, Eigentümerlisten, Bankverbindungen. Genau die Daten, die in einem öffentlichen ChatGPT-Fenster nichts zu suchen haben.

Die häufigste Reaktion: KI ganz lassen. Die zweithäufigste: KI heimlich nutzen ("Schatten-KI") und hoffen, dass nichts passiert. Beide sind falsch. Es gibt einen dritten Weg, KI DSGVO-konform einsetzen. Genau darum geht es hier.

Das Kernproblem: öffentliche KI-Tools sind keine Auftragsverarbeiter

Wenn Sie Mieterdaten oder Mitarbeiterdaten in das kostenlose ChatGPT, ein privates Gemini oder ein beliebiges Browser-Plugin eingeben, geben Sie personenbezogene Daten an einen Dritten weiter, oft ohne Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, oft auf Server außerhalb der EU, oft mit unklarer Weiterverwendung zum Training.

Das ist der eigentliche Verstoß. Nicht "KI" ist das Problem, sondern wohin die Daten fließen und unter welchem Vertrag.

Die vier Fragen, die über DSGVO-Konformität entscheiden:

Vier Wege, KI rechtssicher zu nutzen

1. Datenminimierung: gar keine personenbezogenen Daten an die KI geben

Der sicherste Weg ist, der KI nie zu zeigen, wer dahintersteckt. Beispiel Angebotserstellung in der Reinigung: Die KI braucht Flächen, Raumtypen, Frequenzen und Leistungswerte, nicht den Namen oder die Adresse des Kunden. Den fertigen Text fügen Sie lokal mit den echten Daten zusammen.

Beispiel E-Mail-Sortierung: Statt komplette Mails inklusive Absenderdaten an eine KI zu schicken, lässt sich oft nur die Kategorie ("Reklamation", "Angebotsanfrage", "Rechnung") bestimmen, ohne den personenbezogenen Inhalt weiterzugeben.

Wo keine personenbezogenen Daten fließen, entschärft sich die DSGVO-Frage erheblich.

2. EU-gehostete KI mit AVV

Brauchen Sie doch personenbezogene Daten in der Verarbeitung, gehört die KI in eine Umgebung mit EU-Hosting und Auftragsverarbeitungsvertrag. Mehrere Anbieter von Sprachmodellen bieten genau das an, Verarbeitung in der EU, kein Training auf Ihren Daten, AVV inklusive. Das ist die Basis für rechtssichere Automatisierung mit echten Daten.

3. KI nur als Vorschlag, Mensch entscheidet

Die DSGVO ist besonders streng bei automatisierten Einzelentscheidungen (Art. 22). In der Praxis lösen Sie das, indem die KI vorschlägt und ein Mensch freigibt, der Mahnvorschlag, die Kategorisierung, der Angebotsentwurf werden geprüft, nicht blind versendet. Das ist ohnehin die bessere Praxis.

4. Lokale Verarbeitung, wo möglich

Manche Aufgaben brauchen gar kein externes Sprachmodell, Regeln, Mustererkennung und Datenabgleich laufen lokal auf Ihren Systemen. Was das Haus nicht verlässt, ist kein Drittland-Transfer.

Die "Schatten-KI"-Falle

Studien zeigen: Mitarbeiter nutzen ChatGPT längst, ob erlaubt oder nicht. Genau das ist gefährlich, unkontrolliert, undokumentiert, ohne AVV. Eine klare interne Regel ("welche Daten dürfen in welches Tool") plus ein bereitgestelltes, konformes Werkzeug ist sicherer als ein Verbot, das niemand befolgt.

Was das konkret für Sie heißt

Der rote Faden: Nicht "KI ja oder nein", sondern welche Daten, an welches Tool, unter welchem Vertrag. Genau das planen wir mit Ihnen, bevor irgendetwas live geht.

Fazit

Datenschutz ist kein Grund, auf KI zu verzichten, er ist der Grund, sie sauber aufzusetzen. Datenminimierung, EU-Hosting mit AVV, Mensch-im-Entscheid und lokale Verarbeitung machen aus dem größten Hemmnis ein lösbares Setup-Thema. Wer das einmal richtig aufsetzt, nutzt KI mit ruhigem Gewissen, und hebt sich von den 84 % ab, für die KI noch "kein Thema" ist.

*Dieser Beitrag ist eine allgemeine Orientierung, keine Rechtsberatung. Für die konkrete Bewertung Ihrer Datenverarbeitung ziehen Sie Ihren Datenschutzbeauftragten oder eine Fachanwältin hinzu.*