## Title Geschäftsgeheimnisse bei KI-Nutzung schützen: Der Praxis-Leitfaden für den Mittelstand

Warum Datenschutz bei KI-Tools kritischer ist als je zuvor

Sie kennen das Dilemma: Ihre Projektleiter könnten mit ChatGPT, Claude oder Copilot erheblich schneller arbeiten. Aber was passiert mit den Konstruktionsdaten, Kundengesprächen oder Kalkulationen, die dabei eingegeben werden?

Die Nutzung von generativen KI-Tools hat in deutschen Unternehmen stark zugenommen. Allerdings haben nur wenige Unternehmen bereits angemessene Datenschutz-Richtlinien implementiert.

Das Problem liegt auf der Hand: KI-Tools verarbeiten naturgemäß große Datenmengen. Anders als bei klassischer Software fließen diese Daten jedoch oft in komplexe Algorithmen, deren Verhalten schwer vorhersagbar ist.

Rechtlich bewegen wir uns in einem Spannungsfeld aus DSGVO, Geschäftsgeheimnisgesetz (GeschGehG) und branchenspezifischen Vorschriften. Das Geschäftsgeheimnisgesetz definiert in § 2 GeschGehG klar: Geschäftsgeheimnisse sind Informationen, die geheim, von wirtschaftlichem Wert und angemessen geschützt sind.

Aber was bedeutet angemessen geschützt bei KI-Tools? Hier liegt der Knackpunkt für Ihren Unternehmenserfolg.

Mit der Regulierung digitaler Dienste steigen auch die Transparenzpflichten für KI-Anbieter. Unternehmen müssen nachvollziehen können, wie und wo ihre Daten verarbeitet werden.

Doch es geht nicht nur um Compliance. Ein Datenleck kann Ihr Unternehmen Millionen kosten – nicht nur durch Bußgelder, sondern durch Vertrauensverlust und Wettbewerbsnachteile.

Die häufigsten Datenschutz-Fallen bei KI-Tools

Cloud-basierte KI-Dienste und Datenübertragung

Die größte Falle lauert bereits beim ersten Klick: Wo landen Ihre Daten, wenn Sie sie in ChatGPT, Gemini oder ähnliche Tools eingeben?

Viele KI-Tools speichern Chat-Verläufe oder Nutzereingaben auf Servern, die sich oft außerhalb der EU, beispielsweise in den USA, befinden.

Das Problem: Jede Datenübertragung außerhalb der EU unterliegt den Bestimmungen für internationale Datenübertragungen nach Art. 44 ff. DSGVO. Sie benötigen angemessene Garantien – meist in Form von Standardvertragsklauseln.

Aber Vorsicht: Copy-Paste-Klauseln bringen Ihnen gar nichts. Sie müssen die spezifischen Risiken Ihrer Branche bewerten und entsprechende Schutzmaßnahmen implementieren.

Ein konkretes Beispiel: Wenn Sie Konstruktionszeichnungen in ein KI-Tool laden, um automatisch Stücklisten zu generieren, können diese Daten theoretisch in das Training zukünftiger Modellversionen einfließen.

Training-Daten und Modell-Updates

Hier wird es besonders heikel: Viele KI-Anbieter nutzen Nutzereingaben zur Verbesserung ihrer Modelle. Was heute als Ihr Geschäftsgeheimnis eingeht, kann morgen Teil des allgemein verfügbaren Wissensspeichers werden.

Bei vielen Anbietern ist es möglich, die Nutzung der eigenen Daten für das weitere Training zu deaktivieren, zumindest bei kostenpflichtigen oder Unternehmensversionen. Allerdings bleiben Standardeinstellungen oft bedenklich.

Die Lösung liegt in gezielter Vertragsgestaltung. Enterprise-Versionen bieten meist bessere Kontrolle über Datennutzung. Bei einigen Lösungen wird garantiert, dass Unternehmensdaten nicht für Training verwendet werden.

Dennoch gilt: Vertrauen ist gut, Kontrolle ist besser. Implementieren Sie technische Maßnahmen zur Datenminimierung, bevor Daten das Tool erreichen.

