{"id":15985,"date":"2026-09-22T09:53:35","date_gmt":"2026-09-22T07:53:35","guid":{"rendered":"https:\/\/dombert.de\/?p=15985"},"modified":"2026-09-22T14:52:22","modified_gmt":"2026-09-22T12:52:22","slug":"when-it-comes-to-handling-ki-and-personal-data-are-common-anonymisation-methods-still-sufficient","status":"publish","type":"post","link":"https:\/\/dombert.de\/en\/vom-umgang-mit-ki-und-personenbezogene-daten-reichen-gaengige-anonymisierungsmethoden-noch-aus\/","title":{"rendered":"Dealing with AI and personal data: Are standard anonymisation methods still sufficient?"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Vom Umgang mit KI und personenbezogene Daten: Reichen g\u00e4ngige Anonymisierungsmethoden noch aus?<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Michael Jessen-Lieberum<\/span><\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t<\/path><\/svg>\t\t\t<\/a>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Blogbeitrag<\/span><\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

|<\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

22.09.2026<\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Derzeit f\u00fchrt der vom Bundesministerium f\u00fcr Digitales und Staatsmodernisierung (BMDS) eingerichtete \u201eMarktplatz der KI-M\u00f6glichkeiten\u201c bereits 399 KI-Systeme, die in der Verwaltung eingesetzt werden k\u00f6nn(t)en. Nach einer aktuellen Studie nutzen rund 90 Prozent der Rechtsanw\u00e4ltinnen und Rechtsanw\u00e4lte in Deutschland mindestens ein KI-Werkzeug in ihrer t\u00e4glichen Arbeit. In diesem Zusammenhang stellen sich f\u00fcr Beh\u00f6rden und Anwaltschaft \u00e4hnliche Fragen: Was darf mit personenbezogenen Daten geschehen, wenn heutige Sprachmodelle (LLMs) ins Spiel kommen?<\/p>

\u00a0<\/p>

In der Verwaltung geht es dabei unter anderem um die Frage, ob und inwieweit die Daten der Besch\u00e4ftigten f\u00fcr das Training eigener KI-Systeme verwendet werden d\u00fcrfen. Aus Sicht der Anwaltschaft ist zu \u00fcberlegen, ob eine Anonymisierung von Dokumenten, bei der mandatsbezogene Identifikatoren \u2013 etwa Name und Anschrift \u2013 geschw\u00e4rzt werden, bereits ausreicht, um als Berufsgeheimnistr\u00e4ger die Verschwiegenheitspflichten nicht zu verletzen.<\/p>

\u00a0<\/p>

Wenn die Beh\u00f6rden KI entwickelt<\/strong><\/p>

\u00a0<\/p>

Bereits unter dem Gesichtspunkt der Daten-Souver\u00e4nit\u00e4t kann die Entwicklung eigener KI-Systeme in der Verwaltung sinnvoll sein. In Betracht kommen Anwendungen f\u00fcr die Personalverwaltung selbst, beispielsweise f\u00fcr Beihilfe- und Dienstreiseangelegenheiten, f\u00fcr Beurteilungen oder das Disziplinarrecht. Wer solche Systeme selbst trainieren will, braucht jedoch Daten. In der Personalverwaltung sind dies vor allem Besch\u00e4ftigtendaten.<\/p>

\u00a0<\/p>

Die europ\u00e4ische Verordnung \u00fcber k\u00fcnstliche Intelligenz (KI-VO) ordnet Systeme f\u00fcr die Personalverwaltung meist als sogenannte Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 i. V. m. Anh. III Nr. 4 lit. b KI-VO ein, wobei eine solche Einstufung in jedem Einzelfall zu pr\u00fcfen ist. F\u00fcr diese Systeme gelten ab dem 2. August 2027 besondere Dokumentations-, Qualit\u00e4tsmanagement- und Konformit\u00e4tspflichten, die auch eine Beh\u00f6rde treffen, wenn sie als Anbieterin eines KI-Systems auftritt. Hinzu kommen die Anforderungen des Art. 10 KI-VO an die Qualit\u00e4t der verwendeten Trainingsdaten: Diese m\u00fcssen m\u00f6glichst repr\u00e4sentativ, fehlerfrei und vollst\u00e4ndig sein.<\/p>

