Kein Training auf deinen Daten: was das konkret bedeutet

Wichtige Erkenntnisse

• Verarbeitung und Training sind verschieden: Nur Training macht deine Daten dauerhaft Teil des Modells, Verarbeitung ist umkehrbar.
• RAG holt Wissen zur Anfrage aus deiner Wissensbasis in den Kontext. Das Modell lernt dabei nichts aus dem Gespräch.
• Laut DataGrail 2026 legen möglicherweise 63,6 Prozent der KI-Anbieter — von 2.400 analysierten Software-Systemen — keine externen Unterauftragsverarbeiter in ihren Rechtsdokumenten offen.
• Auch ohne Training bleiben Daten: Bis zu 90 Tage Logfile-Speicherung für IT-Sicherheit gelten als vertretbar.
• Anthropic trainiert standardmäßig nicht mit API-Daten, speichert gemeldetes Feedback aber bis zu 5 Jahre.

Verarbeitung ist nicht Training. Der Unterschied zuerst.

Fast jeder KI-Anbieter im Support schreibt den Satz irgendwo hin: kein Training auf deinen Daten. Klingt gut. Hilft dir aber nur, wenn du weißt, was er technisch bedeutet. Denn hinter der Zusage stecken zwei völlig unterschiedliche Vorgänge, die oft in einem Satz vermengt werden.

• Verarbeitung: Deine Daten werden in Echtzeit benutzt, um eine Aufgabe zu erledigen. Eine Kundenfrage kommt rein, das Modell liefert eine Antwort, fertig. Wenn die Aufgabe abgeschlossen ist, fließen die Daten nicht zurück in ein Lernsystem.
• Training: Deine Daten werden in ein Modell eingespeist, um es dauerhaft zu verändern. Deine Eingaben werden Teil des Modellwissens. Es gibt kein Zurücksetzen. Die Inhalte wieder herauszulösen hieße, das Modell neu zu trainieren, und dafür hat niemand ein Budget.

Der Unterschied ist also die Umkehrbarkeit. Verarbeitung lässt du vorbeiziehen wie eine Anfrage im Posteingang. Training backt die Daten ein. Genau deshalb ist die Zusage so wichtig, und genau deshalb ist sie als freistehender Satz auf einer Marketingseite nichts wert. Der Satz hat keinen Geltungsbereich, nennt keine Unterauftragsverarbeiter, keine Aufbewahrungsfristen und trägt niemandes Unterschrift¹.

Woran du die Zusage also festmachst: an den überprüfbaren Teilen. Welche Anbieter bekommen die Daten, wie lange bleibt jede Datenart gespeichert, gilt der Ausschluss auch für anonymisierte und aggregierte Versionen, und steht das alles im unterschriebenen Vertrag¹. Die nächsten Abschnitte gehen diese Punkte der Reihe nach durch.

RAG: Das Modell lernt nicht aus deinen Gesprächen.

Im Kundensupport beruht die Zusage meist auf einer Architektur namens Retrieval-Augmented Generation, kurz RAG. Das Prinzip: Das Sprachmodell wird nicht mit deinen Daten trainiert. Stattdessen durchsucht das System bei jeder Frage eine externe Wissensquelle und baut die gefundenen Informationen in die Antwort ein².

1. 01Retrieve: Die Kundenanfrage wird in eine Vektorrepräsentation umgewandelt und gegen die Vektordatenbank deiner Wissensbasis abgeglichen. Die Suche findet die Abschnitte, die der Frage am ähnlichsten sind².
2. 02Augment: Die gefundenen Abschnitte werden in den Kontext der Anfrage eingefügt. Der Prompt enthält jetzt die ursprüngliche Frage plus die relevanten Textstellen².
3. 03Generate: Das Modell formuliert aus diesem Kontext eine Antwort in natürlicher Sprache. Danach ist der Vorgang abgeschlossen, nichts fließt in ein Training zurück².

Der Nebeneffekt ist für dich mindestens so wichtig wie der Datenschutz: Weil das Modell nur aus den gefundenen Abschnitten antwortet, kann jede Antwort ihre Quelle nennen. Das begrenzt auch Halluzinationen, weil das System nicht aus dem Gedächtnis dichtet, sondern aus deinem gepflegten Wissen². Wie so eine RAG-Pipeline im Detail gegen Halluzinationen abgesichert wird, haben wir separat beschrieben: Halluzinationen verhindern.

Datenisolation: Mandantentrennung und ihre Grenzen.

