Wo landen Ihre Daten, wenn Ihr Team KI nutzt?

Die meisten Unternehmen nutzen bereits KI-Tools – oft ohne dass jemand die Datenflüsse kennt. Diese Checkliste prüft jedes Tool in zwölf Punkten.

Für wen ist das relevant?

Mitarbeitende nutzen ChatGPT, Copilot oder Browser-Plugins – niemand hat den Überblick.

Eine KI-Einführung ist geplant und der Datenschutzbeauftragte fragt nach Datenflüssen.

Ein Kunde oder Auditor verlangt eine Aussage, wo Unternehmensdaten verarbeitet werden.

Die 12 Prüfpunkte

  1. 1
    Verarbeitungsort In welcher Region laufen Inferenz und Speicherung tatsächlich, nicht nur laut Marketing?
  2. 2
    Drittlandtransfer Verlassen Daten die EU, und auf welcher Grundlage?
  3. 3
    Auftragsverarbeitungsvertrag Existiert ein AVV mit dem Anbieter, und deckt er das genutzte Produkt ab?
  4. 4
    Trainingsausschluss Ist vertraglich und technisch ausgeschlossen, dass Eingaben zum Modelltraining verwendet werden?
  5. 5
    Aufbewahrungsdauer Wie lange speichert der Anbieter Prompts, Ausgaben und Logs?
  6. 6
    Löschkonzept Können Daten auf Anfrage nachweisbar gelöscht werden?
  7. 7
    Zugriffssteuerung Läuft der Zugang über SSO mit Gruppenfreigabe oder über private Accounts?
  8. 8
    Protokollierung Wird nachvollziehbar, wer wann welches Tool mit welchen Datenkategorien genutzt hat?
  9. 9
    Geheimnisse in Prompts Gibt es einen Schutz gegen API-Keys, Zugangsdaten und Kundendaten in Eingaben?
  10. 10
    Datenkategorien Ist festgelegt, welche Daten (personenbezogen, Geschäftsgeheimnis, öffentlich) in welches Tool dürfen?
  11. 11
    Verantwortlichkeit Gibt es eine benannte Person im Unternehmen, die KI-Tools freigibt?
  12. 12
    Exit-Strategie Kommen Sie an Ihre Daten und Konfigurationen heran, wenn Sie den Anbieter wechseln?

Im PDF finden Sie jeden Punkt als ausfüllbare Prüfung pro Tool, mit Beispielen und typischen Fallstricken. → Jetzt als PDF anfordern

Die drei Stufen der Datensouveränität

Nicht jedes Unternehmen braucht die höchste Stufe. Was passt, hängt von Ihren Datenkategorien, Compliance-Anforderungen und verfügbaren Ressourcen ab. Der Entscheidungsbaum im PDF führt Sie durch.

1

EU-Region beim Anbieter

Daten bleiben innerhalb der EU – aber beim US-Anbieter unter dessen Rechtsrahmen.

Aufwand: gering

2

EU-Hoster mit Open-Weights-Modell

Daten bei einem europäischen Betreiber, Modellwahl flexibel.

Aufwand: mittel

3

On-Prem / self-hosted

Volle Kontrolle. Lohnt ab bestimmten Datenmengen oder hohem Schutzbedarf.

Aufwand: hoch

Häufige Fragen

Ist die Checkliste eine Rechtsberatung?
Nein. Sie liefert eine technische Bestandsaufnahme. Die rechtliche Bewertung Ihrer Ergebnisse erfolgt durch Ihren Datenschutzbeauftragten oder Anwalt.
Für welche Unternehmensgröße ist die Checkliste geeignet?
20 bis 500 Mitarbeitende. Darunter ist sie meist überdimensioniert; darüber empfehle ich ein individuelles Vorgespräch.
Was passiert nach der Anmeldung?
Sie erhalten eine Bestätigungsmail. Nach der Bestätigung folgt der Download-Link. Der Newsletter erscheint ca. zweimal monatlich und kann jederzeit abbestellt werden.

Wenn Sie die Checkliste nicht selbst durcharbeiten möchten: Der KI-Readiness & Datensouveränitäts-Check liefert in 10 Arbeitstagen Datenfluss-Karte, Risikobewertung und Zielarchitektur. Ab 4.900 € netto.

Angebot ansehen → Erstgespräch buchen

Keine Rechtsberatung. Die rechtliche Bewertung erfolgt durch Datenschutzbeauftragten oder Anwalt auf Basis Ihrer Ergebnisse.