\u00a0<\/p>

Die eigentliche H\u00fcrde liegt im Datenschutzrecht: Eine wirksame Einwilligung der Besch\u00e4ftigten in die Datenverarbeitung nach Art. 7 Datenschutz-Grundverordnung (DSGVO) wird aufgrund der Hierarchie in einem Dienstverh\u00e4ltnis regelm\u00e4\u00dfig an der fehlenden Freiwilligkeit scheitern (Art. 7 Abs. 4 DSGVO). Auch das Gebot der Informiertheit d\u00fcrfte angesichts intransparenter Trainingssysteme schwierig zu erf\u00fcllen sein. Ebenso wird ein Widerruf der Einwilligung nach Art. 7 Abs. 3 DSGVO kaum umzusetzen sein, weil einmal antrainierte Daten kaum mehr aus einem KI-Modell entfernt werden k\u00f6nnen.<\/p>

\u00a0<\/p>

Das Training mit Besch\u00e4ftigtendaten wird zudem nicht von \u00a7 26 Abs. 1 S. 1 Bundesdatenschutzgesetz (BDSG) gedeckt sein. Danach kann eine Datenverarbeitung zum Zweck des Besch\u00e4ftigungsverh\u00e4ltnisses zwar grunds\u00e4tzlich zul\u00e4ssig sein. Das KI-<\/p>

Training stellt aber keinen solchen Zweck dar. Die Generalklausel des \u00a7 3 BDSG und die entsprechenden Vorschriften der Landesdatenschutzgesetze erlauben wiederum nur Verarbeitungen von geringer Intensit\u00e4t, an der es beim Training eines KI-Systems fehlt.<\/p>

\u00a0<\/p>

Auch ein externer Anbieter darf die Besch\u00e4ftigtendaten, die ihm als Auftragsverarbeiter \u00fcberlassen werden, zur Verbesserung seines KI-Systems nicht nutzen. Die Interessen der Besch\u00e4ftigten \u00fcberwiegen, weil sie mit einer solchen Verwendung nicht rechnen m\u00fcssen \u2013 im Fall von Beamtinnen und Beamten etwa aufgrund der Vertraulichkeit der Personalakte.<\/p>

\u00a0<\/p>

Als gangbarer Weg bleibt damit lediglich das Training mit anonymisierten Besch\u00e4ftigtendaten: Die Anonymisierung selbst kann als geringf\u00fcgiger Eingriff auf Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO i. V. m. \u00a7 3 BDSG oder der jeweiligen Landesgeneralklausel gest\u00fctzt werden. F\u00fcr identifizierbare personenbezogene Daten m\u00fcsste der Gesetzgeber hingegen eine Rechtsgrundlage schaffen, die der Verwaltung nicht nur die Aufgabe zuweist, KI-Systeme zu entwickeln, sondern ihr auch die Befugnis einr\u00e4umt, hierf\u00fcr auf die Daten ihrer Besch\u00e4ftigten zur\u00fcckzugreifen.<\/p>

\u00a0<\/p>

F\u00fcr Beh\u00f6rden, die ein KI-Projekt in der Personalverwaltung planen, folgt daraus zweierlei: Sie m\u00fcssen die Anonymisierung der Trainingsdaten als rechtliche Voraussetzung des gesamten Vorhabens von Beginn an in die Projektplanung einbeziehen. Wird ein System eines externen Anbieters eingesetzt, sollte der Auftragsverarbeitungsvertrag daraufhin \u00fcberpr\u00fcft werden, ob er eine Nutzung der eingegebenen Daten zu Trainingszwecken ausschlie\u00dft.<\/p>

\u00a0<\/p>

Wenn Anonymisierung nicht mehr gen\u00fcgt<\/strong><\/p>

\u00a0<\/p>

Aber wann k\u00f6nnen Daten \u00fcberhaupt als anonymisiert gelten? Bis heute wird h\u00e4ufig \u2013 so auch in der Anwaltschaft \u2013 davon ausgegangen, dass Schw\u00e4rzungen der direkten Identifikatoren wie Name, Anschrift oder Berufsbezeichnung bereits ausreichen, um die Unterlagen zu anonymisieren, um sodann auf eine gesonderte Geheimhaltungsvereinbarung mit dem Anbieter zu verzichten.<\/p>

