Daten schwärzen für DSGVO und KI: Leitfaden 2026

Jede Gehaltsabrechnung, jeder Vertrag, jedes Exit-Interview-Protokoll und jede Kunden-E-Mail, die Ihre Kanzlei bearbeitet, enthält personenbezogene Daten, die entfernt werden müssen, bevor das Dokument geteilt, archiviert oder an ein KI-Modell übergeben wird. Daten schwärzen — das gezielte Entfernen personenbezogener Identifikationsdaten (PII) aus Dokumenten — ist keine Nischen-Compliance-Aufgabe mehr. Es ist das operative Tor, das entscheidet, ob Ihre Kanzlei generative KI sicher nutzen kann, Dateien mit Dritten ohne DSGVO-Verstoß teilen kann und eine Aufsichtsbehörden-Prüfung übersteht, ohne Protokolle zu produzieren, die Sie nie hätten schreiben sollen. Die Anonymisierung Dokumente und die Datenmaskierung sind die beiden praktischen Mechanismen, die wir besprechen; wir verwenden diese Terminologie konsistent durch den gesamten Leitfaden.

Dieser Leitfaden ist die Long-Form-Referenz, die wir uns gewünscht hätten, als wir Redactic gebaut haben. Er deckt ab, was Datenschwärzung wirklich ist und was nicht, wie die DSGVO sie rahmt (Pseudonymisierung nach Artikel 4(5) gegenüber Anonymisierung nach Erwägungsgrund 26), die beiden Modi, die Sie in der Praxis verwenden werden, die PII-Kategorien, die vor jedem KI-Einsatz unbedingt maskiert werden müssen, einen Fünf-Schritte-Workflow, der vom einzelnen PDF bis zur mehrblättrigen Gehaltsabrechnung skaliert, das reale DSGVO-Risiko des Shadow AI in Kanzleien, eine Acht-Punkte-Checkliste für die Auswahl eines Schwärzungstools, und eine FAQ mit den Fragen, die uns Mandanten wöchentlich stellen.

Sie können den Artikel von vorn bis hinten lesen — er ist überfliegbar geschrieben — oder direkt zum Abschnitt springen, der Ihrem unmittelbaren Problem entspricht. Hat Ihre Kanzlei das Gespräch "Was machen wir mit ChatGPT" bereits geführt und verloren, starten Sie beim Shadow-AI-Abschnitt. Treiben Sie Aufsichtsbehörden-Prüfungen um, starten Sie beim DSGVO-Rahmen.

1. Was Datenschwärzung ist — und was nicht

Daten schwärzen bezeichnet den Prozess, persönliche oder sensible Informationen in einem Dokument zu identifizieren und sie aus der Version zu entfernen, die nachgelagert geteilt, verarbeitet oder gespeichert wird. Der Begriff stammt aus der juristischen Praxis, Passagen in veröffentlichten Gerichtsakten zu schwärzen; in digitalen Workflows umfasst er ein viel breiteres Spektrum von Operationen — vom Ersetzen eines Namens durch einen Platzhalter-Token bis zur dauerhaften Zerstörung einer Bildregion durch pixelgenaues Schwärzen.

Häufig werden "Schwärzen", "Anonymisierung", "Pseudonymisierung", "Maskierung", "Verschlüsselung" und "Löschung" synonym verwendet. Sie sind es nicht, und die Unterscheidung zählt unter der DSGVO. Wir kommen in Abschnitt 2 auf die juristischen Feinheiten zurück; für den Moment bitte folgende Unterscheidungen im Kopf behalten.

