KI-Datenschutz für kleine Unternehmen: ein praktisches Playbook
Klein zu sein befreit Sie nicht von der DSGVO. Ein praktisches Playbook in 5 Schritten, damit Ihr kleines Unternehmen KI nutzen kann, ohne seine Daten preiszugeben.
Ja, ein kleines Unternehmen kann KI sicher nutzen. Doch die Größe befreit niemanden. Die DSGVO gilt für jede Organisation, vom Einzelunternehmer bis zum weltweiten Konzern. Fügen Sie einen Kunden, einen Mitarbeiter oder eine Finanzzahl in ein Verbraucher-ChatGPT ein, geben Sie personenbezogene Daten preis. Die gute Nachricht: Das ist beherrschbar. Es braucht ein einfaches Playbook. Schreiben Sie eine Nutzungsregel. Erfassen Sie, was sensibel ist. Bevorzugen Sie einen Business-Tarif. Anonymisieren Sie, bevor Sie senden. Schulen Sie das Team. Die ICO sagt es unmissverständlich: Compliance ist oft gesunder Menschenverstand.
Klein bedeutet nicht befreit
„Wir sind zu klein, um relevant zu sein.“ Das ist falsch. Das Datenschutzrecht greift in dem Moment, in dem Sie personenbezogene Daten erheben. Die ICO, die britische Datenschutzbehörde, sagt das kleinen Organisationen unmissverständlich. Wenn Sie Kunden- oder Mitarbeiterdaten speichern, gelten die Regeln fast mit Sicherheit auch für Sie.
Die DSGVO sieht durchaus eine Erleichterung für Unternehmen mit weniger als 250 Beschäftigten vor. Doch sie ist eng gefasst. Artikel 30(5) lockert nur eine einzige Pflicht: das Führen eines formellen Verzeichnisses der Verarbeitungstätigkeiten. Und selbst diese Erleichterung entfällt, wenn die Verarbeitung regelmäßig oder riskant ist oder besondere Kategorien von Daten betrifft. In der Praxis verarbeitet ein CRM, eine Lohnbuchhaltung oder ein Webshop ständig Daten. Die Ausnahme greift also fast nie. Die inhaltlichen Kernpflichten berührt sie nie.
Auch das US-Recht ist nicht anders. Der CCPA, das kalifornische Datenschutzgesetz, gilt für gewinnorientierte Unternehmen, sobald sie eine Schwelle überschreiten. Zum Beispiel einen Jahresumsatz von rund 25 Mio. USD, jährlich um die Inflation nach oben angepasst. Oder die Daten von 100.000 Kaliforniern pro Jahr. Oder die Hälfte des Umsatzes aus dem Verkauf personenbezogener Daten. Viele sehr kleine Firmen bleiben unter diesen Schwellen. Die Aussage lautet nicht „der CCPA gilt für alle.“ Sie lautet „klein bedeutet nicht befreit.“
Die ICO fügt einen beruhigenden Punkt hinzu. Compliance ist erreichbar, nicht überwältigend. Viele kleine Firmen erledigen die Grundlagen bereits: starke Passwörter, das Schreddern sensibler Dokumente. Im Vereinigten Königreich zahlen die meisten nur eine bescheidene Jahresgebühr an die ICO, rund 52 bis 78 GBP. Große Organisationen zahlen 3.763 GBP. Das ist eine britische Gebühr, keine DSGVO-Strafe und keine Schwelle.
Das Playbook in 5 Schritten
Hier ist das Rückgrat. Fünf Schritte, der Reihe nach, auch ohne eigenen Datenschutzbeauftragten. Jeder passt in einen Nachmittag.
- 1Schreiben Sie eine kurze KI-Nutzungsrichtlinie: was eingefügt werden darf und was nicht.
- 2Erfassen Sie, was in Ihrem Unternehmen als sensibel gilt: Kundendaten, Personalakten, Finanzen, technische Geheimnisse.
- 3Bevorzugen Sie einen Business-Tarif, der das Training vertraglich ausschließt – doch prüfen Sie die Bedingungen, gehen Sie nicht von Annahmen aus.
- 4Anonymisieren Sie sensible Daten vor jedem Prompt: die Maßnahme, die mit jedem Werkzeug funktioniert.
- 5Schulen Sie die Mitarbeiter und machen Sie den sicheren Weg zum einfachsten Weg.
Was als sensibel gilt
Schritt 2 verdient ein Wort. Alltägliche Daten sind bereits personenbezogene Daten. Kunden- und Mitarbeiternamen. E-Mail- und Postadressen. Telefonnummern. Zahlungsdaten. Die Routineinformationen also, die Sie für eine E-Mail oder eine Lohnfrage in die KI einfügen, fallen genau in den Anwendungsbereich. Jede der folgenden Familien verdient ihre eigene Sorgfalt.
- Kundendaten: Namen, E-Mails, Kaufhistorie, Support-Tickets.
- Personalakten: Verträge, Gehälter, HR-Beurteilungen.