\u00a0<\/p>

Derartige Schw\u00e4rzungen gehen auf eine traditionelle Vorstellung der Geheimhaltung zur\u00fcck, die sich als \u201epraktische Obskurit\u00e4t\u201c beschreiben l\u00e4sst. Man geht davon aus, dass der Aufwand einer De-Anonymisierung eines geschw\u00e4rzten Dokuments in keinem wirtschaftlich sinnvollen Verh\u00e4ltnis zum Ertrag steht, wenn die direkten Identifikatoren entfernt wurden. Das Dokument bleibt zwar theoretisch rekonstruierbar, praktisch gesehen ist es aber obskur.<\/p>

\u00a0<\/p>

Diese Rechnung geht im Jahr 2026 nicht l\u00e4nger auf. Aktuelle Studien zum Einsatz von LLMs zeigen, dass bereits heute handels\u00fcbliche Sprachmodelle erhebliche Trefferquoten bei der De-Anonymisierung erreichen: In einer Untersuchung der ETH Z\u00fcrich und der Entwickler hinter dem Sprachmodell Claude von Anthropic ordnete ein Sprachmodell beispielsweise ein gutes Drittel von rund 89.000 LinkedIn-Profilen korrekt anonymen Nutzerbeitr\u00e4gen in einem anderen Internetforum zu.\u00a0 [Link zur Studie]<\/a>.<\/p>

Eine klassische \u2013 und h\u00e4ndische \u2013 Schlagwortsuche erreichte unter gleichen Bedingungen eine Trefferquote von lediglich 4,2 Prozent.<\/p>

\u00a0<\/p>

Wer nur vermeintlich anonymisierte Unterlagen in ein cloudbasiertes Sprachmodell l\u00e4dt, das geschw\u00e4rzte Namen aber anhand der verbliebenen Quasi-Identifikatoren \u2013 also auf den ersten Blick nebens\u00e4chlicher Sachverhaltsangaben wie eines Branchenbezugs oder stilistischer Ausdrucksmerkmale \u2013 erkennen kann, riskiert, seine Verschwiegenheitspflichten zu verletzen. F\u00fcr Anw\u00e4ltinnen und Anw\u00e4lte sind diese in \u00a7 43 a Abs. 2 der Bundesrechtsanwaltsordnung (BRAO) geregelt. Daneben droht auch eine Strafbarkeit wegen der Verletzung von Privatgeheimnissen nach \u00a7 203 Abs. 1 Nr. 3 Strafgesetzbuch (StGB).<\/p>

\u00a0<\/p>

H\u00e4ndische Anonymisierungsversuche reichen nicht mehr<\/strong><\/p>

\u00a0<\/p>

In Zeiten der breiten Verf\u00fcgbarkeit gro\u00dfer Sprachmodelle muss sich der Geheimnisschutz damit von h\u00e4ndischen Anonymisierungsversuchen in eine rechtsgesch\u00e4ftliche Absicherung verlagern:<\/p>

\u00a0<\/p>

\u00b7 Gesichert zul\u00e4ssig bleibt der Einsatz cloudbasierter Sprachmodelle f\u00fcr Rechtsanw\u00e4lte und andere Berufsgeheimnistr\u00e4ger nur auf Grundlage einer Vereinbarung mit dem Anbieter, etwa nach \u00a7 43e BRAO, flankiert durch die Verpflichtung des Anbieters nach \u00a7 203 Abs. 4 StGB, die Verschwiegenheit, Strafbarkeitshinweis, Textform und die Erstreckung auf Subunternehmer umfasst.<\/p>

\u00b7 Wo eine solche Vereinbarung nicht zu erreichen ist, muss im Einzelfall der Mandant einwilligen. Eine blo\u00df einseitige Zusicherung des KI-Anbieters in Allgemeinen Gesch\u00e4ftsbedingungen oder Datenschutzhinweisen reicht hingegen nicht aus.<\/p>

\u00a0<\/p>

Rechtsanw\u00e4ltinnen und Rechtsanw\u00e4lte und andere Berufsgeheimnistr\u00e4ger m\u00fcssen ihre bestehenden Vertr\u00e4ge dahingehend \u00fcberpr\u00fcfen. Die regul\u00e4ren Verbraucherabonnements der gro\u00dfen Anbieter erf\u00fcllen die Anforderungen des \u00a7 43e BRAO (oder \u00a7 203 Abs. 4 StGB) in aller Regel nicht.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Meine Empfehlung<\/h3>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t