KI und Datenschutz im Betrieb: Was du in eine KI laden darfst – und was nicht
Inhaltsverzeichnis
Kurz gesagt: Anleitungen, Abläufe und allgemeines Fachwissen kannst du in der Regel problemlos mit einer KI nutzen – heikel wird es bei personenbezogenen Daten wie Kundennamen, Adressen, Telefonnummern oder Fotos. Für alles, was Kunden- oder Mitarbeiterdaten enthält, brauchst du einen Anbieter, mit dem du einen Auftragsverarbeitungsvertrag (AVV) schließen kannst und der klar sagt, wo die Daten liegen und ob sie fürs Training genutzt werden. Kostenlose Privat-Accounts sind für betriebliche Daten fast nie die richtige Wahl.
Hinweis: Dieser Beitrag ist eine praktische Orientierung, keine Rechtsberatung. Bei konkreten Fragen hilft dein Datenschutzbeauftragter, deine Kammer oder ein Anwalt.
Die häufigste Sorge – und warum sie berechtigt ist
„Wenn ich mein Wissen in eine KI lade, wo landet das dann?“ Diese Frage höre ich in fast jedem Gespräch mit Betrieben. Und sie ist richtig. Denn es gibt zwei ganz verschiedene Arten von Daten in deinem Betrieb:
- Fachwissen: Wie wird eine Therme gewartet, wie mischt man den Reiniger, wie läuft die Abnahme ab. Darin stecken keine personenbezogenen Daten.
- Daten über Menschen: Kundenname, Adresse, Telefonnummer, Fotos aus der Wohnung, Krankmeldungen von Mitarbeitern, Lohnlisten.
Für die erste Gruppe gilt die DSGVO nicht – hier geht es höchstens um deine Betriebsgeheimnisse. Für die zweite Gruppe gilt sie voll.
Die Ampel: Was darf in die KI?
| Beispiele | Worauf achten | |
|---|---|---|
| 🟢 Unkritisch | Anleitungen, Abläufe, Checklisten, Herstellerunterlagen, Fachwissen, Preislisten ohne Kundenbezug | Eigene Betriebsgeheimnisse nur in Tools mit klaren Regeln zur Datennutzung |
| 🟡 Mit Vorsicht | interne Kalkulation, Lieferantenkonditionen, Notizen zu Objekten ohne Namen | Anbieter mit Vertrag und klarer Aussage: keine Nutzung fürs KI-Training |
| 🔴 Nur mit AVV und klarer Rechtsgrundlage | Kundennamen, Adressen, Telefonnummern, Fotos aus Wohnungen, Mitarbeiterdaten | Auftragsverarbeitungsvertrag, Serverstandort, Löschfristen, Zugriffsrechte |
| ⛔ Gar nicht in allgemeine KI-Tools | Gesundheitsdaten (z. B. Krankmeldungen), Ausweisdaten, Bankdaten, Passwörter | Bleibt in den dafür vorgesehenen Systemen |
5 Fragen, die du jedem KI-Anbieter stellen solltest
Egal ob Chat-Tool, Wissensdatenbank oder Diktier-App – diese fünf Fragen sollte jeder Anbieter klar beantworten können:
- Wo liegen meine Daten? Server in Deutschland oder der EU sind der einfachste Weg. Bei Servern außerhalb der EU wird es komplizierter.
- Werden meine Daten zum Training der KI genutzt? Die Antwort sollte für betriebliche Daten „nein“ lauten – und das sollte schriftlich stehen, nicht nur im Marketing.
- Bekomme ich einen Auftragsverarbeitungsvertrag (AVV)? Sobald personenbezogene Daten verarbeitet werden, brauchst du ihn.
- Wer sieht was? Kann ich festlegen, welche Mitarbeiter welche Inhalte sehen?
- Wie lösche ich Daten? Und was passiert mit meinen Daten, wenn ich kündige?
Kann ein Anbieter diese Fragen nicht klar beantworten, ist das schon eine Antwort.
Der typische Fehler im Alltag
Das größte Risiko ist selten die Software, die der Chef ausgesucht hat. Es ist der Mitarbeiter, der „mal eben schnell“ etwas in ein kostenloses Tool auf seinem Handy kopiert:
- Beispiel: Die Bürokraft kopiert die Kundenliste mit Adressen in einen kostenlosen KI-Chat, um einen Serienbrief formulieren zu lassen.
