Ein Chatfenster ist kein Notizblock. Wer eine Kalkulation, eine Abmahnung oder einen Personalfall in ChatGPT, Claude oder Gemini einfügt, überträgt den vollständigen Text an die Server eines Anbieters. Dort bleibt er liegen, je nach Tarif unterschiedlich lange, und er kann in einem Verfahren auftauchen, an dem der Betrieb nicht beteiligt ist. In den USA ist genau das in den vergangenen Monaten mehrfach passiert: Rund 20 Millionen ChatGPT-Protokolle wurden 2025 in einem Urheberrechtsstreit herausgegeben, das FBI beschlagnahmte die Claude-Chats eines Angeklagten, und ein Gericht verweigerte ihnen jeden Schutz – weil ein Modell kein Anwalt ist. Für deutsche Betriebe liegt der Hebel woanders als in den USA: im Geschäftsgeheimnisgesetz, in der DSGVO und im Betriebsverfassungsgesetz. Und er greift leiser. Der Schaden tritt nicht erst ein, wenn etwas abfließt, sondern schon dann, wenn Sie den Nachweis angemessener Schutzmaßnahmen nicht mehr führen können.

Wir arbeiten selbst täglich mit diesen Werkzeugen, in der Beratung wie in der eigenen Produktion. Deshalb interessiert uns an der Debatte weniger die Schlagzeile als der Mechanismus: Was verlässt das Haus, was bleibt beim Anbieter, und welche Norm greift in Deutschland. Dieser Text sortiert zuerst die US-Entscheidungen, dann die technischen Befunde, und danach ausführlich die deutsche Rechtslage – GeschGehG, ZPO, StPO, DSGVO und Betriebsverfassungsrecht. Am Ende stehen fünf Schutzschichten, die ein Betrieb mit zehn oder zweihundert Mitarbeitern ohne eigene Rechtsabteilung umsetzen kann. Alle Zahlen stammen aus Quellen, die wir am 10.11.2026 abgerufen und auf Abrufbarkeit geprüft haben. Was wir nicht belegen können, steht im Abschnitt „Was nicht belegt ist“.

Eine Einschränkung vorweg: Dieser Text ist eine Einordnung, keine Rechtsberatung. Wo wir Normen zitieren, geben wir den Wortlaut wieder und verlinken den amtlichen Gesetzestext. Ob eine Norm im konkreten Fall trägt, klärt eine Anwältin oder ein Anwalt.

Was in den USA gerade passiert – und warum es für hiesige Betriebe zählt

Im Mai 2025 hat ein Bundesgericht in New York (SDNY, Magistrate Judge Ona Wang) OpenAI verpflichtet, alle Ausgabe-Protokolle zu sichern, die nach den internen Löschroutinen ohnehin verschwunden wären. Ausdrücklich erfasst waren auch die Dialoge, die Nutzer in ihrem Konto selbst gelöscht hatten [1][2]. Das ist der erste Punkt, an dem die Alltagserwartung bricht: Löschen im Browserfenster und Löschen auf dem Server sind zwei verschiedene Vorgänge. Die anlasslose Sicherung endete am 26. September 2025, bereits gesicherte Bestände blieben gesichert [2]. Im November 2025 wurde die Übergabe von rund 20 Millionen de-identifizierten Chatprotokollen vereinbart – in der Größenordnung, die OpenAI selbst vorgeschlagen hatte und der die Kläger zustimmten; begehrt waren ursprünglich 120 Millionen [3][4]. Der Einwand, über 99,99 Prozent dieser Transkripte stünden in keinem sachlichen Zusammenhang mit dem Verfahren, trug nicht. Das Gericht hielt den Schutz der Nutzer durch De-Identifizierung und eine Einstufung als „Attorneys‘ Eyes Only“ für ausreichend [1].

Der zweite Fall liegt näher am Alltag. Ein Angeklagter in einem Betrugsverfahren nutzte im Oktober 2025 die frei zugängliche Konsumentenversion von Anthropics Claude, um seine Verteidigungsstrategie zu entwerfen – ohne Wissen seiner Verteidiger. Bei der Durchsuchung beschlagnahmte das FBI rund 31 Dokumente mit diesen Chatprotokollen [6]. Richter Jed S. Rakoff (SDNY) wies den Schutz nach Attorney-Client Privilege und Work-Product-Doktrin am 10. Februar 2026 mündlich und am 17. Februar 2026 schriftlich zurück [5][11]. Die Begründung hat drei Schritte, und der dritte ist der unbequemste. Erstens: Ein Modell ist kein Berufsträger; das Anwaltsgeheimnis setzt ein menschliches Vertrauensverhältnis zu einer zugelassenen Person voraus, die berufsrechtlicher Disziplinierung unterliegt [5][6]. Zweitens: Die Kovel-Doktrin, die den Schutz auf Hilfspersonen eines Anwalts erstreckt, greift nicht, wenn der Mandant das System eigeninitiativ und ohne Kenntnis oder Weisung des Anwalts nutzt [5]. Drittens: Die Nutzungsbedingungen dieser Tarifstufe sehen Trainingsnutzung und die Herausgabe an Aufsichts- und Ermittlungsbehörden vor – die Übermittlung vertraulicher Tatsachen an ein System mit solchen Bedingungen gilt rechtlich als freiwillige Offenlegung gegenüber einem Dritten [5][7].

