KI Datenschutz im Handwerk: Welche Kundendaten nicht in KI-Tools gehören

Dein Büro nutzt vielleicht längst KI: für Angebotstexte, E-Mails oder Baustellenberichte. Bei der Frage KI Datenschutz im Handwerk hört der Spaß aber schnell auf, denn in den Texten stecken Namen, Adressen und Anlagendaten deiner Kunden. Du bist als Inhaber verantwortlich dafür, was damit passiert. Dieser Beitrag zeigt dir, worauf es ankommt und wie du mit einer einfachen Betriebsregel für Klarheit sorgst.

Warum Datenschutz bei KI ein Chefthema ist

Wenn ein Mitarbeiter einen Kundenbrief in ein KI-Tool kopiert, um ihn „schnell umzuformulieren“, gibt er personenbezogene Daten an einen externen Dienst weiter. Ob das zulässig ist, hängt vom Tool, vom Vertrag und von den Daten ab. Gerade weil es so schnell geht, passiert es oft ohne jede Absprache.

Die Datenschutzkonferenz (DSK), in der die Datenschutzaufsichtsbehörden von Bund und Ländern zusammenarbeiten, hat am 6. Mai 2024 eine Orientierungshilfe zu KI und Datenschutz für Unternehmen und Behörden veröffentlicht. Sie legt den Schwerpunkt auf große Sprachmodelle wie Chatbots. Die Kriterien lassen sich aber auch auf andere KI-Anwendungen übertragen.

Meine Meinung: Das Risiko liegt selten in der KI selbst, sondern darin, dass niemand im Betrieb weiß, was erlaubt ist.

Was die Orientierungshilfe für dich bedeutet

Die DSK nennt drei Punkte, die für Handwerksbetriebe besonders hilfreich sind:

• Eingabedaten klären. Du solltest wissen, welche personenbezogenen Daten in ein KI-System eingegeben werden und ob das zulässig ist.
• Tool sorgfältig auswählen. Wichtige Kriterien sind laut DSK unter anderem die Zweckbestimmung, die Transparenzpflichten, die Betroffenenrechte und die Richtigkeit der Ergebnisse.
• Verträge prüfen. Die Vereinbarung mit dem KI-Anbieter muss datenschutzkonform gestaltet sein. Dazu gehört in vielen Fällen ein Vertrag zur Auftragsverarbeitung.

Das ist keine Rechtsberatung, sondern eine Orientierung. Im Einzelfall klärst du die Details mit deinem Datenschutzbeauftragten oder einem Anwalt.

Welche Daten du im Alltag besser nicht eingibst

Eine einfache Faustregel hilft Mitarbeitern mehr als jedes Regelwerk: Alles, was einen Kunden identifizierbar macht, bleibt draußen, solange du das Tool nicht geprüft hast.

Das betrifft typischerweise:

• Namen, Anschriften, Telefonnummern und E-Mail-Adressen von Kunden
• Rechnungs- und Zahlungsdaten
• Fotos, auf denen Personen, Hausnummern oder Fahrzeugkennzeichen erkennbar sind
• Zugangsdaten und Schlüsselinformationen, etwa zu Objekten
• Interne Kalkulationen und Preislisten, die du nicht nach außen geben willst

Du kannst KI trotzdem sinnvoll nutzen. Statt „Herr Müller, Musterstraße 5“ schreibst du „Kunde A“ und fügst die Daten später selbst wieder ein. Auch Textbausteine ohne Personenbezug, allgemeine Arbeitsanweisungen oder Checklisten sind unkritisch. Wie das im Alltag aussieht, zeigt der Beitrag zu Arbeitsanweisungen mit KI.

Ein typisches Beispiel aus dem Büroalltag

Ein SHK-Betrieb mit 15 Mitarbeitern lässt Anfragen im Büro von zwei Personen bearbeiten. Beide haben unabhängig voneinander ein KI-Tool für Angebotstexte entdeckt und kopieren Kundenanfragen samt Adresse hinein. Der Inhaber erfährt davon erst zufällig.

