KI-Agenten und Datenabfluss: Jedes Dokument, das Ihr Agent anfasst, verlässt Ihr Haus

Donnerstag, 16:40 Uhr, bei einem Sondermaschinenbauer in Ludwigsburg. Geschäftsführer Thomas Berger ist zufrieden: Seit acht Wochen fasst ein KI-Agent seine E-Mails zusammen, entwirft Angebote und findet in Sekunden jede Klausel in 15 Jahren Vertragsordnern. Dann stellt IT-Leiterin Aylin Demir in der Freitagsrunde eine einzige Frage: „Weißt du, wohin die Gehaltsliste übertragen wurde, als der Agent sie gestern zusammengefasst hat?" Stille im Besprechungsraum. Genau hier beginnt das Thema KI-Agenten und Datenschutz, und zwar nicht als Papierübung, sondern als Architekturfrage. Denn was viele Entscheider unterschätzen: Ein Cloud-Agent verarbeitet nichts „bei Ihnen". Jedes Dokument, jede E-Mail, jeder Quellcode, den der Agent anfasst, wird an die Server des Modellanbieters übertragen. Dieser Artikel zeigt sachlich und ohne Panikmache, wie diese Datenflüsse technisch laufen, was Enterprise-Verträge wirklich zusichern, welche Prüffragen vor der Einführung auf den Tisch gehören und wie Sie mit Datenklassen-Routing produktiv UND souverän bleiben.

Warum jedes Dokument, das Ihr KI-Agent liest, Ihr Unternehmen verlässt

Ein Cloud-KI-Agent verarbeitet Dokumente nicht auf Ihren Rechnern, sondern auf den Servern des Modellanbieters: Jede Datei, die der Agent liest, wird als sogenannter Kontext dorthin übertragen. Das ist kein Fehler und kein Skandal, sondern das technische Funktionsprinzip großer Sprachmodelle. Das Modell kann nur mit dem arbeiten, was man ihm schickt.

In der Praxis heißt das: Der E-Mail-Assistent, der Thomas Bergers Posteingang sortiert, überträgt komplette Mail-Verläufe inklusive Anhängen. Der Coding-Agent, der eine Funktion anpasst, liest dafür oft weite Teile des Repositorys ein. Der Office-Assistent, der eine Präsentation aus dem Strategiepapier baut, schickt das Strategiepapier. Wer wissen will, wie produktiv solche Assistenten im Posteingang arbeiten, findet in unserem Beitrag zur E-Mail-Bearbeitung mit KI die Gegenrechnung. Hier geht es um die andere Seite derselben Medaille.

Welche Daten sieht ein KI-Agent konkret?

Kurz gesagt: alles, worauf er Zugriff hat und was er für die Aufgabe für relevant hält. Agenten mit Datei-, Mail- oder Kalenderzugriff entscheiden selbstständig, welche Inhalte sie in ihren Kontext laden. Bei Thomas Berger war es die Gehaltsliste, weil sie im selben Ordner lag wie die angefragte Kostenaufstellung. Wichtig ist die Abgrenzung: Es geht hier nicht um heimlich genutzte Privat-Tools, dieses Risiko haben wir im Beitrag über Schatten-KI im Unternehmen beleuchtet. Es geht um offiziell eingeführte, bezahlte und gewollte Agenten, deren Datenflüsse trotzdem kaum jemand durchdacht hat.

Datenschutz bei KI-Agenten: Was Enterprise-Verträge wirklich zusichern

Die wichtigste Vertragswahrheit zuerst: Ein Training-Opt-out ist kein Verarbeitungs-Verzicht. Enterprise-Verträge sichern in der Regel zu, dass Ihre Inhalte nicht zum Training künftiger Modelle verwendet werden. Verarbeitet, also übertragen, entschlüsselt, im Arbeitsspeicher gehalten und häufig für einen begrenzten Zeitraum protokolliert, werden sie trotzdem.

Drei Punkte sollten Entscheider im Kleingedruckten prüfen. Erstens die Aufbewahrung: Viele Anbieter speichern Ein- und Ausgaben für 30 Tage oder länger zur Missbrauchskontrolle. Zweitens die Subunternehmer: Hinter dem Modellanbieter stehen oft weitere Cloud- und Infrastrukturdienstleister, die in der Auftragsverarbeitungskette auftauchen. Drittens der Gerichtsstand: Sitzt der Anbieter außerhalb der EU, können dortige Behörden unter Umständen Herausgabeansprüche geltend machen, unabhängig davon, was der Vertrag mit Ihnen sagt.

Dass diese Fragen viele Unternehmen überfordern, ist messbar. Laut Bitkom (2025) sehen sich 64 Prozent der deutschen Unternehmen beim KI-Einsatz als Nachzügler, und viele nennen rechtliche Unsicherheiten bei Datenschutz und AI Act als zentrales Hemmnis. Das BSI (2025) empfiehlt deshalb, generative KI-Modelle vor der Einführung einer strukturierten Risikoanalyse im Informationssicherheitsmanagement zu unterziehen, statt sie einfach „anzuschalten".