Lokale vs. externe KI-Systeme

Die Alternative zu Cloud-basierten Diensten sind lokale KI-Installationen. Llama von Meta oder Mistral bieten Open-Source-Modelle, die Sie vollständig on-premise betreiben können.

Der Vorteil liegt auf der Hand: Ihre Daten verlassen niemals Ihr Netzwerk. Gleichzeitig haben Sie vollständige Kontrolle über Updates und Konfiguration.

Aber auch hier lauern Fallstricke. Open-Source-Modelle kommen ohne Gewährleistung und Support. Sie benötigen entsprechende IT-Expertise und Hardware-Ressourcen.

Für viele mittelständische Unternehmen ist ein hybrider Ansatz optimal: Sensible Daten bleiben lokal, weniger kritische Aufgaben werden an Cloud-Dienste delegiert.

Rechtssichere KI-Tool-Auswahl: Checkliste für Entscheidungsträger

Vertragsgestaltung und AVV-Anforderungen

Jede KI-Tool-Implementierung beginnt mit der richtigen Vertragsgestaltung. Nach Art. 28 DSGVO benötigen Sie einen Auftragsverarbeitungsvertrag (AVV), wenn der KI-Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet.

Prüfen Sie diese Kernpunkte in jedem KI-Vertrag:

Zweckbindung: Darf der Anbieter Ihre Daten nur für den vereinbarten Zweck nutzen?
Löschungsrechte: Können Sie die Löschung Ihrer Daten jederzeit verlangen?
Subunternehmer: Wer hat Zugriff auf Ihre Daten und wo befinden sich die Server?
Audit-Rechte: Dürfen Sie die Einhaltung der Vereinbarungen kontrollieren?
Datenschutz-Folgenabschätzung: Unterstützt der Anbieter Sie bei DSFA-Prozessen?

Ein praktischer Tipp: Fordern Sie vom Anbieter ein detailliertes Datenfluss-Diagramm an. So verstehen Sie genau, welchen Weg Ihre Daten nehmen.

Besonders kritisch: Verträge mit US-amerikanischen Anbietern. Hier müssen zusätzlich die Anforderungen des EuGH-Urteils Schrems II erfüllt werden.

Technische Schutzmaßnahmen bewerten

Juristische Absicherung ist nur die halbe Miete. Entscheidend sind die technischen Schutzmaßnahmen des Anbieters.

Diese Sicherheitsfeatures sollten Sie mindestens fordern:

Schutzmaßnahme	Beschreibung	Wichtigkeit
End-to-End-Verschlüsselung	Daten sind auf dem gesamten Übertragungsweg verschlüsselt	Kritisch
Zero-Trust-Architektur	Kein automatisches Vertrauen, jeder Zugriff wird verifiziert	Hoch
Mandantentrennung	Ihre Daten sind logisch von anderen Kunden getrennt	Hoch
Logging und Monitoring	Alle Zugriffe werden protokolliert und überwacht	Mittel
Backup und Recovery	Sichere Datensicherung und Wiederherstellung	Mittel

Fragen Sie konkret nach Zertifizierungen. ISO 27001, SOC 2 Type II oder BSI C5 sind gute Indikatoren für solide Sicherheitsstandards.

Aber Vorsicht vor Zertifizierungs-Theater: Eine Zertifizierung garantiert noch keine praktische Sicherheit. Lassen Sie sich Implementierungsdetails erklären.

Compliance-konforme Anbieter identifizieren

Nicht alle KI-Anbieter sind gleich gut für den deutschen Mittelstand geeignet. Hier eine Bewertung der wichtigsten Player:

Microsoft Copilot for Business: Gute DSGVO-Compliance, EU-Rechenzentren verfügbar, aber hohe Lizenzkosten. Ideal für Office-365-Umgebungen.

Google Workspace AI: Starke technische Capabilities, aber Datenschutz-Historie problematisch. Nur mit speziellen Verträgen empfehlenswert.

OpenAI Enterprise: Marktführer bei Funktionalität, aber US-basiert. Erfordert sorgfältige rechtliche Prüfung.

