Die KI-Anbieter sitzen in den USA. Das sagen wir vorher.
Wer externe KI nutzt, überträgt Inhalte in ein Drittland. Wir liefern die Checkliste dazu, die Anbieterwahl je Anwendungsfall und den Schalter zum Abschalten. Beschönigen tun wir es nicht.
Aus dem laufenden System, nicht nachgebaut.
Auf einen Blick
- Anbieter
- Anthropic, OpenAI, Google. Je Anwendungsfall wählbar
- Übertragen wird
- nur der Inhalt des jeweiligen Aufrufs
- Protokolliert wird
- Anbieter, Modell, Verbrauch und Kosten. Nicht der Prompt
- Eigener Schlüssel
- möglich. Dann rechnest du direkt mit deinem Anbieter ab
- Abschaltbar
- global oder je Marke. Das System läuft vollständig ohne KI
- Offen
- automatische Maskierung vor dem Versand fehlt noch
Was bei einem KI-Aufruf passiert
Vier Schritte, alle nachvollziehbar. Wenn dir einer davon nicht passt, schaltest du die KI ab.
- 01
Rechte prüfen
Die KI ist ein Akteur mit Rolle. Was dein Konto nicht darf, darf sie auch nicht, inklusive Marken-Abgrenzung. Diese Prüfung passiert vor dem Aufruf, nicht danach.
- 02
Kontext zusammenstellen
Es geht nur der Inhalt des Anwendungsfalls raus, nicht die Datenbank. Was zusammengestellt wurde, siehst du je Aufruf.
- 03
Über das Gateway senden
Alle Aufrufe laufen durch ein Gateway mit deiner Anbieterwahl, einem Kostenprotokoll und einem Budget-Deckel. Kein Modul spricht auf eigene Faust mit einem Anbieter.
- 04
Ergebnis protokollieren
Die ausgelöste Aktion steht mit Akteur-Typ KI, Zeitstempel, Vorher und Nachher im Prüfprotokoll. Eine KI-Aktion ist nicht unsichtbarer als ein Klick.
Ehrlich bleiben
Was hier offen ist
Die Punkte, die ein Datenschutzbeauftragter zu Recht anspricht.
Externe KI heißt Übermittlung in ein Drittland
KI-Anbieter sitzen heute in den USA. Wer externe KI nutzt, überträgt Inhalte in ein Drittland. Wir liefern die Checkliste dazu, beschönigen es aber nicht.
Automatische Maskierung vor dem Versand fehlt
Eine automatische Maskierung personenbezogener Daten vor dem Versand an den KI-Anbieter gibt es noch nicht.
Häufige Fragen zu KI und Datenschutz
Gehen meine Daten in die USA?
Wenn du die KI mit Anthropic, OpenAI oder Google nutzt: ja, die Inhalte des jeweiligen Aufrufs. Das ist eine Übermittlung in ein Drittland und braucht eine Rechtsgrundlage in deinem Verarbeitungsverzeichnis. Wenn du das nicht willst, schaltest du die KI ab, und das System funktioniert vollständig weiter.
Auf welcher Grundlage gehen die Daten in die USA?
Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, für diese Aufrufe greift der Angemessenheitsbeschluss der EU-Kommission. Anthropic und OpenAI arbeiten in ihren Auftragsverarbeitungsverträgen mit EU-Standardvertragsklauseln (Stand: August 2026). Zum Nachlesen: Anthropic DPA, OpenAI DPA, Google zum Data Privacy Framework. Der Status kann sich ändern, dein Datenschutzbeauftragter prüft ihn vor dem Go-live am besten selbst nach.
Welche Daten genau werden übertragen?
Nur die Inhalte des Anwendungsfalls, also zum Beispiel der Ticket-Text bei der Vorsortierung oder der Vertragstext bei der Zusammenfassung. Nicht deine Datenbank, nicht dein Kundenstamm, nicht dein Verlauf. Je Aufruf siehst du im System, was gesendet wurde.
Speichert ihr die Prompts?
Nein. Protokolliert werden Anbieter, Modell, Verbrauch und Kosten, nicht der Inhalt. Was die Anbieter selbst speichern, richtet sich nach deren Bedingungen, und die verlinken wir in der Checkliste.
Sind die KI-Anbieter eure Unterauftragsverarbeiter?
Ja, im Standardfall. Nutzt du die KI über unsere Schlüssel, verarbeiten Anthropic, OpenAI oder Google die Inhalte in unserem Auftrag und stehen im Verzeichnis der Unterauftragsverarbeiter. Hinterlegst du deinen eigenen API-Schlüssel, entsteht für diese Aufrufe deine direkte Vertragsbeziehung mit dem Anbieter, und du schließt dessen Auftragsverarbeitungsvertrag selbst ab.
Mehr dazu lesenTrainieren die Anbieter mit meinen Daten?
Für die API sagen alle drei Anbieter zu, Inhalte nicht zum Training ihrer Modelle zu verwenden: Anthropic in den Commercial Terms, OpenAI in den Enterprise-Privacy-Zusagen, Google in den Gemini-API-Bedingungen für den bezahlten Dienst. Das sind Zusagen der Anbieter, keine eigene Prüfung durch uns. Zu Speicherfristen der Anbieter machen wir hier keine Angabe, die stehen in deren Bedingungen.
Gibt es ein europäisches Modell?
Heute können wir keins mit belastbarer Datenresidenz anbieten. Sobald es eins gibt, das die Qualität hält, hängen wir es ins Gateway. Bis dahin ist der ehrliche Weg: eigener Schlüssel, bewusste Auswahl oder KI aus.
Was ist mit Schatten-KI in meinem Team?
Die ist das eigentliche Risiko, nicht die eingebaute KI. Wer Ticket-Texte in ein privates Chatfenster kopiert, erzeugt eine Übermittlung, die niemand sieht und niemand protokolliert. Eine KI im System mit Rechten und Protokoll ist die Antwort darauf, nicht das Problem.
KI und MCP im DetailNimm die Checkliste mit ins Gespräch
Wir schicken dir die Auftragsverarbeitungs-Checkliste je KI-Anbieter, damit dein Datenschutzbeauftragter entscheiden kann statt zu raten.