Zwei zivilrechtliche Entscheidungen aus dem Frühjahr 2026 zeigen, dass die Bewertung nicht einheitlich ausfällt. In Warner v. Gilbarco wies ein Gericht in Michigan am 10. Februar 2026 den Antrag eines Arbeitgebers ab, die vollständigen ChatGPT-Verläufe einer nicht anwaltlich vertretenen Klägerin herauszugeben. Der Work-Product-Schutz nach FRCP 26(b)(3)(A) steht auch den Parteien selbst zu, und ein Verzicht tritt erst ein, wenn Informationen dem Prozessgegner offengelegt werden [9][11]. Das Gericht formulierte, KI-Programme seien „tools, not persons“ – Werkzeuge, keine Personen [7]. In Morgan v. V2X blieben die Chat-Inhalte eines Selbstvertreters geschützt, doch der Kläger musste den Namen der genutzten KI-Plattform offenlegen, damit die Gegenseite prüfen konnte, ob Prozessinformationen über die AGB der Plattform abgeflossen waren. Anschließend wurde die Schutzanordnung erweitert und beiden Seiten untersagt, während des Verfahrens vertrauliche Informationen in standardmäßig speichernde Modelle einzuspeisen [8][10].

Was davon nach Deutschland trägt, ist nicht das Urteil, sondern der Mechanismus. Pre-Trial Discovery, Attorney-Client Privilege und Work-Product-Doktrin sind US-Institute; kein deutsches Gericht wird sie anwenden. Was trägt, sind zwei Sätze, die alle vier Entscheidungen voraussetzen. Erstens: Ein Sprachmodell ist kein Berufsträger und keine Hilfsperson. Ohne menschlichen Berufsträger gibt es keine Zurechnung und damit keinen Schutz, der aus einem Vertrauensverhältnis entsteht. Zweitens: Die Bedingungen des Tarifs entscheiden über die Vertraulichkeitserwartung. Wer in ein System eingibt, dessen Anbieter sich Trainingsrechte einräumt, hat den Inhalt faktisch einem Dritten offengelegt. Punkt zwei ist der stärkste Übertragungspunkt, weil er in deutschem Recht einen eigenen Namen hat: angemessene Geheimhaltungsmaßnahmen nach dem Geschäftsgeheimnisgesetz.

Drei Vorfälle, für die es kein Gericht brauchte

Bevor eine Behörde oder ein Gericht überhaupt ins Spiel kommt, gibt es einen zweiten Weg, auf dem Betriebsinterna das Haus verlassen. Im Herbst 2026 sind drei Fälle dokumentiert, mit drei verschiedenen Ursachen – und in keinem davon war das Modell die Schwachstelle.

Meta Muse. Sicherheitsanalysten von Claroc wiesen im Oktober 2026 nach, dass 6.800 von Nutzern erzeugte Freigabelinks über eine einzige ungeschützte Web-Abfrage auffindbar und vollständig auslesbar waren. In den eingesehenen Dialogen standen interne Vorbereitungsunterlagen für vertrauliche Personal- und Vorstandsgespräche, Umsatz- und Deckungsbeitragsanalysen, ein vollständiger Kreditantrag und Urlaubspläne von Angestellten. Meta schaltete die Freigabefunktion ab. Ursache waren eine Fehlkonfiguration der Web-Schnittstelle und eine fehlerhafte Berechtigungsverwaltung [1]. Die Übersetzung für den Betrieb: „Nur wer den Link hat“ heißt im Netz „wer danach sucht“.

302.ai. Forscher von Cybernews fanden bei dem Aggregator-Dienst 302.ai, der über eine Schnittstelle viele Modelle zugänglich macht, einen offenen Azure-Storage-Bucket: 22,7 Terabyte unverschlüsselte Daten in 17,6 Millionen Einzelfiles, darunter rund 500 Gigabyte ungeschützte Konversationsprotokolle nebst personenbezogenen Nutzeridentifikatoren und firmeninternen Dokumenten [1]. Ursache waren mangelhafte Regeln für Identity- und Access-Management. Wer einen Aggregator zwischen Betrieb und Modell setzt, schafft einen weiteren Speicherort, den niemand im Haus kontrolliert.

Cloudflare Workers AI. Eine Fehlkonfiguration im KV-Caching des Inferenz-Layers führte dazu, dass zwischen dem 27. August und dem 9. September 2026 insgesamt 155 Antworten an Kunden ausgeliefert wurden, die Textfragmente aus unmittelbar vorangegangenen Prompts fremder Mandanten enthielten. Cloudflare schloss eine gezielte Ausnutzung aus und behob den Fehler [1]. Bei geteilten Multi-Tenant-Systemen ist die Trennung der Mandanten eine Zusage des Anbieters, keine Eigenschaft, die der Kunde prüfen kann.

Der gemeinsame Nenner ist unangenehm schlicht: In allen drei Fällen waren die Daten bereits persistiert. Wer nichts speichert, kann nichts verlieren – das ist keine Beruhigungsformel, sondern eine Architekturentscheidung, die man treffen oder unterlassen kann.

Der Mosaic-Effekt: warum Dokumenten-Filter nicht reichen

Die Studie „Agent Mosaic: Recognizing Confidentiality Leaks in Agentic LLM Systems“ (arXiv:2610.30418) von Daniel C. Ruiz, Luca Luceri und Emilio Ferrara vom Information Sciences Institute der University of Southern California ist im Oktober 2026 erschienen [12]. Ihr Befund betrifft nicht die Speicherung, sondern die Verarbeitung.

