Datenschutz bei KI im Büro: fünf Fragen vor dem Start

Wer KI im Büro einsetzt, verarbeitet fast immer personenbezogene Daten: Namen in E-Mails, Adressen auf Rechnungen, Telefonnummern in Anfragen. Die DSGVO verbietet das nicht. Sie verlangt aber, dass Sie wissen, was mit den Daten passiert.

Fünf Fragen helfen, das vor dem Start zu klären. Eine Rechtsberatung ersetzen sie nicht, aber sie machen das Gespräch mit Ihrem Datenschutzbeauftragten deutlich kürzer.

1. Wo liegen die Daten?

Das ist die wichtigste Frage. Bei vielen KI-Diensten liegen Firmenwissen, Dokumente und Verläufe beim Anbieter in dessen Cloud.

Bei digitalen Fachkräften ist das anders. Der Denkraum läuft als Desktop-App auf einem Windows-Rechner, im Büronetz oder auf Ihrem eigenen Server. Firmenwissen, Vorgänge und Protokolle liegen bei Ihnen. Das vereinfacht vieles, weil Sie den Speicherort selbst bestimmen.

2. Wohin gehen die Daten, wenn die KI arbeitet?

Speichern und Verarbeiten sind zweierlei. Auch wenn die Daten bei Ihnen liegen, schickt eine KI für jede Aufgabe Text an ein Sprachmodell. Wo dieses Modell läuft, entscheidet, wohin die Daten gehen.

Mit einem lokalen Modell, etwa über Ollama oder vLLM, bleibt auch diese Verarbeitung im eigenen Netz. Nutzen Sie ein Cloud-Modell, zum Beispiel von Anthropic oder OpenAI, gehen die Inhalte der jeweiligen Anfrage an diesen Anbieter. Dann gelten dessen Bedingungen, und bei Anbietern außerhalb der EU sollten Sie prüfen, auf welcher Grundlage die Daten übermittelt werden.

Die Wahl lässt sich je Aufgabe treffen. Ein naheliegender Weg: das lokale Modell für alles mit Personalbezug, ein Cloud-Modell für unkritische Texte wie Produktbeschreibungen.

3. Wer greift von außen zu?

Bei der Einarbeitung und im Support kann es nötig sein, dass wir auf Ihren Denkraum zugreifen. Das ist eine Auftragsverarbeitung nach Art. 28 DSGVO und braucht einen Vertrag. Den AV-Vertrag bekommen Sie mit dem Angebot.

Dasselbe gilt für Cloud-Modelle: Auch mit deren Anbieter braucht es eine vertragliche Regelung. Die großen Anbieter stellen dafür eigene Verträge bereit.

4. Wer im Team sieht was?

Nicht jede Person im Betrieb muss alles sehen. Im Denkraum bekommt jede Person eine Rolle, von Admin bis Leser, mit Zugriff je Wissensraum. Die Lohnabrechnung gehört nicht in denselben Wissensraum wie die Preisliste.

Auch die digitalen Fachkräfte haben nur die Rechte ihrer Stelle. Die Fachkraft für Angebote braucht keinen Zugriff auf die Buchhaltung, also bekommt sie ihn nicht.

5. Was steht im Verzeichnis?

Jede neue Verarbeitung gehört in Ihr Verzeichnis von Verarbeitungstätigkeiten. Das klingt nach Bürokratie, ist mit dem Stellenprofil aber schnell erledigt. Es beschreibt bereits, welche Aufgaben die Fachkraft hat, mit welchen Daten sie arbeitet und wer freigibt. Viel mehr braucht der Eintrag nicht.

Bei besonders sensiblen Daten, etwa Gesundheitsdaten oder Bewerbungen in größerem Umfang, kann zusätzlich eine Datenschutz-Folgenabschätzung nötig sein. Das klären Sie mit Ihrem Datenschutzbeauftragten.

Auch die eigenen Beschäftigten zählen

Datenschutz betrifft nicht nur Kundendaten. Arbeitet eine KI im Team mit, wollen auch die Beschäftigten wissen, was sie sieht und was protokolliert wird. Gibt es einen Betriebsrat, gehört er früh an den Tisch. Stellenprofil und Protokoll helfen dabei, weil sie zeigen, was die Fachkraft tut und was nicht.

Vor dem Erstgespräch

Nehmen Sie diese fünf Fragen mit ins Erstgespräch. Wir beantworten sie für Ihren Betrieb konkret. Danach haben Sie eine Grundlage für das Gespräch mit Ihrem Datenschutzbeauftragten und wissen, welche Unterlagen Sie brauchen. Eine Übersicht, wie digitale Fachkräfte mit Daten umgehen, finden Sie im Abschnitt Sicherheit & Datenschutz.