KI-Lagebericht: Datenschutz und Vertraulichkeit vor der Texteingabe klären

Drei Schutzfragen, die unterschiedliche Antworten brauchen

Die DSGVO schützt personenbezogene Daten. Ein Lageberichtsentwurf kann solche Daten etwa über natürliche Personen als Vertragspartner, Beschäftigte oder Organmitglieder enthalten. Reine Gesellschaftskennzahlen sind deshalb nicht automatisch personenbezogen. Umgekehrt kann auch eine zunächst aggregiert wirkende Angabe eine Person bestimmbar machen, wenn der Kreis der Betroffenen klein ist oder weitere Informationen hinzukommen.

Geschäftsgeheimnisse betreffen einen anderen Schutzbereich. Nach § 2 GeschGehG kommt es unter anderem auf fehlende allgemeine Bekanntheit beziehungsweise Zugänglichkeit, wirtschaftlichen Wert aufgrund der Geheimhaltung, angemessene Geheimhaltungsmaßnahmen und ein berechtigtes Geheimhaltungsinteresse an. Nicht jede interne Datei erfüllt diese Voraussetzungen. Die Einordnung verlangt eine Betrachtung des Inhalts und der tatsächlich getroffenen Schutzmaßnahmen.

Bei Unternehmen im Anwendungsbereich des Marktmissbrauchsrechts können unveröffentlichte präzise und potenziell erheblich kursrelevante Informationen Insiderinformationen sein. Dazu können unter bestimmten Umständen Planungsänderungen oder wesentliche Entwicklungen gehören. Nicht jede vertrauliche Planung ist automatisch eine Insiderinformation. Ihre rechtliche Einordnung und zulässige Weitergabe sollten die hierfür zuständigen Stellen vor einer externen KI-Verarbeitung prüfen.

Dateninventar für die konkrete Berichtserstellung

Erstellen Sie das Inventar für die tatsächliche Aufgabe, nicht für sämtliche möglichen KI-Anwendungen im Unternehmen. Eine Sprachkorrektur eines bereits veröffentlichten Absatzes hat einen anderen Datenbedarf als die Ausarbeitung einer unveröffentlichten Finanzierungsprognose. Die interne Freigabe sollte diese Unterschiede abbilden und den erlaubten Zweck klar bezeichnen.

Halten Sie außerdem fest, wer welche Datei bereitgestellt hat, welchen Stand sie enthält und ob sie für die Weitergabe vorbereitet wurde. Schwärzungen müssen auch eingebettete Kommentare, Tabellenblätter und Dateieigenschaften berücksichtigen. Eine sichtbare Kürzung im Dokument beseitigt nicht zwingend alle weiteren Informationen, die beim Hochladen übertragen werden.

Datenminimierung erhält den Sinn und reduziert den Umfang

Die DSGVO verlangt bei personenbezogenen Daten eine Begrenzung auf das notwendige Maß. Für die Berichtserstellung bedeutet das: Übermitteln Sie die Informationen, die die konkrete Formulierung tragen, und lassen Sie sachfremde Details weg. Eine Ursache für höhere Personalkosten lässt sich häufig ohne einzelne Gehaltsabrechnungen erklären. Ob aggregierte Angaben genügen, entscheidet der fachliche Zweck.

Ersetzen Sie vertrauliche Bezeichnungen durch interne Kennungen, wenn der Berichtsentwurf den Namen nicht braucht. Bewahren Sie die Zuordnung getrennt und zugriffsbeschränkt auf. Eine solche Pseudonymisierung kann das Risiko verringern, macht personenbezogene Daten aber nicht automatisch anonym. Auch ungewöhnliche Geschäftsvorfälle oder Kombinationen von Merkmalen können Rückschlüsse ermöglichen.

Vermeiden Sie zugleich eine inhaltlich irreführende Reduktion. Wenn Sie eine Einschränkung oder Gegeninformation entfernen, kann der Assistent aus einem unvollständigen Paket ein zu positives Bild erzeugen. Datenschutzgerechte Vorbereitung muss daher mit der fachlichen Vollständigkeit abgestimmt werden. Die Lösung kann ein kleineres, sorgfältig erläutertes Faktenpaket sein, nicht bloß eine zufällig gekürzte Originaldatei.

Vertrag, Empfänger und Verarbeitungsorte zusammen prüfen

Bei einer Verarbeitung im Auftrag ist Art. 28 DSGVO der zentrale Ausgangspunkt für den Vertrag mit dem Dienstleister. Klären Sie zunächst die tatsächlichen Rollen: Wer bestimmt Zweck und wesentliche Mittel der Verarbeitung, und wer verarbeitet auf Weisung? Die Bezeichnung einer Vereinbarung allein entscheidet diese Frage nicht. Ebenso ist ein AVV keine pauschale Erlaubnis, beliebige personenbezogene Daten hochzuladen.

