Anonymisierung oder eigene KI-Infrastruktur: Was Daten bei KI schützt

Welche drei Wege gibt es?

Wer KI mit personenbezogenen Daten nutzen will, steht vor einer Architekturentscheidung. Drei Ansätze sind verbreitet, und sie lösen verschiedene Probleme:

• Pseudonymisierungs- oder Anonymisierungs-Proxy: Eine Software zwischen Ihren Beschäftigten und einem öffentlichen Sprachmodell erkennt Namen, Adressen oder Aktenzeichen, ersetzt sie durch Platzhalter und setzt sie in der Antwort wieder ein. Das Modell selbst bleibt beim fremden Anbieter. Wie das technisch abläuft, erklärt der Ratgeber Pseudonymisierungs-Proxy.
• KI-Sicherheits-Gateway (DLP): Es erkennt sensible Angaben beim Zugriff auf öffentliche KI-Dienste und blockiert oder meldet sie, meist ohne sie in der Antwort wiederherzustellen.
• Vertrauliche Inferenz (Confidential Computing): Das Modell rechnet beim Anbieter in einer hardwaregeschützten Umgebung, einer Trusted Execution Environment (TEE). Der Betreiber der Infrastruktur soll keinen Zugriff auf den Klartext haben. Mehr im Ratgeber Confidential Computing bei KI.
• Eigene KI-Infrastruktur: Plattform und KI-Modell laufen auf einem Server in Ihrem Haus oder in der Umgebung eines Anbieters, den Sie per AVV und gegebenenfalls Vereinbarung nach § 203 StGB einbinden. Die Daten werden nicht verfremdet, sondern verlassen diesen Rahmen nicht.

Wer sieht bei welchem Weg den Klartext?

Die wichtigste Frage für Datenschutz und Schweigepflicht ist, an welcher Stelle Klartext vorliegt.

Merkmal	Proxy vor fremdem Modell	Vertrauliche Inferenz	Eigene KI-Infrastruktur
Wo rechnet das Modell?	beim Modellanbieter	beim Anbieter, in geschützter Hardware	in Ihrer Umgebung oder beim vertraglich eingebundenen Anbieter
Wer sieht Klartext?	Ihr Haus; der Proxy-Anbieter, wenn der Proxy nicht bei Ihnen läuft	Ihr Haus; nach Herstellerangaben nicht der Betreiber	Ihr Haus und der eingebundene Betreiber, im Rahmen von AVV und Rechten
Was erreicht das Modell?	verfremdeten Text mit allen Angaben, die nicht erkannt oder nicht ersetzt wurden	den vollständigen Text, verschlüsselt bis in die geschützte Umgebung	den vollständigen Text
Worauf Sie vertrauen	Erkennungsqualität, Verträge mit Proxy- und Modellanbieter	Hardware, Firmware, Attestierung und die Umsetzung des Anbieters	Betreiber, Verträge, Rechte und Protokoll
Antwortqualität	kann sinken, wenn ersetzte Angaben zum Verständnis nötig sind	vom Modell abhängig	vom Modell abhängig

Was bleibt rechtlich zu tun?

Für Ihre Organisation bleiben die Daten personenbezogen, gleich welcher Weg. Pseudonymisierte Daten sind nach Art. 4 Nr. 5 DSGVO Daten, die sich ohne getrennt aufbewahrte Zusatzinformationen nicht mehr zuordnen lassen; sie bleiben für den, der den Schlüssel hat, personenbezogen. Sie brauchen also weiter eine Rechtsgrundlage, bei Gesundheitsdaten eine Ausnahme nach Art. 9 Abs. 2 DSGVO, und meist eine Datenschutz-Folgenabschätzung.

Offen ist die Lage beim Empfänger. Der Europäische Gerichtshof hat am 4. September 2025 entschieden, dass pseudonymisierte Daten nicht in jedem Fall und für jede Person personenbezogen sind (C-413/23 P). Ob ein Modellanbieter die Daten als anonym behandeln darf, hängt von den Mitteln ab, die ihm zur Identifizierung realistischerweise zur Verfügung stehen. Rechnet er in Ihrem Auftrag, gilt nach dem Entwurf der europäischen Datenschutzbehörden Ihre Perspektive: Dann sind die Daten auch für ihn personenbezogen. Der Entwurf (Leitlinien 02/2026 zur Anonymisierung, Konsultation bis 30. Oktober 2026) prüft Anonymität mit drei Kriterien: Herausgreifen einer Person, Verknüpfung mit anderen Daten und Rückschluss. Die französische CNIL verwendet dieselben drei Kriterien. Einzelheiten stehen im Ratgeber Ist pseudonymisierte KI-Nutzung DSGVO-konform?, die Folgen für Übermittlungen in die USA im Ratgeber Drittlandübermittlung.

Wofür passt welcher Weg?