Herkömmliche Data-Loss-Prevention arbeitet dokumentenzentriert: Sie prüft, ob eine einzelne Datei als geheim eingestuft ist oder verbotene Schlagwörter enthält [13]. Ein Agent in einer vernetzten Unternehmensumgebung tut etwas anderes. Er fügt einzeln harmlose, einzeln autorisierte Fakten aus verschiedenen Dokumenten zusammen und leitet daraus eine hochgradig geschützte Gesamtaussage ab. Jeder Baustein ist erlaubt, das Ergebnis ist es nicht.

Die Zahlen: 30 synthetische Testszenarien aus Cybersicherheit, Medizin und Verteidigung, 10.800 analysierte Antworten über drei Agentenarchitekturen [13]. Selbst das robusteste getestete Spitzenmodell gab bei Routineanfragen in 7,08 Prozent der Fälle verbotene Kombinationen preis. Und auch mit implementierten semantischen Filtern und Systemprompts blieben bis zu 32,37 Prozent der Ausgaben sicherheitskritisch [13]. Diese zweite Zahl ist die wichtigere, und sie wird häufig falsch gelesen: Es ist eine Restquote trotz Schutzmaßnahmen, keine Quote ohne. Schutzmaßnahmen senken das Risiko, sie beseitigen es nicht. Es sind außerdem Laborergebnisse, keine Feldstudie – dazu unten im Abschnitt „Was nicht belegt ist“.

Die Schlussfolgerung der Autoren verschiebt das Thema von der Tool-Auswahl zur Architektur: Verhaltensanweisungen im Prompt reichen nicht. Vertraulichkeit hält in agentischen Multi-Dokument-Umgebungen nur, wenn Zugriffsbeschränkungen auf der Retrieval-Ebene greifen, bevor fremde Datenfragmente in den gemeinsamen Kontextraum des Modells gelangen [12][13]. Für Betriebe ohne eigene RAG-Umgebung bleibt der Kern einfacher: kein mandantenübergreifender Wissensspeicher, keine geteilten Projekte mit unterschiedlichen Geheimhaltungsstufen.

Was technisch passiert, wenn Sie etwas einfügen

Wer einen Textabschnitt in ein Chatfenster einfügt – die Klausel eines Liefervertrags, eine Kalkulationsmatrix, eine Abmahnung –, überträgt den gesamten Textkörper an die Rechenzentren des Anbieters. Dort durchläuft der Datensatz den Tokenizer, wird im Arbeitsspeicher der Inferenz-Cluster verarbeitet und je nach Kontostufe und Modellarchitektur auf sekundären Speichermedien persistiert. Vollständig in der Verfügungsgewalt des Betriebs steht zu jedem Zeitpunkt nur die flüchtige Bildschirmanzeige auf dem lokalen Rechner [1].

Datenschutzerklärungen beschreiben die beabsichtigte Geschäftspraxis, und dieser Satz gilt nur bis zum ersten Gerichtsbeschluss: Sie werden wirkungslos, sobald eine Sicherungs- oder Beschlagnahmeverfügung ergeht oder Dritte ungesicherte Speicher abgreifen [1]. Auch die Funktionen, die auf der Oberfläche nach Schutz aussehen, schützen diesen Punkt nicht. Eine PIN oder Face ID auf einzelnen Chats sichert gegen physische Einsicht auf einem ungesperrten Endgerät ab. OpenAI hat klargestellt, dass es sich weder um Ende-zu-Ende-Verschlüsselung noch um einen kryptografischen Tresor auf Serverseite handelt; serverseitige Vorhaltung, Backups und potenzielles Modelltraining bleiben davon unberührt [1].

Die Angaben zur Standard-API und zu Zero Data Retention stammen aus der Anbieterdokumentation: bis zu 30 Tage Aufbewahrung zur Missbrauchsüberwachung, sofern keine längere gesetzliche Frist gilt [14]; bei Zero Data Retention keine Aufbewahrung von Prompts oder Antworten nach der Verarbeitung, Sicherheitsprüfung über Private Safety Processing, ohne dass Mitarbeiter Inhalte sehen [15][17]. Für Geschäftskonten gilt zusätzlich, dass Daten nicht standardmäßig zum Training verwendet werden [16].

Wichtig ist die Grenze dieser Zusage: Zero Data Retention ist keine Garantie gegen staatlichen Zugriff, sondern eine Reduktion der Angriffsfläche. Der Satz, der die ganze Debatte zusammenfasst, gilt tarifunabhängig: Rechtlicher Vertraulichkeitsschutz existiert nur dort, wo Daten physisch gar nicht erst persistiert werden.

Der deutsche Kern: fünf Stellen, an denen es teuer wird

Von hier an geht es um deutsches Recht. Die Reihenfolge ist keine Systematik, sondern eine Steigerung: Sie beginnt beim stillen Verlust eines Schutzrechts und endet bei einer Pflicht, deren Verletzung Geld kostet.

GeschGehG: der Schaden tritt ein, bevor etwas abfließt

§ 2 Nr. 1 lit. b GeschGehG macht den Schutz einer wirtschaftlich relevanten Information davon abhängig, dass sie Gegenstand von „den Umständen nach angemessenen Geheimhaltungsmaßnahmen“ ihres Inhabers ist. Das ist keine Formalie, sondern die Eintrittskarte: Ohne angemessene Maßnahmen gibt es kein Geschäftsgeheimnis, und ohne Geschäftsgeheimnis keinen Anspruch.