• Das Schwärzen (oder die Redaktion Dokumente im technischen Sinn) ist die Dachoperation: ein PII-haltiges Dokument in eine Version verwandeln, die diese PII nicht mehr enthält (oder nicht mehr in einer für Angreifer oder unbefugte Leser wiederherstellbaren Form).
• Die Maskierung (Datenmaskierung) ist eine Technik: jeder erkannte PII-Span wird durch einen Platzhalter wie [PERSON_1] oder ⟦NAME⟧ ersetzt. Der Platzhalter ist für den nachgelagerten Prozess (z. B. ein LLM) bedeutungsvoll, enthält selbst aber keinen Identifikator.
• Die Pseudonymisierung ist Maskierung plus eine separat aufbewahrte Rück-Karte zu den Originalwerten. Die DSGVO erkennt sie ausdrücklich in Artikel 4(5) an und belohnt sie quer durch den Text, sie verwandelt die Daten aber nicht in "anonyme" Daten.
• Die Anonymisierung ist einseitig und irreversibel. Nach der Anonymisierung sollte niemand — Sie eingeschlossen — die betroffene Person re-identifizieren können. Die DSGVO setzt diese Latte in Erwägungsgrund 26, und anonyme Daten fallen vollständig aus dem Anwendungsbereich.
• Die Verschlüsselung ist durch jeden mit dem Schlüssel reversibel. Verschlüsselte PII sind weiterhin personenbezogene Daten unter DSGVO; Verschlüsselung ist eine Sicherheitsmaßnahme, keine Schwärzungstechnik.
• Die Löschung entfernt das Dokument; die Schwärzung entfernt PII aus einem Dokument, das man behält.

Die praktische Implikation für jedes Team, das ein Schwärzungstool oder eine Anonymisierungssoftware einführt: Wollen Sie eine einzige, saubere Version an einen Dritten geben und das Original nie wieder ansehen, ist die Anonymisierung (dauerhaftes Schwärzen) das richtige Werkzeug. Wollen Sie das Dokument einem KI-Modell zur Analyse übergeben und die Antwort mit den wiederhergestellten echten Namen lesen, brauchen Sie die Pseudonymisierung — also reversible Maskierung. Die meisten Workflows in professionellen Dienstleistungsfirmen brauchen beides, oft im gleichen Dokument. Ein gutes Tool unterstützt beide Modi nativ, statt Sie zu zwingen, einen Weg für die ganze Pipeline zu wählen.

Das andere Anti-Pattern, das wir ständig sehen, ist die Behandlung der Schwärzung als einmaliger Vor-dem-Teilen-Schritt. In einer Kanzlei mit mehreren Anwendern, geteilten Laufwerken, wöchentlichem LLM-Einsatz und externen Auftragsverarbeitern muss die Schwärzung im Workflow leben — beim Upload, zum Zeitpunkt der KI-Anfrage, beim Export — nicht als monatliche Handarbeit eines Mitarbeiters mit schwarzem Marker.

2. Der DSGVO-Rahmen: Art. 4(5) Pseudonymisierung vs. Erwägungsgrund 26 Anonymisierung

Drei DSGVO-Verweise prägen jedes ernsthafte Gespräch über das Schwärzen personenbezogener Daten in der EU.

Artikel 4 DSGVO, Absatz 5, definiert die Pseudonymisierung als "die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können". Die zusätzlichen Informationen müssen "gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden". Pseudonymisierte Daten bleiben personenbezogene Daten: die DSGVO gilt weiter, eine Rechtsgrundlage ist weiter nötig, und die Betroffenenrechte auf Auskunft und Löschung bestehen fort. Das ist die Pseudonymisierung DSGVO im engeren Sinn — auch geschrieben als "Artikel 4 DSGVO" oder kurz "artikel 4 dsgvo".

Erwägungsgrund 26 DSGVO zieht die Linie für die Anonymisierung: "Die Grundsätze des Datenschutzes sollten daher nicht für anonyme Informationen gelten, d. h. für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann". Anonyme Daten sind außerhalb des Anwendungsbereichs. Die Latte liegt hoch und wird am besten durch die drei Kriterien der WP29-Opinion 05/2014 verstanden: Singling out (Isolieren), Linkability (Verknüpfbarkeit), Inference (Schlussfolgerung). Erlaubt ein geschwärztes Dokument noch das Isolieren einer Einzelperson, das Verknüpfen von Datensätzen über Datensätze hinweg oder das Ableiten von Attributen einer bestimmten Person, haben Sie pseudonymisiert — nicht anonymisiert.

Artikel 25 DSGVO (Datenschutz durch Technik und Voreinstellung) und Artikel 32 DSGVO (Sicherheit der Verarbeitung) treiben gemeinsam die Pseudonymisierung als umsichtige technische Maßnahme für risikoreiche Verarbeitung voran. Art. 32 Abs. 1 Buchst. a nennt sie ausdrücklich. Auch in Kurzform als "artikel 25 dsgvo" zitiert, ist sie der Anker, an dem Aufsichtsbehörden ein Compliance-Programm festmachen, das in eine korrekte Pseudonymisierung investiert hat — es ist eine Maßnahme, die die Verordnung selbst namentlich nennt.

