Welche rechtlichen Folgen hat es, wenn Mitarbeiter Firmendaten in KI-Dienste eingeben?
Das hängt von der Datenart ab. Bei personenbezogenen Daten – Kunden, Beschäftigte, Ansprechpartner – greift die DSGVO: Ohne Rechtsgrundlage und Auftragsverarbeitungsvertrag ist die Eingabe in einen externen Dienst regelmäßig ein Datenschutzverstoß mit möglichen Meldepflichten und Bußgeldern. Bei vertraulichen Geschäftsinformationen steht der Schutz als Geschäftsgeheimnis auf dem Spiel. Hinzu kommen vertragliche Verschwiegenheitspflichten gegenüber Kunden. Die Bewertung im Einzelfall gehört in rechtliche Beratung.
Warum die Eingabe rechtlich relevant ist
Wer Text in einen KI-Dienst eingibt, übermittelt Daten an einen externen Anbieter – technisch nichts anderes als der Versand an einen Dienstleister, nur ohne Vertrag, ohne Prüfung und oft ohne Bewusstsein dafür. Bei privaten, kostenlosen Konten kommt hinzu, dass Eingaben je nach Anbieter gespeichert und zur Verbesserung der Modelle verwendet werden dürfen. Rechtlich entscheidend ist deshalb weniger das Werkzeug als der Weg: Wer verarbeitet die Daten, wo, auf welcher Grundlage – und hat das Unternehmen das autorisiert?
Ebene 1: Personenbezogene Daten (DSGVO)
Namen, Kontaktdaten, Vertragsdetails von Kunden oder Beschäftigten sind personenbezogene Daten. Ihre Eingabe in einen externen KI-Dienst ist eine Verarbeitung im Sinne der DSGVO und braucht eine Rechtsgrundlage; bei externen Anbietern kommt regelmäßig die Pflicht zu einem Auftragsverarbeitungsvertrag hinzu, bei Anbietern außerhalb der EU zusätzlich die Frage der Drittland-Übermittlung. Ein privates Konto eines Mitarbeiters erfüllt keine dieser Voraussetzungen. Je nach Fall drohen Meldepflichten gegenüber der Aufsichtsbehörde, Auskunftspflichten gegenüber Betroffenen und Bußgelder nach Artikel 83 DSGVO. Welche Datenarten grundsätzlich als kritisch gelten, sortiert der Eintrag Welche Daten darf ich in eine KI eingeben?
Ebene 2: Geschäftsgeheimnisse (GeschGehG)
Kalkulationen, Kundenlisten, Rezepturen und Verfahren genießen Schutz nach dem Geschäftsgeheimnisgesetz – aber nur, solange das Unternehmen nachweisbar angemessene Geheimhaltungsmaßnahmen trifft. Genau hier wirkt die KI-Eingabe doppelt: Sie trägt die Information aus dem Kontrollbereich des Unternehmens hinaus, und sie beschädigt zugleich das Argument, die Information sei angemessen geschützt gewesen. Im Streitfall – etwa wenn ein Wettbewerber das Wissen verwendet – kann das die Durchsetzung von Ansprüchen erheblich erschweren.
Ebene 3: Vertragliche Pflichten
Viele Aufträge enthalten Verschwiegenheits- oder Geheimhaltungsklauseln, Rahmenverträge definieren zulässige Unterauftragnehmer und Verarbeitungsorte. Fließen Projektdaten eines Kunden über ein privates KI-Konto ab, kann darin eine Vertragsverletzung liegen – unabhängig davon, ob ein Schaden nachweisbar ist. Für Berufsgruppen mit gesetzlicher Verschwiegenheitspflicht gilt eine nochmals strengere Messlatte.
Wer haftet – Betrieb oder Mitarbeiter?
Verantwortlich im datenschutzrechtlichen Sinn ist regelmäßig das Unternehmen, nicht die einzelne Person – auch wenn die Eingabe eigenmächtig geschah. Arbeitsrechtliche Konsequenzen gegenüber Mitarbeitenden sind eine eigene, nachgelagerte Frage. Für die Geschäftsführung heißt das: Der Verweis „das war ein Einzelner" entlastet nicht; erwartet wird, dass der Betrieb Regeln, Schulung und geeignete Werkzeuge bereitstellt.
Die Konsequenz: Ordnung statt Hoffnung
Alle drei Ebenen führen zum selben Schluss: Der riskante Zustand ist nicht die KI-Nutzung an sich, sondern ihre ungeregelte Form über private Konten. Der Ausweg ist ein geordneter Rahmen – freigegebene Dienste mit vertraglicher Grundlage, klare Datenregeln, Schulung. Was in eine solche KI-Richtlinie gehört, beschreibt der eigene Eintrag; das Gesamtbild zeichnet der Beitrag Schatten-KI im Betrieb.