Bevor der erste Kundenname in den Prompt geht.
Die Prompts in dieser Bibliothek funktionieren am besten mit echten Angaben aus dem Betrieb — und genau da fängt die Frage an, die auf fast keiner Prompt-Sammlung steht. Sieben Punkte, die vorher zu klären sind, und sechs Regeln, die den größten Teil des Problems verschwinden lassen.
Sieben Fragen, in dieser Reihenfolge
- Sind personenbezogene Daten im Spiel?Art. 4 Nr. 1 und 2 DSGVO
Ein Kundenname, eine Mailadresse, eine Bewerbung, ein Gesprächsprotokoll mit Namen — sobald davon etwas in den Prompt geht, ist es eine Verarbeitung personenbezogener Daten. Ein Firmenname allein ist es meist nicht, ein Ansprechpartner darin schon.
- Gibt es einen Auftragsverarbeitungsvertrag?Art. 28 DSGVO
Der Anbieter des Sprachmodells verarbeitet die Daten in Ihrem Auftrag. Dafür braucht es einen Vertrag — bei den geschäftlichen Tarifen der großen Anbieter ist er verfügbar, bei kostenlosen Privatzugängen in der Regel nicht.
- Werden die Eingaben zum Training verwendet?
Der Punkt, an dem sich Privat- und Geschäftszugang am deutlichsten unterscheiden. In geschäftlichen Tarifen ist Training aus Eingaben üblicherweise abgeschaltet; im kostenlosen Zugang oft nicht. Es ist eine Einstellung und ein Vertragspunkt — nachsehen, nicht annehmen.
- Wo stehen die Server?Kapitel V DSGVO
Bei Anbietern außerhalb der EU kommt der Drittlandtransfer dazu. Mehrere große Anbieter bieten inzwischen eine Verarbeitung in der EU an; das ist wiederum eine Einstellung, kein Automatismus.
- Ist eine Folgenabschätzung nötig?Art. 35 DSGVO
Wenn systematisch bewertet oder überwacht wird — Bewerbungen sichten, Leistung beurteilen, Kreditwürdigkeit einschätzen —, ist eine Datenschutz-Folgenabschätzung regelmäßig einschlägig. Sie ist am Anfang beherrschbar und teuer, wenn sie nachgeholt werden muss.
- Ist der Betriebsrat zu beteiligen?§ 87 Abs. 1 Nr. 6 BetrVG
Sobald ein Werkzeug geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen, besteht ein Mitbestimmungsrecht — auf die Eignung kommt es an, nicht auf die Absicht. Das trifft in der Praxis mehr Werkzeuge, als zunächst gedacht.
- Wissen die Beschäftigten, was erlaubt ist?Art. 4 KI-VO (EU) 2024/1689
Die KI-Verordnung verlangt seit dem 2. Februar 2025 ausreichende KI-Kompetenz bei denen, die solche Systeme betreiben oder bedienen. Unabhängig davon ist eine kurze schriftliche Regel — was darf hinein, was nicht — der wirksamste Einzelschritt überhaupt.
Sechs Regeln, die den Rest erledigen
Wer diese sechs Punkte einhält, hat den überwiegenden Teil der Fragen oben nicht mehr: Das Recht bleibt gleich, aber es sind keine kritischen Daten mehr im Spiel.
- Keine Klarnamen, wo Pseudonyme reichen. „Kunde A" statt des Namens kostet nichts und nimmt den halben Problembereich heraus.
- Keine vollständigen Personalakten, Bewerbungen oder Gesundheitsdaten in ein Sprachmodell — auch nicht „nur zum Zusammenfassen".
- Keine Zugangsdaten, Schlüssel oder Passwörter. Was in einem Prompt steht, steht in einem Verlauf, und Verläufe werden gespeichert.
- Geschäftszugang statt Privatkonto, wenn Betriebsdaten hineingehen. Der Unterschied liegt im Vertrag, nicht in der Oberfläche.
- Eine Seite schriftliche Regel für alle im Betrieb — was hinein darf, was nicht, und wen man fragt. Wirksamer als jede Schulung.
- Wo eine Ausgabe eine Entscheidung über Menschen vorbereitet, sieht sie ein Mensch an, bevor sie wirkt.
Wenn die Daten das Haus nicht verlassen dürfen
Dann bleibt der Weg über ein lokal betriebenes Modell — auf eigener Hardware oder im eigenen Rechenzentrum. Technisch möglich, mit einem klaren Preis: Anschaffung, Betrieb, Aktualisierung und jemand, der es betreut. Bei geringen Mengen ist der Zugang über eine Schnittstelle fast immer günstiger; bei strengen Vorgaben ist er keine Option. Das ist eine Rechnung — die Begriffe dazu stehen im Glossar.
Diese Seite beschreibt die Fragen, die sich stellen, und die Normen, in denen die Antwort steht. Sie ist keine Rechtsberatung und ersetzt für den Einzelfall weder die Prüfung durch einen Rechtsanwalt noch die durch eine Datenschutzbeauftragte. Wie wir selbst mit Daten umgehen, steht in unserer Datenschutzerklärung.