Was darf in den KI-Chat? Datenschutz im Alltag

Eine typische Datenschutzpanne mit KI ist kein Hack. Jemand fügt eine Kundenliste in einen Chat ein, weil es schnell gehen soll. Diese Liste hilft dir, vorher kurz zu stoppen.

Vor dem Einfügen

Welche Daten sind es?

• Enthält der Text personenbezogene Daten?Namen, Mailadressen, Telefonnummern, Adressen, Kundennummern, Gehälter, Gesundheitsdaten. Dann gilt: anonymisieren oder weglassen.
• Sind es vertrauliche Geschäftsdaten?Verträge, Preise, Angebote, Quellcode, Unterlagen unter Geheimhaltungsvereinbarung. Prüfe, was eure Vereinbarungen erlauben.
• Reicht die Struktur?Für Formeln, Power Query, DAX oder eine Datenmodell-Frage genügen Tabellen- und Spaltennamen mit erfundenen Beispielzeilen.
• Ersetze Namen durch Platzhalter.„Kunde A“, „Projekt 1“. Die Zuordnung bleibt bei dir. Beachte: Reines Ersetzen ist oft nur eine Pseudonymisierung, sobald man die Person über andere Angaben erkennen kann. Echte Anonymisierung ist sicherer.
• Darfst du die Daten überhaupt weitergeben?Auch wenn der Chat es technisch zulässt: Ob du sie an einen externen Dienst geben darfst, hängt von deiner Rolle und euren Verträgen ab.
• Gib Dateien nicht ungeprüft hoch.Tabellen und PDFs enthalten oft mehr, als du siehst: versteckte Blätter, Kommentare, Metadaten. Schau vorher hinein oder kopiere nur den benötigten Ausschnitt.

Dienst und Vertrag

Welchen Zugang nutzt du?

• Nutze für Firmendaten ein Geschäftskonto, kein privates Gratiskonto.Gratis- und Privatzugänge haben andere Bedingungen. Frag nach, welche Zugänge euer Betrieb freigegeben hat.
• Hol dir bei personenbezogenen Daten einen Auftragsverarbeitungsvertrag (AVV).Verarbeitet ein Dienst Daten in deinem Auftrag, braucht es in der Regel einen AVV. Das gilt für KI-Anbieter wie für andere Dienste.
• Lies nach, ob Eingaben zum Training genutzt werden.Und wie lange sie gespeichert werden. Das steht in den Datenschutzbedingungen und in den Einstellungen des Dienstes. Es unterscheidet sich je Tarif, prüfe es im Original und notiere das Datum.
• Denk daran, dass eigener Betrieb nicht alles löst.Auch ein selbst gehostetes Automatisierungstool schickt Daten nach außen, sobald es eine externe KI aufruft. Dann braucht es wieder einen AVV. Nur ein wirklich lokales Modell vermeidet das.
• Trage Auftragsverarbeiter in dein Verzeichnis von Verarbeitungstätigkeiten ein.Je Dienst ein AVV in der Ablage und ein Eintrag im Verzeichnis. So findest du es bei einer Anfrage wieder.
• Prüfe die Plattform des Dienstes bei Updates neu.Bedingungen ändern sich. Ein Blick pro Quartal in die Datenschutzbedingungen deiner wichtigsten Dienste ist ein praktikabler Rhythmus.

Agenten, Postfächer, Dateien

Wenn KI selbst zugreift

Sobald ein Assistent auf Postfach, Laufwerk oder Programme zugreifen darf, geht es nicht mehr nur um das, was du einfügst.

• Brauchst du echte Daten und darfst du sie weitergeben (AVV, Rechtsgrundlage), kopiere sie lieber von Hand, als dauerhaften Zugriff zu geben.Du siehst, was weitergeht, und kannst es jederzeit stoppen.
• Starte mit Lesezugriff.Schreiben und Senden nur mit ausdrücklicher Bestätigung im Einzelfall.
• Gib einzelne Ordner frei statt das ganze Postfach oder Laufwerk.Und zeitlich befristet, nicht für immer. Zugriffe, die schrittweise erweitert und nie überprüft werden, sind erfahrungsgemäß oft der Auslöser für Vorfälle.
• Kombiniere sensible Daten nie mit unbekannten Inhalten.Eine präparierte Mail oder Webseite kann einem Agenten Anweisungen unterschieben (Prompt Injection). Wer sensible Daten und fremde Inhalte zusammenbringt, vergrößert den möglichen Schaden.
• Begrenze den größten anzunehmenden Schaden.Gehe davon aus, dass sich jedes Modell irgendwann austricksen lässt. Frag dich: Was passiert schlimmstenfalls, und ist das für mich tragbar?

Dauerhaft

Regeln im Team

• Schreibe eine kurze KI-Regel auf eine Seite.Welche Tools sind erlaubt, welche Daten nie, wer wird gefragt, wenn etwas unklar ist.
• Führe ein kleines Inventar.Welche KI-Dienste nutzt ihr, wofür, mit welchem Vertrag? Das hilft bei Fragen von Kundschaft und bei Wechseln.
• Sorge für KI-Kompetenz im Team.Der AI Act verlangt seit 02.02.2025 von Betrieben, die KI einsetzen, Maßnahmen zur KI-Kompetenz (Art. 4). Eine feste Nachweisform schreibt der Artikel nach meinem Kenntnisstand nicht vor. Eine kurze Einweisung und diese Liste können Teil dieser Maßnahmen sein.
• Sprich bei Kundenprojekten vorher ab, ob KI eingesetzt wird.Vor allem, wenn Kundendaten berührt sind oder eine KI-Komponente Teil der Lösung wird. Das gehört vertraglich geklärt.

Quellen und Stand

Stand: 21. Oktober 2026. Die Liste ist ein Hilfsmittel, keine Garantie. Ob ein Punkt für dich passt, entscheidest du. Für die Haftung gelten meine AGB, Punkt 14.

• Verordnung (EU) 2016/679 (DSGVO) und Verordnung (EU) 2024/1689 (AI Act). Allgemeine Grundsätze, keine Einzelfallprüfung.