1. Zweck notieren
Beschreiben Sie den konkreten KI-Einsatz in einem Satz: Wer nutzt welches Tool, mit welchen Daten, für welchen Zweck und mit welcher Wirkung auf Personen?
Trainingsdaten
KI-Trainingsdaten: was aus Prompts und Feedback werden kann.
Nicht jeder Prompt wird automatisch Trainingsdatum, aber viele Dienste behalten sich Modellverbesserung, Missbrauchserkennung, Qualitätssicherung oder menschliche Auswertung vor. Deshalb zählt die genaue Produkt- und Vertragslage.
Stand: 5. September 2026Offizielle Quellen zuerstKeine Rechtsberatung
| Datenart | Risiko | Schutz |
|---|---|---|
| Prompts | Personenbezug oder Geschäftsgeheimnis im Text. | Minimieren, anonymisieren, Business-Tool nutzen. |
| Dateien | Viele versteckte personenbezogene Daten. | Vor Upload prüfen, schwärzen, Zugriff begrenzen. |
| Feedback | Bewertungen können vertraulichen Kontext enthalten. | Keine sensiblen Details in Feedbackfelder. |
Umsetzung
So wird aus Datenschutz-Text eine echte Entscheidungsvorlage.
Gute KI-Datenschutzseiten müssen nicht nur warnen. Sie müssen zeigen, welche Entscheidung heute getroffen werden kann, welche Nachweise fehlen und wann ein Projekt gestoppt werden sollte.
2. Daten minimieren
Entfernen Sie Namen, Kundennummern, Gesundheitsdaten, Bewerbungsdetails, Schülerdaten und interne Geheimnisse, sofern sie für das Ergebnis nicht zwingend nötig sind.
3. Anbieter prüfen
Prüfen Sie Training, Speicherung, Region, Unterauftragnehmer, AVV/DPA, Löschfristen, Rollen, Protokolle und Export. Marketingaussagen reichen nicht.
4. Risiko entscheiden
Bei HR, Schule, Gesundheit, Scoring, Überwachung, Kindern oder besonderer Datenkategorie: Datenschutzbeauftragte einbinden und DSFA-Frage dokumentieren.
Praxisregel: Je konkreter eine Seite Klickpfade, Prüffragen, Datenklassen und Beispiele liefert, desto eher erfüllt sie Suchintentionen wie „ChatGPT Datenschutz“, „KI Training deaktivieren“ oder „DSGVO-konforme KI Tools“.
Entscheidungsmatrix
Wann ein KI-Tool freigegeben, begrenzt oder blockiert werden sollte.
Viele Organisationen scheitern nicht an der juristischen Theorie, sondern an schwammigen Alltagsregeln. Die folgende Matrix übersetzt Datenschutzanforderungen in Entscheidungen, die Teams wirklich nutzen können.
| Signal | Freigabe möglich | Nur begrenzt | Stoppsignal |
|---|---|---|---|
| Datenart | Öffentliche oder synthetische Inhalte ohne Personenbezug. | Interne Texte mit geringem Personenbezug, wenn Tool und Vertrag geprüft sind. | Gesundheitsdaten, Kinder, HR-Entscheidungen, Scoring, Geheimnisse oder Mandantendaten. |
| Training | Vertragliche No-Training-Zusage oder klare deaktivierte Trainingsnutzung. | Opt-out nur als Nutzereinstellung; regelmäßige Kontrolle nötig. | Unklare Modellverbesserung, keine Angaben zu Feedback, Dateien oder Logs. |
| Kontrolle | SSO, Rollen, Auditlog, Löschung, Export, Workspace-Policies. | Einzelkonten mit dokumentierter Anleitung und Datenklassenregeln. | Private Accounts für Kunden-, Patienten-, Schüler- oder Bewerbungsdaten. |
| Betroffenenwirkung | Reine Textentwürfe ohne automatische Entscheidung. | Vorschläge mit menschlicher Prüfung und klarer Kennzeichnung. | Automatisierte Ablehnung, Ranking, Überwachung oder Profilbildung ohne Prüfung. |
Beispiele
Formulierungen, die in Richtlinien und Checklisten helfen.
Erlaubt
„Du darfst öffentliche Produkttexte, anonymisierte Beispiele und interne Entwürfe ohne Personenbezug in freigegebene KI-Tools eingeben.“
Nur nach Freigabe
„Kundendaten, Vertragsauszüge, Supportfälle und HR-Dokumente dürfen nur in Tools mit AVV, No-Training-Zusage, Rollen und Löschkonzept verarbeitet werden.“
Verboten
„Gesundheitsdaten, Passwörter, private Nachrichten, Bewerbungsbewertungen, Kinder- oder Schülerdaten und Geschäftsgeheimnisse gehören nicht in öffentliche KI-Konten.“
Dokumentieren
„Wenn KI eine Entscheidung über Menschen vorbereitet, muss der Zweck, die Datenquelle, die menschliche Prüfung und die Rechtsgrundlage dokumentiert werden.“