Datenminimierung bei KI-Tools: Was nicht in den Prompt gehört

Ein Satz reicht oft aus, um eine Datenschutzverletzung zu produzieren: „Schreib eine Absage für Herrn Mustermann, geboren am 3. Mai 1978, Kundennummer 88213, wegen seiner Kreditanfrage über 45.000 Euro.“ Wer so etwas in ein KI-Tool tippt, hat in einem einzigen Prompt Name, Geburtsdatum, Kundennummer und Finanzdaten preisgegeben – und damit genau das getan, was Datenminimierung verhindern soll. Die DSGVO verlangt in Art. 5 Abs. 1 lit. c, dass personenbezogene Daten auf das für den Zweck notwendige Maß beschränkt bleiben. Bei KI-Prompts wird dieser Grundsatz gerade zur Nagelprobe, weil viele Nutzerinnen und Nutzer schlicht nicht wissen, wo die Grenze verläuft.

Was Datenminimierung bei KI-Tools konkret bedeutet

Datenminimierung ist kein neuer Grundsatz, der mit ChatGPT oder Copilot erfunden wurde. Er steht seit Inkrafttreten der DSGVO im Gesetz und verpflichtet jede Verarbeitung personenbezogener Daten dazu, sich auf das Nötigste zu beschränken. Neu ist der Kontext: Prompts sind Eingaben in Systeme, deren Verarbeitungswege für die meisten Beschäftigten intransparent sind. Wird der Chat gespeichert? Fließt der Inhalt ins Training? Wer hat Zugriff? Diese Fragen lassen sich selten auf den ersten Blick beantworten, und genau deshalb ist die konservative Grundregel so wichtig: Es gehört nur das in den Prompt, was für die Aufgabe unbedingt gebraucht wird.

Die Landesdatenschutzbehörde Baden-Württemberg hat diesen Zweckbindungs- und Minimierungsgrundsatz ausdrücklich auf KI-Anwendungen übertragen. Wer Eingaben formuliert, sollte sich fragen, ob die Information für das Ergebnis wirklich erforderlich ist – oder ob eine abstraktere, anonymere Formulierung denselben Nutzen bringt. Diese Prüfung dauert selten länger als eine Minute, wird im Arbeitsalltag aber fast nie gemacht, weil sie Zeit kostet und Prompts dadurch umständlicher wirken.

Die Prompt-Blacklist: Was nicht eingegeben werden sollte

Aus den einschlägigen Praxisleitfäden lässt sich eine relativ klare Liste destillieren, was in Prompts nichts zu suchen hat. Personenbezogene Daten stehen ganz oben: Namen, Adressen, Geburtsdaten, Telefonnummern, E-Mail-Adressen, Kundennummern, Gesundheitsdaten und Standortangaben. Das betrifft nicht nur Kundinnen und Kunden, sondern genauso Kolleginnen, Kollegen und die eigene Person.

Zweite Kategorie: vertrauliche Unternehmensdaten. Geschäftsgeheimnisse, Preislisten, interne Strategiepapiere, Verträge, Quellcode und Sicherheitskonfigurationen gehören nicht in ein Tool, dessen Datenverarbeitung man nicht vollständig kontrolliert. Wer schon einmal einen internen Vertrag „nur zur Formatierung“ in ein KI-Tool kopiert hat, sollte sich fragen, wo dieser Text danach physisch liegt und wer theoretisch darauf zugreifen könnte.

Dritte Kategorie ist unauffälliger, aber nicht weniger riskant: überflüssiger Kontext. Konkrete Projektcodes, exakte Referenznummern, genaue Orte und Zeitpunkte werden oft aus Gewohnheit mitgeliefert, obwohl eine abstraktere Beschreibung für das gewünschte Ergebnis völlig ausreichen würde. Genau solche Kombinationen aus mehreren scheinbar harmlosen Merkmalen erhöhen das Risiko einer Re-Identifizierung – eine Person lässt sich manchmal schon über drei oder vier Kontextdetails eindeutig zuordnen, ohne dass ihr Name je fällt. Wie streng solche technischen Anforderungen an Datenschutz-Architekturen inzwischen ausgelegt werden, zeigt sich auch daran, dass europäische Aufsichtsbehörden zunehmend konkrete technische Anforderungen an Datenschutz formulieren, die weit über allgemeine Absichtserklärungen hinausgehen.

