KI und Datenschutz
Firmenkonto statt Privatzugang, Vertrag zur Auftragsverarbeitung, klare Datenklassen: Kopp AI ordnet ChatGPT, Claude und Copilot. Erprobt im Eigenbetrieb.
Die kurze Antwort: Immobilienunternehmen können ChatGPT, Claude oder Microsoft Copilot datenschutzgerecht einsetzen, wenn vier Dinge stimmen: ein Firmenkonto mit Vertrag zur Auftragsverarbeitung, kein Training mit Firmendaten, feste Regeln, welche Daten in welche Umgebung dürfen, und eine menschliche Prüfung der Ergebnisse. Private Konten sind für Kunden-, Eigentümer- und Mieterdaten nicht geeignet. Kopp AI, die KI-Beratung der Kopp Real Estate GmbH, ordnet diese Regeln für den Betrieb, die rechtliche Bewertung bleibt beim Datenschutzbeauftragten.
Stand der Anbieterangaben: Oktober 2026. Die Kopp Real Estate GmbH arbeitet selbst nach diesen Regeln, dokumentiert unter KI-Praxisbeispiele.
Grundsatz
Kurzantwort: Ja, wenn die DSGVO eingehalten wird. Der KI-Anbieter ist dann ein Auftragsverarbeiter, der vertraglich gebunden wird, und es wird nur eingegeben, was die Aufgabe braucht.
Die Bewertung im Einzelfall trifft das Unternehmen mit seinem Datenschutzbeauftragten. Kopp AI leistet keine Rechtsberatung.
Konto
Kurzantwort: Im Firmenkonto regelt ein Vertrag, was mit den Daten geschieht, und Training mit Firmendaten ist laut Anbietern standardmäßig aus. Im Privatkonto entscheidet der einzelne Nutzer, und einen Vertrag zur Auftragsverarbeitung gibt es nicht.
| Merkmal | Privates Konto | Firmenkonto oder API |
|---|---|---|
| Training mit Eingaben | je nach Anbieter und Einstellung möglich | laut Anbietern standardmäßig aus |
| Vertrag zur Auftragsverarbeitung | in der Regel nicht vorhanden | wird angeboten |
| Nutzer und Rechte | jeder verwaltet sich selbst | zentral durch das Unternehmen |
| Speicherort | nicht wählbar | bei einzelnen Firmenangeboten EU wählbar |
| Aufbewahrung und Löschung | Einstellung des Nutzers | zentral steuerbar |
| Nachweis gegenüber Kunden | kaum möglich | über Vertrag und Einstellungen belegbar |
Zusammenfassung der Anbieterangaben, Stand Oktober 2026. Tarife und Bedingungen ändern sich, deshalb vor dem Einsatz die aktuelle Fassung beim Anbieter prüfen.
Anbieter
Kurzantwort: Kein Werkzeug ist von sich aus datenschutzkonform. Die Firmenangebote der drei großen Anbieter schaffen die Voraussetzungen, die Regeln im Unternehmen entscheiden über den sauberen Einsatz.
OpenAI gibt an, dass Daten aus den Firmentarifen von ChatGPT und aus der API standardmäßig nicht zum Training verwendet werden, und bietet einen Vertrag zur Auftragsverarbeitung an. Seit Februar 2025 ist für ChatGPT Enterprise, ChatGPT Edu und die API eine Datenspeicherung in Europa möglich.
Seit Herbst 2025 entscheiden Nutzer der privaten Tarife Free, Pro und Max, ob ihre Chats zum Training verwendet werden, bei Zustimmung werden sie deutlich länger gespeichert. Die Firmenangebote von Anthropic und die API sind davon ausgenommen.
Microsoft gibt an, dass Prompts, Antworten und Daten aus Microsoft Graph nicht zum Training der Basismodelle verwendet werden und der Einsatz unter das Data Protection Addendum fällt. Die EU Data Boundary gilt laut Microsoft nicht für Websuche und derzeit nicht für die angebotenen Anthropic-Modelle.
Anbieterangaben, Stand Oktober 2026. Kopp AI arbeitet modellunabhängig und empfiehlt kein bestimmtes Produkt.