DSGVO und KI-Agenten: AVV, Drittlandtransfer und TOMs im Realitätscheck

Aus DSGVO-Sicht ist der Modellanbieter Ihr Auftragsverarbeiter, sobald der Agent personenbezogene Daten verarbeitet, und das tut er praktisch immer, denn schon eine E-Mail-Signatur enthält personenbezogene Daten. Drei Bausteine sind damit Pflicht, keine Kür.

Der Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO muss den Agenten-Einsatz tatsächlich abdecken, inklusive aller Subunternehmer. Beim Drittlandtransfer nach Artikel 44 ff. DSGVO gilt: Werden Daten in die USA oder andere Drittländer übertragen, brauchen Sie eine gültige Transfergrundlage und sollten einkalkulieren, dass sich Angemessenheitsbeschlüsse politisch ändern können. Und die technischen und organisatorischen Maßnahmen (TOMs) nach Artikel 32 DSGVO müssen den Agenten einschließen: Zugriffsrechte, Verschlüsselung, Protokollierung, Löschkonzept. Die Grundlagen haben wir im Leitfaden DSGVO und KI ausführlich beschrieben; für Agenten kommt die Besonderheit hinzu, dass sie selbstständig entscheiden, welche Daten sie anfassen.

Ein Datenschutzbeauftragter formulierte es in einem unserer Projekte trocken: „Ein Agent ist ein neuer Mitarbeiter mit fotografischem Gedächtnis, der bei einem fremden Unternehmen angestellt ist." Wer ihn so behandelt, also mit Rollenkonzept, Zugriffsbeschränkung und Protokollierung, ist rechtlich und praktisch auf der sicheren Seite.

Das zweite Risiko: Wenn der Anbieter am Preisregler dreht

Neben dem Datenschutz gibt es ein zweites Risiko, über das deutlich seltener gesprochen wird: Kontinuität. Wer einen Agenten tief in seine Prozesse einbaut, macht sich von Preis-, Limit- und Produktentscheidungen eines fremden Unternehmens abhängig. Erhöht der Anbieter die Preise, führt er strengere Nutzungslimits ein, stellt ein Modell ab oder kappt den Zugang, steht der eingebaute Prozess still, und zwar sofort.

Das ist keine theoretische Sorge. Laut einer von MarTech (2025) zitierten Gartner-Prognose werden über 40 Prozent der Agenten-Projekte bis Ende 2027 wieder eingestellt, unter anderem wegen steigender Kosten und unzureichender Risikokontrollen. Die Konsequenz für KMU ist nicht Verzicht, sondern Planung: Jeder produktive Agenten-Prozess braucht einen dokumentierten Notfallplan. Welcher Prozess fällt aus, wenn der Anbieter morgen abschaltet? Wie lange kommt das Team manuell zurecht? Gibt es einen zweiten Anbieter oder ein lokales Modell als Rückfallebene? Der Anbietermarkt dreht sich dabei schnell: Modelle, Preise und Vertragsbedingungen ändern sich im Monatsrhythmus. Wer den Überblick behalten will, bekommt die relevanten Entwicklungen kompakt im KI-Newsletter von DigiRift zusammengefasst.

Die Prüffragen, die vor der Agenten-Einführung auf den Tisch gehören

Bevor ein Agent produktiv geht, sollten Sie vier Fragenblöcke schriftlich beantworten. Diese Checkliste stammt aus unserer Projektpraxis bei DigiRift und hat sich bei Einführungen im Mittelstand bewährt.

• Datenklassen: Welche Datenklassen darf der Agent sehen: nur öffentliche und interne Dokumente, oder auch vertrauliche? Wer hat das entschieden und wo ist es dokumentiert?
• Zugriffe: Auf welche Systeme hat der Agent Zugriff (Mail, Dateiablage, CRM, Code)? Gilt das Minimalprinzip, also nur die Ordner und Postfächer, die er für seine Aufgabe braucht?
• Protokollierung: Wird nachvollziehbar aufgezeichnet, welche Dokumente der Agent wann gelesen und übertragen hat? Ohne Protokoll können Sie im Ernstfall keine Meldepflichten erfüllen.
• Notfallplan: Was passiert bei Preiserhöhung, Limit oder Abschaltung? Gibt es eine getestete Rückfallebene und einen benannten Verantwortlichen?