Deutsche/EU-Anbieter: Aleph Alpha (Deutschland) oder Mistral (Frankreich) bieten bessere Datenschutz-Compliance, aber eingeschränktere Funktionen.

Ein pragmatischer Ansatz: Starten Sie mit EU-basierten Anbietern für sensible Anwendungen und nutzen Sie internationale Player nur für unkritische Use Cases.

Wichtig dabei: Dokumentieren Sie Ihre Entscheidungskriterien. Bei Datenschutz-Audits müssen Sie nachweisen können, warum Sie sich für bestimmte Anbieter entschieden haben.

Praktische Schutzmaßnahmen für den Unternehmensalltag

Datenklassifizierung und Zugriffskontrolle

Bevor Sie überhaupt KI-Tools einsetzen, müssen Sie wissen: Welche Daten haben Sie eigentlich? Eine systematische Datenklassifizierung ist der Grundstein jeder KI-Governance.

Etablieren Sie ein einfaches Vier-Stufen-System:

Öffentlich: Pressemitteilungen, Website-Inhalte – können bedenkenlos in KI-Tools verwendet werden
Intern: Organigramme, interne Prozesse – nur mit genehmigten Tools und Einschränkungen
Vertraulich: Kundendaten, Verträge – nur lokale oder speziell geprüfte KI-Systeme
Streng vertraulich: Entwicklungsdaten, Geschäftsgeheimnisse – komplettes KI-Verbot oder nur air-gapped Systeme

Implementieren Sie technische Kontrollen: Data Loss Prevention (DLP) Tools können automatisch erkennen, wenn Mitarbeiter sensible Daten in webbasierte KI-Tools eingeben wollen.

Ein praktisches Beispiel: Konfigurieren Sie Ihren Browser oder Ihr Netzwerk so, dass bestimmte Dateitypen oder Inhalte mit Klassifizierungsmarkierungen nicht an externe KI-Dienste übertragen werden können.

Die Umsetzung muss aber alltagstauglich bleiben. Zu restriktive Maßnahmen führen nur dazu, dass Mitarbeiter Umgehungswege suchen.

Mitarbeiter-Schulungen und Awareness

Ihre beste Firewall sitzt zwischen den Ohren Ihrer Mitarbeiter. Ohne proper Awareness-Schulungen bleibt selbst die beste Technik wirkungslos.

Entwickeln Sie praxisnahe Schulungsmodule:

Basis-Schulung für alle Mitarbeiter: Was sind KI-Tools, welche Risiken bestehen, welche Tools sind freigegeben? Duration: 2 Stunden, quartalsweise Auffrischung.

Vertiefungsschulung für Führungskräfte: Rechtliche Grundlagen, Incident Response, Vendor Management. Duration: halber Tag, jährlich.

Technische Schulung für IT-Teams: Konfiguration, Monitoring, forensische Analyse. Duration: zwei Tage, bei Bedarf.

Aber Vorsicht vor Death-by-PowerPoint: Nutzen Sie interaktive Formate. Simulieren Sie realistische Szenarien, in denen Mitarbeiter entscheiden müssen, ob bestimmte KI-Nutzungen zulässig sind.

Ein bewährtes Format: KI-Sprechstunden, in denen Mitarbeiter konkrete Anwendungsfälle diskutieren können. So identifizieren Sie gleichzeitig neue Risiken und Chancen.

Messen Sie den Erfolg Ihrer Schulungen. Phishing-Simulationen für KI-Tools können zeigen, ob Ihre Mitarbeiter tatsächlich sensibilisiert sind.

Monitoring und Incident Response

Was Sie nicht messen können, können Sie nicht steuern. Implementieren Sie daher systematisches KI-Monitoring in Ihrer IT-Landschaft.

Diese Metriken sollten Sie mindestens erfassen:

Tool-Nutzung: Welche KI-Dienste werden von wem genutzt?
Datenvolumen: Wie viele Daten fließen zu externen KI-Anbietern?
Anomalien: Ungewöhnliche Upload-Spitzen oder Zugriffsmuster
Compliance-Verstöße: Nutzung nicht-genehmigter Tools oder Übertragung klassifizierter Daten

Nutzen Sie SIEM-Systeme (Security Information and Event Management), um KI-bezogene Ereignisse zu korrelieren. Viele traditionelle Sicherheitstools können mit entsprechenden Regeln auch KI-Nutzung überwachen.

