Die Vertragsklausel, die vor der DSGVO greift

TL;DR

Die Datenschutzprüfung ist in vielen Häusern die zweite Hürde. Die erste steht in den eigenen Kundenverträgen: Geheimhaltungsklauseln untersagen regelmäßig die Weitergabe von Vertragsinhalten an Dritte — unabhängig davon, ob personenbezogene Daten betroffen sind. Und die Übermittlung an einen KI-Dienst ist eine Weitergabe.

Warum das übersehen wird

Der Prüfweg in den meisten Unternehmen läuft über den Datenschutz. Man fragt: Sind personenbezogene Daten betroffen? Wenn nein, gilt die Sache als unkritisch.

Das ist die falsche erste Frage. Ein Konstruktionsdatensatz, eine Kalkulation, ein Lastenheft, ein Wartungsprotokoll — nichts davon ist personenbezogen, und alles davon fällt regelmäßig unter eine Geheimhaltungsvereinbarung.

Typische Formulierungen, die in B2B-Rahmenverträgen stehen:

"Der Auftragnehmer verpflichtet sich, sämtliche im Rahmen der Zusammenarbeit erlangten Informationen vertraulich zu behandeln und Dritten nicht zugänglich zu machen."

"Eine Weitergabe an Dritte bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers."

Wer solchen Text unterschrieben hat und Vertragsinhalte in einen KI-Dienst gibt, macht sie einem Dritten zugänglich. Ob der Dritte sie speichert, ob er sie zum Training nutzt, ob er in der EU verarbeitet — für die Klausel ist das nachrangig. Sie knüpft an die Zugänglichmachung an.

Die zwei Fälle, die es tatsächlich trifft

Dienstleister und Auftragsentwickler. Wer im Kundenauftrag arbeitet — Software, Konstruktion, Beratung, Ingenieurleistungen —, hat fast immer solche Klauseln. Und arbeitet naturgemäß den ganzen Tag an genau den Inhalten, die man gern durch einen Assistenten laufen ließe.

Zulieferer mit Spezifikationen. Ein Automobilzulieferer erhält Lastenhefte und Zeichnungen unter Geheimhaltung. Diese Unterlagen sind exakt das Material, mit dem ein technischer Assistent nützlich wäre.

In beiden Fällen ist die Klausel keine Formalie. Ein Verstoß kann Vertragsstrafen auslösen, zur Kündigung berechtigen und — im Wiederholungsfall — die Geschäftsbeziehung beenden.

Was Sie prüfen müssen

Nehmen Sie Ihre drei größten Kundenverträge und suchen Sie nach vier Dingen:

1. Wie ist "Dritter" definiert? Manche Verträge nehmen Erfüllungsgehilfen und Unterauftragnehmer ausdrücklich aus, andere nicht. Wo Unterauftragnehmer zulässig sind, ist häufig eine Weitergabe der Verpflichtung an den Unterauftragnehmer verlangt — was gegenüber einem KI-Anbieter praktisch nicht umsetzbar ist.

2. Gibt es eine Zustimmungsmöglichkeit? Viele Klauseln erlauben die Weitergabe mit vorheriger schriftlicher Zustimmung. Das ist der einfachste Weg: eine Ergänzungsvereinbarung, die den Einsatz benannter KI-Dienste erlaubt.

3. Welche Informationen sind erfasst? Manche Verträge definieren "vertrauliche Informationen" eng und mit Kennzeichnungspflicht, andere umfassen pauschal alles aus der Zusammenarbeit. Bei der zweiten Variante ist praktisch jede Nutzung betroffen.

4. Gibt es Herkunfts- oder Standortanforderungen? In verteidigungsnaher Fertigung, bei kritischer Infrastruktur und bei öffentlichen Auftraggebern finden sich Klauseln, die Komponenten oder Verarbeitung bestimmter Herkunft ausschließen — unabhängig vom Datenschutzrecht.

Die drei Wege nach vorn

Zustimmung einholen. Der direkteste Weg. Eine kurze Ergänzungsvereinbarung, die den Einsatz benannter Dienste für definierte Zwecke gestattet. Unsere Erfahrung: Kunden stimmen häufiger zu, als Vertriebsmitarbeiter erwarten — besonders, wenn Sie darlegen können, wo verarbeitet wird und dass keine Verwendung zum Training erfolgt. Die dafür nötigen Nachweise stehen im Beitrag zur Datenschutzprüfung bei Claude.

