KI nutzen, ohne Kundendaten preiszugeben. Was dafür nötig ist.

Dieser Text beschreibt einen technischen Weg und die Rechtslage, auf der er steht. Er ist keine Rechtsberatung. Ob die Ausgestaltung für Ihren Betrieb trägt, entscheidet Ihre Datenschutzbeauftragte oder Ihr Anwalt. Die technische Seite ist in jedem Fall dieselbe, und sie ist der Teil, den man baut.

Der übliche Ablauf, und warum er das Problem ist

In der Praxis sieht es meistens so aus: Jemand im Büro hat eine Aufgabe, die sich mit einem Sprachmodell abkürzen lässt — eine Reklamation zusammenfassen, ein Angebot formulieren, einen Serviceauftrag sortieren. Der Text wird markiert, kopiert, in ein Chatfenster eingefügt. Darin steht der Name des Kunden, seine Anschrift, seine Kundennummer, manchmal seine Telefonnummer und gelegentlich etwas, das nach Artikel 9 DSGVO in die empfindlichste Kategorie fällt — eine Erkrankung, eine Diagnose, ein Grund für eine Krankschreibung.

Das passiert nicht, weil jemand nachlässig wäre. Es passiert, weil das Werkzeug gut ist und die Alternative Mehrarbeit bedeutet. Ein Verbot ändert daran wenig; es verlagert den Vorgang nur auf das private Handy, wo niemand mehr hinsieht. Die brauchbare Antwort ist deshalb nicht, den Weg zu sperren, sondern ihn so zu bauen, dass unterwegs nichts liegenbleibt, was nicht hinaus soll.

Was der EuGH im September 2025 entschieden hat

Am 4. September 2025 hat der Europäische Gerichtshof in der Sache C-413/23 P (EDSB gegen SRB) einen Punkt geklärt, der für genau diese Frage entscheidend ist: Pseudonymisierte Daten sind nicht unter allen Umständen personenbezogene Daten. Maßgeblich ist, ob der Empfänger die Mittel hat, die Person wieder zu erkennen. Hat er sie nicht, sind die Daten für ihn anonym, und die Verordnung greift bei ihm nicht.

Daraus folgt eine Bauanweisung, keine Meinung. Wenn der Schlüssel — die Tabelle, die „Person 1“ wieder zu einem Namen macht — das Haus nie verlässt, dann bekommt der Anbieter in den USA einen Text, mit dem er niemanden identifizieren kann. Der Aufwand liegt darin, diese Trennung technisch tatsächlich sauber hinzubekommen, und nicht darin, sie zu behaupten.

Die zweite Entscheidung aus derselben Woche zeigt, warum sich das lohnt. Am 3. September 2025 hat das Gericht der Europäischen Union in der Sache Latombe das EU-US Data Privacy Framework bestätigt — den Beschluss also, auf dem die meisten Übermittlungen in die USA derzeit ruhen. Das Verfahren ist damit nicht zu Ende: Die Rechtsmittelsache liegt beim EuGH (C-703/25 P). Wer seine Abläufe auf diesen Beschluss baut, baut auf etwas, das in einigen Jahren anders aussehen kann — das war bei Safe Harbor so und bei Privacy Shield ebenfalls.

Wer dagegen gar keine personenbezogenen Daten überträgt, ist von dieser Frage unabhängig. Fällt der Angemessenheitsbeschluss, ändert sich an einem Ablauf, der nur bereinigten Text nach draußen gibt, nichts. Das ist kein Nebeneffekt, das ist der eigentliche Grund, es so zu bauen.

Wie eine Datenschleuse arbeitet

Der Ablauf hat vier Schritte und keine Zauberei darin.

Erstens das Regelwerk. Mailadressen, Telefonnummern, IBAN, Kfz-Kennzeichen, Postleitzahl mit Ort, Geburts- und Vertragsdaten, Aktenzeichen, Straßenangaben — das alles hat eine Form, die sich beschreiben lässt. Ein Mustervergleich findet es zuverlässig, kostet praktisch keine Rechenzeit und hat keinen schlechten Tag. Dieser Teil braucht kein Modell.

Zweitens das lokale Modell. Was keine Form hat, findet nur Sprachverständnis: Namen, Firmen, und vor allem Umschreibungen. „Der Geschäftsführer unseres einzigen Kunden in Bad Nenndorf“ enthält kein einziges Kennzeichen und benennt trotzdem eine bestimmte Person. Dieses Modell läuft auf einem Gerät in Ihrem Haus. Es sieht die Rohdaten, und es ist das einzige, was sie sieht.

Drittens die Bestätigung. Bevor etwas hinausgeht, zeigt die Anzeige, was ersetzt wurde, und lässt sich abbrechen. Der Mensch am Ende der Kette ist billiger und zuverlässiger als jedes größere Modell.

Viertens der Rückweg. Die Antwort kommt bereinigt zurück und wird lokal wieder mit den echten Werten gefüllt. Die Zuordnungstabelle liegt dabei im Arbeitsspeicher, nicht im Netz und nicht im Protokoll. Ein Protokoll darf festhalten, dass ersetzt wurde, nie was — sonst steht das Geheimnis am Ende in der Logdatei.

