KI und DSGVO: heikel, aber lösbar

Warum KI und DSGVO überhaupt heikel ist

Sobald in einem Prompt ein Name, eine E-Mail-Adresse oder eine IBAN steht, verarbeitest du personenbezogene Daten im Sinne von Art. 4 DSGVO. Und zwar nicht nur auf deinem Rechner: Der Text geht an den Anbieter des KI-Modells, wird dort verarbeitet und unter Umständen eine Zeit lang gespeichert. Damit wird der Anbieter zu deinem Auftragsverarbeiter, und für dich stellen sich vier Fragen.

• Wohin gehen die Daten? In ein Rechenzentrum in der EU oder in die USA? Und bei welchem Unternehmen landen sie am Ende, beim Werkzeug-Anbieter oder bei Anthropic, AWS oder Google dahinter?
• Was passiert dort mit ihnen? Werden sie gespeichert, wie lange, und wer darf sie ansehen? Werden sie zum Training genutzt?
• Was steht im Vertrag? Ohne Auftragsverarbeitungsvertrag (AVV) darfst du Kundendaten nicht an einen Dienstleister geben.
• Dürfen diese Daten überhaupt raus? Für Anwälte, Ärztinnen und Steuerberater kommt das Berufsgeheimnis nach § 203 StGB dazu. Hier reicht ein AVV allein oft nicht.

Es gibt drei Antworten darauf. Du suchst dir einen Anbieter, der die ersten drei Fragen für dich sauber beantwortet, und arbeitest dann ganz normal. Das ist Weg 1 mit Langdock. Du sorgst dafür, dass Namen und Kundendaten gar nicht erst beim Modell ankommen. Das ist Weg 2, die eigene Schleife. Oder du betreibst ein offenes Modell auf einem eigenen GPU-Server, dann verlassen die Daten deinen Server nicht. Das ist Weg 3. Die Wege lassen sich kombinieren.

Auf einen Blick

Meine Erfahrung

Ich habe Langdock lange selbst genutzt und war sehr zufrieden. Es war für mich der schnellste Weg, Claude im Alltag einzusetzen, ohne mich um Technik zu kümmern.

Mit der Zeit habe ich mehr Technik verstanden. Ich habe eigene Server aufgesetzt und GPU-Server bei Hetzner gemietet, um offene KI-Modelle selbst zu betreiben. Seitdem sehe ich beide Seiten: wie bequem ein fertiges Werkzeug ist, und was es heißt, alles selbst in der Hand zu haben, mit allen Vor- und Nachteilen.

Darum steht in diesem Leitfaden kein „das eine ist besser“. Es kommt darauf an, wie viele Leute damit arbeiten, wie oft, mit welchen Daten, und wie viel Technik du dir zutraust.

Weg 1: Langdock, der einfache Weg

Langdock ist ein KI-Arbeitsplatz aus Berlin im Browser: Chat, Agenten, Workflows, mit Claude und anderen Modellen. Ich stehe in keiner Verbindung zu Langdock, das hier ist meine eigene Erfahrung und Recherche.

Pro und Contra aus meiner Erfahrung

• Hosting: Microsoft Azure mit Serverstandort in der EU. Laut Langdock laufen die Anwendung und „die meisten“ Modelle vollständig in der EU.
• AVV: Teil der AGB, gilt automatisch.
• Berufsgeheimnisträger: Im Trust Center gibt es eine Zusatzvereinbarung für Anwälte, Ärzte, Steuerberater (§ 203 StGB).
• Sicherheit: ISO 27001, SOC 2 Type II, AES-256, Admin-Rollen, einstellbare Aufbewahrungsfrist für Chats. Kundendaten werden laut Langdock nie zum Training von KI-Modellen genutzt. Was diese Siegel bedeuten, steht weiter unten.
• MCP: nur Remote-Server (HTTP oder SSE), keine lokalen.
• Preis: Business laut Preisseite 25 € netto pro Nutzer und Monat, Business Max 99 € (fünffache Nutzung). Details im nächsten Abschnitt.

Gut zu wissen: Langdock bietet viele Modelle verschiedener Anbieter an. Laut API-Doku laufen sie je nach Modell über AWS Bedrock, Google Vertex oder direkt beim Anbieter. Welche Region für dein Modell gilt, lässt du dir am besten schriftlich bestätigen. Eine eingebaute Funktion, die Namen vor dem Senden maskiert, habe ich nicht gefunden. Wer das braucht, kombiniert Langdock mit klaren Regeln im Team oder nimmt Weg 2.

