Aus unserer Sicht steckt das größte Datenschutz-Risiko beim KI-Einsatz selten im Server-Vertrag — es steckt in der Zwischenablage Ihrer Mitarbeiter.
Die Fachanwendung mit Auftragsverarbeitungs-Vertrag ist nach unserem Eindruck meist gar nicht das Leck. Das Leck ist der Copy-Paste-Moment: Ein Mitarbeiter hat ein Arbeitszeugnis zu formulieren, eine Bewerbung zu sichten, eine Mandanten-Mail zu beantworten — und kippt den Text in ein privates Chat-Fenster, für das kein Vertrag existiert. Kein böser Wille, kein Hack, nur ein Browser-Tab. Genau dort entsteht das Problem.
Die Drei-Stufen-Doktrin: Datenklassen statt Bauchgefühl
Statt einer Pauschalregel („KI ja“ oder „KI nein“) hat sich in unserer eigenen Arbeitspraxis eine Einteilung nach Datenklassen bewährt. Drei Stufen, drei Werkzeug-Kategorien:
| Stufe | Datenklasse | Werkzeug-Kategorie |
|---|---|---|
| 1 | Öffentliche Inhalte und Texte ohne Personenbezug — Marketing-Entwürfe, Produktbeschreibungen, allgemeine Recherche | Große Cloud-Modelle sind hier eine Option |
| 2 | Personenbezogene Daten, für die ein Auftragsverarbeitungs-Vertrag vorliegt | EU-Anbieter, etwa Mistral mit Sitz in Paris |
| 3 | Hochsensibles: Mandanten-, Patienten-, Personal- und Finanzdaten | Lokale Modelle im eigenen Haus |
Die Zuordnung beschreibt Werkzeug-Kategorien, keine Zulässigkeit im Einzelfall — wer das entscheidet, steht weiter unten.
Stufe 1 deckt einen erheblichen Teil des Alltags ab: Texte, in denen kein Mensch identifizierbar ist, können mit den großen Cloud-Modellen bearbeitet werden. Stufe 2 verlangt ein Vertragsverhältnis mit dem Anbieter — hier kommen EU-Anbieter ins Spiel. Stufe 3 verlässt das Haus überhaupt nicht mehr: Wer Mandantenakten, Patientendaten oder Gehaltsunterlagen mit KI bearbeiten will, betreibt das Modell auf eigener Hardware. Wie das technisch aussieht, beschreiben wir unter KI lokal betreiben; was solche Modelle im Vergleich leisten, steht im Messbericht lokale KI.
Warum der Server-Standort allein nicht reicht
Ein Satz, der uns in Gesprächen immer wieder begegnet: „Der Anbieter hat ein Rechenzentrum in Frankfurt, also ist alles gut.“ Der US CLOUD Act knüpft allerdings am Firmensitz des Anbieters an, nicht am Standort der Server. Ein US-Unternehmen mit EU-Rechenzentrum bleibt von diesem Gesetz erfasst — die Daten liegen physisch in Europa, der rechtliche Zugriffspfad läuft trotzdem über den Firmensitz. Das ist eine deskriptive Feststellung über die Rechtskonstruktion, kein Urteil über einzelne Anbieter. Für die Stufen-Einteilung heißt es aber: Die Frage „Wo steht der Server?“ ist die falsche Frage. Die richtige lautet: „Wo sitzt die Firma, und welche Datenklasse geben wir ihr?“
Wer entscheidet, was rausgeht?
Nicht die IT, nicht der Anbieter, nicht dieser Blogpost. Ob eine bestimmte Datenklasse Ihr Haus verlassen darf, ist eine rechtliche Bewertung — die trifft Ihr Datenschutzbeauftragter oder Ihr Anwalt, auf Basis Ihrer konkreten Verträge und Verarbeitungszwecke. Was Technik-Beratung leisten kann: die Eigenschaften der Werkzeuge sauber beschreiben — wo die Daten hinfließen, welcher Anbieter wo sitzt, was lokal bleibt. Die Zulässigkeits-Frage gehört danach auf den Tisch des Juristen, nicht davor unter den Teppich.
Der Aushang schlägt die Richtlinie
Ein wirksamer Schritt kostet ein Blatt Papier. Eine 40-seitige KI-Richtlinie als PDF bleibt im Alltag leicht ungelesen — ein Aushang neben dem Kaffeeautomaten nicht: „Diese drei Datenarten nie in ein Chat-Fenster: Mandanten- und Patientendaten, Personaldaten, Finanzdaten.“ Eine Zeile, drei Kategorien, man versteht sie im Vorbeigehen. Diese simple Team-Regel kann mehr bewirken als ein ungelesenes Richtlinien-Dokument, weil sie genau an der Stelle ansetzt, an der das Leck entsteht: im Moment vor dem Einfügen.
Die Reihenfolge für Ihren Betrieb ergibt sich daraus fast von selbst: Datenklassen benennen, die drei Stufen den vorhandenen Werkzeugen zuordnen, die Zulässigkeit je Klasse mit Datenschutzbeauftragtem oder Anwalt klären — und den Aushang aufhängen, bevor die nächste Bewerbung im falschen Fenster landet.