KI-Nutzung im Unternehmen: der DSGVO-Mindestschutz für interne LLM-Experimente

Problem

In fast jedem Unternehmen passiert aktuell dasselbe, meistens unbemerkt: eine Mitarbeiterin kopiert einen Kundenvertrag samt Namen, Anschrift und Vertragssumme in einen öffentlichen Chatbot, um eine Zusammenfassung zu bekommen. Ein Entwickler fügt eine Funktion mit eingebetteten Passwörtern und internem API-Schema (API = Programmierschnittstelle, über die Software-Bausteine miteinander reden) in eine KI-gestützte Entwicklungsumgebung ein. Die HR-Abteilung lässt Bewerbungsanschreiben vorsortieren. Die Daten wandern bei jedem dieser Vorgänge an OpenAI, Anthropic oder Google in die USA, landen dort in Systemen, über die das Unternehmen keine Kontrolle mehr hat, und werden im ungünstigen Fall für Modelltraining oder Missbrauchsprüfung ausgewertet. Das ist nicht hypothetisch: der Samsung-Fall 2023 (Chipdesign-Code in ChatGPT) hat gezeigt, wie schnell sich das bitter auszahlt.

Der rechtliche Rahmen hat inzwischen aufgeholt. Seit dem 2. Februar 2025 gelten die Verbote aus dem EU-AI-Act und die Pflicht zur "AI literacy" (KI-Kompetenz der Mitarbeitenden) nach Art. 4 für alle Betreiber. Am 2. August 2025 wurden die Pflichten für Anbieter von General-Purpose-AI-Modellen (universell einsetzbare KI-Basismodelle) wirksam. Zum 2. August 2026 folgen die Hochrisiko-Systeme (inklusive HR-Scoring und Bonitäts-Klassifikation), und am 2. August 2027 die eingebetteten Hochrisiko-Produkte. Wer jetzt ohne Rahmen nutzt, sitzt auf zwei parallel tickenden Uhren: DSGVO-Verstoß durch unkontrollierten Drittland-Transfer und AI-Act-Verstoß durch fehlende Schulung und fehlende Kontrollen.

Für wen ist das? Für Datenschutz-Verantwortliche und Führungskräfte, deren Mitarbeitende KI-Werkzeuge nutzen.

Kurze Antwort

Der Mindestschutz besteht aus drei Ebenen, die gleichzeitig greifen müssen - eine ohne die anderen bleibt Papier.

• Policy (schriftliche Regelung): Welche Datenklassen dürfen in welches Tool? Öffentliche Webchat-Oberflächen sind für alles, was nicht öffentlich ist, verboten.
• Technische Kontrolle: zentraler API-Gateway (Sammelschleuse für alle KI-Anfragen) mit Zero-Retention (Anbieter speichert die Eingaben nicht), DLP/Egress-Monitoring (Data Loss Prevention; Überwachung des ausgehenden Datenverkehrs auf bekannte KI-Endpunkte), interne Alternative für den Alltagsbedarf.
• Schulung: jährliche Grundschulung plus quartalsweise Auffrischung mit konkreten Beispielen, dokumentiert pro Kopf.
• Alles Weitere - DPIA (Datenschutz-Folgenabschätzung), AVV (Auftragsverarbeitungsvertrag), Risiko-Register - hängt an diesen drei Säulen.

Tiefgang

Rechtslage: DSGVO und AI-Act, Stand 2026

Zwei Regelwerke greifen parallel, mit unterschiedlicher Stoßrichtung. Die DSGVO fragt: ist die Verarbeitung personenbezogener Daten zulässig? Art. 6 braucht eine Rechtsgrundlage (Einwilligung scheitert meist; berechtigtes Interesse braucht Abwägung). Art. 5 verlangt Datenminimierung - ein Gegensatz zur typischen Prompt-Praxis "alles reinkippen". Art. 32 verlangt Technische und Organisatorische Maßnahmen (TOMs), Art. 35 eine Datenschutz-Folgenabschätzung (DPIA), sobald ein Risiko vorliegt (bei LLM-Einsatz, also bei Nutzung großer Sprachmodelle, mit Personenbezug regelmäßig der Fall). Art. 28 verlangt einen Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter, und die Kapitel-V-Regeln regeln Drittland-Transfers.

