KI verändert den Datenschutz, weil das Risiko nicht mehr am Speicherort entsteht, sondern im Moment der Nutzung. Eine befugte Person öffnet ein Dokument und kopiert den Inhalt in ein KI-Werkzeug. Keine der bestehenden Schutzmaßnahmen erfasst das. Die Grenze muss deshalb vor dem Modell liegen, auf dem Gerät, auf dem das Dokument gespeichert ist.
Dreißig Jahre Schutz am Speicherort
Seit der Datenschutzrichtlinie von 1995, die 2018 von der DSGVO abgelöst wurde, geht Datenschutz vom Speicherort aus. Um Datenbank, Fachverfahren und Dateiserver zieht man Grenzen: Rollen, Zugriffsrechte, Verschlüsselung, Protokolle. Auch die Maßnahmen nach Art. 32 DSGVO, das Verarbeitungsverzeichnis und die Löschfristen beschreiben Systeme und die Verbindungen zwischen ihnen.
Dieses Modell funktioniert weiterhin. Es klärt, wer auf welche Daten zugreifen darf. Die Sachbearbeiterin in der Personalabteilung darf die Gehaltsabrechnung mit Steuer-Identifikationsnummer, Sozialversicherungsnummer und IBAN öffnen, der Werkstudent im Vertrieb darf es nicht.
Was die bestehenden Schutzmaßnahmen nicht erfassen
Seit Ende 2022 arbeiten Büros mit KI-Werkzeugen. Seitdem entsteht das Risiko im Moment der Nutzung, bei der Person, die das Dokument befugt geöffnet hat. Die Sachbearbeiterin soll eine Rückfrage zu einer Nachzahlung beantworten. Sie kopiert drei Absätze der Abrechnung in ein Chatfenster, weil ein Sprachmodell die Antwort in einer Minute entwirft.
Das Fachverfahren protokolliert einen berechtigten Zugriff. Verschlüsselung und Berechtigungskonzept haben funktioniert. Keine dieser Kontrollen erfasst das Kopieren und Absenden, denn die Zwischenablage steht in keinem Verarbeitungsverzeichnis. Die alte Grenze wurde also umgangen, und keine Kontrolle steht dort, wo heute Text nach draußen geht.
Was das Recht dazu sagt
Lässt ein Unternehmen personenbezogene Daten von einem Dienstleister verarbeiten, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Er ist unterschrieben, abgelegt und auf Anforderung vorzulegen. Für drei Absätze in einem privaten Chatkonto gibt es ihn nicht. Dass der Anbieter Geschäftskunden einen Vertrag anbietet, hilft nur, wenn jemand ihn für dieses Konto geschlossen hat.
Hinzu kommt die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO: Der Verantwortliche muss nachweisen, dass er die Grundsätze einhält, auch die Datenminimierung. Das BDSG ergänzt nationale Regeln. Prüfen wird das meist eine Landesdatenschutzbehörde, für die Bundesverwaltung der BfDI.
Für Rechtsanwälte, Ärzte und Steuerberater gilt daneben § 203 StGB, unabhängig von der DSGVO. Die Vorschrift bestraft den Berufsträger persönlich, wenn er ein anvertrautes Geheimnis unbefugt offenbart. Geheimnis kann schon sein, dass ein Unternehmen überhaupt beraten wird, etwa unter dem Projektnamen einer Übernahme. Ein Text ohne Namen kann es also trotzdem preisgeben.
Warum Verbote und Filter wenig ändern
Naheliegend ist, die alte Grenze zu verschärfen: KI-Dienste am Proxy sperren, Regeln zur Data-Loss-Prevention ergänzen, ein Verbot in die IT-Richtlinie schreiben. Die Sperre verlagert die Nutzung auf das private Smartphone. Das Verbot hält, bis eine Frist drängt. Die Nutzung bleibt, sie wird nur unsichtbar, und was niemand sieht, kann niemand nachweisen.
Auch ein Filter beim Anbieter arbeitet mit Text, der schon bei ihm angekommen ist. Die Übermittlung hat dann stattgefunden, und das Geheimnis hat das Haus verlassen. Außerdem kennt der Anbieter weder Ihre Mandanten noch Ihre Projektnamen.
Der Schutz muss ansetzen, bevor der Text das Modell erreicht
Wenn das Risiko im Moment der Nutzung entsteht, muss die Grenze dort ansetzen: auf dem Gerät, auf dem das Dokument liegt. Vor dem Absenden ist der Text noch ganz in Ihrer Hand. Werden personenbezogene Angaben dort erkannt und ersetzt, stellt sich die Frage nach Art. 28 DSGVO anders. Was keinen Personenbezug mehr hat, verarbeitet ein Anbieter nicht als personenbezogene Daten.
Das schützt Menschen, die nie gefragt wurden: die Mandantin mit ihrer Scheidungsfolgenvereinbarung, den Patienten mit seinem Befund, den Arbeitnehmer mit seiner Steuer-Identifikationsnummer. Die Mitarbeiter arbeiten so schnell wie bisher.