Wer Preiskalkulationen, Konstruktionszeichnungen, Algorithmen oder Kundenlisten in standardmäßige Cloud-Systeme einspeist, deren Betreiber sich Weiternutzungs- oder Trainingsrechte einräumen, bricht dieses Schutzkonzept an seiner eigenen Voraussetzung. Die ungesicherte Eingabe ist rechtlich selbst eine Offenlegung gegenüber Dritten im Sinne von § 4 Abs. 2 Nr. 3 GeschGehG [18][19].

Der eigentliche Fallstrick liegt eine Ebene tiefer, bei der Beweislast. Wird das Geheimnis später von einem Konkurrenten oder einem ungetreuen Mitarbeiter verwendet, scheitern Unterlassungs- und Schadensersatzansprüche nach §§ 6 ff. GeschGehG nach unserer Einordnung regelmäßig daran, dass das geschädigte Unternehmen nicht darlegen kann, angemessene Barrieren gegen den Datenabfluss errichtet zu haben [19][20]. Bei vorsätzlichem Handeln zur Erlangung eigenen Vorteils greift zusätzlich § 23 GeschGehG, bei Berufsgeheimnisträgern § 203 StGB [18][21].

Daraus folgt der Satz, der ohne Juristendeutsch auskommt: Wer seine Kalkulation in ein Trainingsmodell tippt, hat sie für den Geheimnisschutz bereits aufgegeben. Der Schaden tritt nicht erst ein, wenn etwas abfließt. Er tritt ein, wenn der Nachweis angemessener Maßnahmen nicht mehr zu führen ist – und das ist ein Zustand, kein Ereignis.

ZPO: kein Discovery – und trotzdem verwertbar

Die Zivilprozessordnung kennt keine Pre-Trial Discovery. Es gilt der Beibringungsgrundsatz, Ausforschungsbeweise sind unzulässig, und auch die Anordnung der Urkundenvorlegung nach § 142 ZPO setzt substanziierten Vortrag zu konkreten, entscheidungserheblichen Dokumenten voraus. Der Massenabzug von 20 Millionen Chatprotokollen wäre hier nicht zu haben.

Das schützt aber nur, solange niemand die Protokolle hat. Gelangt eine Partei auf legalem Weg oder über ein Leck in den Besitz gegnerischer KI-Transkripte, greift die freie Beweiswürdigung nach § 286 ZPO – das Gericht entscheidet nach seiner freien Überzeugung. Echte Beweisverwertungsverbote sind im Zivilrecht die absolute Ausnahme und setzen die Verletzung des absolut geschützten Kernbereichs privater Lebensgestaltung voraus (Art. 2 Abs. 1 in Verbindung mit Art. 1 Abs. 1 GG). Rein geschäftliche Kalkulationen und betriebliche Korrespondenz fallen nicht darunter.

Die deutsche Prozessordnung schützt also nicht dadurch, dass sie Beweise verbietet. Sie schützt dadurch, dass sie den Massenabzug nicht kennt. Wer einmal geleakt ist, ist im Prozess verwertbar – und damit ist die Vorsorge der einzige Hebel, der vorher greift.

StPO: im Strafverfahren wird es nicht milder

Werden Chatprotokolle im Rahmen einer Durchsuchung nach §§ 102, 103 StPO oder über die Sicherstellung von Speichermedien nach §§ 94, 110 StPO beschlagnahmt, sind sie im Hauptverfahren nach unserer Einordnung uneingeschränkt verwertbar. Das Beschlagnahmeverbot nach § 97 StPO erstreckt sich ausschließlich auf das Vertrauensverhältnis zwischen Beschuldigtem und Verteidiger. Gegenüber einem Cloud-KI-Anbieter greift es nicht, weil dieser kein Berufsgeheimnisträger nach § 53 Abs. 1 StPO ist [22].

Mangels anwaltlicher Zurechnung greifen damit auch keine Beweiserhebungs- oder Beweisverwertungsverbote: Eigenmächtig erstellte KI-Recherchen eines Beschuldigten können unmittelbar als Belastungsmaterial wirken [22]. Das ist dieselbe Begründungslinie wie im Heppner-Fall, nur ohne US-Prozessrecht: kein Berufsträger, keine Zurechnung, kein Schutz.

DSGVO: drei Pflichten und ein Kollisionsfall

Die Eingabe von Klarnamen, Personaldaten oder Kundeninformationen in ein KI-System ist Datenverarbeitung nach Art. 4 Nr. 2 DSGVO. Beim Einsatz kommerzieller Modelle ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO obligatorisch; standardmäßige Konsumententarife bieten diese Rechtsgrundlage in aller Regel nicht [26][27]. Erfolgt die Verarbeitung außerhalb des EWR – insbesondere in den USA –, verlangt Art. 44 ff. DSGVO eine tragfähige Transfergrundlage, etwa das EU-U.S. Data Privacy Framework oder Standardvertragsklauseln nebst Transfer Impact Assessment.

