Worum es geht: Der häufigste Datenschutzverstoß beim Einsatz von KI passiert nicht durch einen Angriff, sondern beiläufig: Jemand kopiert eine Kundenliste ins Chatfenster, um sie sortieren zu lassen. Diese Lektion zieht die Grenze.
1. Was beim Absenden passiert 📤
Der Text verlässt Ihren Rechner und wird beim Anbieter verarbeitet – je nach Dienst auch außerhalb der EU. Er kann für einige Zeit gespeichert werden, taucht im Gesprächsverlauf auf und ist bei manchen Tarifen von Mitarbeitern des Anbieters einsehbar, etwa zur Missbrauchsprüfung.
Ob er zum Training verwendet wird, hängt vom Tarif ab. Bei kostenlosen Privatzugängen ist das häufig der Fall, bei Geschäftstarifen in der Regel ausgeschlossen – das steht im Vertrag und sollte nachgelesen, nicht vermutet werden.
2. Prüfen Sie sieben Fälle
Kundenliste mit Namen und Adressen
Bewerbungsunterlagen
Zugangsdaten, Schlüssel, Passwörter
Unveröffentlichte Angebotskalkulation
Interner Quellcode
Anonymisierte Anfrage ohne Namen
Öffentliche Texte der eigenen Website
3. Die drei Sorten von Daten
| Art | Beispiele | Regel |
|---|---|---|
| Personenbezogen | Namen, Adressen, E-Mails, Bewerbungen, Gesundheitsangaben | Nur mit Rechtsgrundlage und Auftragsverarbeitungsvertrag – meist besser anonymisieren |
| Geschäftsgeheimnis | Kalkulationen, Verträge, Quellcode, Strategiepapiere | Geschäftstarif mit ausgeschlossener Trainingsnutzung, sonst verfremden |
| Zugangsdaten | Passwörter, API-Schlüssel, Zertifikate | Niemals, ohne Ausnahme |
4. Anonymisieren ist meist der einfachere Weg 🎭
Für fast jede Aufgabe brauchen Sie die echten Namen nicht. Eine Anfrage lässt sich zusammenfassen, wenn statt „Weber GmbH aus Arnsberg“ dort „Kunde A aus dem Sauerland“ steht. Eine Tabelle lässt sich auswerten, wenn die Namensspalte durch Nummern ersetzt ist.
Das ist schneller erledigt als jede rechtliche Klärung – und es beseitigt das Problem, statt es zu verwalten.
Vorsicht bei indirekten Hinweisen
5. Was der Betrieb festlegen muss 📋
Eine Seite genügt, und sie beantwortet vier Fragen: Welche Dienste sind freigegeben? Welche Daten dürfen hinein und welche nicht? Wer entscheidet in Zweifelsfällen? Und was ist zu tun, wenn doch etwas Falsches abgeschickt wurde?
Die letzte Frage wird vergessen und ist die wichtigste. Die Antwort lautet in der Regel: Gespräch löschen, Vorgesetzte informieren, bei personenbezogenen Daten den Datenschutzbeauftragten einbeziehen – und prüfen, ob eine Meldung nach Art. 33 DSGVO nötig ist. Dafür gilt eine Frist von 72 Stunden.
Als Formel ansehen
Zur Pflichtenlage: Für den Einsatz von KI-Diensten mit personenbezogenen Daten brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, einen Eintrag im Verzeichnis der Verarbeitungstätigkeiten und je nach Risiko eine Datenschutz-Folgenabschätzung. Hinzu kommt seit Februar 2025 die Pflicht zur KI-Kompetenz nach Art. 4 KI-VO für alle, die solche Systeme betreiben.
6. Was Sie mitnehmen sollten
- Zugangsdaten niemals – ein eingegebener Schlüssel muss getauscht werden.
- Personenbezogene Daten anonymisieren, das ist meist einfacher als die rechtliche Klärung.
- Bei Geschäftsgeheimnissen den Tarif prüfen, nicht vermuten.
- Eine Seite Festlegung im Betrieb – inklusive: Was tun, wenn es doch passiert ist?