KI-Agenten und Datenschutz: welche Daten dein System wirklich sieht

Warum Datenschutz bei KI-Agenten anders ist als bei herkömmlicher Software

Wenn du eine klassische Buchhaltungssoftware einsetzt, ist die Datenfrage verhältnismäßig klar: Das System schreibt in eine Datenbank, liest aus definierten Tabellen und kommuniziert über dokumentierte Schnittstellen. Der Datenpfad ist bekannt, auditierbar und statisch.

KI-Agenten funktionieren grundlegend anders. Sie sind darauf ausgelegt, dynamisch auf Kontext zu reagieren, Werkzeuge zu nutzen und Entscheidungen zu treffen, die über den nächsten Schritt hinausgehen. Das macht sie wertvoll - und gleichzeitig datenschutzrechtlich komplexer als jede Software, die du bisher eingeführt hast.

Ethan Mollick beschreibt diesen Wandel mit einer treffenden Metapher: KI-Systeme entwickeln sich von kollaborativen Partnern hin zu autonomen "Zauberern", die Ergebnisse durch weitgehend undurchsichtige Prozesse liefern. Man verliert dabei die Fähigkeit, den Prozess aktiv zu gestalten - stattdessen bewertet man Outputs, deren Entstehung man nicht vollständig überblickt. Diese Intransparenz ist keine Schwäche des Modells, sondern eine strukturelle Eigenschaft autonomer Systeme. Für den Datenschutz bedeutet das: Du kannst nicht einfach nachlesen, welche Daten der Agent auf dem Weg zu seinem Ergebnis gesehen hat.

Der entscheidende Unterschied zu klassischer Software liegt in der Reichweite: Ein gut konfigurierter KI-Agent kann in einer einzigen Aufgabe auf E-Mails, Kalendereinträge, CRM-Daten, interne Dokumente und externe APIs zugreifen - und das alles innerhalb eines einzigen Verarbeitungsschritts, ohne dass ein Mensch jeden einzelnen Zugriff genehmigt hat.

Was der Context Window wirklich enthält - und warum er das Kernproblem ist

Der Begriff "Context Window" klingt technisch, ist aber für den Datenschutz die wichtigste Einheit, die du verstehen musst. Vereinfacht gesagt: Alles, was sich im Context Window eines KI-Agenten befindet, sieht das Modell. Und zwar vollständig, gleichzeitig und ohne die Möglichkeit, einzelne Teile zu verbergen.

In einem typischen Unternehmens-Agenten enthält der Context Window zum Zeitpunkt der Verarbeitung:

• Den Systemkontext (deine Konfiguration und Anweisungen an den Agenten)
• Den aktuellen Nutzerauftrag oder die laufende Aufgabe
• Den Verlauf der bisherigen Konversation oder Agentenaktionen
• Alle Dokumente, Dateien oder Datenbankabfragen, die als Werkzeug-Ergebnis zurückgegeben wurden
• Externe Daten aus angebundenen APIs oder Systemen
• In manchen Architekturen: persistenten Speicher aus früheren Sitzungen

Das bedeutet konkret: Wenn dein Agent eine Aufgabe wie "Erstelle eine Zusammenfassung aller offenen Kundenanfragen aus dem letzten Monat" ausführt, enthält sein Context Window zwischenzeitlich die vollständigen Rohdaten aus deinem CRM - mit Namen, Kontaktdaten und Kommunikationsverläufen.

Drei Datenebenen, die jedes KI-System berührt

Um die Datenschutzfrage strukturiert zu beantworten, hilft es, zwischen drei Ebenen zu unterscheiden. Diese Ebenen existieren in nahezu jedem KI-System, werden aber selten explizit dokumentiert.

Ebene 1: Konfigurationsdaten

Das ist alles, was du dem System beim Setup mitgibst: Systemprompts, Rollen-Definitionen, Verhaltensregeln und Kontext über dein Unternehmen. Diese Daten sind in der Regel statisch und weniger sensitiv - aber sie legen fest, wie der Agent auf andere Daten zugreift.