Dazu kommt ein Konflikt, der sich nicht auflösen, sondern nur verwalten lässt: Das Recht auf Löschung nach Art. 17 DSGVO trifft auf US-amerikanische Beweissicherungsanordnungen. Solche Anordnungen entfalten im europäischen Hoheitsgebiet keine unmittelbare Bindungswirkung; international operierende Dienstleister geraten aber in Kollisionslagen, in denen die Befolgung eines US-Legal-Holds gegen europäische Löschpflichten verstößt. Für den Kunden eines solchen Dienstes heißt das: Die Zusage „wir löschen auf Anforderung“ ist so viel wert wie der Absatz im Vertrag, in dem sie steht.

Eine Formulierung, die hier nicht vorkommen sollte, ist „DSGVO-konform“. Belegbar sind Einzelmaßnahmen: ein vorhandener Auftragsverarbeitungsvertrag, ein schriftlich ausgeschlossenes Training, eine vertraglich geregelte Aufbewahrungsdauer, eine dokumentierte Transfergrundlage. Nicht belegbar ist die Konformität des Gesamtsystems. Wer sie zusagt, sagt mehr, als er prüfen kann.

BetrVG und das Arbeitsgericht Hamburg: die Ironie mit den Firmen-Accounts

Der arbeitsrechtliche Teil ist der, in dem viele Betriebe die richtige Sache aus dem falschen Grund unterlassen. Das Arbeitsgericht Hamburg hat am 16. Januar 2024 (Az. 24 BVGa 1/24) im einstweiligen Verfügungsverfahren auf Antrag eines Betriebsrats drei Konstellationen auseinandergehalten [23][24][25]:

• Richtlinien und Leitfäden, die festlegen, unter welchen fachlichen Vorgaben generative KI als Arbeitsmittel genutzt werden darf, sind mitbestimmungsfrei. Sie gestalten die Art und Weise der geschuldeten Arbeitsleistung aus und gehören zum mitbestimmungsfreien Arbeitsverhalten (§ 87 Abs. 1 Nr. 1 BetrVG) [23][25].
• Die Nutzung über private Nutzerkonten, ohne Arbeitgeberzugriff auf Nutzungszeiten, Prompts oder Auswertungen, löst kein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG aus. Es fehlt die technische Einrichtung, die objektiv dazu bestimmt oder geeignet ist, Verhalten oder Leistung zu überwachen – und damit der betriebliche Überwachungsdruck [23][24].
• Zentral verwaltete Firmen-Accounts mit Enterprise-Lizenzen und Single Sign-on, bei denen die Geschäftsführung administrative Einsichtsrechte in Nutzungsstatistiken, Prompt-Verläufe oder Leistungsindikatoren erhält, lösen die Mitbestimmung unmittelbar aus. Das Gericht hat diese abweichende Bewertung ausdrücklich benannt [23][24].

Die Pointe ist unangenehm: Die Entscheidung ist kein Freibrief, sondern eine Warnung. Wer privates ChatGPT duldet, hat kein Mitbestimmungsproblem – aber ein Problem nach GeschGehG und DSGVO. Wer die Sache sauber löst und Firmen-Accounts einführt, holt sich die Mitbestimmung ins Haus. Beides zugleich geht nur mit einer Betriebsvereinbarung, die Protokollierungsfristen, Rollenberechtigungen und den Ausschluss individueller Leistungsüberwachung regelt [24][26]. Der Betriebsrat ist bei diesem Thema kein Gegner, sondern der Grund, warum die Regelung später hält.

Was das für Ihren Betrieb heißt: fünf Schichten

Die Maßnahmen, die aus der Quellenlage folgen, lassen sich in fünf Schichten sortieren, von der Eingabe bis zum Betrieb. Für einen Handwerksbetrieb mit zwölf Mitarbeitern im Ruhrgebiet gilt dabei nichts anderes als für einen Zulieferer mit zweihundert – die Größe ändert den Aufwand, nicht die Pflichten. Die Reihenfolge ist wichtig, weil keine technische Maßnahme eine Regel ersetzt, die sagt, was nicht in ein Prompt gehört.

Die Eingabe kostet nichts. Für präzise Antworten genügt regelmäßig eine abstrahierte Fallkonstellation – etwa: „Ein mittelständischer Handwerksbetrieb mit 15 Angestellten im Ruhrgebiet verhandelt einen Werkvertrag über die Errichtung einer Heizungsanlage…“. Solche Beschreibungen liefern brauchbare Ergebnisse, weil das Modell das Muster erkennt und nicht die Person. Reale Personennamen, Kundenidentifikatoren, exakte Finanzkennzahlen und standortspezifische Projektdetails gehören unter keinen Umständen in ein Chatfenster [19]. Dazu gehört die arbeitsvertragliche Regel, private Consumer-Accounts nicht für Dienstliches zu nutzen. Ohne diese Regel lässt sich der Nachweis angemessener Geheimhaltungsmaßnahmen nach § 2 Nr. 1 lit. b GeschGehG nicht führen [19].

Der Vertrag entscheidet über die Technik. Zu prüfen ist, dass eingegebene Geschäftsdaten nicht zum Training verwendet werden, dass bei APIs Zero Data Retention verbindlich vereinbart ist und dass ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vorliegt [14][15][26]. Drei Punkte, die in einen Termin mit dem Anbieter passen – und die sich später nicht nachholen lassen, weil die Daten dann schon da waren.