Die Grenze, offen gesagt

Das Verfahren trägt nur, solange die Bereinigung vollständig ist. Eine übersehene Stelle ist keine Schönheitsfrage. Sie ist eine Übermittlung personenbezogener Daten in ein Drittland ohne Grundlage, und damit im Zweifel ein meldepflichtiger Vorfall nach Artikel 33 DSGVO.

Die Trefferquote ist deshalb die einzige Zahl, nach der so ein System zu beurteilen ist — vor Geschwindigkeit, vor Modellgröße, vor Preis. Und sie ist eine Zahl, die man misst und nicht schätzt.

Was eine Messung zeigt

Wir haben dafür einen Prüfsatz gebaut: erfundene, aber realistische deutsche Texte aus dem Betriebsalltag — Bewerbungen, Reklamationen, Serviceaufträge, Angebote, interne Notizen — mit von Hand markierten Fundstellen. Ein knappes Drittel davon enthält absichtlich keine direkten Kennzeichen, sondern identifiziert Personen allein über den Zusammenhang. Genau dort war zu erwarten, dass es schwierig wird.

Der erste Durchlauf umfasste 20 Texte mit 58 markierten Stellen. Drei Befunde daraus sind übertragbar, unabhängig davon, welches Modell später zum Einsatz kommt.

Die Umschreibungen waren nicht das Problem. Sie wurden gefunden — auch „der Auszubildende im zweiten Lehrjahr, der letzte Woche den Unfall hatte“. Übersehen wurde fast ausschließlich Mechanisches: eine Mailadresse, eine Straße, eine Kundennummer. Also genau das, was der Mustervergleich davor ohnehin erledigt. Die beiden Verfahren ergänzen sich also nicht zufällig, sondern in ihren jeweiligen Schwächen.

Denselben Durchlauf zu wiederholen, bringt nichts. Zweimal dieselbe Frage an dasselbe Modell führt zu exakt denselben Fehlern. Die Fehler eines Modells sind systematisch, nicht zufällig; Wiederholung derselben Art kauft keine Sicherheit. Ein zweiter Durchlauf mit einer anderen Frage — gezielt nach Kennungen, Zugangscodes, Gesundheitsangaben und Rollenbezeichnungen — halbiert die Zahl der übersehenen Stellen dagegen deutlich.

Vorher maskieren verschlechtert das Ergebnis. Lässt man ein zweites Modell über den bereits geschwärzten Text schauen, findet es weniger als vorher. Der Zusammenhang, den es zum Erkennen braucht, ist dann bereits weg. Wer nach Personenbezug im Kontext sucht, darf den Kontext nicht vorher entfernen.

Eine Sache blieb hartnäckig liegen: die Angabe, dass jemand Diabetiker ist. Also ausgerechnet Artikel 9, die empfindlichste Kategorie. Dafür braucht es eine gepflegte Wortliste und kein größeres Modell — und es ist ein gutes Beispiel dafür, warum die Bestätigung vor dem Absenden nicht wegoptimiert wird.

Das ist ein Pilot und kein Prüfsiegel. Die belastbare Aussage daraus ist nicht „das funktioniert“, sondern: Die schwierige Hälfte ist die mechanische, sie ist ohne KI lösbar, und der Rest lässt sich messen statt versprechen.

Was eine Schleuse nicht ersetzt

Zwei Dinge bleiben, auch wenn technisch alles sitzt. Die unbereinigten Daten werden weiterhin verarbeitet, nämlich lokal — ist ein Dienstleister daran beteiligt, braucht es einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Und die Datenschutzerklärung muss weiterhin sagen, wohin Daten gehen; der EuGH betont ausdrücklich, dass darüber schon bei der Erhebung zu informieren ist. Eine Schleuse verkleinert den Kreis dessen, was übermittelt wird. Sie macht die Übermittlung nicht unsichtbar.

Wie das für einen Betrieb aussieht

Der Reiz dieser Bauweise ist wirtschaftlich. Ein Modell, das Kennzeichen und Umschreibungen erkennt, muss nicht das große Modell sein, das die eigentliche Arbeit macht — es muss nur gut lesen können. Das läuft auf einem einzelnen Gerät im Serverschrank, und die teure Rechenleistung bleibt dort, wo sie ohnehin steht: beim Anbieter, der sie stundenweise abrechnet.

Was ein bestimmter Betrieb dafür braucht, hängt an der Menge und der Art der Texte. Wir messen das gerade aus, und bevor das feststeht, nennen wir dafür keinen Preis, den wir hinterher korrigieren müssten. Wenn Sie wissen wollen, ob Ihr Fall dazu passt: Schreiben Sie in zwei Sätzen, welche Art von Texten bei Ihnen täglich anfällt, über das Kontaktformular. Sie bekommen eine Einschätzung zurück — auch dann, wenn die ehrliche Antwort lautet, dass es sich für Ihren Fall nicht lohnt.

Wenn die Frage grundsätzlicher ist, welche Aufgaben bei Ihnen überhaupt für KI taugen, steht das in KI im Betrieb einführen. Was dabei auf eigener Hardware läuft und was nicht, steht auf der Seite KI-Unterstützung.