Was kostet das? Lizenzgebühr für Firmen und Einzelpersonen

Laut Preisseite (geprüft am 03.11.2026, alle Preise netto):

• Testen: 7 Tage kostenlos, ohne Kreditkarte, mit 5 € Guthaben für KI-Modelle.
• Business: 25 € pro Nutzer und Monat. Chat und Agenten mit den enthaltenen Modellen kosten nichts extra nach Verbrauch.
• Business Max: 99 € pro Nutzer und Monat, mit fünfmal so viel Nutzung.
• Jährlich zahlen: laut Preisseite bis zu 20 % günstiger.
• Extra: Workflows und die API werden nach Verbrauch abgerechnet. Das Governance-Paket ist bis 1. Januar 2027 kostenlos, danach ab 3,50 € pro Nutzer und Monat.
• Einzelpersonen: Einen eigenen Tarif für eine Person habe ich nicht gefunden, du nimmst einen Business-Platz.

Nutzen abwägen

Die Lizenz lohnt sich, wenn sie Zeit spart, die mehr wert ist als 25 € im Monat. Eine einfache Rechnung:

• Team, das täglich damit arbeitet: Spart jede Person nur eine halbe Stunde pro Woche, sind das rund zwei Stunden im Monat. Bei fast jedem Stundensatz ist die Lizenz damit bezahlt. Hier lohnt es sich oft.
• Allein und nur ab und zu: Nutzt du es ein paarmal im Monat, zahlst du trotzdem den vollen Platz. Rechne nach, ob ein Abo direkt beim Modell-Anbieter, ein anderer Anbieter weiter unten oder Weg 2 für dich günstiger ist.
• Viele Köpfe, gleiche Aufgaben: Ab etwa neun Nutzern kostet Langdock Business im Monat mehr als die günstigste GPU-Miete bei Hetzner (siehe Weg 3). Das heißt nicht, dass der Server günstiger ist: Deine Zeit für Einrichtung und Pflege kommt dazu, und offene Modelle sind nicht Claude.

Meine Faustregel: Je mehr Leute es täglich nutzen und je weniger Technik im Haus ist, desto eher ist Langdock die richtige Wahl.

Die Siegel in einfachen Worten

Langdocks Sicherheitsseite nennt vier Punkte unter Prüfungen und Zertifikaten. Das sind gute Zeichen. Hier steht, was jeder Punkt bedeutet und wo dein eigener Teil beginnt.

Kurz gesagt: ISO 27001 und SOC 2 Type II zeigen, dass Langdock Sicherheit ernst nimmt und sich von außen prüfen lässt. Langdock macht seinen Teil für die DSGVO, deine eigene Nutzung bleibt deine Sache. Lass dir die Zusagen schriftlich geben, im Vertrag, nicht nur auf einer Webseite.

Diese Fragen stellst du jedem Anbieter schriftlich, auch Langdock

• Über welches Backend und welche Region läuft das Claude-Modell, das wir nutzen?
• Werden Eingaben dort gespeichert, wie lange, und wer kann sie prüfen?
• Welche Unterauftragsverarbeiter sind beteiligt, und wo sitzen sie?
• Gibt es eine Maskierung von Namen oder Kundendaten, bevor sie ans Modell gehen?
• Was regelt die Zusatzvereinbarung für Berufsgeheimnisträger genau?
• Können wir das ISO-27001-Zertifikat (Geltungsbereich, Prüfer, gültig bis) und den SOC-2-Type-II-Bericht sehen?
• Steht „kein Training“ in unserem Vertrag, und gilt es auch beim Modell-Anbieter für unser Modell?

Weg 2: die eigene Schleife

Die Idee: Namen und Kundendaten verlassen dein Haus gar nicht erst.

1. Dein Text geht zuerst durch ein Werkzeug auf deinem Rechner, zum Beispiel Presidio.
2. Es ersetzt Namen, IBANs und Ausweisnummern durch Platzhalter: Aus Erika Mustermann wird <PERSON_1>.
3. Die Zuordnungsliste (<PERSON_1> = Erika Mustermann) bleibt bei dir.
4. Nur der Platzhalter-Text geht an Claude.
5. Die Antwort kommt mit Platzhaltern zurück, und deine Schleife setzt die echten Namen wieder ein.

