Perplexity Datenschutz für Unternehmen: So geht's

Perplexity Datenschutz für Unternehmen: So geht’s

Perplexity ist im kostenlosen Tarif für den Unternehmenseinsatz mit personenbezogenen Daten rechtswidrig — ohne Auftragsverarbeitungsvertrag fehlt die Grundlage nach Art. 28 DSGVO. Dieser Leitfaden zeigt, wie Sie in 2–4 Wochen auf Enterprise Pro umstellen, welche sieben Punkte Ihre Compliance-Checkliste enthalten muss und warum ein 24.000-Euro-Vertrag günstiger ist als ein einzelner Datenschutzvorfall.

Konkret heißt das: Perplexity verarbeitet alle Anfragen standardmäßig auf US-Servern (AWS, Azure). Für den rechtskonformen Einsatz im europäischen Unternehmensumfeld brauchen Sie drei Dinge: einen Data Processing Agreement (DPA), klare interne Nutzungsrichtlinien und ein aktualisiertes Verzeichnis der Verarbeitungstätigkeiten. Laut Bitkom-Umfrage 2025 haben erst 34 % der deutschen Unternehmen mit KI-Einsatz entsprechende Auftragsverarbeitungsverträge abgeschlossen — die Mehrheit operiert also rechtlich ungeschützt.

Der schnellste erste Schritt vor dem nächsten Arbeitstag: Prüfen Sie, ob Mitarbeiter Perplexity bereits im kostenlosen Tarif nutzen. Wenn ja, kommunizieren Sie binnen 30 Minuten eine Sofort-Richtlinie, die sensible Dateneingaben untersagt. Das schließt die akuteste Lücke, bevor der Enterprise-Vertrag steht.

Warum der kostenlose Tarif für Unternehmen ein Problem ist

Perplexity startete als Consumer-Produkt; die Enterprise-Funktionen wurden erst nachträglich für Unternehmensanforderungen ausgebaut. Die Standard-Nutzungsbedingungen zielen auf Privatnutzer, nicht auf die Compliance-Anforderungen eines mittelständischen Unternehmens.

Im kostenlosen Tarif gilt: Perplexity darf Ihre Eingaben laut Standard-Privacy-Policy (Stand 2025) zur Modellverbesserung verwenden. Das klingt harmlos — ist es aber nicht, sobald ein Mitarbeiter einen Kundennamen, eine Projektzusammenfassung oder interne Kennzahlen eingibt.

Was die DSGVO konkret verlangt

Art. 28 DSGVO verlangt: Wer personenbezogene Daten durch einen Dienstleister verarbeiten lässt, braucht einen schriftlichen Auftragsverarbeitungsvertrag. Dieser regelt, welche Daten zu welchem Zweck verarbeitet werden, mit welchen technischen Schutzmaßnahmen und wie Löschanfragen umgesetzt werden.

Perplexity bietet diesen Vertrag nur im Enterprise Pro-Tarif an. Der kostenlose Tarif enthält keinen DPA — damit fehlt die gesetzliche Grundlage für jede Verarbeitung personenbezogener Daten.

Das Drittland-Problem

Perplexity sitzt in den USA. Datentransfers in Drittländer sind nach DSGVO nur über einen Angemessenheitsbeschluss (wie das EU-US Data Privacy Framework) oder Standardvertragsklauseln (SCCs) zulässig. Laut Perplexity-Dokumentation 2025 stützt sich das Unternehmen im Enterprise-Vertrag auf SCCs. Im kostenlosen Tarif fehlt diese Absicherung vollständig.

„Ein KI-Tool ohne DPA im Unternehmenseinsatz ist wie ein Dienstleister ohne Geheimhaltungsvereinbarung — rechtlich riskant, auch wenn nichts passiert.“ — Praxiseinschätzung aus der DSGVO-Beratungspraxis

Perplexity Enterprise Pro: Was der Tarif konkret bietet

Vier Datenschutz-Funktionen trennen Enterprise Pro vom kostenlosen Tarif — alle vier sind für den rechtssicheren Unternehmenseinsatz relevant.

1. Data Processing Agreement (DPA)

Perplexity stellt Enterprise-Kunden einen vollständigen DPA nach Art. 28 DSGVO zur Verfügung. Dieser Vertrag schließt explizit aus, dass Unternehmensdaten für Modelltraining verwendet werden. Anforderung und digitale Unterzeichnung laufen über das Enterprise-Dashboard.

2. Keine Nutzung für Modelltraining

Im Enterprise-Tarif fließen Anfragen und Antworten nicht ins Training von Perplexity-Modellen ein. Das ist der wichtigste Unterschied zum kostenlosen Tarif — und die Grundvoraussetzung dafür, dass Mitarbeiter das Tool für arbeitsbezogene Recherchen nutzen dürfen.

3. SSO und Zugriffskontrolle

Enterprise Pro unterstützt Single Sign-On über SAML 2.0. Ihr IT-Team steuert damit, wer Zugriff hat, und schließt private Accounts aus. Audit-Logs machen nachvollziehbar, welche Anfragen gestellt wurden.