Das Gateway setzt die Regel technisch durch. Ein eigenes API-Gateway prüft ausgehende Prompts automatisiert auf sensible Muster wie IBAN, Kreditkartennummern, Passwörter oder Schlüsselwörter und pseudonymisiert personenbezogene Bezeichner deterministisch, bevor Daten das interne Netz verlassen. Dieselbe Stelle schaltet kollaborative Freigabelinks und Web-Sharing-Optionen systemweit ab – der Meta-Muse-Vorfall wäre damit strukturell ausgeschlossen worden, nicht durch eine Ermahnung [1].

Die Inferenz ist die Ebene, die den Mosaic-Effekt trifft. Bei eigenen RAG-Architekturen gehört das Berechtigungskonzept auf die Vektordatenbank-Ebene. Dokumente unterschiedlicher Geheimhaltungsstufen dürfen nicht im selben Vektorraum liegen und nicht zeitgleich in den Kontext eines Agenten geladen werden. Die Zugriffsrechte der Quellsysteme müssen auf die semantische Suche durchschlagen, damit der Agent ausschließlich vorab autorisierte Fragmente sieht [12][13]. Und wenn Firmen-Accounts kommen, kommt die Betriebsvereinbarung mit – vorher, nicht danach.

Wer nicht weiß, wo anfangen: Erstens eine Liste, welche KI-Dienste im Betrieb überhaupt genutzt werden, mit Zweck und Grenze. Zweitens eine einseitige Regel, was in ein Prompt darf und was nicht, unterschrieben von der Geschäftsführung. Drittens der Blick in die Verträge der Dienste, die auf dieser Liste stehen. Diese drei Schritte kosten keine Investition und sie sind die Grundlage für alles Weitere – auch für die Antwort auf die Frage, die im nächsten Prüfungs- oder Streitfall zuerst kommt.

Was wir nicht behaupten

• Aus den US-Entscheidungen folgt für deutsches Recht unmittelbar nichts. Sie zeigen, was Gerichte mit KI-Protokollen tun, wenn sie sie haben. Sie entscheiden keinen deutschen Fall.
• Es gibt in unserer Quellenlage keine Zahl dazu, wie viele Betriebe in Deutschland betroffen sind. Wer eine nennt, hat sie nicht von uns.
• Wir behaupten keine DSGVO-Konformität für irgendeinen Tarif und kein Gesamtsystem. Belegbar sind die Einzelmaßnahmen, die oben stehen.
• Dieser Text ist keine Rechtsberatung. Die Anwendung der Normen auf einen konkreten Fall gehört zu einer Anwältin oder einem Anwalt.
• Wir verkaufen in diesem Text nichts. Die Maßnahmen, die wir beschreiben, sind solche, die wir selbst umsetzen.

Wie wir selbst damit umgehen

Wir setzen dieselben Dienste ein, und wir haben daraus drei Regeln gemacht, die ohne Technik funktionieren. Sensible Kundendaten gehen nicht in einen Cloud-Chat, sondern in ein lokales Modell oder in ein Skript, das die Daten vorher ersetzt. Jedes Werkzeug, das im Betrieb genutzt wird, steht auf einer Liste mit einem Zweck und einer Grenze. Und bei jedem neuen Werkzeug prüfen wir vor dem ersten Einsatz, was es an Dritte weitergibt – nicht nach dem ersten Vorfall.

Das ist unspektakulärer als ein Verbot – und es hält länger. Ein Betrieb, der weiß, was in seine Prompts gehört, braucht keine Angst vor der nächsten Datenpanne. Er braucht nur eine Antwort auf die Frage, was er in ein Eingabefeld tippt.

Was nicht belegt ist

• Die Aussagen zu § 142 und § 286 ZPO, zu § 97 und § 53 StPO sowie zu Art. 28, 44 und 17 DSGVO sind rechtliche Einordnung. Der Normwortlaut stammt aus den amtlichen Gesetzestexten, eine tragende Entscheidung oder Aufsatzquelle zitieren wir dafür nicht.
• Die 20 Millionen Protokolle schildern wir als Größenordnung, die OpenAI selbst vorgeschlagen hatte und der die Kläger zustimmten. Andere Berichte stellen sie als gerichtliche Anordnung dar; die Formulierung ist in den Quellen nicht einheitlich [3][4].
• „Tools, not persons“ ist ein englisches Zitat; die Wiedergabe als „Werkzeuge, keine Personen“ ist unsere Übersetzung [7].
• Die 32,37 Prozent sind eine Restquote trotz implementierter Schutzmaßnahmen, nicht eine Quote ohne Schutz. Die Studie arbeitet mit 30 synthetischen Szenarien im Labor, nicht mit Felddaten [13].
• Beim Modellnamen in dem Cloudflare-Vorfall weichen die Schreibweisen in den Quellen ab. Wir verwenden die Fassung, die die Referenzseite führt, also GLM 5.3 [1].
• Zu den 6.800 Freigabelinks sind Urlaubspläne belegt. Wir nennen nur, was die Referenz ausdrücklich enthält [1].
• Für die formale Beendigung der anlasslosen Speicherung nennt die Quelldatei ein Datum, das in keiner Referenz belegt ist. Wir nennen nur das belegte Ende zum 26. September 2025 [2].
• Zwei Diskussionsforen aus der Referenzliste waren beim Abruf nicht auslesbar. Die dort belegten Aussagen sind über andere Quellen mehrfach gedeckt, wir haben sie nicht als Beleg verwendet.