Der AI Act der EU, seit 2024 in Kraft mit Hochrisiko-Vorschriften, die zwischen 2026 und 2027 in Kraft treten, fügt eine weitere Ebene hinzu. KI-Systeme, die für HR eingesetzt werden (Recruiting, Leistungsbeurteilung, Beförderungsentscheidungen), sind nach Anhang III als hochriskant eingestuft. Sie verlangen Risikomanagement, Daten-Governance, technische Dokumentation, Transparenz, menschliche Aufsicht, Genauigkeits-/Robustheits-/Cybersicherheitskontrollen sowie eine Folgenabschätzung für Grundrechte. DSGVO KI ist also keine Stapelung zweier Regularien; es ist ein einziges operatives Modell. KI DSGVO, KI Compliance und der präventive Schwärzungs-Workflow fallen in der Praxis in denselben Prozess: pseudonymisieren vor der KI-Nutzung, weil das gleichzeitig die Datenminimierung (Art. 5 DSGVO) und die Daten-Governance des AI Act (Art. 10) erfüllt.

Ein Mythos, der sterben muss: Viele Anbieter vermarkten ihr Werkzeug als "DSGVO-Anonymisierung", obwohl es in Wahrheit Pseudonymisierung ist. Existiert die Zuordnung von Platzhalter zu Originalwert irgendwo — auf Ihrem Filesystem, im Browser des Nutzers, in einem Service, den wir betreiben — sind die Daten pseudonymisiert, nicht anonym. Pseudonymisierung DSGVO ist eine wertvolle Schutzmaßnahme, und es ist nichts falsch daran, sie anzubieten; sie Anonymisierung zu nennen ist irreführend und setzt den Kunden einer Compliance-Falle aus. Das Zertifikat von Redactic unterscheidet die beiden ausdrücklich und etikettiert jeden reversiblen Job als Pseudonymisierung nach Art. 4(5).

Die Rechtsprechung hat die Linie weiter verschärft. In Breyer ./. Deutschland (C-582/14, 2016) entschied der EuGH, dass eine IP-Adresse beim Betreiber einer Website personenbezogen ist, wenn der Betreiber rechtlich vernünftige Möglichkeiten hat, die zusätzlichen Identifikationsinformationen von einem Dritten zu beschaffen. Der Test "vernünftiger Mittel" ist weiter, als viele Ingenieure annehmen: Daten, die Ihr Service allein nicht identifizieren kann, können dennoch personenbezogen sein, wenn ein Gerichtsbeschluss oder ein vertraglicher Anspruch die fehlenden Teile liefern kann. Für die Schwärzung bedeutet das, dass eine Aufteilung von Platzhalter und Karte über zwei Organisationen nicht automatisch Anonymisierung ist — kann eine Partei die andere rechtlich zur Offenlegung der Karte zwingen, sind die Daten für beide pseudonymisiert. Das Urteil SRB ./. EDPS (T-557/20, 2023) verstärkt die kontextuelle Natur des Tests, indem es pseudonymisierte Daten in der Hand eines Empfängers, der nicht re-identifizieren kann, von denselben Daten in der Hand des Verantwortlichen unterscheidet, der es kann.

Die WP29-Opinion 05/2014 (heute vom EDSA aufgenommen) operationalisiert Erwägungsgrund 26 mit drei konkreten Angriffsmodellen. Singling out: Kann ein Angreifer einen Datensatz isolieren, der einer Einzelperson entspricht? Linkability: Lassen sich zwei Datensätze desselben Datensatzes oder über Datensätze hinweg derselben Person zuordnen? Inference: Lässt sich der Wert eines Attributs aus der Kombination der anderen ableiten? Ist eine der Antworten ja, ist das Dokument pseudonymisiert, nicht anonymisiert. Die praktische Konsequenz: Den Namen auf einer Gehaltsabrechnung zu maskieren anonymisiert sie nicht — die Zeile isoliert immer noch einen einzelnen Beschäftigten — und der wirklich anonyme Fall ist seltener, als Marketing-Material vermuten lässt.