Die zweite technische Säule ist Isolation. Anbieter trennen die Daten verschiedener Kunden, damit dein Wissensstand und deine Gespräche nicht mit denen anderer Mandanten vermischt werden. Üblich sind zwei Ebenen³:

• Mandantentrennung: Die Daten verschiedener Kunden werden logisch voneinander getrennt verarbeitet. Jeder Mandant sieht nur seine eigenen Inhalte.
• Tenant-Trennung: Die Isolation greift zusätzlich auf Infrastrukturebene, also systemseitig oder physisch, damit eine Vermischung technisch ausgeschlossen ist.

Beides ist sinnvoll und erhöht das Schutzniveau deutlich. Aber halte dir zwei Grenzen vor Augen. Erstens: Pseudonymisierung ist keine Anonymisierung. Wer identifizierende Merkmale durch Kennziffern ersetzt, macht Daten nicht anonym. Solange eine Re-Identifikation zumindest theoretisch möglich bleibt, gelten die Daten weiter als personenbezogen und unterliegen vollständig der DSGVO³.

Zweitens: Technische Schutzmaßnahmen ersetzen keine Rechtsgrundlage. Die DSGVO verlangt, dass jede Verarbeitung personenbezogener Daten auf einer Rechtsgrundlage nach Art. 6 beruht, egal wie gut die Daten technisch geschützt sind. Isolation kann eine Verarbeitung sicherer machen, aber nicht rechtmäßiger³. Für den Einsatz im Kundenservice heißt das: Auch neben der Technik brauchst du eine tragfähige Rechtsgrundlage und einen sauberen Vertrag⁴.

Der AVV: Wo die Zusage verbindlich wird.

Sobald ein KI-Anbieter personenbezogene Daten weisungsgebunden für dein Unternehmen verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, kurz AVV. Der AVV ist der Ort, an dem die Zusage vom Marketingtext zur Vertragspflicht wird. Diese Pflichtinhalte solltest du prüfen:

• Weisungsbindung: Der Anbieter verarbeitet die Daten nur auf deine dokumentierte Weisung.
• Vertraulichkeit: Die betroffenen Personen sind zur Vertraulichkeit verpflichtet.
• Löschregelung: Was passiert nach Vertragsende, in welchem Zeitraum werden Daten gelöscht oder zurückgegeben.
• Subprozessoren: Welche Unterauftragsverarbeiter es gibt, unter welchen Bedingungen sie eingesetzt werden und welche Pflichten auf sie übertragen werden.

Der kritische Punkt bei KI-Anbietern ist der letzte. Der Trainingsausschluss muss für jeden Unterauftragsverarbeiter festgehalten werden, nicht nur für den Hauptanbieter. Denn meist läuft die eigentliche Modellverarbeitung über einen Modell- oder Einbettungsdienst weiter hinten in der Kette. Wie weit die Lücke in der Praxis ist, zeigt eine Auswertung von DataGrail aus dem Jahr 2026: Von 2.400 analysierten Software-Systemen legen laut DataGrail möglicherweise 63,6 Prozent der Anbieter mit KI-Funktionen keine externen Unterauftragsverarbeiter in ihren Rechtsdokumenten offen⁵.

Das heißt nicht, dass alle diese Anbieter heimlich trainieren. Manche haben schlicht keinen. Aber von außen kannst du die beiden Gruppen nicht unterscheiden, solange die Lieferkette ungenannt bleibt¹. Eine Checkliste für die Anbieterauswahl nach DSGVO-Kriterien haben wir in einem eigenen Beitrag zusammengestellt: DSGVO-konforme KI im Kundenservice.

Was OpenAI und Anthropic tatsächlich zusichern.

Wenn dein Support-Anbieter ein großes Modell vorschaltet, hängt deine Position auch von dessen Zusagen ab. Die lassen sich am Wortlaut prüfen.

OpenAI schreibt: Standardmäßig werden keine Daten aus ChatGPT Enterprise, ChatGPT Business, ChatGPT Edu und der API-Plattform, weder Eingaben noch Ausgaben, zum Training oder zur Verbesserung der Modelle verwendet. Für qualifizierende Organisationen gibt es zusätzlich Aufbewahrungskontrollen bis hin zur Zero-Data-Retention-Politik in der API-Plattform⁶.

Anthropic sichert für kommerzielle Produkte wie Claude for Work und die Anthropic API dasselbe zu: Eingaben und Ausgaben werden standardmäßig nicht zum Training verwendet. Es gibt aber eine Ausnahme, die du kennen solltest. Wenn Nutzer über den Daumen-hoch- oder Daumen-runter-Button Feedback melden, speichert Anthropic die gesamte zugehörige Konversation bis zu 5 Jahre im gesicherten Backend und kann das Feedback zum Training nutzen⁷.

