DSGVO-sicher mit KI arbeiten: Die Checkliste fürs Maklerbüro

Montagmorgen. Eine Kundin schickt dir ihre Unterlagen für die BU-Anfrage. Arztberichte, Vorerkrankungen, Medikamente. Du denkst: Das könnte ChatGPT mir schnell zusammenfassen. Genau an dieser Stelle lohnt es sich, kurz innezuhalten. KI kann dir im Büroalltag viel Arbeit abnehmen. Aber du arbeitest mit sensiblen Daten. Und nicht jedes Tool ist dafür gemacht.

Im AfW-Vermittlerbarometer nennen 44 Prozent der befragten Vermittler Datenschutz als Bedenken bei KI. Das ist kein Grund, auf KI zu verzichten. Es ist ein Grund, ein paar klare Regeln aufzustellen.

Hier ist unsere Checkliste. Vorab: Sie ersetzt keine Rechtsberatung.

Business-Version mit AVV statt privatem Account

Der wichtigste Punkt zuerst: Personenbezogene Kundendaten gehören nicht in kostenlose Consumer-Accounts von KI-Tools. Wer KI beruflich nutzt, braucht eine Business- oder Team-Version. Dafür schließt du mit dem Anbieter einen Auftragsverarbeitungsvertrag ab, kurz AVV. Darin ist geregelt, wie der Anbieter mit deinen Daten umgehen darf. Prüf dabei auch, wo die Daten verarbeitet werden. Viele Anbieter bieten inzwischen Optionen für Serverstandorte in der EU an.

Ein Vergleich: Du würdest Kundenakten auch nicht im privaten Keller eines Bekannten lagern, nur weil der Platz hat. Du brauchst einen Dienstleister mit Vertrag.

Training ausschalten

Viele KI-Tools nutzen Eingaben, um ihre Modelle weiter zu verbessern. Für dein Büro ist das keine gute Idee.

Prüf in den Einstellungen, ob deine Eingaben für das Training genutzt werden, und schalte das ab. Bei Business-Versionen ist das oft schon Standard. Verlass dich aber nicht darauf, sondern schau nach.

Keine Klarnamen und keine Gesundheitsdaten in Prompts

Ein Prompt ist die Eingabe, die du an die KI schickst. Hier gilt: So wenig persönliche Daten wie möglich. Besonders wichtig bei BU und PKV: Gesundheitsdaten gehören zu den besonders geschützten Daten nach der DSGVO. Für sie gelten strengere Regeln als für Name oder Adresse. Diagnosen, Arztberichte oder Medikamentenlisten haben in einem allgemeinen KI-Tool deshalb nichts verloren. Auch nicht “nur kurz zum Zusammenfassen”.

Pseudonymisieren, wo es geht

Oft brauchst du die echten Daten gar nicht. Die KI muss nicht wissen, wer der Kunde ist, um dir zu helfen. Ein Beispiel: Statt “Thomas Beispiel, 42, aus Köln, verheiratet, zwei Kinder” schreibst du “Kunde, Anfang 40, verheiratet, zwei Kinder”. Für eine Bedarfsanalyse oder einen Mailentwurf reicht das völlig.

Pseudonymisieren heißt: Namen, Adressen, Vertragsnummern und andere eindeutige Merkmale raus oder durch Platzhalter ersetzen. Die echten Daten setzt du erst ganz am Ende wieder ein, außerhalb des KI-Tools.

Zugriffsrechte und Mitarbeiter-Regeln festlegen

Datenschutz scheitert selten an der Technik. Meistens scheitert er an Gewohnheiten.

Deshalb braucht dein Team klare Regeln:

• Welche KI-Tools sind erlaubt, welche nicht?
• Wer hat Zugriff auf den Business-Account?
• Welche Daten dürfen eingegeben werden, welche nie?
• Was ist bei Gesprächsaufzeichnungen zu beachten?

Der letzte Punkt ist wichtig. Wer Kundengespräche aufzeichnet, etwa um sie später per KI protokollieren zu lassen, braucht eine Einwilligung. Heimliches Aufnehmen ist nach § 201 StGB sogar strafbar. Wenn Mitarbeiter das Büro verlassen, nicht vergessen: Zugänge sperren.

Verarbeitungsverzeichnis und Datenschutzerklärung prüfen

Wenn du KI-Tools mit Kundendaten einsetzt, ist das eine Datenverarbeitung. Sie gehört in dein Verzeichnis von Verarbeitungstätigkeiten. Und wenn KI auf deiner Website im Einsatz ist, etwa als Chatbot, sollte auch die Datenschutzerklärung das abbilden. Dass ein Chatbot sich zudem als KI zu erkennen geben muss, regelt der EU AI Act. Das ist ein eigenes Thema, das wir in einem separaten Artikel erklären.

Datenschutzbeauftragten einbeziehen

Wenn du einen Datenschutzbeauftragten hast, hol ihn früh dazu. Nicht erst, wenn das Tool schon läuft. Er kann einschätzen, ob ein Anbieter passt, ob der AVV ausreicht und ob für bestimmte Anwendungen weitere Schritte nötig sind. Das spart dir später Ärger.

Die Checkliste auf einen Blick

• Business-Version mit AVV nutzen, keine privaten Accounts
• Serverstandort und Datenverarbeitung prüfen
• Training mit deinen Eingaben ausschalten
• Keine Klarnamen, keine Gesundheitsdaten in Prompts
• Daten pseudonymisieren, wo immer möglich
• Zugriffsrechte vergeben und bei Austritt sperren
• Klare Regeln fürs Team, auch zu Gesprächsaufzeichnungen
• Verarbeitungsverzeichnis und Datenschutzerklärung aktualisieren
• Datenschutzbeauftragten einbeziehen

Kurz und knapp

DSGVO und KI schließen sich nicht aus. Mit dem richtigen Tool, ein paar festen Regeln und etwas Disziplin bei den Eingaben kannst du KI im Büro sicher nutzen.

Der Grundsatz ist einfach: Gib der KI nur das, was sie wirklich braucht. Alles andere bleibt bei dir.