Erfragen Sie, welche Unternehmen an den einzelnen Verarbeitungsschritten beteiligt sind. Dazu können Plattformbetrieb, Dateispeicherung und Sprachmodellverarbeitung gehören. Ein Hostingstandort innerhalb der EU sagt noch nicht, wo sämtliche nachgelagerten Schritte erfolgen oder von wo aus Zugriffe möglich sind. Bei Drittlandbezügen müssen die anwendbaren Anforderungen und Garantien gesondert geprüft werden.

Lesen Sie Aussagen zu Training, Protokollierung und Löschung getrennt. Ein Ausschluss von Modelltraining beantwortet nicht automatisch, wie lange Eingaben gespeichert werden oder wie technische Protokolle behandelt werden. Fragen Sie nach dem Geltungsbereich der Zusage: Betrifft sie den konkret eingesetzten Dienst, die betreffende Vertragsart und auch etwaige Unterauftragnehmer?

Dokumentieren Sie die geprüfte Fassung der Bedingungen und den Zeitpunkt Ihrer Bewertung. Wenn sich Anbieter oder Verarbeitungswege ändern, muss die interne Freigabe erneut betrachtet werden. Eine einmalige Prüfung eines Produktnamens trägt keine beliebigen späteren Erweiterungen, insbesondere nicht den Anschluss zusätzlicher Datenquellen oder neuer automatisierter Verarbeitungsschritte.

Geschäftsgeheimnisse organisatorisch schützen

Für besonders sensible Planungs- und Risikodaten braucht es eine nachvollziehbare Freigabekette. Bestimmen Sie, welche Personen Daten auswählen, welche den externen Einsatz genehmigen und welche die fertigen Texte erhalten dürfen. Die Schutzmaßnahmen sollten zum wirtschaftlichen Wert und zur konkreten Gefährdung passen. Ein allgemeiner Hinweis auf Vertraulichkeit ohne gelebte Zugriffsbeschränkungen ist als Organisation wenig belastbar.

Prüfen Sie auch bestehende Vereinbarungen mit Geschäftspartnern. Eine Information kann aus einem Vertrag stammen, der ihre Weitergabe an Dienstleister besonders regelt. Der Umstand, dass die Angabe später in abstrahierter Form im Lagebericht erscheinen soll, erlaubt nicht ohne Weiteres jede vorherige Verarbeitung des ungekürzten Ausgangsmaterials. Stimmen Sie deshalb Inhalt und Form der Übermittlung mit der zuständigen Stelle ab.

Für Versuche sollten Sie einen bereinigten oder synthetischen Berichtssachverhalt verwenden. Markieren Sie ihn ausdrücklich als Beispiel, damit er nicht versehentlich in echte Berichtsunterlagen gelangt. Die Probe soll die Arbeitsweise prüfen, ohne Ihr tatsächliches Risikoinventar zum Versuchsmaterial zu machen. Halten Sie anschließend fest, welche Schutzmaßnahmen vor dem Wechsel zu Echtdaten noch umzusetzen sind.

Fragen für Datenschutz, Informationssicherheit und Fachbereich

Die Finanzleitung sollte eine gemeinsame kurze Prüfliste mit Datenschutz und Informationssicherheit erstellen. Die Fachabteilung erklärt, warum eine Information benötigt wird. Datenschutz beurteilt personenbezogene Verarbeitung und Vertragsrollen. Informationssicherheit untersucht Zugänge, Berechtigungen und Übermittlungswege. Diese Zuständigkeiten ergänzen sich; keine einzelne Stelle kann den gesamten Sachverhalt allein aus einer Werbeaussage ableiten.

Fragen Sie konkret: Welche Datenkategorien sind zugelassen? Welche dürfen nur nach zusätzlicher Prüfung verwendet werden? Gibt es eine verbindliche betriebliche Umgebung? Wer kann Inhalte sehen oder exportieren? Was passiert beim Ausscheiden eines Teammitglieds? Wie wird eine versehentliche Eingabe behandelt? Zu jeder offenen Frage sollte eine zuständige Person und ein nächster Klärungsschritt feststehen.

Ein sinnvoller Freigabevermerk beschreibt Aufgabe, Datenumfang, geprüfte Unterlagen und Bedingungen der Nutzung. Er muss keine allgemeine Aussage enthalten, die Software sei in allen denkbaren Fällen datenschutzkonform. Eine begrenzte, nachvollziehbare Entscheidung ist für den laufenden Abschluss hilfreicher. Bewahren Sie sie dort auf, wo auch spätere Änderungen der Berichtserstellung geprüft werden.