Das ist ein typisches Muster und keine böse Absicht. Die Lösung ist selten ein Verbot, sondern eine klare Vorgabe: welches Tool, welche Daten, welcher Prüfschritt. Dann nutzt das Team KI sogar lieber, weil es sich nicht mehr unsicher fühlt.

Die Betriebsregel: eine Seite reicht

Schreibe eine einseitige KI-Regel für deinen Betrieb. Sie muss nicht perfekt sein, sie muss gelesen und gelebt werden. Bewährt haben sich vier Punkte:

1. Welche Tools sind freigegeben, und wer hat sie geprüft?
2. Welche Daten dürfen nie eingegeben werden?
3. Wer entscheidet bei Unsicherheit?
4. Wie werden KI-Ergebnisse vor dem Versand geprüft?

Der letzte Punkt wird oft vergessen. KI kann sich irren, und am Ende unterschreibst du das Angebot oder den Bericht. Auch die EU-Regeln zu KI spielen hinein: Wer KI im Kundenkontakt einsetzt, kann zusätzliche Pflichten haben. Mehr dazu steht im Beitrag zum EU AI Act.

Erst Struktur, dann Tool: Wenn die Regel steht, kannst du neue Werkzeuge in Ruhe prüfen, statt dass jeder Mitarbeiter sein eigenes ausprobiert.

Was du jetzt tun solltest

1. Bestandsaufnahme machen. Frage im Team, wer welche KI-Tools bereits nutzt, auch privat auf dem Diensthandy. Ohne Vorwurf, nur um Klarheit zu bekommen.
2. Freigegebene Tools festlegen. Wähle ein oder zwei Werkzeuge, die du prüfen lässt, und sag klar, dass alles andere nicht für Kundendaten gedacht ist.
3. Vertrag und Datenschutzhinweise prüfen. Lass dir vom Anbieter die Unterlagen geben und kläre offene Punkte mit deinem Datenschutzbeauftragten.
4. Eine Seite Betriebsregel schreiben. Hänge sie im Büro auf und bespreche sie einmal im Team.
5. Datenschutzhinweise aktualisieren. Wenn du KI im Kundenkontakt einsetzt, sollten deine Hinweise dazu passen. Frage dazu deinen Datenschutzbeauftragten.

Häufige Fragen

Darf ich Kundendaten in ein KI-Tool eingeben? Das hängt vom Tool, vom Vertrag und von den Daten ab. Die DSK empfiehlt, vorher zu klären, welche personenbezogenen Daten eingegeben werden und ob das zulässig ist. Solange du das nicht geprüft hast, lass Kundendaten besser draußen.

Brauche ich einen Vertrag mit dem KI-Anbieter? In vielen Fällen ja. Die DSK weist darauf hin, dass die Vereinbarungen mit KI-Anbietern datenschutzkonform gestaltet sein müssen. Wie das konkret aussieht, klärst du mit deinem Datenschutzbeauftragten.

Reicht es, die Namen zu entfernen? Das hilft, ist aber nicht in jedem Fall ausreichend. Adressen, Anlagendaten oder Fotos können Personen ebenfalls erkennbar machen. Im Zweifel gilt: lieber weglassen.

Fazit

KI spart dir Zeit, aber nur, wenn du dabei nicht gegen die Spielregeln verstößt. Du brauchst keine zehnseitige Richtlinie, sondern eine kurze Betriebsregel, geprüfte Tools und ein Team, das weiß, was es eingeben darf. Nimm dir diese Woche eine Stunde dafür.

Quelle: LfD Niedersachsen: Künstliche Intelligenz datenschutzkonform einsetzen – Orientierungshilfe der Datenschutzkonferenz (6. Mai 2024).

Stand: Oktober 2026. Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Bitte vor Entscheidungen den aktuellen Stand prüfen.