Deine Reise zum digitalen Erfolg
Ob ein KI-Einsatz vertretbar ist, hängt davon ab, welche Aufgabe die Anwendung übernimmt und welche Daten dabei verarbeitet werden. Eine KI, die öffentliche Produktinformationen zusammenfasst, ist anders zu bewerten als eine Anwendung, die Bewerbungen priorisiert oder Service-E-Mails mit Kundendaten verarbeitet.
In mittelständischen Unternehmen entsteht die Nutzung von KI häufig lokal: Eine Person lässt E-Mails zusammenfassen, eine andere erstellt Textentwürfe oder wertet Dokumente aus. Werden diese Anwendungen nicht erfasst, bleiben Datenflüsse, Zugriffe und Verantwortlichkeiten leicht ungeklärt.
Die Datenschutz-Grundverordnung (DSGVO) gilt, sobald personenbezogene Daten verarbeitet werden. Das sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören zum Beispiel Namen, E-Mail-Adressen, Kundennummern, IP-Adressen und Gesprächsnotizen. Auch Kombinationen aus Funktion, Standort, Projekt und Zeitpunkt können einen Personenbezug herstellen.
Die drei Begriffe beschreiben unterschiedliche, miteinander verbundene Prüfbereiche:
Datenschutz ist dabei der rechtliche Schwerpunkt. Informationssicherheit und Datensouveränität helfen, die Verarbeitung technisch und organisatorisch zu beherrschen.
Bevor du einen Anwendungsfall im Detail prüfst, verschaffe dir einen Überblick über die tatsächliche Nutzung. Erfasse je Anwendung:
Das Ergebnis ist ein kurzer Prüfsteckbrief. Er macht sichtbar, welche Anwendung zuerst geprüft werden sollte und welche Informationen noch fehlen. Wähle danach einen begrenzten Anwendungsfall aus, dessen Nutzen, Risiken und Kontrollmöglichkeiten sich nachvollziehbar bewerten lassen.
Die Routine verbindet Prüfpunkte aus DSGVO, Orientierungshilfen der Datenschutzkonferenz und aktuellen Hinweisen zu KI-Systemen. Sie ist keine vollständige rechtliche Checkliste. Jeder Schritt erzeugt ein Ergebnis, das im nächsten Schritt weiterverwendet wird.
Warum ist der Schritt wichtig? Erst der konkrete Zweck zeigt, ob die Anwendung nur unterstützt oder ob sie Entscheidungen, Priorisierungen oder Kommunikation beeinflusst. Ohne diese Abgrenzung lassen sich Schutzbedarf, Risiken und Verantwortlichkeiten nicht sinnvoll bewerten.
Was musst du tun? Beschreibe Aufgabe, Nutzer, Eingaben, Ausgabe und den nächsten menschlichen oder technischen Schritt. Halte fest, ob das Ergebnis ein Entwurf, eine Empfehlung oder eine Grundlage für eine Entscheidung ist. Beispiel: „Die Anwendung fasst Service-E-Mails zusammen und schlägt eine Fachabteilung vor. Eine benannte Person prüft und ändert den Vorschlag.“
Was passiert mit dem Ergebnis? Die Beschreibung wird zum Prüfsteckbrief für den ausgewählten Anwendungsfall. Sie legt fest, welcher Datenumfang, welche Rechtsgrundlage, welche Kontrollperson und welcher Anbieter im weiteren Verlauf betrachtet werden.
Warum ist der Schritt wichtig? Die Art der Daten bestimmt, welche Schutzanforderungen und Risiken bestehen. Personenbezogene Daten lösen Datenschutzanforderungen aus; besondere Kategorien wie Gesundheitsdaten oder Angaben zur Religions- und Gewerkschaftszugehörigkeit sind zusätzlich geschützt. Vertrauliche Geschäfts- oder Kundendaten können auch ohne Personenbezug ein Sicherheitsrisiko darstellen.
Was musst du tun? Erfasse Eingaben, Ausgaben, Protokolle, Metadaten und verbundene Datenquellen. Ordne sie mindestens als öffentlich, intern, vertraulich oder personenbezogen ein und prüfe, ob einzelne Angaben entfernt, geschwärzt, verkürzt oder durch Testdaten ersetzt werden können. Beziehe auch Daten ein, die der Dienst im Hintergrund erzeugt oder speichert.
Was passiert mit dem Ergebnis? Du erhältst eine Daten- und Risikobeschreibung. Sie grenzt den zulässigen Datenumfang ein und dient als Grundlage für die Rechtsgrundlagenprüfung sowie die Auswahl eines passenden Dienstes.
Warum ist der Schritt wichtig? Eine Verarbeitung personenbezogener Daten braucht einen zulässigen Zweck und eine passende Rechtsgrundlage. Betroffene müssen ihre Rechte praktisch wahrnehmen können, auch wenn Daten in Protokollen, Wissensquellen oder Modellantworten auftauchen.