Ben Tossell hat dieses Konzept in seinem eigenen Setup konsequent umgesetzt: Er betreibt ein persönliches Betriebssystem auf Basis einer einzigen strukturierten Konfigurationsdatei, die Anweisungen für alle Bereiche seines digitalen Lebens enthält - von Coding über Investitionen bis zu autonomen Agenten-Aufgaben. Was auf den ersten Blick wie ein persönliches Projekt wirkt, ist architektonisch identisch mit dem, was Unternehmen beim Aufbau von KI-Systemen tun: Du definierst einmal, was das System darf, sieht und wie es handelt.

Ebene 2: Operationale Daten

Hier wird es datenschutzrechtlich relevant. Operationale Daten sind alle Informationen, die der Agent während einer Aufgabe verarbeitet: Dokumente, die er liest, Datenbanken, die er abfragt, E-Mails, die er analysiert, und Antworten von externen APIs. Diese Daten sind oft personenbezogen und unterliegen der DSGVO.

Die kritische Frage auf dieser Ebene ist nicht, ob der Agent auf diese Daten zugreift - das ist sein Auftrag. Die Frage ist, ob dieser Zugriff dokumentiert, begrenzt und im Rahmen einer Verarbeitungstätigkeit erfasst ist.

Ebene 3: Gedächtnis und persistenter Speicher

Das ist die am häufigsten übersehene Ebene. Moderne KI-Agenten können über Sitzungen hinweg Informationen speichern - entweder explizit durch Memory-Systeme oder implizit durch gespeicherte Konversationsverläufe. Was in einer Sitzung verarbeitet wurde, kann in einer späteren Sitzung wieder auftauchen.

Mehr Autonomie bedeutet mehr Datenzugriffe - ein wachsendes Spannungsfeld

Die Leistungsfähigkeit autonomer KI-Agenten hat in kurzer Zeit erhebliche Fortschritte gemacht. Aktuelle Daten aus der Forschung zu Agenten-Systemen zeigen: KI kann inzwischen Aufgaben mit einer Länge von rund 100 Schritten mit 99-prozentiger Genauigkeit zuverlässig abarbeiten, bevor menschliche Kontrolle notwendig wird. Für Aufgaben mit einer Dauer von zwei Stunden liegt die Erfolgsquote bei 50 Prozent, fällt aber auf 25 Minuten, wenn man 80-prozentige Zuverlässigkeit anstrebt.

Was bedeutet das für den Datenschutz? Ein Agent, der 100 Schritte autonom ausführt, hat in dieser Zeit möglicherweise 100 separate Datenzugriffe durchgeführt - jeder davon ein potenziell dokumentationspflichtiger Verarbeitungsvorgang im Sinne der DSGVO. Die gute Nachricht: Diese Schritte sind protokollierbar. Die schlechte Nachricht: Die meisten Unternehmen tun es nicht.

Salesforce hat bei der Entwicklung seiner Enterprise-KI-Plattform einen Ansatz gewählt, der für diese Herausforderung instruktiv ist: Das Unternehmen hat explizit sogenannte Trust Layer in seine Agenten-Architektur eingebaut - Schichten, die zwischen dem Modell und den Unternehmensdaten sitzen und genau kontrollieren, welche Daten dem Agenten zugänglich gemacht werden. Diese Architekturentscheidung ist keine Einschränkung der KI-Fähigkeiten, sondern eine Voraussetzung dafür, dass KI-Agenten überhaupt in regulierten Unternehmensumgebungen eingesetzt werden können.

Das Prinzip ist übertragbar: Datenschutz bei KI-Agenten ist keine Compliance-Checkliste, die du nach der Implementierung abarbeitest. Er ist eine Architekturentscheidung, die du vor dem ersten Deployment triffst.

Was Anbieter wie Anthropic wirklich sehen - und was nicht

Eine der häufigsten Fragen in Datenschutz-Diskussionen lautet: "Sieht der Anbieter meine Daten?" Die Antwort ist differenzierter als ein einfaches Ja oder Nein.