- Beispiel: Ein Monteur fotografiert den Schaltschrank beim Kunden samt Typenschild und Adressaufkleber und fragt eine KI-App, was der Fehlercode bedeutet.
Beides passiert aus gutem Willen. Deshalb hilft kein Verbot, sondern eine klare Ansage: Welches Tool ist erlaubt, was darf rein, was nicht.
So nutzt du KI datenschutzfreundlich – ohne Aufwand
- Wissen und Kundendaten trennen. Anleitungen und Abläufe gehören in eine Wissensdatenbank, Kundendaten in deine Kundenverwaltung.
- Anonymisieren. „Kunde in Musterstadt, Altbau, Therme Baujahr 2008“ reicht für eine Fachfrage. Name und Adresse braucht die KI nicht.
- Ein erlaubtes Tool festlegen, statt dass jeder sein eigenes nutzt.
- Regeln aufschreiben – eine Seite reicht – und neuen Mitarbeitern bei der Einarbeitung zeigen.
- Fotos prüfen, bevor sie hochgeladen werden: Sind Adressen, Namen oder Gesichter zu sehen?
Mehr dazu, welche Regeln du aufstellen solltest und warum das seit der KI-Verordnung ohnehin sinnvoll ist, steht im Beitrag zur KI-Schulungspflicht.
Wie wir das bei Wizbase lösen
Wizbase ist für Betriebswissen gemacht: Abläufe, Anleitungen, Herstellerunterlagen, Checklisten – also überwiegend die grüne Zeile der Ampel. Die Server stehen in Deutschland. Und weil die Antworten nur aus deinen eigenen Unterlagen kommen, musst du keine Kundendaten hochladen, damit dein Team schnelle Antworten bekommt.
Unser Tipp für den Start: Fang mit dem Wissen an, das keine Personendaten enthält – Wartungsabläufe, Reinigungsanleitungen, Einarbeitungsthemen. Damit hast du sofort den größten Nutzen und das kleinste Risiko.
Passend dazu:
Die wichtigsten Fragen im Überblick
Darf ich Kundendaten in ChatGPT eingeben?
Mit einem kostenlosen Privat-Account solltest du keine Kundendaten eingeben. Für personenbezogene Daten brauchst du einen Geschäftstarif mit Auftragsverarbeitungsvertrag und klaren Regeln zur Datennutzung – und auch dann nur, was wirklich nötig ist.
Gilt die DSGVO auch für Anleitungen und Abläufe?
Nein, solange darin keine personenbezogenen Daten stecken. Bei reinem Fachwissen geht es eher um den Schutz deiner Betriebsgeheimnisse.
Was ist ein Auftragsverarbeitungsvertrag?
Ein Vertrag mit dem Anbieter, der regelt, dass er personenbezogene Daten nur in deinem Auftrag und nach deinen Vorgaben verarbeitet. Er ist Pflicht, sobald ein Dienstleister solche Daten für dich verarbeitet.
Reicht es, wenn der Server in Deutschland steht?
Der Serverstandort ist ein wichtiger Punkt, aber nicht der einzige. Genauso wichtig sind der AVV, die Frage nach der Nutzung fürs KI-Training und wer Zugriff auf die Daten hat.
Was mache ich, wenn ein Mitarbeiter schon Kundendaten in ein Tool kopiert hat?
Ruhig bleiben, herausfinden was genau eingegeben wurde, die Daten im Tool löschen (wenn möglich) und mit deinem Datenschutzbeauftragten klären, ob eine Meldung nötig ist. Danach die Regeln klarer kommunizieren.
Das könnte dich auch interessieren
Baustellen-Übergabe: Checkliste, damit der Kollege nahtlos weitermacht
Wenn ein Monteur die Baustelle übergibt, geht oft Wissen verloren – und der Kunde merkt es sofort. Mit dieser 8-Punkte-Checkliste läuft die Übergabe in 10 Minuten.
Wissensmanagement früher und heute: Vom Ordner zur KI, die antwortet
Ordner, Intranet, Wiki, Cloud-Laufwerk – warum klassisches Wissensmanagement im kleinen Betrieb fast immer gescheitert ist und was KI daran grundsätzlich ändert.
KI-Schulungspflicht im Betrieb: Was Artikel 4 jetzt wirklich verlangt
Muss jetzt jeder Handwerksbetrieb seine Leute in KI schulen? Was Artikel 4 der KI-Verordnung nach dem Digital Omnibus wirklich verlangt – und wie du es in einem Nachmittag erledigst.