- Finanzen: Rechnungen, Kontoauszüge, Margen, Prognosen.
- Technische Geheimnisse: API-Schlüssel, Passwörter, Zugangstoken.
| Die Annahme | Die Realität |
|---|---|
| „Wir sind zu klein für die DSGVO“ | Die DSGVO gilt in jeder Größe, ab dem ersten personenbezogenen Datum |
| „Die Erleichterung unter 250 deckt uns ab“ | Artikel 30(5) betrifft nur ein Verzeichnis und entfällt bei regelmäßiger Verarbeitung |
| „Ein Verbraucher-Tarif reicht“ | Die CNIL rät zu einem Business-Tarif, der Ihre Eingaben nicht weiterverwendet |
| „Anonymisieren ist zu technisch“ | Ein Werkzeug erledigt das zum Zeitpunkt des Prompts, mit jeder KI |
Die Maßnahme, die mit jedem Werkzeug funktioniert
Schritt 4 ist das Herzstück des Playbooks. Anonymisieren wendet ein einfaches DSGVO-Prinzip an: die Datenminimierung. Die ICO bringt es gut auf den Punkt. Minimierung bedeutet nicht „keine personenbezogenen Daten verarbeiten.“ Sie bedeutet, nur die Daten zu verarbeiten, die Sie wirklich brauchen. Eine KI, die einen Vertrag erklärt, braucht nicht den echten Namen des Kunden.
Die ICO stellt außerdem das Offensichtliche klar. Die DSGVO-Pflichten gelten uneingeschränkt für KI. Rechtsgrundlage, Zweckbindung, Richtigkeit, Rechenschaftspflicht. Nichts entfällt, nur weil eine KI im Spiel ist. Anonymisieren vor dem Senden wahrt diese Regeln, ohne das Team auszubremsen.
In der Praxis besteht die Methode aus vier Handgriffen. Erkennen Sie die sensiblen Daten. Ersetzen Sie sie durch umkehrbare Token. Senden Sie nur den anonymisierten Text. Stellen Sie die echten Werte in der Antwort lokal wieder her. Der sichere Weg wird zum einfachsten Weg.
Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten – Kunde, Mitarbeiter, Finanzen, API-Schlüssel – und ersetzt sie vor dem Senden durch umkehrbare Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Ihr Team behält das Tempo der KI. Und Ihre sensiblen Daten verlassen niemals den Browser, vom Namen des Kunden bis zum API-Schlüssel.
Häufig gestellte Fragen
- Kann ein kleines Unternehmen KI datenschutzkonform sicher nutzen?
- Ja, mit einem einfachen Rahmen. Die Größe befreit niemanden: Die DSGVO gilt ab dem ersten personenbezogenen Datum. Schreiben Sie eine Nutzungsrichtlinie, erfassen Sie, was sensibel ist, bevorzugen Sie einen Business-Tarif, anonymisieren Sie vor dem Senden, schulen Sie das Team. Die ICO weist darauf hin, dass Compliance oft gesunder Menschenverstand ist.
- Gilt die DSGVO wirklich für kleine Unternehmen?
- Ja. Die DSGVO gilt für jede Organisation, unabhängig von ihrer Größe. Die Erleichterung für unter 250 Beschäftigte in Artikel 30(5) ist eng gefasst. Sie befreit nur von einem formellen Verzeichnis und entfällt bei regelmäßiger oder riskanter Verarbeitung. In der Praxis verarbeitet ein CRM oder eine Lohnbuchhaltung ständig Daten. Die Kernpflichten bleiben vollständig bestehen.
- Wie kann ich KI nutzen, ohne die Daten meiner Kunden preiszugeben?
- Anonymisieren Sie vor dem Senden. Das ist die von der ICO empfohlene Datenminimierung, angewandt zum Zeitpunkt des Prompts. Ersetzen Sie Namen, E-Mails, Beträge und Schlüssel durch umkehrbare Token. Die KI arbeitet mit der Struktur, ohne die echten Werte zu sehen. Anschließend stellen Sie die Daten lokal wieder her.
Quellen & Referenzen
- Getting started with data protection: eine Schritt-für-Schritt-Anleitung für kleine Organisationen (das Gesetz gilt in jeder Größe) — Information Commissioner's Office (ICO)
- Generative KI in Kleinst- und kleinen bis mittleren Unternehmen nutzen (niemals personenbezogene oder vertrauliche Daten in eine Verbraucher-KI eingeben) — CNIL (Commission nationale de l'informatique et des libertés)
- How should we assess security and data minimisation in AI? (nur die Daten verarbeiten, die Sie wirklich brauchen) — Information Commissioner's Office (ICO)
Behalten Sie Ihre sensiblen Daten in Ihrem Browser
ONYRI Sanitize erkennt und maskiert Ihre sensiblen Daten, bevor sie die KI erreichen, und stellt anschließend die Antwort wieder her — vom Namen bis zum API-Schlüssel.