DSGVO und KI: welche personenbezogenen Daten in Ihren Prompts abfließen
Letzte Aktualisierung : 2026-11-04
Sobald ein an eine KI gesendeter Text personenbezogene Daten enthält, gilt die DSGVO, und die Organisation, die über das Senden des Textes entscheidet und dessen Zweck festlegt, bleibt in der Regel Verantwortliche; dieser Leitfaden listet die zu prüfenden Punkte auf und zeigt, wo ndaact.ai hilft.
Was in einem Prompt tatsächlich abfließt
Ein Prompt (der Text, den Sie in einen Assistenten einfügen oder tippen) enthält oft mehr als die Frage. Ein zusammenzufassender Brief, eine zu analysierende Akte oder eine umzuformulierende E-Mail übermitteln dem Anbieter des Modells Namen, Kontaktdaten und Kennungen der genannten Personen. Ein Name in einem Text ist ein personenbezogenes Datum; ihn an einen Anbieter zu senden, ist eine Verarbeitung.
Zu prüfende Punkte
Die Tabelle nennt die DSGVO-Artikel, die bei der Nutzung eines KI-Assistenten am häufigsten relevant sind. Jede Zeile zeigt, wobei ndaact.ai helfen kann und was bei Ihnen bleibt.
| Zu prüfender Punkt | Was die DSGVO sagt | Was bei Ihnen bleibt | Wobei ndaact.ai helfen kann |
|---|---|---|---|
| Datenminimierung | Daten müssen auf das notwendige Maß beschränkt sein (Art. 5 Abs. 1 Buchst. c) | Entscheiden, welche Daten für den Zweck notwendig sind | Erkannte Entitäten vor dem Senden durch Platzhalter ersetzen |
| Datenschutz durch Technikgestaltung | Geeignete technische Maßnahmen von Anfang an vorsehen (Art. 25) | Die Maßnahmen auswählen und dokumentieren | Eine lokale technische Maßnahme auf Ihrem PC bereitstellen |
| Anbieter der KI | Ein Vertrag regelt den Auftragsverarbeiter (Art. 28) | Vertrag und Kontoeinstellungen prüfen | Nichts: Das hängt von Ihrem Anbieter ab |
| Übermittlungen außerhalb der EU | Übermittlungen in ein Drittland sind geregelt (Art. 44 bis 46) | Prüfen, wo der Anbieter die Daten verarbeitet | Die abfließenden identifizierenden Daten verringern, ohne die Übermittlung zu beseitigen |
| Sicherheit | Geeignete technische und organisatorische Maßnahmen (Art. 32) | Das Risikoniveau Ihrer Tätigkeit bewerten | Lokale Pseudonymisierung mit verschlüsselter Zuordnungstabelle auf Ihrem PC |
| Verzeichnis | Ein Verzeichnis von Verarbeitungstätigkeiten führen (Art. 30). Organisationen mit weniger als 250 Beschäftigten sind ausgenommen, es sei denn, die Verarbeitung birgt voraussichtlich ein Risiko, erfolgt nicht nur gelegentlich oder betrifft sensible Daten (Art. 30 Abs. 5) | Das Verzeichnis erstellen und pflegen | Eine Mustervorlage liefern: siehe den Leitfaden zum Verzeichnis |
| Folgenabschätzung | Erforderlich, vor der Verarbeitung, wenn sie voraussichtlich ein hohes Risiko birgt (Art. 35) | Entscheiden, ob sie nötig ist, und sie durchführen | Nichts: Die Entscheidung liegt bei Ihnen |
Vor dem Senden pseudonymisieren: was sich ändert
Die DSGVO definiert die Pseudonymisierung in Artikel 4 Nummer 5: eine Verarbeitung, bei der die Daten ohne zusätzliche, getrennt aufbewahrte Informationen keiner bestimmten Person mehr zugeordnet werden können. ndaact.ai wendet diesen Gedanken vor dem Senden an: Erkannte Entitäten werden durch Platzhalter ersetzt, und die Zuordnung bleibt auf Ihrem PC. Der Anbieter des Modells erhält den Text mit Platzhaltern anstelle der erkannten Entitäten.
Zum Unterschied zur Anonymisierung und zum Stand der europäischen Rechtsprechung siehe den Leitfaden zu den Definitionen und den Leitfaden zum Urteil C-413/23 P. Pseudonymisierte Daten bleiben grundsätzlich personenbezogene Daten: Die DSGVO gilt weiter.
Grenzen, die Sie kennen sollten
- Nur erkannte Entitäten werden ersetzt. Eine nicht erkannte Entität geht im Klartext hinaus: Lesen Sie den Text vor dem Senden gegen, wenn viel auf dem Spiel steht.
- ndaact.ai bewertet weder Ihre Rechtsgrundlage noch Ihren Vertrag mit dem Anbieter noch die Notwendigkeit einer Folgenabschätzung.
- Ein Text kann eine Person identifizieren, ohne sie zu nennen (seltene Situation, besonderer Kontext). Kein Erkennungswerkzeug deckt diesen Fall zuverlässig ab.
- Die Konformität einer Nutzung hängt vom Ganzen ab: Zweck, Rechtsgrundlage, Vertrag, Information der Betroffenen, Sicherheit. Die technische Maßnahme ist nur ein Teil.
Bevor Sie beginnen
- Schreiben Sie den Zweck Ihrer KI-Nutzung in einem Satz auf.
- Gehen Sie die Tabelle durch und notieren Sie zu jeder Zeile, wer bei Ihnen entscheidet.
- Tragen Sie die Nutzung in Ihr Verzeichnis ein, mit der Vorlage aus dem entsprechenden Leitfaden.
- Lassen Sie Ihren Datenschutzbeauftragten oder eine Beratung gegenlesen, insbesondere Übermittlungen und Folgenabschätzung.