Was musst du tun? Ordne dem beschriebenen Zweck eine Rechtsgrundlage zu und prüfe je nach Einsatz Informationspflichten, Auskunft, Berichtigung, Löschung und Widerspruch. Kläre, wie betroffene Personen informiert werden und wie Anfragen, Korrekturen oder Löschungen in allen relevanten Systemen bearbeitet werden. Bei Beschäftigtendaten ist zusätzlich das anwendbare nationale Arbeits- und Datenschutzrecht zu berücksichtigen.
Was passiert mit dem Ergebnis? Die Verarbeitung erhält eine dokumentierte rechtliche Bewertung und gegebenenfalls konkrete Informations- und Prozessanforderungen. Bei offenen Punkten wird der Anwendungsfall vor der Anbieterentscheidung zurückgestellt oder angepasst.
Warum ist der Schritt wichtig? Vertragsbedingungen und technische Funktionen bestimmen, wer auf Daten zugreifen kann, wofür sie genutzt werden und ob das Unternehmen die Verarbeitung kontrollieren kann. Hier treffen Datenschutz, Informationssicherheit und Datensouveränität unmittelbar aufeinander.
Was musst du tun? Fordere konkrete Angaben zu Eingaben, Ausgaben, Protokollen, Metadaten, Training, Produktverbesserung, Unterauftragnehmern, Supportzugriffen, Verarbeitung, Speicherung, Backups, Fernzugriffen, Löschfristen, Export, Rollen, Berechtigungen und Sicherheitsmaßnahmen an. Vergleiche diese Angaben mit dem gebuchten Tarif und den aktivierten Funktionen. Kläre außerdem die Rollenverteilung und ob ein AVV erforderlich ist.
Was passiert mit dem Ergebnis? Du erhältst ein Datenfluss- und Anbieterprofil. Es zeigt, ob der Dienst zum Zweck und zur Datenklasse passt, welche Vertrags- oder Konfigurationsänderungen nötig sind und ob der Einsatz wegen nicht beherrschbarer Risiken ausscheidet.
Warum ist der Schritt wichtig? Ein freigegebener Dienst schützt nicht vor Fehlbedienung oder unklaren Entscheidungen. Ohne feste Zuständigkeiten kann niemand zuverlässig freigeben, Vorfälle bearbeiten oder einen ungeeigneten Einsatz stoppen.
Was musst du tun? Benenne eine verantwortliche Stelle für Zweck und Ablauf. Lege fest, wer Technik und Sicherheit prüft, wer Datenschutz bewertet und wer Ergebnisse kontrolliert. Formuliere Regeln zu freigegebenen Anwendungen, zulässigen Daten, notwendiger Prüfung von Ergebnissen, Meldung von Fehlern und Vorfällen sowie Freigabe, Änderung und Beendigung eines Anwendungsfalls. Sorge für eine verständliche Anlaufstelle und erforderliche KI-Kompetenz.
Was passiert mit dem Ergebnis? Es entsteht eine dokumentierte Freigabeentscheidung mit Rollen, Nutzungsregeln und Eskalationsweg. Diese Vorgaben werden zur Bedingung für den Pilotbetrieb und können Beschäftigten konkret vermittelt werden.
Warum ist der Schritt wichtig? Ein Pilot mit begrenztem Zweck und kontrollierbaren Daten macht Fehler und unerwartete Folgen sichtbar, bevor sie sich im gesamten Unternehmen ausbreiten. Anbieter, Modelle, Rechtslage und Arbeitsabläufe können sich außerdem ändern.
Was musst du tun? Starte mit einem abgegrenzten Anwendungsfall und synthetischen oder anonymisierten Testdaten. Prüfe Ergebnisqualität, Fehler, Diskriminierungsrisiken, Datenschutz, Sicherheit und menschliche Kontrolle. Dokumentiere Daten, Anbieter, Einstellungen, Freigaben, Annahmen und Änderungen. Lege Prüftermine und Auslöser für eine Neubewertung oder Beendigung fest. Eine Datenschutz-Folgenabschätzung (DSFA) kann erforderlich sein, wenn voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht.
Was passiert mit dem Ergebnis? Das Unternehmen entscheidet dokumentiert über Pilot, Freigabe mit Bedingungen, Anpassung oder Beendigung. Bei wesentlichen Änderungen beginnt die Prüfung erneut; die Unterlagen bilden zugleich die Grundlage für Nachweise, Kontrollen und spätere Audits.
Die folgenden Annahmen sind problematisch, weil sie jeweils nur einen Teil der Verarbeitung betrachten:
Das verhindert einen Personenbezug nicht zuverlässig. Eine E-Mail mit Kundennummer, Maschinennummer und konkreter Störungszeit kann eine Person oder einen kleinen Kreis weiterhin erkennbar machen. Auch wenn ein Dienst den Namen nicht erhält, kann die Kombination der übrigen Angaben personenbezogen sein.
Ein Auftragsverarbeitungsvertrag (AVV) regelt nur einen bestimmten Teil der Beziehung zwischen Unternehmen und Dienstleister. Er beantwortet nicht automatisch, ob der geplante Zweck zulässig ist, ob die Daten minimiert wurden oder ob der Anbieter sie zusätzlich für eigene Zwecke verarbeitet.