Presidio

• Open Source, MIT-Lizenz, früher ein Microsoft-Projekt, heute Community-Projekt „Data Privacy Stack“. Letztes Release am 27.10.2026.
• Findet Namen, E-Mails, Telefonnummern, IBANs und mehr, mit Spracherkennung, Mustern und Prüfsummen. Ersetzen, schwärzen, hashen oder verschlüsseln. Es gibt auch eine Schwärzung in Bildern.
• Deutsch: Standard ist Englisch. Für deutsche Texte brauchst du ein deutsches Sprachmodell (spaCy). Es gibt 13 deutsche Erkenner (Steuer-ID, Personalausweis, Reisepass, Kfz-Kennzeichen, Handelsregister und mehr), die standardmäßig ausgeschaltet sind. Schalte sie ein.
• Grenze: Presidio sagt selbst, dass es keine Garantie gibt, alles zu finden. Ungewöhnliche Namen oder indirekte Hinweise („der Chef der Bäckerei am Marktplatz“) rutschen durch.
• Tipp: Lege deine Kundennamen aus dem CRM als eigene Liste an, dann findet Presidio sie sicher.

Fertige Bausteine

• LiteLLM Presidio-Guardrail (Open Source): ein Gateway vor dem Modell. pre_call maskiert jede Anfrage, output_parse_pii: True setzt die Originalwerte in der Antwort wieder ein. presidio_language: "de" wird unterstützt. Claude Code kann über ANTHROPIC_BASE_URL auf so ein Gateway zeigen.
• Claude Code Hook: ein Wächter, der auf deinem Rechner läuft, bevor etwas rausgeht. Details im Abschnitt „Der Hook in Claude Code“ unten.
• Nicht empfohlen: LLM Guard ist archiviert und kann kein Deutsch. NeMo Guardrails dokumentiert nur Englisch.

Der Hook in Claude Code: Gehen da nicht schon echte Daten raus?

Nein, wenn er richtig eingerichtet ist. Wichtig ist der Unterschied zwischen zwei Dingen, die fast gleich heißen:

• Claude Code ist ein Programm, das auf deinem Rechner läuft (oder auf deinem Server).
• Claude, das KI-Modell, läuft beim Anbieter: bei Anthropic, oder über AWS Bedrock in der EU.

Ein Hook ist ein kleines Skript, das Claude Code auf deinem Rechner startet, an festen Stellen.

So läuft es ab

1. Du tippst einen Prompt und drückst Enter.
2. Bevor irgendetwas an das Modell geht, startet Claude Code deinen UserPromptSubmit-Hook, lokal.
3. Der Hook prüft den Text, zum Beispiel mit Presidio oder einer Liste deiner Kundennamen.
4. Findet er Kundendaten, blockiert er (Exit-Code 2). Laut Claude-Code-Doku erreicht ein blockierter Prompt das Modell nie. Du bekommst eine Meldung wie „Bitte erst pseudonymisieren“.
5. Findet er nichts, geht der Prompt ganz normal ans Modell.

Für Dateien gibt es einen zweiten Hook: Wenn Claude eine Datei liest, passiert das Lesen lokal. Ein PostToolUse-Hook kann das Ergebnis maskieren (updatedToolOutput), und erst der maskierte Text geht ans Modell.

Grenzen, ehrlich

• Er stoppt nur, was er erkennt. Ein Name, den Presidio oder deine Liste übersieht, geht mit raus. Darum Stichproben.
• Stoppen, nicht umschreiben: Ein UserPromptSubmit-Hook kann deinen Prompt nicht automatisch pseudonymisieren. Dafür nimmst du die Schleife oder den LiteLLM-Guardrail.
• Nur lokal: In Cloud-Sessions von Claude Code (im Browser) laufen deine lokalen Hooks nicht. Der Schutz gilt für Claude Code auf deinem Rechner oder Server.
• Du baust ihn selbst: Einen fertigen, geprüften Presidio-Hook für Claude Code habe ich nicht gefunden. Teste ihn mit Beispieltexten ohne echte Daten.
• Kein Ersatz für den Vertrag: Alles, was nicht gestoppt wird, geht ans Modell. Den AVV mit deinem Anbieter brauchst du trotzdem.

Prompt zum Kopieren

Bau mir einen UserPromptSubmit-Hook für Claude Code, der lokal läuft. Er soll jeden Prompt mit Presidio (deutsches spaCy-Modell, deutsche Erkenner eingeschaltet) und meiner Kundenliste kunden.txt prüfen und blockieren, sobald ein Name, eine IBAN oder eine E-Mail gefunden wird. Die Meldung soll sagen, was gefunden wurde. Trag ihn in .claude/settings.json ein und teste ihn mit drei Beispielprompts ohne echte Daten.

Weg 3: der eigene GPU-Server

So arbeite ich heute für einen Teil meiner Aufgaben: ein gemieteter Server mit Grafikkarte, auf dem ein offenes KI-Modell läuft. Die Daten verlassen deinen Server nicht, es gibt keine Lizenz pro Kopf, sondern eine feste Miete.