Datenklassen
Kurzantwort: Öffentliche und sachliche Objektdaten sind unkritisch, Kunden-, Eigentümer- und Mieterdaten gehören nur ins Firmenkonto mit Vertrag. Ausweis-, Konto-, Gesundheits- und Zugangsdaten gehören in keinen KI-Chat.
| Datenart | Beispiel im Immobilienunternehmen | Wohin | Regel |
|---|---|---|---|
| Öffentliche Marktinformationen | Lagebeschreibung aus öffentlichen Quellen, Marktberichte | unkritisch | Quelle notieren, Fakten prüfen |
| Objektdaten ohne Personenbezug | Fläche, Baujahr, Ausstattung, Energiekennwerte | Firmenkonto | Gegen die Unterlagen prüfen |
| Interne Texte und Vorlagen | Exposé-Bausteine, Leitfäden, Textregeln | Firmenkonto | Gehören dem Unternehmen, zentral ablegen |
| Kontaktdaten von Interessenten | Name, E-Mail, Telefon, Suchprofil | Firmenkonto mit AVV | Nur was die Aufgabe braucht |
| Eigentümerdaten | Name, Anschrift, Verkaufsmotiv, Preisvorstellung | Firmenkonto mit AVV | Vertraulich, Zugriff nur für Zuständige |
| Mieterdaten | Selbstauskunft, Mietvertrag, Schriftverkehr | Firmenkonto mit AVV | Für Auswertungen pseudonymisieren |
| Zahlungsdaten und offene Posten | Sollstellungen, Zahlungseingänge, Rückstände | Firmenkonto mit AVV | Summen gegen die Buchhaltung prüfen |
| Verträge mit Namen | Kauf- und Mietverträge, Maklerverträge | Firmenkonto mit AVV | Ergebnis vom Menschen prüfen lassen |
| Bewerber- und Mitarbeiterdaten | Lebensläufe, Beurteilungen | nur nach gesonderter Prüfung | Datenschutzbeauftragten einbinden |
| Bonitätsunterlagen | Gehaltsnachweise, Auskünfte, Finanzierungsbestätigung | nur nach gesonderter Prüfung | Meist nicht nötig, Ergebnis statt Unterlage |
| Ausweis- und Kontonummern | Ausweiskopie, IBAN, Unterlagen zur Identifizierung | nicht in KI-Chats | Bleiben im Fachsystem |
| Gesundheitsangaben | Angaben zu Barrierefreiheit oder Pflegebedarf mit Namen | nicht in KI-Chats | Besondere Kategorie nach Art. 9 DSGVO |
| Passwörter und Zugänge | Portal-, Bank- und Systemzugänge | nie | Gehören in einen Passwortmanager |
Arbeitsraster aus dem Eigenbetrieb der Kopp Real Estate GmbH, Stand Oktober 2026. Es ersetzt nicht die Prüfung durch den Datenschutzbeauftragten. Die Prompt-Seite zeigt, wie Vorlagen mit anonymisierten Daten für ChatGPT aufgebaut werden.
Regeln im Unternehmen
Kurzantwort: Konto und Vertrag, eine kurze KI-Richtlinie mit Datenklassen, Rollen und Prüfpunkte sowie die Schulung des Teams. Das ist in wenigen Wochen erledigt und schützt vor unkoordinierter Einzelnutzung mit privaten Konten.
Firmenkonto einrichten, Vertrag zur Auftragsverarbeitung abschließen, Training mit Firmendaten und Aufbewahrung prüfen.
Welche Werkzeuge erlaubt sind, welche Datenklassen wohin dürfen, wer Ergebnisse prüft, was nie eingegeben wird. Musterregeln bietet die Vorlage für eine KI-Richtlinie.
Anbindung an Postfach und Ablage zuerst nur lesend, Senden und Veröffentlichen nur nach Freigabe, Zugriff nur für Zuständige.
Verarbeitungsverzeichnis und Datenschutzhinweise ergänzen, Bedarf einer Datenschutz-Folgenabschätzung prüfen lassen (Art. 35 DSGVO).
Das Team lernt die Regeln an eigenen Fällen. Das dient zugleich den Maßnahmen zur KI-Kompetenz nach Art. 4 der KI-Verordnung.
Wie Rollen und Regeln im Betrieb verankert werden, beschreibt die AI-First-Organisation, den Aufbau der Abläufe die KI-Implementierung.
Praxisbeweis
Kurzantwort: Mit Firmenkonten, lesender Anbindung zuerst und Freigabe durch den Menschen vor allem, was nach außen geht. Die Kopp Real Estate GmbH arbeitet täglich so.
Die Kopp Real Estate GmbH arbeitet mit Firmenkonten von Claude und ChatGPT beziehungsweise Codex, angebunden an Microsoft 365 und die eigene Ablage.
Anbindungen an Postfach, Ablage und Systeme laufen zuerst lesend. Senden und Veröffentlichen geschieht nur nach Freigabe durch einen Menschen.
Alle Praxisbeispiele auf dieser Website stammen aus dem Eigenbetrieb und sind anonymisiert, Kunden und Mandate werden nicht genannt.
Alle Abläufe im Detail: KI-Praxisbeispiele aus dem Eigenbetrieb.