Pseudonymisierung ist keine Anonymisierung

Ein Fehler, der in Redaktionen, Personalabteilungen und Vertriebsteams gleichermaßen vorkommt: Pseudonymisierung mit Anonymisierung zu verwechseln. Wer aus „Herr Müller“ „Person A“ macht, hat pseudonymisiert – der Personenbezug lässt sich mit Zusatzwissen weiterhin herstellen. Echte Anonymisierung, bei der eine Re-Identifizierung praktisch ausgeschlossen ist, ist in der Praxis deutlich schwerer zu erreichen, als es klingt.

Für den Prompt-Alltag heißt das: Platzhalter wie „Kundin X“ oder „Mitarbeiter in Abteilung Y“ senken das Risiko, beseitigen es aber nicht vollständig, sobald weitere identifizierende Details im selben Prompt stehen. Wer beispielsweise „Person A, 52 Jahre, leitet seit elf Jahren die Niederlassung in einer Stadt mit knapp 30.000 Einwohnern“ schreibt, hat trotz Pseudonym eine Person praktisch eindeutig beschrieben. Datenminimierung bedeutet hier, konsequent zu prüfen, ob die Kombination der Merkmale für die eigentliche Aufgabe überhaupt notwendig ist.

Bitkom empfiehlt in seinem Leitfaden zu künstlicher Intelligenz und Datenschutz genau an dieser Stelle technische und organisatorische Maßnahmen: Prompt-Filter, die sensible Muster automatisch erkennen und blockieren, Schulungen, die dieses Bewusstsein trainieren, und klare Nutzungsrichtlinien, die festlegen, welche Tools für welche Datenkategorien überhaupt freigegeben sind. Das ist eine Verbandsempfehlung, keine gesetzliche Pflicht – aber eine, die in der Praxis zunehmend Standard wird, weil sie die schwächste Stelle in der Kette adressiert: den Menschen vor der Tastatur.

Ein Praxisszenario: Der Kundenservice-Fall

Wie schnell Datenminimierung im Alltag scheitert, lässt sich an einem fiktiven, aber typischen Szenario zeigen. Eine Kundenservice-Mitarbeiterin erhält eine Beschwerde-E-Mail und soll mit Hilfe eines KI-Tools eine Antwort formulieren. Der naheliegende, aber falsche Weg: die komplette E-Mail inklusive Signatur, Kundennummer, Vertragsdetails und Telefonnummer in den Prompt kopieren und „Bitte formuliere eine freundliche Antwort“ ergänzen. Innerhalb von Sekunden landen damit Name, Kontaktdaten, Vertragsinhalt und möglicherweise sogar Zahlungsinformationen in einem System, dessen Verarbeitungswege die Mitarbeiterin nicht kennt.

Der datensparsame Weg sieht anders aus, kostet aber kaum mehr Zeit: „Formuliere eine freundliche Antwort auf eine Beschwerde über eine verspätete Lieferung. Der Ton soll verständnisvoll, aber sachlich sein.“ Die konkrete Anrede, die Kundennummer und die Vertragsdetails werden erst nach der KI-Generierung von Hand in die Vorlage eingefügt – in einem System, das ohnehin schon Zugriff auf diese Daten hat, etwa dem hauseigenen CRM. Das Ergebnis ist inhaltlich praktisch identisch, das Risiko aber grundlegend anders verteilt. Genau dieser kleine Umweg – erst abstrahieren, dann personalisieren – ist der Kern praktikabler Datenminimierung im Arbeitsalltag.

Ähnliche Muster lassen sich in der Personalabteilung beobachten, wenn Zeugnisse oder Kündigungsschreiben mit KI-Unterstützung vorformuliert werden, oder in der Rechtsabteilung, wenn Vertragsklauseln zur Prüfung eingegeben werden. In allen Fällen gilt dieselbe Logik: Die Struktur, der Ton und die Argumentation lassen sich generisch erzeugen, die konkreten, identifizierenden Angaben werden erst im letzten Schritt außerhalb des KI-Tools ergänzt.