• Proxy: sinnvoll bei Texten, in denen wenige, gut erkennbare Angaben eine Person bezeichnen, etwa allgemeine Korrespondenz, Vorlagen oder Recherchen ohne Personenbezug. Bei Freitext mit seltenen Diagnosen, Ortsangaben oder Lebensumständen wird der Nachweis der Anonymität schwer, und die Antwort leidet, wenn wichtige Angaben fehlen (Kontextverlust).
• Vertrauliche Inferenz: sinnvoll, wenn Sie das Modell eines Anbieters nutzen wollen und dessen Betriebspersonal technisch ausschließen möchten. Sie beseitigt nicht den Personenbezug; Verträge, Rechtsgrundlage und Drittlandfragen bleiben.
• Eigene KI-Infrastruktur: sinnvoll, wenn Patienten-, Bürger- oder Sozialdaten vollständig in die KI sollen, etwa für Arztbriefe oder Bescheide. Dafür betreiben Sie das Modell selbst oder lassen es von einem Anbieter betreiben, den Sie wie jeden anderen Auftragsverarbeiter prüfen.

Ein Beispiel, ausdrücklich erfunden: Ein Krankenhaus lässt den Fall „Maria Müller, 43, Starnberg, seltene Stoffwechselerkrankung“ zusammenfassen. Der Proxy ersetzt den Namen durch „PATIENT_17“. Alter, Ort und seltene Diagnose zusammen können die Person trotzdem erkennbar machen. Für solche Texte bleibt der Proxy ein Baustein, ersetzt aber nicht die Prüfung des Empfängers.

Welche Fragen klären Sie vor der Entscheidung?

1. Welche Daten sollen in die KI, und wie sensibel sind sie?
2. Brauchen die Aufgaben Angaben, die ein Proxy ersetzen würde?
3. Wo sieht wer Klartext, und welche Verträge brauchen Sie dafür?
4. Welche Rolle hat der Modellanbieter (Auftragsverarbeiter oder unabhängiger Empfänger), und welche Verträge folgen daraus?
5. Was kostet der Betrieb über mehrere Jahre, mit allen Beteiligten?

Die Datenschutzkonferenz verlangt auch bei vorgeschalteter Maskierung eine Prüfung im Einzelfall. Für den Proxy hilft die Checkliste mit Nachweisen für Patientendaten, für die Anbieter der Marktüberblick.

Wie geht das mit basebox?

basebox ist eine eigene KI-Infrastruktur im Sinne des dritten Wegs: Plattform und KI-Modell laufen auf einem Server nur für Sie, auf Wunsch ohne Internetverbindung, oder in unserer Cloud im Rechenzentrum München-Ost. In der Cloud bekommt jede Organisation eine eigene virtuelle Umgebung mit eigener Benutzerverwaltung; das KI-Modell läuft auf von uns betriebenen Servern und wird gemeinsam genutzt, ein Modell nur für Ihre Organisation ist auf Wunsch möglich. basebox schickt Ihre Daten standardmäßig an kein KI-Modell eines anderen Anbieters. Ein externes Modell gibt es nur als eigene App, die Sie ausdrücklich einrichten lassen; sie läuft bei Google Vertex in Frankfurt, ohne Training, mit Protokollierung zur Missbrauchserkennung durch Google von längstens 30 Tagen (Einzelheiten).

Deshalb müssen Sie die Daten für basebox nicht vorher anonymisieren, und die Aufgaben behalten den vollen Kontext. basebox ist kein Werkzeug zum Verfremden von Daten. Das ist eine andere Architekturentscheidung als ein Proxy vor einem fremden Modell; welcher Weg passt, hängt von Ihren Daten und Anwendungsfällen ab. Zur Plattform gehören Apps, die man teilt, ohne Daten zu teilen, Konnektoren zu vorhandenen Systemen, Rechte aus Ihrer Benutzerverwaltung und ein Protokoll.

In der Cloud kostet basebox ab 5 Personen 490 € pro Person und Jahr, mit mehr Personen weniger; 20 Mio. Tokens pro Person und Jahr sind enthalten. Beim Server kaufen Sie die Hardware einmal und zahlen eine Lizenz pro Server, anmelden darf sich jeder. Ihren Preis berechnet der Rechner. AVV, Vereinbarung nach § 203 StGB und Vorlagen für die Datenschutz-Folgenabschätzung finden Sie auf der Seite Sicherheit.

Keine Rechtsberatung: Dieser Artikel gibt einen Überblick. Die Rechtslage zur Anonymisierung ist in Teilen offen: Die Leitlinien 02/2026 sind ein Entwurf in Konsultation, und die Folgen des Urteils C-413/23 P werden noch diskutiert. Prüfen Sie Ihren Anwendungsfall mit Ihrem Datenschutzbeauftragten. Stand der Recherche: 11. Oktober 2026.