Ist es sicher, KI für die Eventplanung zu nutzen?

KI für die Eventplanung zu nutzen ist nur dann sicher, wenn Sie die rohe Gästeliste heraushalten. KI kann einen Ablaufplan erstellen, Dienstleister-E-Mails entwerfen oder eine Sitzordnung planen. Dafür braucht sie keine echten Namen. Aber eine Gästeliste enthält mehr als Namen. Sie trägt Kontaktdaten und oft Verpflegungs- und Barrierefreiheitsnotizen. Nach der DSGVO kann eine Notiz wie halal oder eine Nussallergie Religion oder Gesundheit offenbaren. Das sind besondere Kategorien von Daten. Anonymisieren Sie die Namen, bevor Sie prompten, und fügen Sie niemals eine Kartennummer ein.

Eine Gästeliste enthält mehr als Namen

Öffnen Sie irgendeine Event-Gästeliste. Neben den Namen finden Sie Kontaktdaten. Telefonnummern. E-Mail-Adressen. Manchmal eine Postanschrift für die Einladung. Für sich genommen sind das bereits personenbezogene Daten. Die DSGVO schützt sie. Sie verarbeiten die Informationen anderer Menschen, nicht Ihre eigenen.

Dann kommen die Notizen. Eine Spalte für die Mahlzeiten. Eine Spalte für Zugangsbedürfnisse. Ein Rollstuhlplatz. Ein ruhiger Raum. Ein Gebärdensprachdolmetscher. Diese kleinen Notizen machen die Liste weitaus sensibler, als sie aussieht.

• Namen und Kontaktdaten — Telefon, E-Mail, manchmal eine Postanschrift.
• Verpflegungsnotizen — eine Allergie oder eine halal, koschere oder medizinische Ernährung.
• Barrierefreiheits- und angemessene Vorkehrungsbedürfnisse — stufenloser Zugang, ein ruhiger Raum, ein Dolmetscher.
• Manchmal Minderjährige — Kinder kommen zu Hochzeiten und Familienfeiern, und ihre Daten genießen zusätzlichen Schutz.

Warum Verpflegungs- und Zugangsnotizen sensibel sind

Das ist der Punkt, den Planer übersehen. Nach Artikel 9 DSGVO genießen einige Daten zusätzlichen Schutz. Dazu gehören Daten, die religiöse oder weltanschauliche Überzeugungen offenbaren. Dazu gehören auch Gesundheitsdaten. Eine Verpflegungs- oder Zugangsnotiz kann direkt auf diese Kategorien deuten.

Das britische ICO (Information Commissioner's Office) stellt das klar. Eine Wahl wie halal oder koscher kann die Religion einer Person offenbaren. Eine Notiz über Gesundheit oder eine Behinderung ist ein Gesundheitsdatum. Eine Gästeliste mit Allergie- oder Zugangsnotizen kann also besondere Kategorien von Daten enthalten.

Der Umfang hat Grenzen, und das ist wichtig. Eine schlichte Notiz „vegetarisch“ ist schwächer. Halal oder koscher deutet auf eine Überzeugung. „Zöliakie“ oder „Erdnussallergie“ deutet auf die Gesundheit. Besondere Kategorien von Daten erfordern mehr als eine normale Rechtsgrundlage. Sie erfordern zusätzlich eine gesonderte Bedingung nach Artikel 9. Die gesamte Liste in einen Verbraucher-Chatbot einzufügen ist keine solche.

Kartennummern und Anzahlungen: ein anderes Regelwerk

Bei Events geht es um Geld. Anzahlungen, Dienstleisterzahlungen, Erstattungen. Also schwirren Kartennummern durch Ihren Posteingang. Kartendaten haben ihr eigenes Regelwerk. Es heißt PCI DSS (der Payment Card Industry Data Security Standard). Der PCI Security Standards Council betreibt es, gegründet von American Express, Discover, JCB, Mastercard und Visa.

PCI DSS ist streng bei Kartendaten. Sie dürfen sie nur aus einem echten geschäftlichen oder rechtlichen Grund aufbewahren. Eine gespeicherte Kartennummer muss unlesbar gemacht werden. Sensible Authentifizierungsdaten — der vollständige Magnetstreifen oder der Sicherheitscode — dürfen nach der Autorisierung niemals aufbewahrt werden. Die Anzeige ist auf die ersten sechs oder die letzten vier Ziffern begrenzt für alle ohne echten Bedarf.

Halten Sie das gegen einen Chatbot-Prompt. Eine vollständige Anzahlungs-Kartennummer in ein KI-Tool zu tippen bricht diese Regeln auf einen Schlag. PCI DSS verbietet KI nicht. Es verbietet, eine vollständige Kartennummer auf diese Weise zu verarbeiten. Die Regel ist einfach: Fügen Sie niemals eine Kartennummer in einen Prompt ein.

Viele Hände, ein Event — und Sie sind der Verantwortliche

Events laufen über viele Hände. Freiberufler. Aushilfskräfte. Ein Koordinator am Veranstaltungstag. Mischen Sie das mit Verbraucher-KI-Tools, und die Gästeliste kann sich schnell verbreiten. Hier ist der entscheidende Punkt. Wenn Sie eine Gästeliste für einen Kunden erheben, entscheiden Sie über deren Verwendung. Nach der DSGVO macht Sie das zum Verantwortlichen.

Die Verantwortung liegt bei Ihnen, nicht beim Gast oder beim Kunden. Dazu gehört, ob die Liste jemals eine KI eines Dritten erreicht. Das ist Ihre Entscheidung und Ihre Rechenschaftspflicht. Manche Events umfassen auch Minderjährige, deren Daten zusätzlichen Schutz genießen. Ein Grund mehr, die rohe Liste aus dem Prompt herauszuhalten.

Die Lösung: vor dem Prompt anonymisieren

Sie müssen nicht auf KI verzichten. Sie müssen die Reihenfolge ändern. Erst anonymisieren, dann prompten. Das Modell erstellt weiterhin den Ablaufplan und die Sitzordnungslogik. Es arbeitet nur mit Token statt mit echten Namen.

1. 1Ersetzen Sie Namen und Kennungen der Gäste durch reversible Token, in Ihrem Browser.
2. 2Halten Sie jedes Verpflegungs- oder Zugangsdetail minimal und von echten Namen entkoppelt.
3. 3Senden Sie nur den anonymisierten Text an die KI.
4. 4Fügen Sie niemals Kartennummern ein; verwalten Sie Anzahlungen in Ihrem Zahlungstool.
5. 5Nutzen Sie geprüfte Tools, die durch einen Auftragsverarbeitungsvertrag (AVV) abgedeckt sind.

Das ist es, was ONYRI Sanitize tut. Die Engine findet sensible Daten — Namen, Kontakte und mehr — und ersetzt sie durch reversible Token, bevor etwas gesendet wird. Erkennung und Zuordnung bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Die KI erstellt Ihren Ablaufplan oder Ihre Sitzordnung aus Token, nie aus einer echten Gästeliste. Sie erhalten die Unterstützung, und Ihre Gäste behalten ihre Privatsphäre.