Der Standort eines Servers beschreibt nicht die gesamte Verarbeitung. Ein Dienst kann etwa Supportzugriffe, Telemetrie, Backups oder Unterauftragnehmer außerhalb der EU einbinden. Dann können Daten oder Zugriffsrechte trotz EU-Speicherort weitere Länder und Beteiligte betreffen.
Ein Klick ist keine wirksame Kontrolle, wenn die Person den Vorschlag nicht inhaltlich prüfen oder realistisch ändern kann. Übernimmt ein Sachbearbeiter unter Zeitdruck die automatisch erzeugte Priorisierung von Bewerbungen regelmäßig ungeprüft, prägt die KI den Ablauf faktisch mit. Die formale menschliche Beteiligung allein sagt deshalb wenig über die tatsächliche Kontrolle aus.
Beziehe die zuständige Datenschutzfunktion früh ein, vor allem dann, wenn
Zusätzlich können Informationssicherheit, Geschäftsgeheimnisse, Urheberrecht, Mitbestimmung und die KI-Verordnung relevant sein. Die KI-Verordnung ergänzt die DSGVO und ersetzt sie nicht. Auch eine selbst betriebene Anwendung ist nicht automatisch zulässig: Sie erfordert sichere Administration, Updates und Berechtigungen.
Viele einzelne Konten und Werkzeuge erschweren den Überblick über Datenflüsse, Berechtigungen und Vertragsbedingungen. Deshalb haben wir uns bei fellowork für einen gemeinsamen organisatorischen und technischen Rahmen, das sogenannte FirmenOS, entschieden. FirmenOS ist die Bezeichnung von fellowork für eine unternehmenseigene digitale Arbeitswelt, in der relevante Daten, Wissen, Regeln und Prozesse mithilfe von KI verbunden und für den Menschen nutzbar gemacht werden. Ein solcher Rahmen bündelt Regeln, Zugriffe und Datenquellen, ersetzt jedoch nicht die Prüfung des einzelnen Anwendungsfalls.
Für Datenschutz und Datensouveränität ist dieser Ansatz hilfreich, weil Regeln nicht nur in einem Dokument stehen, sondern näher an den tatsächlichen Abläufen umgesetzt werden können. Für jeden Anwendungsfall lässt sich genauer festlegen, welche Datenquellen genutzt werden, wer darauf zugreifen darf, welche Aufgabe eine KI übernimmt und an welcher Stelle ein Mensch prüft oder entscheidet.
Das FirmenOS macht einen KI-Anwendungsfall nicht automatisch datenschutzkonform. Rechtsgrundlage, Datenminimierung, Auftragsverarbeitung, Löschung, Informationspflichten und technische Schutzmaßnahmen müssen weiterhin für den konkreten Fall geprüft werden. Der Vorteil liegt in einer besser steuerbaren Grundlage: Das Unternehmen kann Daten, Prozesse und Verantwortlichkeiten gemeinsam betrachten, statt Datenschutz nachträglich auf viele voneinander getrennte Werkzeuge aufzusetzen.
Nicht pauschal. Entscheidend sind Zweck, Rechtsgrundlage, Anbieter, Rollen, Datenfluss und Schutzmaßnahmen. Ohne freigegebene Anwendung und klare Regeln sollten Mitarbeitende keine personenbezogenen oder vertraulichen Daten in frei gewählte Dienste eingeben.
Nein. Ein AVV kommt insbesondere in Betracht, wenn ein Anbieter personenbezogene Daten im Auftrag deines Unternehmens verarbeitet. Nutzt er Daten für eigene Zwecke, kann die Rollenverteilung anders aussehen.
Nein. Die Einstellung kann relevant sein, klärt aber nicht automatisch Speicherung, Protokollierung, Supportzugriffe, Unterauftragnehmer, Löschung oder Übermittlungen.
Das hängt vom Risiko und der Organisation ab. Der Fachbereich sollte Zweck und Ablauf verantworten, die IT Technik und Sicherheit prüfen und die Datenschutzfunktion die personenbezogene Verarbeitung bewerten.
Ein pauschales Verbot schafft nicht automatisch Sicherheit. Sinnvoller ist meist, freigegebene Anwendungen, Datenregeln, Zuständigkeiten und begrenzte Anwendungsfälle festzulegen. Für einzelne besonders riskante Nutzungen kann ein Verbot angemessen sein.
Token
RAG
Aus dem KI-Glossar
Prompt
der; Nomen
Die Anweisung, die du einer KI gibst.
62 KI-Begriffe, klar erklärt.
Das Glossar für den Mittelstand, kostenlos als PDF.
Glossar herunterladenOnline nachschlagen →KI-Readiness-Check
12 Fragen zu Strategie, Daten, Prozessen und Menschen. Du siehst dein Ergebnis sofort, ganz ohne Anmeldung.
Prozesse
Daten & Technik
Dein Ergebnis
62 von 100
UMSETZUNG
Strategie & Führung
Daten & Technik
Prozesse
Menschen & Kompetenz