„Keine sensiblen Daten eingeben“ reicht nicht als Regel

Die verbreitete Faustregel „einfach keine sensiblen Daten eingeben“ ist gut gemeint, aber zu grob. Sie suggeriert, dass alles außerhalb offensichtlich sensibler Kategorien unbedenklich sei. Tatsächlich bleibt relevant, was mit dem Prompt nach der Eingabe passiert: Wird er gespeichert, fließt er ins Training des Modells, wer hat intern und extern Zugriff, und wird er möglicherweise an Drittanbieter übermittelt? Diese Fragen lassen sich nicht pauschal beantworten, sondern hängen von den jeweiligen Nutzungsbedingungen und Datenschutzhinweisen des konkreten Tools ab.

Auch die Annahme „wenn ein Tool nicht mit meinen Chats trainiert, ist alles unkritisch“ greift zu kurz. Speicherung, interne Verarbeitung, Zugriffsrechte und Zweckbindung bleiben relevant, selbst wenn ein Anbieter versichert, Eingaben nicht für das Modelltraining zu nutzen. Genau diese technischen Anforderungen an Datenschutz-Architekturen – Protokollierung, Zugriffskontrollen, Löschkonzepte – stehen inzwischen auch im Fokus europäischer Aufsichtsbehörden, die von KI-Anbietern konkrete Nachweise verlangen, wie Daten nach der Eingabe behandelt werden.

Meine Einschätzung: Die Debatte um Datenminimierung wird zu oft als reine Anwenderfrage verhandelt, dabei liegt die eigentliche Verantwortung bei Unternehmen, die Tools ohne klare Richtlinie freigeben. Wer Mitarbeitenden ein KI-Tool zur Verfügung stellt, ohne zu definieren, was hineindarf und was nicht, verschiebt ein Compliance-Risiko auf Personen, die dafür weder ausgebildet noch verantwortlich sind. Wie ernst diese Verschiebung von Verantwortung genommen werden sollte, zeigt sich in regulierten Branchen besonders deutlich: Dort werden inzwischen konkrete Compliance-Pflichten und Haftungsfragen für den Einsatz automatisierter Systeme diskutiert, die sich in abgeschwächter Form auch auf den ganz normalen Prompt-Alltag übertragen lassen.

Governance statt Einzelfallrat

Der Trend geht folgerichtig weg von individuellen Vorsichtsappellen und hin zu strukturierten Prozessen. Statt jedem Team zu sagen „seid vorsichtig“, etablieren Unternehmen verbindliche KI-Richtlinien: welche Tools sind freigegeben, welche Datenkategorien dürfen überhaupt hinein, wer prüft neue Anwendungen, bevor sie produktiv genutzt werden. Diese Governance-Schicht ersetzt nicht das individuelle Urteilsvermögen, entlastet es aber erheblich.

Praktisch zeigt sich das in mehreren Bausteinen. Erstens: automatische Vorfilterung, sogenannte Redaction, die sensible Muster wie E-Mail-Adressen oder Kundennummern vor dem Absenden erkennt und entfernt. Zweitens: standardisierte Prompt-Vorlagen mit Platzhaltern, die von vornherein datensparsam angelegt sind, sodass Mitarbeitende gar nicht erst in die Verlegung kommen, echte Namen einzutippen. Drittens: pseudonymisierte Benutzerkonten und vertragliche Klauseln mit Anbietern, die eine Weiterverarbeitung zu Trainingszwecken ausdrücklich ausschließen.

Wo Vertraulichkeit besonders wichtig ist – etwa in der Rechtsabteilung, im Personalwesen oder in der Produktentwicklung – wird zunehmend auf lokal betriebene KI-Modelle oder streng kontrollierte Enterprise-Umgebungen gesetzt, bei denen Daten das eigene Netz gar nicht verlassen. Das ist aufwendiger als die kostenlose Version eines Chatbots im Browser, senkt das Risiko aber strukturell, weil die Frage „wo landen meine Daten“ gar nicht erst gestellt werden muss.

