Die Datenschutzfrage ist der häufigste Grund, warum KI-Vorhaben in kleinen Betrieben liegen bleiben. Nicht weil sie unlösbar wäre, sondern weil niemand weiß, wo anzufangen ist. Hier die vier Dokumente, die tatsächlich gebraucht werden.
Das ist eine Orientierung aus der Praxis, keine Rechtsberatung. Bei Berufsgeheimnisträgern — Kanzlei, Praxis, Steuerberatung — gehört ein Fachanwalt oder der Datenschutzbeauftragte mit an den Tisch.
1. Auftragsverarbeitungsvertrag
Sobald ein Anbieter personenbezogene Daten für Sie verarbeitet, brauchen Sie mit ihm einen Vertrag nach Artikel 28 DSGVO. Das gilt für gehostete Sprachmodelle genauso wie für Ihren Cloud-Speicher.
Worauf zu achten ist:
- Kein Training mit Ihren Daten. Das muss ausdrücklich im Vertrag stehen, nicht nur auf einer Marketingseite.
- Speicherdauer der Anfragen. Viele Anbieter halten Eingaben zur Missbrauchserkennung einige Tage vor. Das ist vertretbar, muss aber bekannt sein.
- Unterauftragnehmer. Wer sitzt noch in der Kette, und wo?
Läuft das Modell auf Ihrem eigenen Server, entfällt dieses Papier — es gibt dann keinen Auftragsverarbeiter.
2. Eintrag im Verarbeitungsverzeichnis
Ihr Verzeichnis der Verarbeitungstätigkeiten bekommt einen neuen Eintrag. Hinein gehören Zweck, Kategorien betroffener Personen, Kategorien von Daten, Empfänger, Löschfristen und die technischen Schutzmaßnahmen.
Der Aufwand ist überschaubar: eine Seite. Der Nutzen ist groß, weil Sie sich dabei zwangsläufig die Frage stellen, welche Unterlagen überhaupt in das System dürfen.
3. Eine schriftliche Einordnung, was wohin darf
Das ist das Papier, das in keiner Verordnung steht und trotzdem das wichtigste ist. Eine einfache Tabelle:
- Welche Ordner und Datenarten sind unkritisch und dürfen über ein großes Modell laufen?
- Welche sind sensibel und bleiben im Haus?
- Welche sind tabu und werden gar nicht erst eingelesen?
Ohne diese Festlegung entscheidet das im Zweifel der Mitarbeiter, der gerade unter Zeitdruck steht. Mit ihr ist die Frage ein für alle Mal geklärt.
4. Eine Anweisung für das Team
Zwei Seiten in verständlichem Deutsch: Was darf man in den Assistenten eingeben, was nicht, und was tut man, wenn eine Antwort falsch aussieht. Dazu die klare Aussage, dass Ergebnisse geprüft werden, bevor sie das Haus verlassen.
Das schützt nicht nur die Daten, sondern auch die Mitarbeiter — niemand soll das Gefühl haben, bei der Nutzung etwas falsch machen zu können.
Die Reihenfolge
Erst die Einordnung aus Punkt 3, dann alles andere. Wer damit anfängt, merkt schnell, dass ein großer Teil der Unterlagen völlig unkritisch ist — und dass die wirklich heiklen Dokumente eine Handvoll Ordner betreffen, für die sich dann der eigene Server im Haus lohnt.
Wie das technisch aussieht, steht auf der Seite zum KI-Assistenten; welche Unterlagen in Ihrem Fall in welchen Topf gehören, klären wir im KI-Check.