Der AI-Act (Verordnung (EU) 2024/1689) fragt: ist das System selbst zulässig, und auf welcher Risikostufe? Verboten sind seit Februar 2025 Social-Scoring (staatliche Bürgerbewertung), manipulative Verhaltensbeeinflussung, bestimmte biometrische Echtzeit-Erkennungen. Als Hochrisiko gelten nach Anhang III unter anderem KI-gestützte Bewerber-Auswahl, Kreditwürdigkeitsprüfung und Arbeitsplatz-Überwachung, mit Konformitätsbewertung, Risikomanagement-System und Menschen-im-Kreislauf (eine Person prüft die KI-Entscheidung) als Pflicht. Für den normalen Inhouse-Gebrauch ("general purpose, low risk", also alltäglich und risikoarm) bleibt Art. 4 relevant: jedes Unternehmen, das KI einsetzt oder durch Mitarbeitende einsetzen lässt, muss für ein "ausreichendes Maß an KI-Kompetenz" sorgen. Das ist eine Schulungspflicht mit Zähnen: die Marktüberwachungsbehörden können sie prüfen.

Die Datenschutzkonferenz hat im Mai 2024 eine Orientierungshilfe veröffentlicht; die EDPB ChatGPT Task Force (Arbeitsgruppe des Europäischen Datenschutzausschusses) hat im selben Monat einen Zwischenbericht vorgelegt. Beide formulieren Erwartungen, keine neuen Pflichten, aber sie sind der Maßstab, an dem eine Aufsicht prüft.

Risiko-Bewertung: was genau ist kritisch

Drei Kategorien tragen das Hauptrisiko. Erstens personenbezogene Daten Dritter (Kundendaten, Bewerberdaten, Patientendaten): Übermittlung an einen US-Cloud-Dienst ohne AVV und ohne Rechtsgrundlage ist ein direkter Art.-6- und Art.-28-Verstoß. Zweitens Geschäftsgeheimnisse (Verträge, Preiskalkulationen, Quellcode mit proprietärer Logik): hier greift nicht die DSGVO, sondern das Geschäftsgeheimnisgesetz und das Arbeitsrecht; der Schaden ist wirtschaftlich und oft nicht rückholbar. Drittens Zugangsdaten und Secrets (Passwörter, Schlüssel), die in Prompts auftauchen, weil Mitarbeitende einen Fehler debuggen: jeder solche Vorfall ist ein Secret-Rotation-Event (das betroffene Geheimnis muss sofort ausgetauscht werden).

Policy-Mindestinhalt

Die Policy muss vier Fragen eindeutig beantworten. Erstens: welche Datenklassen existieren (üblich: öffentlich, intern, vertraulich, streng vertraulich). Zweitens: welches Tool darf mit welcher Klasse verwendet werden. Konkret: öffentliche Webchats (chat.openai.com, claude.ai, gemini.google.com) nur für "öffentlich"; unternehmensseitig bezogene Business-Versionen mit AVV und Zero-Retention für "intern" und ggf. "vertraulich"; "streng vertraulich" bleibt off-limits für externe KI, Punkt. Drittens: welche Nutzungs-Zwecke sind explizit ausgeschlossen (z.B. automatisierte Personalentscheidungen ohne menschliche Freigabe; das ist Hochrisiko nach AI-Act Anhang III). Viertens: was passiert bei Verstößen - Eskalations-Pfad, disziplinarische Folgen, Meldepflicht an die Datenschutz-Stelle.

Technische Kontrolle

Eine Policy ohne Technik hält ungefähr zwei Wochen. Drei Bausteine reduzieren das Restrisiko spürbar. API-Gateway mit Zero-Retention. Sowohl Anthropic als auch OpenAI bieten für API-Nutzer standardmäßig kein Training auf Input und optional Zero-Retention (Löschung nach 0 bzw. 30 Tagen). Ein interner Gateway kanalisiert die Nutzung, erzwingt Zero-Retention pro Anfrage, entfernt Header (Begleitinformationen einer Anfrage) mit Nutzer-Identität und erlaubt zentrales Audit-Logging (revisionssichere Protokollierung). DLP und Egress-Monitoring. Am Proxy oder am Endpunkt: Regelwerk, das bekannte KI-Domains erkennt, Anfragen mit auffälligen Mustern (IBAN, Kreditkarten-Nummern, bekannte Geheimnis-Präfixe) blockiert oder markiert. Kein Allheilmittel, aber es senkt die Unfall-Quote. Interne Alternative. Ohne Alternative entsteht Schatten-IT (inoffizielle, ungeprüfte Tools). Ein intern gehostetes LLM (Llama 3, Mistral, Qwen) auf EU-Hardware für den Alltagsbedarf nimmt 80 Prozent des Drucks von der Cloud-Nutzung.

Schulung und AI literacy

Art. 4 AI-Act fordert "ausreichende KI-Kompetenz" der Personen, die KI einsetzen oder deren Ausgaben verwenden. Was reicht, ist unklar; was sichtbar genug ist, um im Prüfungsfall zu tragen, ist klarer: eine verpflichtende Grundschulung bei Onboarding und einmal jährlich, plus quartalsweise Auffrischung mit aktuellen Fällen (eigene und fremde). Die Schulung muss dokumentiert sein, mit Teilnahme-Nachweis pro Kopf. Inhalt: was ist ein LLM, was geht rein, was nicht, was passiert mit den Daten, wie erkennt man Halluzinationen (frei erfundene, aber überzeugend klingende Ausgaben), was ist der Meldeweg bei Unfällen.