Katelyn Lesse von Anthropic hat beim Aufbau der Agenten-Plattform drei zentrale Fähigkeiten beschrieben, die Entwicklern zur Verfügung gestellt werden: die Nutzung der Modell-Intelligenz durch anpassbare Parameter, das Management des Context Windows, und die Möglichkeit, dem Modell mehr Autonomie bei Rechenaufgaben zu geben. Was dabei auffällt: Der Context Window - also die Daten, die das Modell tatsächlich verarbeitet - liegt technisch gesehen beim Anbieter, wenn du eine Cloud-API nutzt. Das bedeutet, dass deine Anfragen inklusive aller angehängten Dokumente und Daten die Server des Anbieters erreichen.

Was typischerweise beim Anbieter landet

Wichtig: Die meisten Enterprise-Anbieter haben inzwischen Optionen für Zero-Retention (keine Speicherung der Anfragen) und EU-Datenverarbeitung. Diese müssen aber explizit konfiguriert und vertraglich abgesichert werden. Standardmäßig gelten sie nicht.

Datenschutz durch Architektur: was du vor dem Deployment entscheiden musst

Datenschutzkonforme KI-Systeme entstehen nicht durch Verbote, sondern durch bewusste Architekturentscheidungen. Die folgenden vier Fragen musst du für jedes KI-Agenten-System beantworten, bevor es in Produktion geht.

Frage 1: Welche Werkzeuge bekommt der Agent?

Jedes Werkzeug (Tool), das du einem Agenten gibst, ist ein potenzieller Datenzugriffspunkt. Ein Agent mit Zugriff auf E-Mail, CRM und Dokumentenspeicher gleichzeitig kann diese Daten im Context Window kombinieren - das ist datenschutzrechtlich eine neue Verarbeitungssituation, selbst wenn jedes einzelne System schon länger im Einsatz ist.

Frage 2: Wie granular ist die Zugriffskontrolle?

Ein Lesezugriff auf das gesamte CRM ist nicht dasselbe wie ein Lesezugriff auf die offenen Tickets des letzten Monats. Je enger du die Datenmenge begrenzt, die der Agent tatsächlich abrufen kann, desto geringer ist das Datenschutzrisiko - und desto besser werden in der Regel auch die Ergebnisse, weil der Agent nicht durch irrelevante Daten abgelenkt wird.

Frage 3: Wo werden Logs gespeichert?

Agentenprotokolle sind für Audits unverzichtbar, können aber selbst personenbezogene Daten enthalten - nämlich dann, wenn der Agent Daten aus dem Context Window in seinen Aktionsprotokollen vermerkt. Logs brauchen daher eigene Zugriffskontrollen und Aufbewahrungsfristen.

Frage 4: Wer kann den Agenten zur Laufzeit steuern?

Anthropic hat in seiner Plattform-Weiterentwicklung bewusst flexible Kontrollmechanismen für Entwickler eingebaut - von der Steuerung der Denkzeit über zuverlässige Werkzeugnutzung bis hin zu abgestuften Autonomiegaben. Dieses Prinzip ist direkt auf Datenschutz übertragbar: Definiere explizit, welche Nutzergruppen welchen Grad an Agenten-Autonomie auslösen dürfen.

Was Betriebsrat und DSGVO konkret von dir fordern

Die häufigste Einführungsblockade für KI-Agenten in deutschen Unternehmen ist nicht die Technologie - es ist die fehlende Dokumentation dessen, was das System tut. Betriebsräte und Datenschutzbeauftragte blockieren nicht aus Prinzip, sondern weil sie berechtigte Fragen stellen, auf die viele Projektteams keine belastbaren Antworten haben.

Die typischen Fragen lauten:

• Welche Daten über Mitarbeitende verarbeitet das System?
• Werden Leistungs- oder Verhaltensdaten von Beschäftigten erfasst oder ausgewertet?
• Kann das System Entscheidungen über Personen vorbereiten oder treffen?
• Wer hat Zugriff auf die Protokolle des Systems?
• Wie lange werden Daten gespeichert und wie werden sie gelöscht?

