KI-Training mit Kundendaten: Was Cloud-Verträge für KMU jetzt regeln müssen

Wer als Unternehmen Cloud-Speicher, E-Mail-Postfächer oder Kollaborationstools nutzt, vertraut einem Anbieter sensible Kunden- und Geschäftsdaten an. In den vergangenen Monaten haben mehrere große Technologiekonzerne ihre bisherigen Zusagen überarbeitet, Nutzerdaten nicht für das Training eigener KI-Modelle zu verwenden. Für KMU, die aus Kostengründen oder Gewohnheit auf Standard-Cloud-Dienste setzen, ist das kein theoretisches Problem mehr, sondern eine konkrete Frage der DSGVO-Compliance.

Was “KI-Training mit Kundendaten” konkret bedeutet

Wenn ein Cloud-Anbieter Nutzerdaten für KI-Training verwendet, fließen Inhalte aus Dokumenten, E-Mails oder Chatverläufen in die Weiterentwicklung von KI-Modellen ein. Das betrifft nicht nur Konsumenten-Produkte, sondern zunehmend auch Business- und Enterprise-Tarife, bei denen die Grenze zwischen “reiner Auftragsverarbeitung” und “eigener Nutzung durch den Anbieter” in den AGB oft unscharf formuliert ist.

Auftragsverarbeitung vs. eigene Zwecke

Nach Art. 28 DSGVO darf ein Auftragsverarbeiter personenbezogene Daten ausschließlich nach Weisung des Verantwortlichen verarbeiten – also des Unternehmens, das den Dienst nutzt. Sobald ein Anbieter Kundendaten für eigene Zwecke wie KI-Training heranzieht, verlässt er die Rolle des reinen Auftragsverarbeiters. Das ist rechtlich nicht per se verboten, muss aber transparent gemacht, vertraglich geregelt und im Regelfall durch eine separate Rechtsgrundlage oder Einwilligung gedeckt sein.

Warum das für die DSGVO-Compliance kritisch ist

Für KMU bedeutet das: Wer einen Auftragsverarbeitungsvertrag (AVV) unterschreibt, ohne die Klauseln zur KI-Nutzung zu prüfen, kann unwissentlich einer Datenverarbeitung zustimmen, die über den ursprünglichen Zweck hinausgeht. Im Fall einer Datenschutzprüfung oder eines Vorfalls trägt das Unternehmen als Verantwortlicher die Nachweispflicht – nicht der Cloud-Anbieter.

Welche Risiken für KMU entstehen

Vertrauliche Geschäftsdaten in Modellgewichten

Anders als bei einer klassischen Datenpanne lässt sich ein einmal in ein KI-Modell eingeflossener Datensatz kaum vollständig zurückverfolgen oder löschen. Interne Kalkulationen, Kundenlisten oder Vertragsentwürfe, die in einem Cloud-Dokument lagen, können so faktisch dauerhaft Teil eines Modells werden – mit unklaren Folgen für Betriebsgeheimnisse und Wettbewerbsvorteile.

AVV und Zweckbindung im Kleingedruckten

Viele Anbieter räumen sich in aktualisierten Nutzungsbedingungen das Recht ein, Daten für KI-Training zu verwenden, sofern der Kunde nicht aktiv widerspricht (Opt-out statt Opt-in). Gerade bei kostenlosen oder günstigen Business-Tarifen ist diese Klausel häufig Standard und wird bei der Vertragsunterzeichnung leicht übersehen.

Haftungsrisiken bei Verstößen

Setzt ein KMU aus Sachsen oder anderen ostdeutschen Bundesländern einen Cloud-Dienst ein, der Kundendaten ohne ausreichende Rechtsgrundlage für KI-Training nutzt, haftet im Zweifel das Unternehmen gegenüber seinen eigenen Kunden und der Aufsichtsbehörde – unabhängig davon, dass die eigentliche Verarbeitung beim Anbieter stattfindet.