Wie teuer das Weglassen dieser Hausaufgaben wird, zeigt der IBM Cost of a Data Breach Report 2025: Laut Cybersecurity Dive (2025) fehlten bei 97 Prozent der Unternehmen mit KI-bezogenen Sicherheitsvorfällen angemessene KI-Zugriffskontrollen, 63 Prozent hatten gar keine KI-Governance-Richtlinie, und Vorfälle mit ungesteuerter KI-Nutzung verteuerten einen Datenvorfall im Schnitt um 670.000 US-Dollar. Zugleich meldet Bitkom (2025) auf Basis einer Befragung von 604 deutschen Unternehmen, dass erst 23 Prozent verbindliche Regeln für den KI-Einsatz etabliert haben. Die gute Nachricht: Diese vier Fragenblöcke lassen sich in wenigen Werkstattterminen beantworten. Wenn Sie dabei einen erfahrenen Sparringspartner wollen, der die Antworten anschließend auch technisch umsetzt, ist das Erstgespräch mit DigiRift der kürzeste Weg.

Sensible Daten, souveräne Wege: Datenklassen-Routing statt Alles-oder-Nichts

Die Lösung für sensible Fälle heißt nicht Verzicht, sondern Routing: Unkritische Daten dürfen in die Cloud, sensible bleiben auf eigener oder europäischer Infrastruktur. Moderne offene Modelle sind für Aufgaben wie Zusammenfassung, Klassifikation und Entwurfstexte längst gut genug und laufen auf einem Server im eigenen Haus oder bei einem EU-Hoster.

In unserer Praxis bei DigiRift hat sich eine einfache Vier-Klassen-Logik bewährt:

Der Charme dieser Architektur: Sie müssen sich nicht zwischen Produktivität und Kontrolle entscheiden. Der Agent bleibt für 80 Prozent der Alltagsaufgaben so schnell wie gewohnt, aber die Gehaltsliste von Thomas Berger verlässt das Haus nie wieder. Ehrlicherweise gehört dazu: Ein lokales Modell erreicht bei sehr komplexen Aufgaben nicht immer die Qualität der größten Cloud-Modelle, und es braucht einmalig Hardware und Einrichtung. Für die Datenklassen, um die es dabei geht, ist das der angemessene Preis.

Bei Thomas Berger war das Routing nach sechs Wochen produktiv: Cloud-Agent für Mails und Angebote, ein lokales Modell für Personal- und Vertragsdaten, dazwischen eine Regel-Schicht, die anhand von Ordnerpfaden und Dokumenten-Labels entscheidet. Aylin Demir bekam ihr Protokoll, Berger behielt seine Produktivität. Wie solche Agenten im Mittelstand grundsätzlich arbeiten, zeigt unser Überblick zu KI-Agenten im Mittelstand.

Fazit: Produktivität ja, Blindflug nein

KI-Agenten gehören zu den produktivsten Werkzeugen, die der Mittelstand je hatte, und genau deshalb verdienen ihre Datenflüsse eine bewusste Architektur statt eines Blindflugs. Die Kernpunkte: Jedes Dokument, das ein Cloud-Agent anfasst, wird zum Modellanbieter übertragen. Ein Training-Opt-out ist kein Verarbeitungs-Verzicht. AVV, Drittlandtransfer und TOMs müssen den Agenten explizit abdecken. Und neben dem Datenschutz braucht jeder produktive Agenten-Prozess einen Notfallplan für Preiserhöhungen und Abschaltungen. Wer dann noch sensible Datenklassen auf lokale oder EU-gehostete Modelle routet, hat beide Risiken im Griff, ohne auf die Produktivität zu verzichten.

Wenn Sie wissen wollen, wo Ihr Unternehmen steht: In einem 30-minütigen Daten-Check nehmen wir Ihre geplanten oder laufenden Agenten unter die Lupe und Sie gehen mit drei konkreten Ergebnissen raus: einer Einordnung Ihrer Datenklassen, einer Liste der Zugriffe, die Ihr Agent heute zu viel hat, und einer Empfehlung, welche Aufgaben in die Cloud dürfen und welche lokal laufen sollten. Hier erreichen Sie uns.

Quellen

1. Bitkom (2025): Beschäftigte nutzen vermehrt Schatten-KI. https://www.bitkom.org/Presse/Presseinformation/Beschaeftigte-nutzen-Schatten-KI
2. Bitkom (2025): Bei KI gibt es in deutschen Unternehmen noch viele Unsicherheiten. https://www.bitkom.org/Presse/Presseinformation/KI-gibt-in-deutschen-Unternehmen-Unsicherheiten
3. BSI (2025): Aktualisierte Fassung: Chancen und Risiken generativer KI-Modelle. https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldungen/Chancen-Risiken-generative-KI_250121.html
4. MarTech (2025): Gartner: 40% of agentic AI projects will fail, making humans indispensable. https://martech.org/gartner-40-of-agentic-ai-projects-will-fail-making-humans-indispensable/
5. Cybersecurity Dive (2025): Shadow AI increases cost of data breaches, IBM report finds. https://www.cybersecuritydive.com/news/artificial-intelligence-security-shadow-ai-ibm-report/754009/