Diese Fragen sind mit technischen Antworten zu beantworten - nicht mit Zusicherungen wie "das System ist sicher" oder "der Anbieter ist DSGVO-konform". Was Betriebsräte und Datenschutzbeauftragte brauchen, sind konkrete Aussagen zur Architektur: Welche Datenpfade existieren, welche nicht, und wer hat das schriftlich dokumentiert.

Mitbestimmungspflicht beachten

In Deutschland unterliegen KI-Systeme, die das Verhalten oder die Leistung von Beschäftigten überwachen oder beeinflussen können, der Mitbestimmungspflicht nach § 87 Abs. 1 Nr. 6 BetrVG. Das betrifft nicht nur explizite Überwachungssysteme - es kann auch Agenten umfassen, die automatisch auf die Kommunikation von Mitarbeitenden zugreifen oder Aufgabenprotokolle führen.

Datensichtbarkeit nach Systemtyp: was welche KI-Architektur wirklich sieht

Nicht jedes KI-System ist gleich. Die Datensichtbarkeit hängt stark vom Systemtyp ab. Die folgende Übersicht zeigt, welche Architektur welche Datenkategorien typischerweise berührt - als Ausgangspunkt für deine eigene Bewertung.

Besonders die letzten beiden Systemtypen sind in deutschen Unternehmen gerade im Aufbau - und genau dort fehlt oft die datenschutzrechtliche Begleitung. Ein Langzeit-Agent, der über Stunden selbstständig arbeitet, akkumuliert Datenzugriffe über viele Systeme hinweg. Ohne explizite Logging- und Zugriffsarchitektur ist eine nachträgliche Prüfung kaum möglich.

Fehler, die Unternehmen bei der Einführung regelmäßig machen

Die Einführung von KI-Agenten scheitert selten an der Technologie. Sie scheitert an organisatorischen und architektonischen Versäumnissen, die sich im Nachhinein als teuer herausstellen. Hier sind die häufigsten davon.

Fehler 1: Den Datenschutzbeauftragten zu spät einbeziehen

Datenschutzbeauftragte werden häufig erst einbezogen, wenn das System bereits konfiguriert ist. Zu diesem Zeitpunkt sind Architekturentscheidungen, die die Datensichtbarkeit bestimmen, bereits getroffen. Eine nachträgliche Anpassung ist teuer, zeitaufwendig und manchmal technisch nicht mehr möglich.

Fehler 2: Testsysteme mit Echtdaten betreiben

In der Testphase werden KI-Agenten häufig mit echten Kundendaten verbunden, weil anonymisierte Testdaten aufwendig zu erstellen sind. Das ist datenschutzrechtlich problematisch, weil die Testumgebung in der Regel weniger gesichert ist als die Produktivumgebung und keine AVV-Grundlage für die Verarbeitung besteht.

Fehler 3: Werkzeuge ohne Scope-Begrenzung konfigurieren

Viele Implementierungen geben dem Agenten Lesezugriff auf ganze Systeme, obwohl die Aufgabe nur einen kleinen Teil der Daten erfordert. Das erhöht nicht nur das Datenschutzrisiko, sondern senkt auch die Qualität der Ergebnisse, weil der Agent mit irrelevanten Daten konfrontiert wird.

Fehler 4: Datenschutz-Folgenabschätzung vergessen

Für KI-Systeme, die systematisch personenbezogene Daten verarbeiten oder Profiling ermöglichen, ist eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO verpflichtend. Viele Unternehmen übersehen das, weil sie KI-Agenten nicht als "Verarbeitung mit hohem Risiko" einordnen - obwohl sie es bei näherer Betrachtung sein können.

Die gute Nachricht: Alle diese Fehler sind vermeidbar. Sie erfordern keine zusätzliche Technologie, sondern einen strukturierten Prozess - und jemanden im Team, der die richtigen Fragen zur richtigen Zeit stellt. Genau dafür gibt es die Prüfliste, die wir für diesen Artikel zusammengestellt haben.

Fragen aus der Praxis