DSGVO, Sicherheit & digitale Souveränität — ohne Bremse

Governance ist im deutschen Mittelstand kein Beiwerk, sondern die Bedingung für den Rollout. Datenschutzbeauftragter, Einkauf und Betriebsrat entscheiden mit. Laut Bitkom 2025 haben nur 23 % der Unternehmen feste Regeln für den KI-Einsatz — 77 % arbeiten ohne Governance. Dieses Kapitel zeigt, wie du Sicherheit, Beschaffung und Mitbestimmung so aufsetzt, dass sie tragen statt bremsen.

Datenschutz pro Use-Case — kein Alles-oder-Nichts

Die meisten Anbieter zwingen dich zu einer einzigen Datenschutz-Einstellung für das ganze Unternehmen. Wir trennen das in vier Level, einstellbar pro Use-Case. Das gewählte Level bestimmt die zulässigen Unterauftragnehmer und damit den Inhalt deines AVV.

Ein produzierender Mittelständler nimmt seine GxP-Prozesse bewusst aus dem Scope und fährt Level 1, während die Marketing-Abteilung im selben Haus Level 4 mit PII-Filter nutzt. So bleibt jede Aufgabe auf dem passenden Schutzniveau.

Lokale Quellen bleiben unter deiner Kontrolle

Der Outpost läuft in deinem Netzwerk und indexiert freigegebene Ordner lokal. Er verbindet sich ausschließlich ausgehend mit meinGPT; ein eingehender Port aus dem Internet ist nicht nötig. Pro Ressource legst du fest, ob relevante Textausschnitte oder Originaldateien für einen Use Case bereitgestellt werden dürfen. On-Premise bedeutet hier ein kontrollierter Datenweg — nicht pauschal, dass niemals Daten übertragen werden.

Azure OpenAI EU-DataZone — verifizierbar, nicht versprochen

Der häufigste Einwand des Datenschutzbeauftragten lautet: „OpenAI heißt USA, also verboten." Das stimmt für die Standard-API. Wir nutzen den Azure OpenAI Service in der EU-DataZone: dieselben GPT-Modelle, aber ohne Zugriff durch OpenAI, ohne Trainingsnutzung, mit Verarbeitung ausschließlich in der EU.

Das Entscheidende: Du kannst es selbst prüfen. Ein Befehl der Azure-CLI zeigt, dass das Abuse-Monitoring deaktiviert ist.

az cognitiveservices account show -n resource_name -g resource_group
# zeigt "ContentLogging": "false"

Schreibzugriffe — restriktiv starten, kontrolliert freigeben

Lesende Integrationen sind die sichere Standard-Posture: Der RAG-Suchindex durchsucht dein Wissen, ohne etwas zu verändern. Wo KI in Systemen handeln soll, greift JWT-Identity-Forwarding: meinGPT gibt einen signierten Token (RS256, eine Stunde gültig) an das Zielsystem weiter, das Nutzer und Organisation sicher identifiziert. Schreibzugriffe werden damit auditierbar und übernehmen die Berechtigungen aus dem Quellsystem. Der Admin startet restriktiv und gibt Methoden und Scopes per Policy kontrolliert frei.

Beschaffung, die der Einkauf unterschreiben kann

Den AVV erstellen wir in 2–3 Werktagen — inklusive vollständiger TOMs, einem Verzeichnis der Unterauftragnehmer für dein gewähltes Level und den Datenschutz-Informationen zu den Modellen. Als externen Datenschutzbeauftragten setzen wir auf heyData. Betroffenenrechte nach Art. 15 und 17 DSGVO sind automatisiert umsetzbar.

Betriebsrat — früh einbinden, schnell ausrollen

Die Mitbestimmung nach § 87 BetrVG ist real, nicht optional. Das ArbG Hamburg (Az. 24 BVGa 1/24) hielt fest: Sobald ein Unternehmen Corporate-Lizenzen einkauft, entsteht das Mitbestimmungsrecht. Es gibt keinen Trick, das zu umgehen.

Eine frühe Einbindung des Betriebsrats verhindert, dass offene Fragen erst im Mitbestimmungstermin auftauchen und den Rollout verzögern. Deshalb sind Anonymisierung der Nutzungsmetriken und dokumentierbare Zweckbindung Produkt-Features, nicht Versprechen — und eine Betriebsvereinbarungs-Vorlage gehört zum Service.

Souveränität ist eine Architektur, kein Label

Geografie ist nicht Jurisdiktion. Vor dem französischen Senat bestätigte Microsoft im Juni 2025 unter Eid, dass US-Behörden über den CLOUD Act auf EU-Daten zugreifen können — auch innerhalb des EU Data Boundary. Ein Server in Frankfurt allein löst das nicht. Als ein europäischer Großkonzern im Dezember 2025 seinen Cloud-Ausstieg ankündigte, war das ein Signal an den Mittelstand.

Unsere Antwort ist baulich: Multi-Modell statt Single-Vendor, EU-Hosting als Default, vier Datenschutz-Level und ein PII-Filter. Die Plattform ist made und hosted in Germany (Hetzner, Ökostrom), extern pentestet (SySS) und durch ein Bug-Bounty-Programm abgesichert.

Wo du weiterliest

Governance entscheidet nicht über das Ob, sondern über das Wie des Rollouts. Wie Schreibzugriffe in der Praxis tief in deine Systeme gehen, zeigt Automatisierung. Wie du den Betriebsrat als Verbündeten gewinnst, vertieft das Change Management. Und wie sich der gesamte Rollout in Stufen ordnet, liest du in der Strategie sowie im konkreten Ablauf unter Rollout.