Entwickeln Sie einen KI-spezifischen Incident Response Plan. Was tun Sie, wenn ein Mitarbeiter versehentlich Geschäftsgeheimnisse in ChatGPT eingibt?

Der Ablauf könnte so aussehen: Sofortige Sperrung des betroffenen Accounts, Kontakt zum KI-Anbieter mit Löschungsanforderung, interne Schadensbewertung, ggf. Meldung an Aufsichtsbehörden.

Wichtig: Testen Sie Ihren Plan regelmäßig durch Tabletop-Übungen. Theorie und Praxis klaffen oft erheblich auseinander.

Branchenspezifische Besonderheiten und Best Practices

Jede Branche hat spezifische Datenschutz-Anforderungen bei der KI-Nutzung. Hier die wichtigsten Besonderheiten für typische Mittelstandsbranchen:

Maschinenbau und Produktion: Konstruktionsdaten und Fertigungsparameter sind oft das wertvollste Kapital. Nutzen Sie KI primär für öffentliche Dokumentation und Kundenkommunikation. Für Konstruktions-KI investieren Sie in lokale Lösungen wie Fusion 360 AI oder SolidWorks AI mit on-premise Deployment.

SaaS und Software-Entwicklung: Quellcode und Algorithmen dürfen niemals externe KI-Systeme erreichen. GitHub Copilot Enterprise mit deaktiviertem Training ist akzeptabel, aber prüfen Sie regelmäßig die Einstellungen. Für Code-Reviews nutzen Sie lokale Large Language Models wie CodeLlama.

Beratung und Dienstleistungen: Kundenprojekte und Strategien sind hochsensibel. Etablieren Sie strikte Mandantentrennung: Jeder Kunde erhält separate KI-Instanzen oder Workspaces. Nutzen Sie KI hauptsächlich für interne Prozesse und anonymisierte Analysen.

Handel und E-Commerce: Kundendaten und Pricing-Strategien sind kritisch. Nutzen Sie KI für Produktbeschreibungen und Marketing, aber niemals für Kundensegmentierung mit personenbezogenen Daten in externen Tools.

Ein Erfolgsbeispiel: Ein Maschinenbauer mit 150 Mitarbeitern nutzt lokale KI für Konstruktionsoptimierung und Cloud-KI nur für Übersetzungen seiner Bedienungsanleitungen. Resultat: 30 Prozent Zeitersparnis bei null Compliance-Risiko.

Dokumentieren Sie branchenspezifische Entscheidungen ausführlich. Aufsichtsbehörden erwarten nachvollziehbare Risikoabwägungen, die Ihre Branchenbesonderheiten berücksichtigen.

Zukunftssichere KI-Governance aufbauen

KI-Technologie entwickelt sich rasant. Ihre Governance-Strukturen müssen mit dieser Geschwindigkeit mithalten können.

Etablieren Sie ein KI-Governance-Board mit Vertretern aus IT, Recht, Datenschutz und Fachbereichen. Dieses Gremium sollte quartalsweise tagen und folgende Aufgaben übernehmen:

Bewertung neuer KI-Tools und -Anbieter
Updates der KI-Richtlinien bei Rechtsänderungen
Analyse von KI-Incidents und Lessons Learned
Freigabe kritischer KI-Anwendungen

Implementieren Sie ein KI-Register: Dokumentieren Sie alle genutzten KI-Tools, deren Zweck, verarbeitete Datentypen und Rechtsgrundlagen. So behalten Sie auch bei wachsender KI-Landschaft den Überblick.

Planen Sie mit Weitsicht: Der kommende EU AI Act wird strenge Anforderungen an Hochrisiko-KI-Systeme bringen. Hochrisiko-KI-Systeme unterliegen dann Conformity-Assessment-Verfahren. Bereiten Sie sich bereits heute darauf vor.