4. Konversations-Datenspeicherung deaktivierbar

Enterprise-Administratoren können die Speicherung von Konversationsverläufen deaktivieren. Aber Achtung: Auch bei deaktivierter Speicherung laufen Anfragen über US-Server. Die entscheidende rechtliche Absicherung bleibt der DPA, nicht die Speichereinstellung.

Funktion	Kostenloser Tarif	Enterprise Pro
Data Processing Agreement	❌ Nicht verfügbar	✅ Verfügbar
Kein Modelltraining mit Daten	❌ Nicht garantiert	✅ Vertraglich ausgeschlossen
SSO / Zugriffskontrolle	❌ Nicht verfügbar	✅ SAML 2.0
Audit-Logs	❌ Nicht verfügbar	✅ Verfügbar
Standardvertragsklauseln (SCCs)	❌ Nicht enthalten	✅ Im DPA enthalten
Preis	Kostenlos	Ab ca. 40 USD/Nutzer/Monat

Schritt-für-Schritt: Perplexity DSGVO-konform einführen

Ein Münchner IT-Dienstleister mit 45 Mitarbeitern setzte Perplexity sechs Monate im kostenlosen Tarif ein, bevor der Datenschutzbeauftragte die Nutzung entdeckte. Der erste Versuch, das Problem allein mit einer internen Richtlinie zu lösen, scheiterte: Mitarbeiter nutzten weiter ihre privaten Accounts, Kontrolle gab es keine. Erst der Wechsel auf Enterprise Pro plus DPA und SSO-Rollout schloss die Lücke — vollständige Compliance in drei Wochen, ohne Produktivitätsverlust.

So gehen Sie strukturiert vor:

Schritt 1: Bestandsaufnahme (Tag 1–2)

Prüfen Sie, ob Perplexity bereits inoffiziell im Unternehmen genutzt wird. Fragen Sie IT-Administratoren nach Browser-Plugins und prüfen Sie, ob Unternehmens-E-Mail-Adressen für Perplexity-Accounts registriert wurden. Laut Bitkom (2025) nutzen in 61 % der Fälle Mitarbeiter KI-Tools, bevor die IT-Abteilung davon weiß.

Schritt 2: Sofort-Richtlinie kommunizieren (Tag 3)

Bevor der Enterprise-Vertrag steht, muss eine klare Nutzungsrichtlinie raus. Mindestinhalt: Welche Datenkategorien sind tabu (Kundendaten, Mitarbeiterdaten, Vertragsdetails), und ab wann gilt: nur noch Enterprise-Account für Arbeitszwecke.

Schritt 3: Enterprise-Vertrag und DPA abschließen (Woche 1–2)

Kontaktieren Sie Perplexity über das Enterprise-Kontaktformular. Den DPA laden Sie nach Vertragsabschluss aus dem Admin-Dashboard, zeichnen ihn gegen und übergeben ihn an Ihren Datenschutzbeauftragten zur Dokumentation im Verzeichnis der Verarbeitungstätigkeiten.

Schritt 4: SSO einrichten und private Accounts sperren (Woche 2–3)

SSO einrichten über Ihren Identity Provider (Microsoft Entra ID, Okta oder Google Workspace). Klare Ansage an alle Mitarbeiter: Private Perplexity-Accounts sind für Arbeitszwecke gesperrt. Konversationsspeicherung im Admin-Panel deaktivieren.

Schritt 5: Verzeichnis der Verarbeitungstätigkeiten aktualisieren (Woche 3)

Tragen Sie Perplexity als neuen Auftragsverarbeiter ein. Dokumentieren Sie: Verarbeitungszweck (Informationsrecherche), Datenkategorien (nur nicht-personenbezogene Arbeitsinhalte), Rechtsgrundlage (berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO oder Vertragserfüllung), Drittlandtransfer (USA, abgesichert durch SCCs im DPA).

„Das Verzeichnis der Verarbeitungstätigkeiten ist kein bürokratisches Dokument — es ist Ihr wichtigstes Beweismittel bei einer Datenschutzprüfung.“ — Standardempfehlung der Datenschutzkonferenz (DSK)

Interne Nutzungsrichtlinie: Was sie enthalten muss

Eine Nutzungsrichtlinie für KI-Tools ist kein Nice-to-have. Sie ist die operative Umsetzung Ihrer DSGVO-Pflichten gegenüber Mitarbeitern — und entlastet Ihr Compliance-Team davon, nachträglich rekonstruieren zu müssen, welche Daten in KI-Tools gewandert sind.

Pflichtbestandteile der Richtlinie

Die Richtlinie regelt klar: erlaubte Nutzungszwecke (Recherche zu allgemeinen Themen, Zusammenfassungen öffentlich zugänglicher Informationen), verbotene Dateneingaben (alle personenbezogenen Daten, Geschäftsgeheimnisse, unveröffentlichte Finanzdaten), Zugangsweg (ausschließlich Enterprise-Account mit SSO) und Meldepflichten bei versehentlicher Eingabe sensibler Daten.