Arbeitsteilung
Kurzantwort: Kopp AI ordnet Abläufe, Datenklassen und Prüfpunkte. Der Datenschutzbeauftragte bewertet rechtlich, das Unternehmen entscheidet und verantwortet.
| Aufgabe | Kopp AI | Datenschutzbeauftragter und Unternehmen |
|---|---|---|
| Abläufe auswählen | Prozessaufnahme, Vorschlag mit Datenbedarf je Ablauf | Entscheidung, welcher Ablauf startet |
| Datenklassen | Entwurf des Rasters nach Vorgängen | Prüfung und Freigabe |
| KI-Richtlinie | Entwurf mit Werkzeugen, Regeln und Prüfpunkten | rechtliche Prüfung, Inkraftsetzung |
| Konto und Vertrag | Hinweise zur Einrichtung und zu Einstellungen | Vertragsabschluss mit dem Anbieter |
| Verarbeitungsverzeichnis und Hinweise | Beschreibung der Abläufe als Vorlage | Eintrag und Veröffentlichung |
| Schulung | Workshop an eigenen Fällen | Teilnahme, Nachweis im Unternehmen |
Kopp AI leistet keine Rechtsberatung. Das Schulungsformat beschreiben die KI-Workshops.
Eignung
Kurzantwort: Sie hilft, wenn KI bereits unkoordiniert genutzt wird oder ein Unternehmen sauber starten will. Sie ersetzt keine Rechtsberatung und keinen Datenschutzbeauftragten.
Mitarbeitende nutzen KI schon mit privaten Konten, oder Makler, Verwaltung oder Bestandshalter wollen Abläufe mit Kunden- und Mieterdaten aufbauen.
Es gibt noch keinen Datenschutzbeauftragten oder kein Verarbeitungsverzeichnis. Dann zuerst diese Grundlage schaffen, danach die KI-Regeln.
Es geht um eine konkrete Rechtsfrage, eine Beschwerde oder ein Verfahren. Dann ist eine Kanzlei für Datenschutzrecht zuständig.
Pflichten
Kurzantwort: Beide gelten nebeneinander. Die DSGVO regelt den Umgang mit personenbezogenen Daten, die KI-Verordnung regelt KI-Systeme, etwa Maßnahmen zur KI-Kompetenz nach Art. 4 und die Kennzeichnung von Chatbots (Rechtsstand Oktober 2026).
Die Einordnung für die Branche steht auf der Seite EU AI Act für die Immobilienwirtschaft. Den Einstieg in die Beratung beschreibt die KI-Beratung für Immobilienunternehmen, für Maklerbüros gibt es den Einstieg KI für Immobilienmakler, für Verwaltungen KI in der Hausverwaltung.
FAQ
Antworten mit Stand Oktober 2026, sachlich informierend und ohne Rechtsberatung.
Ja, wenn die DSGVO eingehalten wird: Es braucht eine Rechtsgrundlage, einen Vertrag zur Auftragsverarbeitung mit dem Anbieter (Art. 28 DSGVO), nur die für die Aufgabe nötigen Daten (Art. 5 DSGVO) und bei Anbietern außerhalb der EU eine zulässige Übermittlung (Art. 44 ff. DSGVO). Die Bewertung im Einzelfall trifft das Unternehmen mit seinem Datenschutzbeauftragten.
Kein KI-Werkzeug ist von sich aus datenschutzkonform, entscheidend ist der Einsatz. Für die Firmentarife von ChatGPT und die API gibt OpenAI an, dass Daten standardmäßig nicht zum Training der Modelle verwendet werden, und bietet einen Vertrag zur Auftragsverarbeitung an (Stand Oktober 2026). Dazu kommen die eigenen Regeln des Unternehmens, welche Daten hinein dürfen.
Das hängt vom Konto ab. In privaten Tarifen steuert der Nutzer selbst, ob Eingaben zum Training verwendet werden dürfen, einen Vertrag zur Auftragsverarbeitung gibt es dort nicht. Firmentarife und die API werden laut OpenAI standardmäßig nicht zum Training genutzt und sind vertraglich geregelt (Stand Oktober 2026). Für Firmendaten kommt deshalb nur ein Firmenkonto in Frage.
Eingaben werden beim Anbieter verarbeitet und für eine gewisse Zeit gespeichert. Ob sie zusätzlich zum Training verwendet werden, hängt vom Tarif und den Einstellungen ab. Wer personenbezogene Daten von Kunden oder Mietern verarbeitet, braucht deshalb ein Firmenkonto mit Vertrag zur Auftragsverarbeitung und feste Regeln, welche Daten eingegeben werden.