AVV-Checkliste für KI-Cloud-Dienste

Bei jedem Cloud-KI-Anbieter mit Personenbezug: AVV nach Art. 28 abschließen; Standort der Verarbeitung prüfen; EU-US Data Privacy Framework (Datenschutz-Abkommen EU-USA) als Transfer-Grundlage notieren (mit Vermerk, dass das Framework unter Klage steht und ein Exit-Plan existieren muss); Unterauftragsverhältnisse offenlegen lassen; Zero-Retention-Konfiguration schriftlich bestätigen; Löschfristen und Auskunftswege prüfen. Anthropic ist seit 2024 SOC-2-Typ-II-zertifiziert (geprüfter Nachweis interner Sicherheitskontrollen) und DPF-gelistet; dasselbe gilt für OpenAI. Diese Zertifikate ersetzen keinen AVV, stärken aber die TIA (Transfer Impact Assessment, Risikoabwägung des Datentransfers).

Abgelehnte Alternativen

Totalverbot. Praktisch unmöglich durchzusetzen, führt zu Schatten-IT: Mitarbeitende nutzen private Accounts, über private Geräte, ohne jede Protokollierung. Das Risiko steigt, statt zu sinken.

"Wir machen erstmal eine große DPIA und sehen dann weiter." Eine DPIA ist notwendig, aber sie ersetzt keine operative Kontrolle. Wer sechs Monate DPIA-Werkstatt fährt, während die Mitarbeitenden weiter kopieren, dokumentiert nur den eigenen Schaden.

Nur Policy ohne Technik. Reine Hoffnungslogik. Policies ohne technische Durchsetzung halten bei gutwilligen Mitarbeitenden, und die waren ohnehin nicht das Risiko.

Was Sie jetzt tun sollten

1. Schreiben Sie eine kurze, eindeutige KI-Policy mit vier Datenklassen und einer Tool-Freigabe-Tabelle (welches Tool für welche Klasse). Lieber eine Seite, die gilt, als ein Konzept-Dokument, das niemand liest.
2. Beschaffen Sie für den realen Bedarf eine Business-Variante mit AVV und Zero-Retention - damit es eine erlaubte Alternative zum öffentlichen Webchat gibt.
3. Richten Sie die einfachste verfügbare technische Bremse ein: Egress-Monitoring auf bekannte KI-Domains, idealerweise einen zentralen Gateway, der Zero-Retention erzwingt.
4. Führen Sie eine dokumentierte Grundschulung durch (Onboarding plus jährlich) und legen Sie pro Kopf einen Teilnahme-Nachweis ab.
5. Notieren Sie pro genutztem Anbieter einen Exit-Plan für den Fall, dass das Data Privacy Framework fällt.

Wie Dernium hier hilft

Dernium Clean als Pre-Upload-Schritt: bevor ein Dokument in eine externe KI-Oberfläche geht, entfernt Clean Metadaten (Autor, Bearbeitungs-Historie, Geo-Tags) und trennt eingebettete Schadcode-Fragmente ab. Das schmälert die Angriffsfläche auf beiden Seiten. Dernium Note als sicherer Kurztext-Kanal für sensible Kommunikation, die sonst im KI-Chatfenster landen würde; die Notiz verschwindet nach dem Lesen, ohne Umweg über US-Cloud-Anbieter. Dernium Desk als kontrollierte Umgebung für gezielte KI-Experimente: Zugriff nur darüber, zentrales Logging, kontrollierter Egress, keine Copy-Paste-Schlupflöcher aus dem Rest des Unternehmens.

Offene Lücken im Dernium-Portfolio, die wir benennen müssen: ein dedizierter DLP- und Content-Classification-Service (Erkennung personenbezogener Daten oder Secrets im ausgehenden Text) existiert noch nicht. Ein On-Premise-LLM-Hosting-Angebot auch nicht; das lässt sich heute nur durch Kunden selbst oder durch Dritt-Anbieter lösen. Ein KI-Audit-Logging-Produkt (Prompt-Historie revisionssicher, automatisch pseudonymisiert) steht auf der Roadmap, nicht in der Liste.