Was du brauchst

• Einen GPU-Server, zum Beispiel bei Hetzner. Laut Hetzner (geprüft am 03.11.2026, netto):

• Ein offenes Modell und eine Software, die es bereitstellt, zum Beispiel Ollama oder vLLM. Je größer das Modell, desto mehr Grafikspeicher brauchst du.
• Eine Oberfläche für dein Team, zum Beispiel Open WebUI, damit es sich wie ein Chat im Browser anfühlt.
• Den AVV mit dem Hoster. Bei Hetzner schließt du ihn direkt im Kundenkonto ab, ohne Unterschrift auf Papier. Dedizierte Server stehen laut Hetzner ausschließlich in der EU.

Pro und Contra

Für wen: für Firmen mit Technik im Haus oder einem Dienstleister, viele Nutzer oder sehr sensible Daten. Für die meisten Einsteiger ist das zu viel auf einmal. Ich habe auch mit Langdock angefangen.

Welcher Weg passt zu dir?

Deine DSGVO-Pflichten, egal welcher Weg

Kein Anbieter und keine Schleife nimmt dir diese Punkte ab. Sie gelten für Langdock genauso wie für die eigene Schleife.

Faustregel: Je weniger echte Namen und Kundendaten das Modell sieht, desto kleiner wird jede dieser Aufgaben. Genau dafür ist die Schleife da.

Zwei ehrliche Hinweise

• Presidio findet nicht alles. Prüf regelmäßig Stichproben von Hand, gerade am Anfang.
• Für dich bleiben die Daten personenbezogen. Du hast die Zuordnungsliste, also gilt die DSGVO weiter (Erwägungsgrund 26, EDPB-Leitlinien 01/2025). Die Schleife senkt das Risiko und hilft bei der Datenminimierung, ersetzt aber keinen AVV mit deinem Modell-Anbieter. Nur echte Anonymisierung nimmt Daten aus der DSGVO heraus.

Drei Missverständnisse, die oft teuer werden

„Der Server steht in der EU, also ist alles DSGVO-konform.“ Der Standort ist nur ein Baustein. Du brauchst trotzdem einen AVV, eine Rechtsgrundlage, die Information deiner Kunden und Klarheit darüber, welche Unterauftragsverarbeiter beteiligt sind. Gerade bei Werkzeugen, die mehrere Modelle anbieten, kann jedes Modell über ein anderes Backend laufen.

„Ich habe die Namen ersetzt, also sind die Daten anonym.“ Nicht für dich. Solange du die Zuordnungsliste hast, sind die Daten nur pseudonymisiert und fallen weiter unter die DSGVO. Die Schleife senkt das Risiko deutlich, sie hebt die Pflichten aber nicht auf.

„Kein Training heißt, meine Daten sind sofort wieder weg.“ Kein Training bedeutet nur, dass das Modell nicht aus deinen Daten lernt. Gespeichert werden kann trotzdem, etwa für Missbrauchskontrollen oder Protokolle. Frag deshalb immer getrennt nach Training und nach Speicherdauer.

Weitere Anbieter ohne Technik

Bei allen gilt: Frag schriftlich nach Backend, Region, Speicherdauer und AVV.

Deine erste Stunde

• Entscheiden: einfach (Langdock), Kontrolle (Schleife), eigener Server, oder eine Mischung. Die Tabelle „Welcher Weg passt zu dir?“ hilft.
• Rechnen: Wie viele Leute nutzen es, wie oft? Lizenz mal Köpfe gegen die gesparte Zeit.
• Bei Langdock: Testzugang anlegen und die sieben Fragen oben schriftlich stellen.
• Bei der Schleife: Presidio installieren, deutsches Sprachmodell und die deutschen Erkenner einschalten.
• Zehn eigene Texte ohne echte Kundendaten durchschicken und prüfen, was gefunden wird.
• Erst danach mit echten Daten arbeiten, mit Stichproben.

Mein Tipp

Fang einfach an, so wie ich: Langdock (oder ein anderer fertiger Arbeitsplatz) für das Team im Alltag, ohne Kundendaten. Dazu eine Schleife mit Presidio für die eine Aufgabe, bei der Namen drinstecken, zum Beispiel Angebote oder Kundenmails. Wenn du merkst, dass ihr viele Köpfe seid oder Daten habt, die nie rausgehen sollen, ist der eigene Server der nächste Schritt. Rechne vorher nach, nicht hinterher.

Alle Preise, Funktionen und Links am 01.11.2026 auf den Seiten der Anbieter und in den Dokumentationen geprüft, die Sicherheitsangaben und Preise von Langdock sowie die GPU-Server und der AVV von Hetzner am 03.11.2026 auf langdock.com und hetzner.com. Preise ändern sich, schau vor dem Kauf nach.