Andere Ansätze und unsere Einordnung finden Sie in unserer Marktübersicht.
Was auf dem Gerät geschieht
promptShield arbeitet mit PDF, Word, Tabellen, Präsentationen und Bildern. Zuerst greifen präzise Muster für Werte mit fester Form wie IBAN oder Steuer-Identifikationsnummer. Danach sucht ein Erkennungsmodell nach Namen, Organisationen und Anschriften. Eine Stufe mit einem Sprachmodell ist optional und ab Werk ausgeschaltet.
Die Ergebnisse werden zusammengeführt und auf alle Seiten übertragen, sodass ein Name von Seite 1 auch auf Seite 4 markiert ist. Danach werden Fehltreffer aussortiert. Für Vokabular, das kein Modell kennt, etwa einen Projektnamen, legen Sie eigene Ausdrücke an.
Standardmäßig verlässt dabei keine Anfrage das Gerät. Für die Tiefenanalyse gibt es aber eine Betriebsart, die Seitentext an einen Server schickt, den Sie selbst eintragen. Dafür müssen Sie im Tarif Pro die Sprachmodellstufe einschalten, auf einen externen Server umstellen und eine Adresse angeben. Das sind drei bewusste Schritte, ganz ausgeschlossen ist der Weg aber nicht.
Auf unserer Sicherheitsseite stand bis Oktober 2026, diesen Weg gebe es nicht. Der Satz war falsch, und wir haben ihn gestrichen.
Kodieren, Entfernen, Überprüfen
Für jeden Fund wählen Sie Entfernen oder Kodieren. Entfernen tilgt den Wert endgültig. Kodieren ersetzt ihn durch einen kurzen Code, den das Code-Register auf Ihrem Rechner dem Original zuordnet. Dekodiert wird lokal, durch eine mitgelieferte Programmkomponente.
Codes gelten pro Ordner: Derselbe Wert erhält im Ordner denselben Code, ein anderer Ordner vergibt einen anderen. Global gilt nur ein Code, den Sie von Hand festlegen. In unseren eigenen Texten stand einmal das Gegenteil, in allen sieben Sprachen.
Beim Export ersetzt promptShield den Wert auch in unsichtbaren Teilen einer PDF wie den Metadaten. Herunterladen lässt sich eine geschützte Datei erst, wenn ein Mensch die Funde im Überprüfen-Dialog bestätigt hat, denn keine automatische Erkennung erfasst jede Angabe. Der Zwischenablage-Schutz gleicht kopierten Text mit dem Code-Register ab.
Was diese Grenze nicht leistet
Gescannte Seiten sind Bilder. promptShield erfasst sie mit 300 dpi und liest sie mit Tesseract, in der Dokumentsprache und auf Englisch. Personenbezogene Angaben überdeckt es direkt im Bild und legt darunter eine durchsuchbare Textebene an.
Sprachpakete gibt es für Deutsch, Englisch, Französisch, Spanisch, Italienisch, Niederländisch, Portugiesisch und Polnisch. Mit dem falschen Paket erkennt das Programm schlecht, und es warnt nicht. Ein gescannter tschechischer Mietvertrag, für den es kein Sprachpaket gibt, verlangt deshalb besonders gründliches Überprüfen.
Die kostenlose Browser-Version vergibt Codes nach demselben Verfahren wie die Desktop-Anwendung, mit einem eigenen Schlüssel. Sie meldet beim Start anonym, dass sie geöffnet wurde. „100 % offline“ gilt deshalb nur für die Desktop-Anwendung, das Dokument bleibt aber in beiden auf dem Gerät. Ohne Lizenzabfrage und Fehlerberichte arbeitet die Desktop-Anwendung im Tarif Pro.
Fragen aus der Praxis
Warum deckt unser bestehendes Datenschutzkonzept KI-Werkzeuge nicht ab?
Seine Kontrollen setzen an Speicherorten und Zugriffsrechten an. Wer ein Dokument in ein KI-Werkzeug kopiert, hat es meist befugt geöffnet, und was danach über die Zwischenablage geschieht, sieht das Konzept nicht.
Kann der Cloud-Anbieter personenbezogene Daten nicht selbst herausfiltern?
Sein Filter arbeitet mit Text, der bereits bei ihm liegt, die Übermittlung ist also geschehen. Ihre Mandanten und internen Bezeichnungen kennt er nicht. Den Nachweis nach Art. 5 Abs. 2 DSGVO führt ohnehin Ihr eigenes Haus.
Wo sollte die Grenze für KI-Werkzeuge liegen?
Zwischen Dokument und Modell, auf dem Gerät und vor der ersten Übertragung, im Sinne der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO. Ob das für Ihren Einsatz genügt, klärt Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter.
Dieser Beitrag erläutert, woher die Pflichten stammen, und ersetzt keine Rechtsberatung im Einzelfall.