Wie viele KI-Dienste laufen in Ihrem Betrieb – und weiß jemand, welche Daten dort hineingehen? Schreiben Sie uns zwei Sätze dazu. Sie bekommen eine ehrliche Einschätzung, welche Schicht bei Ihnen zuerst greift, was sich technisch in einer Woche abstellen lässt und was eine Rechtsberatung klären muss. Und eine Absage, wenn ein Verbot bei Ihnen die einfachere Lösung ist.

Quellen

Alle Adressen wurden am 10.11.2026 abgerufen und auf Abrufbarkeit geprüft. Vier Anbieter blocken automatisierte Abrufe mit HTTP 403 (ResearchGate, GT Law, Justia, White & Case); dort wurde der Volltext über einen Reader-Dienst gegengelesen. Messwerte und Anbieterverhalten sind Momentaufnahmen des jeweiligen Veröffentlichungsdatums.

1. https://aiweekly.co/issues/your-ai-chats-are-evidence-court-orders-leaks-what-stays – aiweekly.co, „Your AI Chats Are Evidence: Court Orders, Leaks, What Stays Private“ (Belegt: Preservation Order und AEO-Einstufung, 99,99-Prozent-Einwand, die drei Sicherheitsvorfälle, Payload- und Persistenzbeschreibung, PIN/Face-ID, Löschkonflikt, Fazit)
2. https://www.cryptopolitan.com/openai-fails-to-shield-chatgpt-logs/ – cryptopolitan, „OpenAI fails to shield ChatGPT logs in copyright lawsuit“ (Belegt: Sicherung gelöschter Dialoge, Ende der anlasslosen Speicherung am 26.09.2025)
3. https://www.eweek.com/news/openai-chatgpt-logs-new-york-times-copyright-mdl/ – eWeek, „OpenAI Ordered to Hand Over 20M ChatGPT Logs“ (Belegt: 20 Millionen als Vorschlag von OpenAI, dem die Kläger zustimmten)
4. https://innfactory.ai/en/blog/copyright-dispute-forces-openai-to-disclose-20-million-user-chats-a-wake-up-call-for-companies/ – innfactory.ai, „Copyright Dispute Forces OpenAI to Disclose 20 Million User Chats“ (Belegt: Umfang der Herausgabe im November 2025)
5. https://www.huschblackwell.com/newsandinsights/heppner-v-claude-the-first-privilege-waiver-by-ai-rulingwhat-lawyers-and-clients-must-know – Husch Blackwell, „Heppner v. Claude: The First Privilege Waiver by AI Ruling“ (Belegt: kein Berufsträger, Kovel-Analogie, Consumer-AGB als freiwillige Offenlegung)
6. https://harvardlawreview.org/blog/2026/03/united-states-v-heppner/ – Harvard Law Review, „United States v. Heppner“, März 2026 (Belegt: „approximately thirty-one documents“, Begründung des Gerichts)
7. https://www.paulweiss.com/insights/client-memos/federal-courts-reach-different-outcomes-on-whether-ai-generated-materials-warrant-work-product-protection – Paul Weiss, „Federal Courts Reach Different Outcomes on Whether AI-Generated Materials Warrant Work Product Protection“ (Belegt: „tools, not persons“, AGB-Argument, divergierende Entscheidungen)
8. https://www.gtlaw-ediscoverywatch.com/2026/05/work-product-protection-and-the-disclosure-of-ai-tools-in-discovery-lessons-from-morgan-v-v2x-part-i/ – Greenberg Traurig, „Work Product Protection and the Disclosure of AI Tools in Discovery – Lessons from Morgan v. V2X, Part I“, Mai 2026 (Belegt: Offenlegung des Werkzeugnamens, Inhaltsschutz)
9. https://law.justia.com/cases/federal/district-courts/michigan/miedce/2:2024cv12333/379552/94/ – Justia, Warner v. Gilbarco, Inc. et al., Document 94 (E.D. Mich.) (Belegt: Abweisung des Herausgabeverlangs)
10. https://www.kirkland.com/publications/kirkland-alert/2026/05/a-federal-court-charts-a-path-on-ai-protective-orders-and-work-product-in-discovery – Kirkland & Ellis, „A Federal Court Charts a Path on AI, Protective Orders and Work Product in Discovery“, Mai 2026 (Belegt: Erweiterung der Schutzanordnung in Morgan v. V2X)
11. https://www.whitecase.com/insight-alert/attorney-client-privilege-and-work-product-age-generative-ai – White & Case, „Attorney-client privilege and work product in the age of generative AI“ (Belegt: Entscheidungsdaten 10.02. und 17.02.2026, Warner und Heppner)
12. https://arxiv.org/html/2610.30418v1 – Ruiz, Luceri, Ferrara, „Agent Mosaic: Recognizing Confidentiality Leaks in Agentic LLM Systems“, arXiv:2610.30418 (Primärquelle; Methodik und Schlussfolgerung zur Retrieval-Ebene)
13. https://www.researchgate.net/publication/416623603_Agent_Mosaic_Recognizing_Confidentiality_Leaks_in_Agentic_LLM_Systems – ResearchGate, Abstract und Tabellen zur Agent-Mosaic-Studie (Belegt: 30 Szenarien, 10.800 Antworten, 7,08 Prozent, 32,37 Prozent, dokumentenzentrierte DLP)
14. https://developers.openai.com/api/docs/guides/your-data – OpenAI Platform, „Data controls in the OpenAI API“ (Belegt: 30-Tage-Aufbewahrung zur Missbrauchsüberwachung, Zero-Data-Retention-Opt-out)
15. https://openai.com/index/offering-zero-data-retention-for-frontier-models/ – OpenAI, „Offering Zero Data Retention for frontier models“ (Belegt: ZDR für Frontier-Modelle, Private Safety Processing)
16. https://openai.com/business-data/ – OpenAI, „Business data privacy, security, and compliance“ (Belegt: kein Training mit Geschäftsdaten per Standard)
17. https://casrai.org/guides/zero-data-retention-ai-tools-research – CASRAI, „OpenAI Zero Data Retention: Research Guide“ (Belegt: 30-Tage-Standard, ZDR auf Anfrage)
18. https://www.rdp-law.de/blog/blog-details/kuenstliche-intelligenz-und-geschaeftsgeheimnisse.html – rdp-law, „Künstliche Intelligenz und Geschäftsgeheimnisse“ (Belegt: § 4 Abs. 2 Nr. 3 GeschGehG, § 23 GeschGehG, § 203 StGB)
19. https://skill-sprinters.de/blog/compliance/geschaeftsgeheimnis-ki-eingaben-geschgehg-2026/ – SkillSprinters, „Geschäftsgeheimnisse und KI-Eingaben 2026″ (Belegt: angemessene Geheimhaltungsmaßnahmen, Beweislast, Prompting-Hygiene, Verbot privater Accounts)
20. https://www.legalsmart.de/themen/ki-im-unternehmen/ki-geschaeftsgeheimnisse/ – legalsmart, „Geschäftsgeheimnisse und KI: vertrauliche Daten in KI-Tools“ (Belegt: Schutzkonzept und Rechtsfolgen)
21. https://www.sza.de/de/thinktank/ki-tools-geschaeftsgeheimnisse – sza.de, „KI-Tools und Geschäftsgeheimnisse: rechtliche Risiken vermeiden“ (Belegt: Risikolage für Unternehmen)
22. https://www.deubner-recht.de/themen/beweisverbote/beweisverwertungsverbote/ – Deubner, „Beweisverwertungsverbote – was Anwälte wissen müssen“ (Belegt: Beweisverwertungsverbote im Strafprozess; deckt §§ 142/286 ZPO nicht ab)
23. https://kliemt.blog/2024/03/13/kein-mitbestimmungsrecht-des-betriebsrats-bei-der-nutzung-privater-chatgpt-accounts/ – Kliemt.blog, „Kein Mitbestimmungsrecht des Betriebsrats bei der Nutzung privater ChatGPT-Accounts“, 13.03.2024 (Belegt: ArbG Hamburg, 16.01.2024, 24 BVGa 1/24, private Konten, Firmen-Accounts)
24. https://kpmg-law.de/arbg-hamburg-erlaubnis-von-chatgpt-ist-nicht-mitbestimmungspflichtig/ – KPMG Law, „ArbG Hamburg: Erlaubnis von ChatGPT ist nicht mitbestimmungspflichtig“ (Belegt: § 87 Abs. 1 Nr. 6 BetrVG, Abgrenzung der Konstellationen)
25. https://www.gleisslutz.com/de/know-how/arbeitsgericht-hamburg-zu-chatgpt-kein-mitbestimmungsrecht-des-betriebsrats – Gleiss Lutz, „Arbeitsgericht Hamburg zu ChatGPT: kein Mitbestimmungsrecht des Betriebsrats“ (Belegt: Einordnung als Arbeitsverhalten nach § 87 Abs. 1 Nr. 1 BetrVG)
26. https://klaus-ki.eu/wissen/schatten-ki – klaus-ki.eu, „Schatten-KI: wenn das Team heimlich ChatGPT nutzt“ (Belegt: Auftragsverarbeitung im Schatten-KI-Kontext, Betriebsvereinbarung)
27. https://www.iubenda.com/en/blog/openai-gdpr-compliance/ – iubenda, „OpenAI GDPR Compliance: what businesses need to know“ (Belegt: Aufbewahrung, Auftragsverarbeitung im Consumer-Kontext)

