Der Aktenordner, der in die fremde Cloud wandert

Stell dir eine Beratungsstelle für Geflüchtete vor. Zwei Räume in einem Lichtenberger Plattenbau, ein Drucker, der seit 2019 streikt, und in den Regalen die eigentliche Substanz der Arbeit: über Jahre gewachsene Fallakten. Anhörungsprotokolle, ärztliche Gutachten, Schilderungen von Verfolgung und Folter, handschriftliche Notizen am Rand. Irgendwann kommt die naheliegende Idee, und sie kommt meistens von den Engagiertesten: Könnte eine KI das alles durchsuchbar machen? „Was haben wir eigentlich zu Abschiebungen nach Afghanistan?" – und in Sekunden liegt die Antwort vor, mit Verweis auf die richtigen Akten, statt nach drei Stunden Wühlen im Ordner „Diverses 2021".

Das wäre ein echter Gewinn für die Arbeit. Genau deshalb ist die Idee so verführerisch, und genau deshalb sollte man sie nicht mit einem reflexhaften „Datenschutz, geht nicht" abbügeln. Der Bedarf ist real.

Und genau hier beginnt das Problem. Denn um das zu leisten, muss so ein System die Akten lesen, zerlegen, verwandeln und speichern – und je nachdem, wie man es baut, verlässt dabei genau das Sensibelste, was eine NGO besitzt, unbemerkt das Haus. Diese Reihe handelt davon, wie man den Gewinn haben kann, ohne den Verrat. Sie beginnt mit der Frage, die alles andere bestimmt: Wessen Daten stecken eigentlich in so einem System, und wohin gehen sie?

Ich versuche das über vier Teile so genau wie möglich zu beantworten – auch da, wo die belegbare Version weniger griffig ist als die zugespitzte. Wer für die Rechte der Betroffenen streitet, kommt mit Argumenten weiter, die halten. Schon in diesem Teil wird das einmal ein bisschen wehtun.

Was RAG wirklich tut – in einem Bild

Der Fachbegriff lautet Retrieval-Augmented Generation, kurz RAG. Man kann ihn sich als sehr fähige Bibliotheksassistenz vorstellen. Das Sprachmodell selbst – ChatGPT, ein lokales Modell, egal – hat eure Akten nie gelesen. Es bekommt zur Laufzeit nur die passenden Stellen zugereicht und formuliert daraus eine Antwort. Das ist der ganze Trick, und er ist deshalb so nützlich, weil man kein eigenes Modell teuer trainieren muss – man legt dem fertigen Modell einfach die richtigen Seiten auf den Tisch.

Damit das funktioniert, läuft im Hintergrund eine Kette ab. Die Dokumente werden in kleine Häppchen zerschnitten, im Fachjargon „Chunks". Jedes Häppchen wird von einem eigenen Modell in eine lange Zahlenreihe übersetzt – ein „Embedding", eine Art Bedeutungs-Koordinate. Diese Zahlenreihen landen in einer spezialisierten Datenbank, der Vektordatenbank. Stellt jemand eine Frage, wird auch die Frage in so eine Zahlenreihe übersetzt, die Datenbank sucht die ähnlichsten Häppchen heraus, und diese werden zusammen mit der Frage an das Sprachmodell geschickt, das die Antwort baut.

Ich komme aus dem Tonstudio, deshalb erlaube ich mir ein Bild aus der Werkstatt: RAG ist wie das Sampeln. Man erfindet den Klang nicht neu, man greift in ein Archiv und legt im richtigen Moment das richtige Schnipsel auf die Spur. Das Ergebnis klingt, als käme es aus einem Guss – dabei ist es zusammengesetzt aus Material, das vorher irgendwo lag. Und wie beim Sampeln gilt: Es kommt sehr darauf an, wessen Material man da eigentlich verarbeitet und ob man es durfte.

Die sieben Stellen, an denen die Daten das Haus verlassen können

Die verbreitete Vorstellung lautet: „Ich schicke ja nur eine kurze Frage raus, die Akten bleiben bei mir." Das ist der erste Trugschluss, und er ist gefährlich, weil er beruhigt. Tatsächlich fallen personenbezogene Daten an mindestens sieben Stellen an – und es lohnt, sie einmal einzeln durchzugehen, weil jede davon später einen eigenen Schutz braucht.