Es gibt keine KI, die pauschal den höchsten Datenschutz hat. Maßgeblich sind Firmenkonto, Vertrag zur Auftragsverarbeitung, Training mit Firmendaten standardmäßig aus, Speicherort und Zugriffsrechte. Firmenangebote von OpenAI, Anthropic und Microsoft erfüllen diese Punkte laut Anbieterangaben (Stand Oktober 2026), die Einstellung im eigenen Unternehmen muss trotzdem geprüft werden.
Ja, sobald personenbezogene Daten verarbeitet werden, zum Beispiel Namen, E-Mails oder Mieterangaben. Der Vertrag nach Art. 28 DSGVO wird mit dem Firmenkonto geschlossen, für private Konten gibt es ihn in der Regel nicht.
Nur in ein Firmenkonto mit Vertrag zur Auftragsverarbeitung und nur so viel, wie die Aufgabe braucht. Für einen Exposé-Entwurf reichen die Objektdaten ohne Namen des Eigentümers. Ausweiskopien, Bonitätsunterlagen und Zugangsdaten gehören nicht in einen KI-Chat.
Mieterdaten sind personenbezogen und oft sensibel, etwa Selbstauskunft, Zahlungsverhalten oder Schriftverkehr. Sie gehören nur in eine freigegebene Firmenumgebung mit Vertrag zur Auftragsverarbeitung, mit Zugriff nur für die zuständigen Personen. Für viele Aufgaben genügen anonymisierte oder pseudonymisierte Daten.
Die Datenschutzhinweise müssen beschreiben, welche Daten zu welchem Zweck und an welche Empfänger gehen (Art. 13 und 14 DSGVO). Wird ein KI-Anbieter als Auftragsverarbeiter neu eingesetzt, gehört er in diese Hinweise und ins Verarbeitungsverzeichnis. Ein Chatbot im Kundenkontakt muss zudem als KI erkennbar sein (Rechtsstand Oktober 2026).
Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene hat, etwa bei umfangreicher Auswertung von Mieter- oder Bewerberdaten. Für Textentwürfe ohne Personenbezug ist sie in der Regel nicht nötig. Die Prüfung gehört zum Datenschutzbeauftragten.
Für Microsoft 365 Copilot im Unternehmen gibt Microsoft an, dass Prompts, Antworten und Daten aus Microsoft Graph nicht zum Training der Basismodelle verwendet werden und der Einsatz unter das Data Protection Addendum fällt. Die EU Data Boundary gilt laut Microsoft nicht für Websuche und derzeit nicht für die in Copilot angebotenen Anthropic-Modelle (Stand Oktober 2026).
Seit Herbst 2025 entscheiden Nutzer der privaten Claude-Tarife Free, Pro und Max, ob ihre Chats zum Training verwendet werden. Bei Zustimmung werden die Daten deutlich länger gespeichert. Die Firmenangebote und die API sind davon ausgenommen. Für Firmendaten gehört Claude deshalb in ein Firmenkonto.
Passwörter und Zugangsdaten, Ausweis- und Kontonummern, Gesundheitsangaben und andere besondere Kategorien nach Art. 9 DSGVO sowie vertrauliche Unterlagen, für die kein Vertrag und keine Freigabe besteht. Auch im Firmenkonto gilt: so wenig personenbezogene Daten wie möglich.
Mit drei Schritten: Firmenkonto mit Vertrag zur Auftragsverarbeitung einrichten, eine kurze KI-Richtlinie mit Datenklassen und Prüfpunkten festlegen, dann einen ersten Ablauf ohne sensible Daten starten, etwa Exposé-Entwürfe oder Berichte. Der Datenschutzbeauftragte prüft vor dem Start.
Die Kopp Real Estate GmbH arbeitet mit Firmenkonten von Claude und ChatGPT beziehungsweise Codex, angebunden an Microsoft 365 und die eigene Ablage. Anbindungen laufen zuerst lesend, Senden und Veröffentlichen nur nach Freigabe. Praxisbeispiele auf der Website sind anonymisiert.
Nein. Kopp AI ordnet Abläufe, Datenklassen und Prüfpunkte und bereitet Unterlagen für den Datenschutzbeauftragten vor. Die rechtliche Bewertung im Einzelfall bleibt beim Unternehmen, seinem Datenschutzbeauftragten und seinen Rechtsberatern.
Unverbindliche Anfrage
Ein guter Start ist ein Ablauf mit wenig sensiblen Daten, etwa Exposé-Entwürfe oder Berichte. Martin Kopp klärt im Erstgespräch, welche Regeln, welches Konto und welcher erste Ablauf passen.
Martin KoppBranche wählen, E-Mail eintragen. Telefonnummer ist optional.
Lieber direkt? 089 444 432 130 oder martin.kopp@kopp-re.de