Verifikation

• EU-AI-Act, Verordnung (EU) 2024/1689, insbesondere Art. 4 (AI literacy), Art. 5 (Verbote), Anhang III (Hochrisiko).
• DSGVO, Verordnung (EU) 2016/679, Art. 5, 6, 28, 32, 35, Kapitel V.
• DSK-Orientierungshilfe "Künstliche Intelligenz und Datenschutz", Mai 2024.
• EDPB ChatGPT Task Force Report, 23. Mai 2024.
• Hamburger Thesen zum Personenbezug in Large Language Models, Juli 2024.
• Anthropic Trust Center, OpenAI Trust Portal als Nachweis-Quellen für SOC-2 und DPF.

Offene Punkte

Schrems-III-Szenario. Das EU-US Data Privacy Framework ist beim EuGH angegriffen. Fällt es, wird jede Cloud-KI-Nutzung mit Personenbezug binnen Wochen auf Standardvertragsklauseln plus TIA zurückgeworfen, und die TIA wird für US-Anbieter mit FISA-702-Reichweite (US-Überwachungsgesetz mit Zugriff auf Anbieter-Daten) schwer darstellbar. Ein dokumentierter Exit-Plan pro Anbieter ist Pflicht, nicht Kür.

Lokale LLM-Infrastruktur-Kosten. Ein internes Modell auf EU-Hardware mit akzeptabler Qualität ist technisch gelöst, ökonomisch aber kein Selbstläufer: GPU-Kapazität ist knapp und teuer, Betrieb und Model-Pflege binden Personal. Für viele Mittelständler bleibt die pragmatische Linie zunächst ein gemanagter EU-Anbieter mit AVV und Zero-Retention; die On-Premise-Variante erst ab einer Größenordnung, bei der die Fixkosten sich amortisieren.

Halluzinationen als eigene Kategorie. Dieser Beitrag deckt den Schutz der Eingabedaten ab. Der Schutz gegen falsche Ausgaben (Halluzinationen in Kundenkorrespondenz, falsche Rechtsauskünfte, erfundene Quellen) ist eine eigene Baustelle und gehört in einen Folgeartikel.

Häufige Fragen

Darf ich ChatGPT oder Claude im Unternehmen überhaupt nutzen?

Ja, aber nicht mit jeder Art von Daten und nicht über jede Oberfläche. Für öffentliche Inhalte sind die kostenlosen Webchats unkritisch. Sobald personenbezogene Daten oder Geschäftsgeheimnisse im Spiel sind, brauchen Sie eine Business-Variante mit Auftragsverarbeitungsvertrag (AVV) und der Einstellung, dass Ihre Eingaben nicht gespeichert und nicht zum Training verwendet werden (Zero-Retention). Streng vertrauliche Daten gehören gar nicht in externe KI.

Was ist der Unterschied zwischen DSGVO und AI-Act bei KI?

Die DSGVO fragt, ob Sie personenbezogene Daten überhaupt verarbeiten dürfen, und verlangt Rechtsgrundlage, Vertrag mit dem Anbieter und Schutzmaßnahmen. Der AI-Act fragt, ob das KI-System selbst zulässig ist und in welche Risikostufe es fällt. Beide gelten parallel: Sie können einen DSGVO-Verstoß und einen AI-Act-Verstoß gleichzeitig begehen, etwa wenn Sie Kundendaten ungeschützt in ein Tool geben und Ihre Mitarbeitenden nie geschult haben.

Reicht eine schriftliche KI-Richtlinie aus?

Nein. Eine Richtlinie ohne technische Durchsetzung wirkt nur bei den Mitarbeitenden, die ohnehin sorgfältig sind - und die waren nie das eigentliche Risiko. Sie brauchen mindestens eine technische Bremse (Überwachung des ausgehenden Verkehrs auf KI-Domains, besser ein zentraler Gateway) und eine erlaubte Alternative, sonst weicht die Belegschaft auf private Accounts und Geräte aus.

Was bedeutet die "AI-literacy"-Pflicht für mein Unternehmen?

Art. 4 des AI-Acts verlangt, dass alle Personen, die KI einsetzen oder deren Ausgaben verwenden, ein ausreichendes Maß an KI-Kompetenz haben. Praktisch heißt das: eine dokumentierte Grundschulung beim Eintritt und einmal jährlich, dazu Auffrischungen mit konkreten Beispielen. Wichtig ist der Teilnahme-Nachweis pro Person, denn die Behörde kann ihn im Prüfungsfall verlangen.

Was passiert, wenn das EU-US Data Privacy Framework gekippt wird?

Dann verlieren US-KI-Anbieter über Nacht ihre einfache Transfer-Grundlage. Sie müssten kurzfristig auf Standardvertragsklauseln plus eine Risikoabwägung (Transfer Impact Assessment) umstellen, die wegen der US-Überwachungsgesetze schwer zu begründen ist. Deshalb sollten Sie heute schon pro Anbieter einen Exit-Plan dokumentieren - also wissen, wie Sie im Ernstfall auf einen EU-Anbieter oder ein internes Modell wechseln.