Erstens im Korpus selbst, der Sammlung der Dokumente. Zweitens in den Chunks, den Häppchen, die oft ganze Absätze mit Namen, Geburtsdaten und Diagnosen enthalten. Drittens in den Embeddings, den Zahlenreihen – und wer glaubt, die seien harmlos, den hole ich gleich ab. Viertens in der Vektordatenbank, in der all das dauerhaft liegt, oft auf einem gemieteten Server. Fünftens in der Frage der Nutzerin – „Fass mir den psychologischen Bericht zu Frau K. zusammen" ist selbst ein hochsensibler Satz, der das Haus verlässt, sobald ein Cloud-Modell antwortet. Sechstens im zusammengebauten Auftrag an das Sprachmodell und in den Protokolldateien, die viele Anbieter routinemäßig mitschreiben. Und siebtens in der erzeugten Antwort, die ihrerseits gespeichert, geloggt, weitergeleitet werden kann.

Bei einer Cloud-Lösung überqueren mehrere dieser Stellen die Grenze zu einem fremden Unternehmen – oft in einem anderen Rechtsraum. Wer nur an „die eine Frage" denkt, übersieht sechs von sieben Kanälen. Das ist keine Panikmache, das ist schlicht die Architektur.

Warum das für NGOs sofort in die schärfste Kategorie fällt

Jetzt kommt der Punkt, an dem sich die Lage für Menschenrechts-, Migrations- und Katastrophenschutz-Organisationen von der einer beliebigen Firma unterscheidet. Die DSGVO kennt in ihrem Artikel 9 eine Klasse „besonderer Kategorien" personenbezogener Daten: Gesundheit, ethnische Herkunft, politische Meinung, religiöse oder weltanschauliche Überzeugung, Gewerkschaftszugehörigkeit, sexuelle Orientierung, biometrische und genetische Daten. Für diese Daten gilt ein grundsätzliches Verarbeitungsverbot – erlaubt ist die Verarbeitung nur, wenn eine der eng gefassten Ausnahmen greift.

Und nun schau, woraus ein NGO-Aktenbestand besteht. Eine Fluchtgeschichte enthält fast zwangsläufig ethnische Herkunft, politische Meinung, oft Religion. Ein medizinisches Gutachten ist ein Gesundheitsdatum, Punkt. Eine Zeugenaussage zu Verfolgung wegen sexueller Orientierung ist gleich mehrfach besonders geschützt. Was bei einem Online-Shop die absolute Ausnahme wäre – da fällt allenfalls mal eine Schuhgröße an –, ist bei diesen NGOs der Normalfall. Die Kategorie, die der Gesetzgeber als seltene, besonders heikle Ausnahme gedacht hat, ist hier das tägliche Brot.

Damit ist die entscheidende Frage nicht „Dürfen wir das effizienter machen?", sondern „Haben wir überhaupt eine tragfähige Rechtsgrundlage, diese Daten in ein KI-System zu geben?" – und diese Frage stellt sich, bevor auch nur ein einziger Server ausgewählt ist. Welche Ausnahmen konkret in Frage kommen – ausdrückliche Einwilligung, das Privileg politisch-weltanschaulicher Vereinigungen, ein erhebliches öffentliches Interesse –, ist ein eigenes, verzwicktes Kapitel, das ich in dieser Reihe nicht juristisch durchdekliniere; dafür braucht es Beratung. Hier zählt nur die Größenordnung: Wir reden nicht über eine Formalie, wir reden über die Frage, ob das Ganze überhaupt zulässig ist.

Hier liegt der Widerspruch, der diese ganze Reihe trägt: Das System hilft der Arbeit wirklich – und bedroht genau dabei die Verletzlichsten. Beides ist wahr. Wer nur den Nutzen sieht, wird fahrlässig; wer nur den Schutz sieht, verzichtet auf ein Werkzeug, das Menschen tatsächlich helfen könnte. Diese Reihe versucht, den schmalen Grat dazwischen zu gehen, statt sich auf eine der beiden bequemen Seiten zu schlagen.

Der bequeme Trugschluss: „anonymisiert" ist meistens gelogen – ohne böse Absicht

Und da ist der angekündigte wunde Punkt. Die naheliegende Beruhigung lautet: „Wir speichern doch gar keine Klarnamen, nur diese Zahlenvektoren – das ist anonym, also kein Datenschutzproblem." Das klingt plausibel und ist trotzdem falsch.