Für deine Evaluation heißt das: Frage nicht nur, welches Modell der Anbieter einsetzt, sondern über welche Endpunkte, mit welchen Aufbewahrungseinstellungen und ob Feedback-Funktionen für Kunden deaktiviert sind oder in die Trainingskette führen können.

Grenzen: Logs, Metadaten, aggregierte Auswertungen.

Jetzt der Teil, den die meisten Anbieterseiten weglassen. Auch bei ernst gemeinter Zusage bleibt eine Menge bestehen. Das ist kein Skandal, sondern der normale Betrieb eines Onlinedienstes. Du solltest es nur wissen, bevor du totale Datenlosigkeit versprichst oder erwartest.

• Betriebs- und Sicherheitsprotokolle: Logfiles zeichnen auf, wer wann auf welches System zugegriffen hat. Eine Speicherdauer von bis zu 90 Tagen gilt zum Zweck der IT-Sicherheit als datenschutzrechtlich vertretbar, längere Speicherung nur mit einem deutlich überwiegenden Interesse. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hat mit Verweis auf das Grundsatzurteil des Bundesverfassungsgerichts zur Vorratsdatenspeicherung sechs Monate als Obergrenze des Verhältnismäßigen bezeichnet⁸.
• Abrechnungs-Metadaten: Zeitstempel, Token-Anzahlen und Latenz müssen gespeichert werden, sonst kann dir niemand eine Rechnung stellen. Das überlebt auch eine Zero-Data-Retention-Zusage, die sich nur auf Inhalte bezieht¹.
• Backups und Auswertungen: Backups überleben die Löschung einzelner Konversationen, bis sie überschrieben sind. Und aggregierte Auswertungen, etwa Lösungsraten oder häufige Fragen, entstehen fast immer über den Inhalt einzelner Gespräche hinaus¹.

Genau deshalb ist die nützliche Frage an einen Anbieter nicht, ob er Logs hat. Jeder hat Logs. Die Frage ist, welche Datenarten er speichert, wie lange jeweils, und ob der Trainingsausschluss auch für abgeleitete Versionen deiner Daten gilt, also die oben genannten Kriterien aus dem ersten Abschnitt¹. Was nutzungsbasierte Abrechnung mit solchen Metadaten macht, haben wir separat aufgeschlüsselt: Nutzungsbasierte Kosten.

Comlayer als Beispiel. Und deine Checkliste.

Zum Schluss ein konkretes Beispiel, nämlich unser eigenes. Comlayer verarbeitet Konversationen, Wissensbasis, Dateianhänge und die KI-Verarbeitung in europäischen Regionen. Anmeldung, Zahlung, Mailversand und semantische Suche laufen über Dienste in den USA, und wir nennen diese Anbieter beim Namen, statt es zu verschweigen. Wir werten deine Inhalte nicht aus, um eigene Modelle zu trainieren, und die eingesetzten Modell- und Einbettungsanbieter haben sich vertraglich zum selben Ausschluss verpflichtet. Der AVV hält das je Anbieter fest.

Das ist kein Sonderfall, sondern das, was du von jedem Anbieter verlangen kannst. Diese Fragen helfen bei der Evaluation:

• Wer sind die Unterauftragsverarbeiter, namentlich, inklusive der Modell- und Einbettungsdienste?
• Wie lange wird jede Datenart aufbewahrt, in Tagen, nicht in Paragrafen?
• Wie lautet die Lösch-SLA auf Anfrage, und erfasst sie Backups?
• Gilt der Trainingsausschluss auch für anonymisierte, de-identifizierte und aggregierte Daten?
• Steht alles im unterschriebenen AVV, mit Vorrang vor den Online-Bedingungen?

Ein Anbieter, der alle Fragen in einem flüssigen Absatz beantwortet, rät. Ein Anbieter, der mit Namen, Zahlen und Klauselverweis antwortet, wurde schon öfter geprüft¹. Unsere Pläne und Preise findest du transparent auf der Preisseite.

Ein Hinweis zum Schluss: Dieser Artikel ist keine Rechtsberatung. Er ordnet Technik und Vertragspraxis ein, ersetzt aber keine individuelle Prüfung durch eine Fachperson, zumal die Haftung für falsche KI-Antworten beim Betreiber bleibt: Haftung bei KI-Fehlern.

Häufig gestellte Fragen