Projekte trennen. Zwei Zugänge in der Entwicklungsumgebung: der Cloud-Assistent für unkritische Projekte, ein lokal betriebenes Modell für Projekte mit Geheimhaltungsklausel. Die Zuordnung hängt am Projekt, nicht an der Entscheidung des einzelnen Mitarbeiters — sonst ist sie wertlos.

Lokal betreiben. Wenn die Klausel keine Zustimmung vorsieht oder der Kunde nicht zustimmt, verlässt bei einem selbst betriebenen Modell nichts das Haus. Der Qualitätsabstand ist bei Alltagsaufgaben kleiner als die Diskussion vermuten lässt — die Abwägung steht im Vergleich zwischen Claude und selbst gehosteten Modellen.

Was nicht funktioniert

Drei Ansätze, die wir gesehen haben und die nicht tragen:

"Wir anonymisieren vorher." Bei personenbezogenen Daten hilft das. Bei Betriebsgeheimnissen nicht — eine Konstruktionslogik bleibt erkennbar, auch wenn der Kundenname entfernt ist. Die Klausel schützt den Inhalt, nicht die Zuordnung.

"Das merkt doch niemand." Stimmt meistens und ist keine Grundlage für eine Unternehmensentscheidung. Auffällig wird es bei einem Audit, bei einem Streit über etwas anderes, oder wenn ein Mitarbeiter wechselt.

"Der Anbieter hat einen AVV." Ein Auftragsverarbeitungsvertrag regelt das Datenschutzverhältnis. Er hebt keine vertragliche Geheimhaltungspflicht gegenüber Ihrem Kunden auf — das sind zwei verschiedene Rechtsverhältnisse.

Häufig gestellte Fragen

Gilt eine Geheimhaltungsklausel auch ohne personenbezogene Daten?

Ja, und das ist der entscheidende Punkt. Geheimhaltungsklauseln in B2B-Verträgen knüpfen an vertrauliche Informationen an, nicht an Personenbezug. Konstruktionsunterlagen, Kalkulationen, Lastenhefte und Spezifikationen fallen typischerweise darunter, obwohl sie datenschutzrechtlich unkritisch sind.

Ist die Eingabe in einen KI-Dienst eine Weitergabe an Dritte?

Nach dem Wortlaut der üblichen Klauseln ja — die Informationen werden einem Dritten zugänglich gemacht. Ob dieser sie speichert, zum Training nutzt oder in der EU verarbeitet, ist für die Klausel in aller Regel nachrangig; sie knüpft an die Zugänglichmachung an, nicht an die weitere Verwendung.

Hebt ein Auftragsverarbeitungsvertrag die Geheimhaltungspflicht auf?

Nein. Ein AVV regelt das datenschutzrechtliche Verhältnis zwischen Ihnen und dem Anbieter. Ihre Geheimhaltungspflicht besteht gegenüber Ihrem Kunden und aus einem anderen Vertrag — die beiden Rechtsverhältnisse sind getrennt, und das eine hebt das andere nicht auf.

Wie bekomme ich die Zustimmung des Kunden?

Über eine kurze Ergänzungsvereinbarung, die den Einsatz benannter Dienste für definierte Zwecke gestattet. Legen Sie dabei offen, wo verarbeitet wird, dass keine Verwendung zum Training erfolgt und welche vertraglichen Zusagen des Anbieters dahinterstehen. Nach unserer Erfahrung stimmen Kunden häufiger zu, als im Vertrieb erwartet wird.

Reicht es, Kundennamen zu entfernen?

Für personenbezogene Daten ist Maskierung ein wirksamer Hebel. Für Betriebsgeheimnisse nicht: Eine Konstruktionslogik, eine Kalkulationsmethode oder eine Verfahrensbeschreibung bleibt auch ohne Kundennamen der geschützte Inhalt. Die Klausel schützt die Information selbst, nicht ihre Zuordnung.

Der nächste Schritt

Lesen Sie die Geheimhaltungsklauseln Ihrer drei größten Kundenverträge, bevor Sie eine Datenschutzprüfung starten. Wenn dort eine Weitergabe an Dritte ohne Zustimmung ausgeschlossen ist, haben Sie Ihre Antwort — und sie ist unabhängig davon, wie die Datenschutzprüfung ausfällt. Bei der technischen Trennung helfen wir gern.