Praxisteil: Was KMU jetzt konkret prüfen sollten

1. AVV und Datenschutzerklärung aktuell lesen. Nach jedem größeren Update der Nutzungsbedingungen prüfen, ob sich Klauseln zur KI-Nutzung geändert haben. Anbieter sind verpflichtet, wesentliche Änderungen zu kommunizieren – die Details stehen aber oft nur im Kleingedruckten.
2. Opt-out-Einstellungen aktiv setzen. Viele Anbieter bieten in den Admin- oder Datenschutzeinstellungen einen Schalter, um die Nutzung von Daten für KI-Training zu deaktivieren. Diese Einstellung sollte dokumentiert und regelmäßig kontrolliert werden, da sie bei Vertragsupdates zurückgesetzt werden kann.
3. Datenkategorien klassifizieren. Besonders sensible Daten – Kundendaten, Verträge, Personalunterlagen – sollten grundsätzlich nicht in Diensten liegen, deren KI-Trainingspolitik unklar ist oder häufig geändert wird.
4. Alternativen mit Datenhoheit prüfen. Selbst gehostete Lösungen wie Nextcloud auf eigener oder in Deutschland gehosteter Server-Infrastruktur unterliegen nicht den AGB-Änderungen internationaler Cloud-Konzerne. Die Kontrolle über die Daten bleibt vollständig beim Unternehmen.
5. Verantwortlichkeiten im Unternehmen klären. Wer prüft neue AGB-Versionen? Wer entscheidet über den Einsatz neuer Cloud-Tools? Ohne klaren Prozess bleibt die Kontrolle dem Zufall überlassen.

Rexoma unterstützt KMU in Dresden

Sie nutzen Cloud-Dienste und sind unsicher, ob Ihre Kundendaten dort DSGVO-konform verarbeitet werden? Rexoma unterstützt KMU in Dresden, Sachsen und ganz Ostdeutschland dabei, Cloud-Verträge zu bewerten, Datenschutzrisiken zu identifizieren und wo sinnvoll auf selbst gehostete Alternativen wie Nextcloud umzusteigen. So behalten Sie die Kontrolle über Ihre Daten, statt sie stillschweigend an das Training fremder KI-Modelle zu verlieren.

FAQ

Darf ein Cloud-Anbieter meine Unternehmensdaten einfach für KI-Training nutzen? Nur wenn eine ausreichende Rechtsgrundlage vorliegt und dies transparent in AVV bzw. Datenschutzerklärung geregelt ist. Ohne klare Grundlage verstößt eine solche Nutzung gegen die DSGVO.

Wie erkenne ich, ob ein Anbieter meine Daten für KI-Training verwendet? Ein Blick in die aktuelle Datenschutzerklärung und den AVV ist Pflicht. Suchen Sie gezielt nach Begriffen wie “KI-Training”, “Modellverbesserung” oder “maschinelles Lernen” und prüfen Sie, ob ein Opt-out angeboten wird.

Reicht ein Opt-out aus, um rechtlich auf der sicheren Seite zu sein? Ein aktiviertes Opt-out reduziert das Risiko erheblich, ersetzt aber nicht die grundsätzliche Prüfung, ob der Anbieter insgesamt DSGVO-konform arbeitet – etwa bei Serverstandort und Subunternehmern.

Ist eine eigene Nextcloud-Installation sicherer als große Cloud-Anbieter? Bei einer selbst betriebenen oder in Deutschland gehosteten Nextcloud-Instanz entscheidet das Unternehmen selbst über Datenverarbeitung und Serverstandort – ein KI-Trainingsrisiko durch AGB-Änderungen Dritter entfällt.

Betrifft das Thema auch kleine Unternehmen mit wenigen Mitarbeitern? Ja. Die Größe des Unternehmens spielt für die DSGVO-Pflichten keine Rolle – auch kleine Betriebe mit Kundendaten in der Cloud sind als Verantwortliche in der Nachweispflicht.