Welche öffentlichen Aussagen lagebericht.io bereits macht

• Die Erklärung sagt, dass die Texte für die jeweilige KI-Funktion auf den erforderlichen Ausschnitt begrenzt und an den ausgewählten Anbieter übermittelt werden.
• Modelltraining mit Eingaben ist nach der veröffentlichten Erklärung vertraglich ausgeschlossen; vertraglich konfiguriertes Zero Data Retention wird ebenfalls beschrieben.
• Die namentliche Unterauftragsverarbeiterliste mit Verarbeitungsort und Garantien ist nach der öffentlichen Erklärung vor Vertragsschluss und während der Vertragslaufzeit auf Anforderung erhältlich.
• lagebericht.io unterstützt Entwurf, Hinweise und Freigabe des Lageberichts; die interne Entscheidung über zulässige Eingaben treffen Sie für Ihr Unternehmen.

Die Datenschutzerklärung der gemeinsamen Plattform beschreibt MLR Ventures GmbH für eingestellte Inhaltsdaten als Auftragsverarbeiter. Sie nennt Infrastruktur für Datenbank, Authentifizierung und Backend in der EU-Region Irland. Für die Textverarbeitung werden Drittanbieter-Sprachmodelle eingesetzt; einige Unterauftragsverarbeiter haben ihren Sitz außerhalb von EU beziehungsweise EWR. Eine ausschließlich deutsche Verarbeitung lässt sich daraus nicht ableiten.

Vom geklärten Einsatz zum laufenden Betrieb

Nach der Freigabe sollten die vereinbarten Grenzen im Alltag leicht erkennbar sein. Hinterlegen Sie beispielsweise eine kurze Anleitung direkt bei den Berichtsvorlagen: zugelassene Daten, verbotene Zusätze und Ansprechstelle für Zweifelsfälle. Eine lange allgemeine Richtlinie hilft wenig, wenn das Team im Abschluss nicht weiß, ob eine konkrete Planungsunterlage verwendet werden darf.

Prüfen Sie den Ablauf erneut, wenn neue Datenquellen, Gesellschaften oder Empfänger hinzukommen. Auch die Weitergabe des fertigen KI-Entwurfs kann sensible Informationen offenlegen. Bereinigen Sie interne Quellenkennungen und Kommentare erst, nachdem der fachliche Prüfpfad gesichert ist. Bewahren Sie Nachweise entsprechend Ihren einschlägigen Dokumentations- und Aufbewahrungsregeln auf, ohne dafür hier eine pauschale Frist zu unterstellen.

Häufige Fragen

Sind Unternehmenszahlen immer personenbezogene Daten?

Nein, reine Angaben über eine juristische Person sind nicht allein deshalb personenbezogen. Durch Einzelbezüge oder Kombinationen können jedoch natürliche Personen bestimmbar werden; außerdem bleibt möglicher Geheimnisschutz zu prüfen.

Reicht ein AVV für sämtliche vertraulichen Inhalte?

Der AVV regelt die Auftragsverarbeitung personenbezogener Daten. Geschäftsgeheimnisse, vertragliche Vertraulichkeit und mögliche Insiderinformationen benötigen zusätzliche inhaltliche und organisatorische Betrachtung.

Bedeutet EU-Hosting ausschließlich europäische Verarbeitung?

Aus einem Infrastrukturstandort folgt keine vollständige Aussage über Modellanbieter und weitere Empfänger. Prüfen Sie die einzelnen Verarbeitungsschritte und die jeweils angegebenen Orte beziehungsweise Zugriffsmöglichkeiten.

Ist ohne Modelltraining jede KI-Eingabe unbedenklich?

Nein. Auch bei ausgeschlossenem Training bleiben Fragen zu zulässiger Übermittlung, Speicherung, Berechtigungen und der erforderlichen Datenmenge offen.

Kann ich vertrauliche Daten durch Namensersatz anonymisieren?

Ein ersetzter Name allein genügt häufig nicht. Inhalte und Kombinationen können weiter auf Personen oder geschützte Unternehmenssachverhalte schließen lassen; bewerten Sie das verbleibende Material.

Was sollte die Freigabe einer KI-Anwendung enthalten?

Beschreiben Sie Zweck, zulässige Datenkategorien, geprüfte Vertragsunterlagen und Zuständigkeiten. Halten Sie außerdem fest, wann eine Änderung des Einsatzes eine erneute Prüfung auslöst.

Quellen und Rechtsstand

Primärquellen für die zentralen Aussagen dieser Seite. Öffnen Sie im Zweifel immer die aktuelle Fassung.

• DSGVO — Insbesondere Art. 5, 6, 28 und die Regeln für Drittlandübermittlungen
• Geschäftsgeheimnisgesetz — § 2: Voraussetzungen des Geschäftsgeheimnisses
• Marktmissbrauchsverordnung — Art. 7 und 10: Insiderinformation und Offenlegung
• Öffentliche Datenschutzangaben der Plattform — Grundlage der hier beschriebenen Produktangaben

Verarbeitung verstehen, bevor Sie Daten bereitstellen

Lesen Sie die Methodik und die öffentlichen Datenschutzunterlagen von lagebericht.io für Ihre interne Bewertung.