Branchen mit besonders strengen Auflagen liefern hier interessante Blaupausen. Im Gesundheitswesen etwa dürfen Patientendaten aus guten Gründen praktisch nie in frei zugängliche KI-Tools eingegeben werden, weshalb dort fast ausschließlich auf zertifizierte, isolierte Systeme gesetzt wird. Im Finanzsektor gilt Ähnliches für Kontodaten und Bonitätsinformationen. Diese strengeren Branchenstandards zeigen, dass Datenminimierung keine abstrakte Idealvorstellung ist, sondern sich in der Praxis technisch und organisatorisch umsetzen lässt – wenn der Wille und das Budget dafür vorhanden sind.

Gegenargumente: Wo strikte Datenminimierung an ihre Grenzen stößt

Bei aller Berechtigung des Grundsatzes lohnt sich auch ein Blick auf die Gegenposition. Kritiker wenden ein, dass übertriebene Vorsicht die Nützlichkeit von KI-Tools massiv einschränken kann. Wenn jede Eingabe erst mühsam anonymisiert werden muss, sinkt die Akzeptanz der Werkzeuge im Alltag, und Mitarbeitende weichen im schlimmsten Fall auf unkontrollierte private Accounts aus – womit das Risiko eher steigt als sinkt. Diese Abwägung zwischen Datenschutz und Praktikabilität ist real und lässt sich nicht mit einem pauschalen „im Zweifel weniger Daten“ auflösen.

Ein weiteres Gegenargument betrifft die Qualität der Ergebnisse. Manche Aufgaben – etwa die Analyse eines konkreten Vertragsverstoßes oder die Bewertung eines individuellen Kundenfalls – lassen sich ohne spezifische Details schlicht nicht sinnvoll bearbeiten. Eine zu radikale Abstraktion kann dazu führen, dass die KI-Antwort am eigentlichen Problem vorbeigeht und am Ende doppelte Arbeit entsteht, weil die generische Antwort händisch nachbearbeitet werden muss. Hier ist Fingerspitzengefühl gefragt: Datenminimierung heißt nicht, jede Konkretisierung zu verweigern, sondern bewusst abzuwägen, welche Details tatsächlich zum Ergebnis beitragen und welche nur aus Gewohnheit mitgeschleppt werden.

Befürworter einer pragmatischeren Linie argumentieren zudem, dass technische Schutzmaßnahmen – etwa vertraglich zugesicherte Nicht-Nutzung für Training, Verschlüsselung und Zugriffsprotokolle – das Risiko so weit senken können, dass ein gewisses Maß an Konkretheit vertretbar bleibt. Diese Position ist nicht per se falsch, setzt aber voraus, dass Unternehmen diese vertraglichen Zusicherungen tatsächlich prüfen und nicht einfach den Marketingaussagen eines Anbieters vertrauen. Genau an diesem Punkt trennt sich die seriöse von der naiven Nutzung von KI-Tools im geschäftlichen Kontext.

Was das für den Arbeitsalltag praktisch bedeutet

Für den konkreten Umgang mit Prompts lassen sich einige handhabbare Regeln formulieren, die ohne Governance-Abteilung im Alltag funktionieren. Vor jeder Eingabe lohnt sich die kurze Frage: Brauche ich diesen Namen, diese Nummer, dieses Datum wirklich für das Ergebnis – oder reicht eine abstrakte Beschreibung? In den meisten Fällen reicht Letzteres, ohne dass die Qualität der KI-Antwort merklich leidet.

Zweite Regel: Verträge, Support-Tickets oder interne Dokumente sollten nicht ungeprüft hochgeladen werden, nur weil ein Tool das technisch anbietet. Wer ein Dokument zur Zusammenfassung eingeben möchte, sollte vorher prüfen, ob es personenbezogene Daten oder Geschäftsgeheimnisse enthält, und diese Passagen notfalls manuell entfernen oder durch Platzhalter ersetzen.