Ein pragmatischer Ansatz: Starten Sie mit einem einfachen Excel-basierten KI-Inventory und bauen Sie die Governance schrittweise aus. Perfektion ist der Feind des Guten – wichtiger ist, überhaupt anzufangen.

Investieren Sie in kontinuierliche Weiterbildung. KI-Recht ändert sich schnell, und was heute compliant ist, kann morgen problematisch sein.

Häufig gestellte Fragen

Dürfen wir ChatGPT für interne Dokumente verwenden?

Das kommt auf die Art der Dokumente an. Für öffentliche oder interne Dokumente ohne personenbezogene Daten können Sie ChatGPT unter bestimmten Bedingungen nutzen. Aktivieren Sie die Option Chat-Verlauf und Training deaktivieren in den Einstellungen. Für vertrauliche Geschäftsdokumente sollten Sie auf lokale KI-Lösungen oder Enterprise-Versionen mit speziellen Datenschutz-Garantien ausweichen.

Welche KI-Tools sind DSGVO-konform?

DSGVO-Konformität hängt weniger vom Tool als von der Konfiguration und Vertragsgestaltung ab. Microsoft Copilot for Business, Google Workspace AI mit EU-Hosting und europäische Anbieter wie Aleph Alpha bieten gute Voraussetzungen. Entscheidend sind angemessene Auftragsverarbeitungsverträge, EU-Datenhosting und Garantien gegen Training mit Ihren Daten.

Was passiert, wenn Mitarbeiter versehentlich Geschäftsgeheimnisse eingeben?

Handeln Sie schnell: Dokumentieren Sie den Vorfall, kontaktieren Sie umgehend den KI-Anbieter mit einer Löschungsanforderung und bewerten Sie den potenziellen Schaden. Die meisten seriösen Anbieter haben Verfahren für solche Fälle. Wichtig ist ein vorab definierter Incident Response Plan und regelmäßige Mitarbeiterschulungen zur Prävention.

Sind lokale KI-Lösungen immer sicherer?

Nicht automatisch. Lokale KI-Systeme bieten bessere Datenkontrolle, aber Sie sind selbst für Sicherheit, Updates und Compliance verantwortlich. Ohne entsprechende IT-Expertise können lokale Systeme sogar unsicherer sein als professionell verwaltete Cloud-Dienste. Die optimale Lösung ist oft ein hybrider Ansatz: lokale KI für sensible Daten, Cloud-KI für unkritische Anwendungen.

Wie oft sollten wir unsere KI-Governance überprüfen?

Überprüfen Sie Ihre KI-Governance mindestens quartalsweise. Die KI-Landschaft ändert sich schnell – neue Tools, Gesetze und Sicherheitsbedrohungen erfordern regelmäßige Anpassungen. Zusätzlich sollten Sie nach jedem größeren Incident, bei neuen Gesetzen oder beim Einsatz neuer KI-Tools eine außerordentliche Überprüfung durchführen.

Benötigen wir eine Datenschutz-Folgenabschätzung für KI-Tools?

Eine DSFA ist bei KI-Tools oft erforderlich, besonders wenn Sie personenbezogene Daten in großem Umfang verarbeiten oder automatisierte Entscheidungen treffen. Prüfen Sie Art. 35 DSGVO: Bei hohem Risiko für Betroffene ist eine DSFA verpflichtend. Im Zweifel sollten Sie eine DSFA durchführen – sie hilft auch dabei, Risiken systematisch zu identifizieren und zu minimieren.

Welche Kosten entstehen für datenschutzkonforme KI-Implementierung?

Die Kosten variieren stark je nach Unternehmensgröße und Sicherheitsanforderungen. Rechnen Sie mit 5.000-15.000 Euro für initiale Rechtsprüfung und Richtlinien-Entwicklung, 2.000-5.000 Euro pro Jahr für Enterprise-KI-Lizenzen und 10.000-30.000 Euro für technische Sicherheitsmaßnahmen. Lokale KI-Systeme erfordern zusätzlich Hardware-Investitionen ab 20.000 Euro. ROI entsteht durch vermiedene Bußgelder und Produktivitätssteigerungen.