Die häufigste Frage, wenn ich von meinen KI-Mitarbeitern erzähle, ist nicht „wie geht das?", sondern „darfst du das überhaupt, mit Kundendaten?". Die Frage ist berechtigt. Wer Kundendaten unbedacht in irgendein KI-Tool kippt, hat tatsächlich ein Datenschutz-Problem. Aber die Antwort ist nicht „KI geht nicht", sondern: Regeln aufstellen, wie für jeden Mitarbeiter.
Vorweg, damit das klar ist: Ich bin Entwickler, kein Anwalt. Das hier ist keine Rechtsberatung, sondern die Arbeitspraxis, mit der ich das Thema in meinem eigenen Business handhabe.
Das eigentliche Problem: der Consumer-Reflex
Das Datenschutz-Risiko entsteht meist nicht durch die KI, sondern durch die Nutzungsart: privater Gratis-Account, Kundendaten per Copy-Paste in den Chat, keine Ahnung, was der Anbieter mit den Eingaben macht. Das ist ungefähr so, als würdest du Kundenunterlagen über deinen privaten Messenger an einen Bekannten schicken, weil der „gut mit sowas ist".
Bei einem menschlichen Mitarbeiter würdest du das nie so machen. Da gibt es einen Rahmen: Vertrag, Verschwiegenheit, klare Regeln, welche Daten er für seinen Job braucht. Genau diesen Rahmen bekommen auch meine KI-Mitarbeiter.
Die drei Fragen vor jeder Eingabe
Meine Faustregel-Prüfung, bevor Daten in Richtung KI gehen:
- Braucht der Mitarbeiter diese Daten für seinen Job? Datensparsamkeit ist die halbe Miete. Für einen Angebotsentwurf braucht die KI den Anfrage-Inhalt, nicht die komplette Kundenhistorie. Für eine Call-Auswertung reicht oft das Transkript ohne Klarnamen.
- In welchem Rahmen läuft das Tool? Business-Konditionen statt privatem Gratis-Account: ein Plan, bei dem der Anbieter vertraglich zusichert, was mit den Daten passiert, und bei dem Eingaben nicht für das Training der Modelle verwendet werden. Prüf die Datennutzungs-Einstellungen deines Plans, bevor der erste Kundendatensatz fließt, nicht danach.
- Was passiert im schlimmsten Fall? Bei manchen Daten ist die Antwort „nichts Schlimmes" (öffentliche Firmendaten, anonymisierte Muster). Bei anderen (Gesundheitsdaten, Finanzdaten, alles Höchstpersönliche) ist die Antwort: Die haben in einem Cloud-Chat nichts verloren, Punkt.
Wie das bei meinen Mitarbeitern konkret aussieht
Anonymisieren, wo der Name keinen Job hat. Für die meisten Aufgaben ist der Klarname irrelevant. Mach aus „Frau Meier von der Meier GmbH" die „Kundin, Maschinenbau, 12 Mitarbeiter". Das Ergebnis wird davon nicht schlechter, das Risiko sinkt massiv.
Du bestimmst, was die KI überhaupt sieht. In der Ausbaustufe arbeiten meine Mitarbeiter mit Claude Code direkt in meinen Ordnern: Sie lesen die Dateien, die der Auftrag braucht, statt dass ich pauschal alles in einen Browser-Chat kopiere. Wichtig für die ehrliche Einordnung: Verarbeitet wird der gelesene Inhalt trotzdem beim Anbieter. Der Unterschied ist Datensparsamkeit und Kontrolle, denn in den Arbeitsregeln steht, worauf ein Mitarbeiter zugreifen darf und worauf nicht.
Die Regeln stehen in der Personalakte. Jeder meiner Mitarbeiter hat neben seinem Job auch seine Grenzen dokumentiert: keine Secrets im Klartext, keine sensiblen Daten in Entwürfe, bestimmte Ordner tabu. Das ist der Vorteil des Mitarbeiter-Ansatzes gegenüber dem Chat-Reflex: Regeln werden einmal aufgeschrieben und gelten dann immer, statt dass du bei jeder Eingabe neu hoffst, an alles gedacht zu haben. Was eine Personalakte ist: Was ist ein KI-Mitarbeiter?
Einwilligung, wo sie hingehört. Für Call-Aufnahmen und deren Auswertung gilt: vorher fragen, dokumentieren. Das ist keine KI-Besonderheit, das galt auch schon vor KI.
Wann du Profis dazuholst
Es gibt Situationen, in denen Faustregeln nicht reichen: Du verarbeitest besondere Kategorien von Daten (Gesundheit, etwa als Coach im therapienahen Bereich), du hast einen Datenschutzbeauftragten, oder ein Großkunde stellt Anforderungen an deine Auftragsverarbeitung. Dann gehört das Thema einmal sauber mit jemandem vom Fach aufgesetzt. Die gute Nachricht: Auch dann ist das Ergebnis fast nie „keine KI", sondern „KI mit klarem Rahmen".
Der Punkt, der oft untergeht
Datenschutz ist bei KI-Mitarbeitern kein Bremsklotz, sondern ein Qualitätsmerkmal der Führung. Wer seine KI wie einen Mitarbeiter behandelt, also mit dokumentierten Regeln, Datensparsamkeit und Freigabe-Schritten, arbeitet fast automatisch sauberer als der Copy-Paste-Chat nebenbei. Die Angst vor dem DSGVO-Verstoß ist kein Grund zu warten. Sie ist ein Grund, es ordentlich aufzusetzen.
Wie du dabei von Anfang an strukturiert vorgehst: KI-Mitarbeiter einstellen: der komplette Ablauf. Und welche Aufgaben du überhaupt delegierst: Welche Aufgaben du an KI abgeben kannst.