Dritte Regel: Nutzungsbedingungen sind kein Kleingedrucktes, das man ignorieren darf, sondern der einzige verlässliche Hinweis darauf, ob ein Tool Eingaben speichert oder zu Trainingszwecken verwendet. Bei geschäftlicher Nutzung sollte diese Prüfung nicht der einzelnen Person überlassen werden, sondern Teil der Tool-Freigabe durch die IT- oder Compliance-Abteilung sein.

Vierte Regel betrifft die Sprache selbst: Wer Prompts grundsätzlich in der dritten Person und mit generischen Rollenbezeichnungen formuliert – „eine Kundin“, „ein Mitarbeiter in der Buchhaltung“ – statt mit echten Namen, gewöhnt sich eine datensparsame Formulierungsweise an, die nach kurzer Zeit zur Routine wird und kaum noch bewussten Aufwand erfordert.

Fünfte Regel, die in der Praxis oft übersehen wird: Auch Anhänge und eingefügte Screenshots zählen als Prompt-Inhalt. Ein Screenshot einer E-Mail oder eines Chatverlaufs kann genauso viele personenbezogene Daten enthalten wie ein Fließtext – nur dass er auf den ersten Blick weniger nach „Dateneingabe“ aussieht und deshalb seltener kritisch hinterfragt wird. Wer Bildschirmfotos in KI-Tools einfügt, sollte dieselbe Prüfung anwenden wie bei reinem Text.

Wo die Grenzen der Selbstregulierung liegen

Bei aller Governance bleibt ein Restrisiko, das sich nicht wegorganisieren lässt: Menschen unter Zeitdruck greifen zu Abkürzungen. Wer schnell eine Antwort braucht, kopiert im Zweifel den ganzen E-Mail-Verlauf statt nur die relevante Passage, weil das schneller geht als händisches Kürzen. Genau hier setzen Prompt-Filter und technische Kontrollen an, die menschliches Fehlverhalten abfangen, ohne auf Disziplin zu vertrauen.

Ist das ausreichend? Kaum, wenn Unternehmen keine Freigabeliste für Tools führen und Mitarbeitende sich beliebige KI-Anwendungen selbst installieren – ein Phänomen, das unter dem Begriff Schatten-KI diskutiert wird und sich mit reiner Technik nur begrenzt eindämmen lässt. Hier hilft am Ende nur eine Kombination aus klaren Regeln, echten Konsequenzen bei Verstößen und einem Angebot an praktikablen, freigegebenen Alternativen, die genauso bequem sind wie die inoffizielle Lösung.

Ein weiterer blinder Fleck betrifft die Nachschulung. Viele Unternehmen führen einmalige Schulungen zum Thema Datenschutz und KI durch, aktualisieren diese aber nicht, wenn sich Tools, Funktionen oder Nutzungsbedingungen ändern. Ein Prompt-Filter, der vor einem Jahr eingerichtet wurde, erkennt neue Datenkategorien oder neue Tool-Funktionen möglicherweise nicht mehr zuverlässig. Datenminimierung ist deshalb kein einmalig abgehakter Prozess, sondern eine fortlaufende Aufgabe, die regelmäßig überprüft und angepasst werden muss – ähnlich wie andere IT-Sicherheitsmaßnahmen auch.

Was bleibt

Datenminimierung bei KI-Tools ist kein Nischenthema für Datenschutzbeauftragte, sondern eine Alltagsentscheidung, die x-mal am Tag in Sekunden getroffen wird – meist unbewusst. Der Grundsatz aus Art. 5 DSGVO ist dabei nicht abstrakt, sondern übersetzt sich in eine ganz konkrete Prüffrage vor jedem Prompt: Brauche ich das wirklich? Der Bitkom-Leitfaden liefert dafür brauchbare organisatorische Antworten, aber keine, die ohne Mitwirkung der einzelnen Nutzerin oder des einzelnen Nutzers funktionieren. Die eigentlich unbequeme Frage lautet deshalb weniger, welche Daten verboten sind, sondern ob Unternehmen ihren Beschäftigten überhaupt die Zeit und die Tools geben, datensparsam zu arbeiten – oder ob Datenminimierung am Ende an genau der Stelle scheitert, an der Tempo wichtiger scheint als Sorgfalt.