Der Europäische Datenschutzausschuss, das oberste Koordinierungsgremium der EU-Aufsichtsbehörden, hat dazu Ende 2024 eine grundsätzliche Stellungnahme veröffentlicht. Kernaussage: Ein aus personenbezogenen Daten abgeleitetes KI-Modell ist nicht automatisch anonym. Anonymität muss aktiv nachgewiesen werden – und die Hürde ist hoch: Sowohl die Wahrscheinlichkeit, personenbezogene Daten direkt aus dem System zu ziehen, als auch die, sie über geschickte Abfragen herauszulocken, müsse „unbedeutend" sein. Für die Zahlenvektoren gilt dasselbe. Forschung zur sogenannten Embedding-Inversion zeigt, dass sich aus ihnen unter Umständen Teile des Originaltextes rekonstruieren lassen. Der Vektor ist kein anonymer Zahlensalat, sondern eine verdichtete, verschlüsselt wirkende, aber eben nicht verschlüsselte Form des Ausgangstextes.

Was folgt daraus praktisch? Dass fast alles, was NGOs „Anonymisierung" nennen, rechtlich nur Pseudonymisierung ist: Man ersetzt Namen durch Platzhalter, senkt das Risiko – aber weil sich die Person aus dem Kontext oft wieder erschließen lässt („der 34-jährige Journalist aus Herat, der im März 2024 kam" ist auch ohne Namen identifizierbar), bleibt die DSGVO anwendbar. Das muss nicht entmutigen, es verlangt nur Ehrlichkeit: Der Schutz kommt daher, wie und wo man die Daten verarbeitet, nicht daher, dass man sie für „anonym" erklärt – und davon handeln die nächsten drei Teile.

Was das konkret heißt: weniger ist die einzige echte Sicherheit

Wenn man diese beiden Trugschlüsse – „nur eine Frage" und „nur Zahlen, also anonym" – ausräumt, bleibt eine erstaunlich handfeste Konsequenz. Der wirksamste Schutz ist nicht ein cleveres Tool, sondern Datenminimierung: möglichst wenig Personenbezug überhaupt erst ins System lassen. Das steht so auch in der DSGVO, in Artikel 5 – geltendes Prinzip, keine Erfindung von Bedenkenträgern.

Das lässt sich technisch umsetzen, und zwar ohne Doktortitel. Bevor die Dokumente zerhäckselt werden, kann eine automatische Erkennung Namen, Aktenzeichen und Adressen aufspüren und durch Platzhalter ersetzen – freie Werkzeuge wie Microsoft Presidio leisten das. Man kann den Korpus auf das begrenzen, was der konkrete Zweck braucht, statt „alles rein, mal sehen". Und man kann von vornherein festlegen, was gar nicht in ein KI-System gehört, sondern in der klassischen, zugriffskontrollierten Akte bleibt. Das ist weniger spektakulär als „wir haben jetzt KI", aber es ist der Unterschied zwischen Verantwortung und Vabanque. Und, ganz ehrlich: Es ist auch die Arbeit, die niemand auf der Website zeigt, weil „wir haben unsere Daten sorgfältig klassifiziert" keine Schlagzeile macht. Sie ist trotzdem der halbe Datenschutz.

Damit ist die Bühne bereitet. Wir wissen jetzt, dass in so einem System an sieben Stellen sensible Daten stecken, dass sie für NGOs fast immer in die schärfste Schutzklasse fallen, und dass die scheinbare Anonymität der Technik eine Illusion ist. Die nächste Frage ist die, die im Beispiel der Beratungsstelle mitschwingt, seit ich „Cloud" gesagt habe: Wenn diese Daten das Haus verlassen – wohin gehen sie eigentlich, und wer kann dort auf sie zugreifen? Das ist der Stoff von Teil 2: Warum ein Server in Frankfurt gar nichts schützt. Und da wird aus der Datenschutzfrage endgültig eine Machtfrage.

Dieser Text ist Orientierung, kein Rechtsrat – bei der konkreten Umsetzung braucht es datenschutzrechtliche Beratung. Zeitlich instabile Angaben – Stand des Data Privacy Framework, AI-Act-Fristen, Anbieterlage, Stand der offenen Modelle – sind auf dem Stand Juli 2026 und sollten vor Weiterverwendung geprüft werden. Zur vollständigen Quellenbasis: siehe die Übersicht der Reihe.