Datenschutz ist kein Grund zu warten: DSGVO-konforme KI am Beispiel Microsoft Azure

Es ist der häufigste Einwand, den wir in Erstgesprächen hören: „KI würde uns schon interessieren, aber das geht bei uns nicht. Wegen Datenschutz.” Dahinter steht meist die Vorstellung, dass Firmendaten unkontrolliert an amerikanische Server fließen, dort für das Training fremder Modelle verwendet werden und der Datenschutzbeauftragte das Projekt ohnehin stoppen wird.

Diese Sorge ist verständlich, aber sie beschreibt den Stand von 2023, nicht den von heute. Bei richtiger Umsetzung ist Datenschutz kein Showstopper für KI im Mittelstand, sondern eine lösbare Ingenieursaufgabe. Das lässt sich gut am Beispiel von Microsoft Azure zeigen, einer der Plattformen, die wir in Kundenprojekten einsetzen.

Was Azure heute konkret zusichert

Wer KI-Modelle über Microsoft Azure betreibt, etwa GPT-Modelle über den Azure OpenAI Service oder Claude-Modelle über Azure AI Foundry, bekommt vertraglich und technisch ein anderes Setup als bei einem Consumer-Chatbot:

1. Ihre Daten trainieren keine fremden Modelle. Für den Azure OpenAI Service gilt: Prompts und Ausgaben werden nicht zum Training der zugrunde liegenden Modelle verwendet, weder von Microsoft noch von OpenAI. Ihre Bestellungen, Verträge und Kundendaten verbessern also nicht heimlich das nächste Modell. Das ist keine Marketingaussage, sondern Teil der Produktbedingungen, auf die Sie sich vertraglich berufen können.

2. Ihre Daten bleiben in der Region, die Sie wählen. Azure lässt Sie festlegen, in welcher Region Ihre Ressourcen laufen, zum Beispiel in deutschen Rechenzentren (etwa der Region Germany West Central in Frankfurt) oder anderen EU-Standorten. Mit der EU Data Boundary hat Microsoft zudem zugesagt, Kundendaten für Cloud-Dienste innerhalb der EU zu speichern und zu verarbeiten. Verarbeitung im Ruhezustand, bei der Übertragung und bei der Modellinferenz findet dort statt, wo Sie es konfigurieren.

3. Die Vertragslage ist DSGVO-tauglich. Microsoft bietet standardmäßig einen Auftragsverarbeitungsvertrag (Data Protection Addendum) inklusive EU-Standardvertragsklauseln. Zusammen mit dem EU-US Data Privacy Framework steht die Auftragsverarbeitung damit auf einer rechtlichen Grundlage, mit der Datenschutzbeauftragte arbeiten können. Das ist derselbe rechtliche Rahmen, unter dem Tausende deutsche Mittelständler heute bereits Microsoft 365 einsetzen. Wer Outlook und Teams nutzt, hat diese Bewertung längst getroffen.

4. Die Sicherheitsnachweise liegen vor. Azure ist unter anderem nach ISO 27001 und SOC 2 zertifiziert und verfügt über ein C5-Testat des BSI. Das ist der Anforderungskatalog, den deutsche Behörden für Cloud-Dienste ansetzen. Verschlüsselung im Ruhezustand und bei der Übertragung, rollenbasierte Zugriffskontrolle, private Netzwerkanbindung und vollständige Protokollierung sind Bordmittel, keine Sonderlocken.

Warum es trotzdem auf die Umsetzung ankommt

„Azure ist DSGVO-konform” bedeutet nicht, dass automatisch jedes Projekt darauf DSGVO-konform ist. Die Plattform liefert die Bausteine, die Architektur muss sie richtig nutzen. In unseren Projekten heißt das konkret:

• Datenminimierung vor dem Prompt: Personenbezogene Daten, die das Modell für die Aufgabe nicht braucht, werden vorher entfernt oder pseudonymisiert.
• Klare Datenflüsse: Es ist dokumentiert, welche Daten wohin fließen, wo sie gespeichert werden und wie lange. Das ist die Grundlage für jedes Verarbeitungsverzeichnis und jede Datenschutz-Folgenabschätzung.
• Zugriff nach dem Need-to-know-Prinzip: KI-Systeme bekommen nur die Daten, die der jeweilige Anwendungsfall erfordert, nicht pauschal Zugriff auf das ganze ERP.
• Der Datenschutzbeauftragte sitzt von Anfang an mit am Tisch, statt am Ende ein fertiges System bewerten zu müssen. Das verwandelt den vermeintlichen Bremser in einen Projektbeteiligten.

Und für Daten, die so sensibel sind, dass sie das Haus grundsätzlich nicht verlassen sollen, gibt es eine klare Antwort: On-Premise. Offene Modelle auf eigener Hardware, betrieben in Ihrer IT-Infrastruktur. Als EU-first-Beratung mit On-Premise-Präferenz planen wir diese Option in jedem Projekt mit. Die Wahl zwischen Azure, europäischen Cloud-Anbietern und dem eigenen Serverraum ist am Ende eine sachliche Abwägung aus Schutzbedarf, Kosten und Leistungsanforderung. Keine dieser Optionen heißt „keine KI”.

Unser Fazit

Datenschutz ist beim KI-Einsatz kein Verhinderungsgrund, sondern eine Anforderungsliste. Und diese Liste ist mit heutigen Mitteln vollständig abarbeitbar. Microsoft Azure zeigt, dass selbst die Public Cloud DSGVO-konforme KI ermöglicht: kein Training mit Ihren Daten, Verarbeitung in deutschen oder EU-Rechenzentren, belastbare Verträge, anerkannte Zertifizierungen. Wer 2026 noch auf KI verzichtet, tut das nicht wegen der DSGVO, sondern weil niemand die Umsetzung sauber geplant hat.

Genau diese Planung übernehmen wir bei AiMi. Im Paket KI-Klarheit bewerten wir Ihre Anwendungsfälle inklusive Schutzbedarf und empfehlen die passende Betriebsform: Azure, EU-Cloud oder On-Premise. In KI-Beweis und KI-Integration setzen wir die Lösung DSGVO-konform um, auf Wunsch gemeinsam mit Ihrem Datenschutzbeauftragten. Buchen Sie ein kostenloses 30-Minuten-Gespräch und klären Sie in einer halben Stunde, welcher Weg für Ihre Daten der richtige ist.