Schulung der Mitarbeiter

Eine Richtlinie ohne Schulung verpufft. Planen Sie eine 30-minütige Pflichtschulung für alle berechtigten Nutzer mit konkreten Beispielen: Was darf rein, was nicht. Laut PwC-Studie 2025 reduzieren KI-spezifische Schulungen Datenpannen durch Mitarbeiterfehler um 67 %.

Datenkategorie	Erlaubt (mit DPA)	Verboten (ohne DPA)	Verboten (auch mit DPA)
Allgemeine Branchenrecherche	✅	—	—
Kundennamen + Projektdetails	⚠️ Nur anonymisiert	❌	—
Mitarbeiterdaten	❌	❌	❌
Unveröffentlichte Finanzdaten	❌	❌	❌
Öffentliche Marktdaten analysieren	✅	✅	—

Die Kosten des Nichtstuns: Eine Rechnung

Konkret gerechnet: Ein Unternehmen mit 5 Millionen Euro Jahresumsatz, das Perplexity ohne DPA einsetzt und versehentlich Kundendaten verarbeitet, riskiert bis zu 200.000 Euro Bußgeld (4 % nach Art. 83 DSGVO). Dazu kommen 15.000–40.000 Euro Anwalts- und Beratungskosten für die Aufarbeitung (Quelle: IAPP Data Protection Benchmark, 2025). Über fünf Jahre summiert sich ein einzelner Vorfall auf bis zu 240.000 Euro — gegenüber rund 24.000 Euro für einen Enterprise-Vertrag mit 10 Nutzern im gleichen Zeitraum.

Das Risiko ist nicht abstrakt. Es ist kalkulierbar — und vermeidbar.

Für eine vertiefte Analyse der aktuellen DSGVO-Anforderungen an KI-Suchmaschinen lohnt sich auch ein Blick auf die aktualisierten DSGVO-Richtlinien für Perplexity in 2026, die konkrete Änderungen gegenüber dem Vorjahr dokumentieren.

Perplexity im Vergleich: Alternativen und ihre Datenschutz-Profile

Perplexity ist nicht das einzige KI-Tool mit Datenschutz-Relevanz. Drei Alternativen sind für Unternehmen besonders relevant — mit jeweils anderen Stärken und Schwächen beim Datenschutz.

Microsoft Copilot

Microsoft Copilot verarbeitet Daten innerhalb der Azure-Infrastruktur und bietet Enterprise-Kunden die EU Data Boundary-Option: Daten bleiben in EU-Rechenzentren. Klarer Vorteil gegenüber Perplexity. Nachteil: Copilot ist tief in Microsoft 365 integriert — wer keine Microsoft-Infrastruktur hat, braucht zusätzliche Lizenzen.

You.com for Business

You.com bietet Business-Tarife mit EU-Serveroptionen und DPA. Die Recherche-Qualität ist solide, aber nach unabhängigen Tests (TechRadar, 2025) liegt Perplexity bei Quellenqualität und Antworttiefe vorne. You.com ist die sinnvolle Wahl für Unternehmen, die EU-Datenlokalisierung priorisieren.

Google Gemini (Workspace)

Für Unternehmen mit Google Workspace ist Gemini die einfachste DSGVO-konforme Option: DPA bereits im Workspace-Vertrag enthalten, EU-Datenverarbeitung möglich. Die Suchmaschinen-Funktion ist weniger spezialisiert als Perplexity, dafür ist die Integration in bestehende Workflows stärker.

„Die DSGVO-Konformität eines KI-Tools hängt nicht von der Technologie ab — sie hängt vom Vertrag ab, den Sie mit dem Anbieter abschließen.“ — Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Leitfaden KI-Einsatz 2025

Ihre nächsten Schritte: Sieben-Punkte-Checkliste

Diese sieben Punkte müssen abgehakt sein, bevor Perplexity produktiv im Unternehmen läuft:

1. Enterprise Pro-Vertrag abgeschlossen ✓
2. DPA unterzeichnet und archiviert ✓
3. Verzeichnis der Verarbeitungstätigkeiten aktualisiert ✓
4. SSO eingerichtet, private Accounts für Arbeitszwecke gesperrt ✓
5. Konversationsspeicherung im Admin-Panel deaktiviert ✓
6. Interne Nutzungsrichtlinie erstellt und kommuniziert ✓
7. Mitarbeiterschulung durchgeführt und dokumentiert ✓

Starten Sie heute: Senden Sie eine Sofort-Richtlinie an alle Mitarbeiter, die Perplexity nutzen könnten, fordern Sie diese Woche ein Enterprise-Angebot bei Perplexity an und blocken Sie für die kommenden zwei Wochen 30 Minuten mit Ihrem Datenschutzbeauftragten zur DPA-Prüfung. Wer alle sieben Punkte erledigt, hat eine belastbare Grundlage — und spart sich die 200.000-Euro-Rechnung. Weitere Details zur DSGVO-Umsetzung bei KI-Tools finden Sie auch in unserem englischsprachigen Leitfaden zu Perplexity DSGVO compliance for businesses in 2026.