Gesetzestexte (amtlich, gesetze-im-internet.de, abgerufen am 10.11.2026, HTTP 200):

• § 2 GeschGehG: https://www.gesetze-im-internet.de/geschgehg/__2.html
• § 4 GeschGehG: https://www.gesetze-im-internet.de/geschgehg/__4.html
• § 142 ZPO: https://www.gesetze-im-internet.de/zpo/__142.html
• § 286 ZPO: https://www.gesetze-im-internet.de/zpo/__286.html
• § 97 StPO: https://www.gesetze-im-internet.de/stpo/__97.html
• § 53 StPO: https://www.gesetze-im-internet.de/stpo/__53.html
• § 87 BetrVG: https://www.gesetze-im-internet.de/betrvg/__87.html
• Art. 2 GG: https://www.gesetze-im-internet.de/gg/art_2.html
• Art. 1 GG: https://www.gesetze-im-internet.de/gg/art_1.html

Die DSGVO (Art. 4, 17, 28, 44 ff.) ist über EUR-Lex dokumentiert; ein stabiler Direktabruf war zum Prüfzeitpunkt nicht möglich, deshalb nennen wir dort keine Adresse.

Autor: Team REN-AI-SSANCE – mit KI-Unterstützung erstellt, von Menschen geprüft und freigegeben.