3. Die zwei Modi: reversibel (Platzhalter-Karte) und irreversibel (Schwärzen)

In der Produktion werden Sie konstant zwei Modi verwenden. Den Unterschied zu verstehen ist der Unterschied zwischen einem Workflow, der eine Prüfung übersteht, und einem, der Namen verliert, weil das falsche Werkzeug für die Aufgabe gewählt wurde.

Die reversible Schwärzung (Pseudonymisierung) ersetzt jede erkannte Entität durch einen stabilen Platzhalter und speichert eine separate Karte von Platzhalter zu Originalwert. Die Karte ist es, was die Operation reversibel macht: Sie geben den maskierten Text an ein LLM, erhalten die Antwort mit Platzhaltern zurück, und substituieren die Originalwerte in der gerenderten Ausgabe. Der Nutzer sieht echte Namen; das Modell hat sie nie gesehen. Das ist der einzige Modus, der es erlaubt, personenbezogene Daten schwärzen und die KI dennoch sinnvoll zu nutzen. Der Trade-off: Sie müssen die Karte schützen. Tritt die Karte aus, ist die Pseudonymisierung für jeden Datensatz, den sie abdeckte, aufgehoben.

Reversibilität hat zwei Architekturen. Karten clientseitig: leben im Browser des Nutzers und erreichen den Server nie — der paranoide Modus, sinnvoll, wenn keinerlei serverseitiger Zustand vertraut werden kann. Karten serverseitig: leben in einem ephemeren Store (Redis mit kurzem TTL ist das übliche Muster), damit der Nutzer den Job von einem anderen Gerät wieder aufnehmen kann. Redactic verwendet ephemere serverseitige Karten, Fernet-verschlüsselt, mit TTL 120 Sekunden auf Input und 300 Sekunden auf Output, plus einen expliziten lokalen Restaurations-Modus im Browser für die sensibelsten Workflows. Beide Modi leiten die KI-Anfrage durch pseudonymisierten Text, sodass der LLM-Anbieter die Original-PII nie sieht.

Die irreversible Schwärzung (Anonymisierung-Stil) zerstört dauerhaft die Region des Dokuments, in der die PII lebten. PDF schwärzen in diesem strikten Sinn — Dokumente schwärzen als forensische Praxis — ist, was die meisten Regulierer meinen, wenn sie "Anonymisierung" sagen. Auf einem digitalen PDF entfernt das Werkzeug den Textinhalt und legt ein schwarzes Rechteck darüber; auf einem gescannten PDF oder einem Bild läuft OCR, um die PII zu finden, und übermalt dann die Pixel. Es gibt keine Karte. Die Ausgabe ist das Dokument, das Ihre Kanzlei an die Gegenseite liefert; kein Rückweg. Das ist der einzige Modus, wenn das Ziel ist "diese Datei verlässt das Haus, und wir brauchen das Original nie wieder". Irreversibles Schwärzen ist das Nächste, was auf Dokumentenebene an die Anonymisierung nach Erwägungsgrund 26 herankommt, aber seien Sie ehrlich über die Grenzen: Erlaubt das Dokument weiter Singling-out (eine kleine Organisation, eine einzigartige Rolle, ein spezifisches Datum), bleibt der Rechtsstatus "faktisch pseudonymisiert" auch ohne Karte. Dokumente anonymisieren bis zur juristischen Schwelle ist seltener, als Marketing-Material es darstellt.

Der Fehler, den wir am häufigsten sehen, ist das Umgekehrte: Eine Kanzlei führt eine "Anonymisierung" durch, die in Wahrheit reversible Maskierung ist, teilt die Datei extern und behält die Karte auf einem geteilten Laufwerk, auf das der Empfänger schließlich Zugriff bekommt. Ergebnis: ein re-identifizierbarer Datensatz auf dem Server eines Dritten. Wählen Sie den Modus nach dem Ziel, nicht aus Gewohnheit.

Redactic zeigt beide Modi aus demselben Upload: einen Reversibilitäts-Schalter auf der Upload-Seite und einen Bestätigungs-Button auf dem irreversiblen Pfad, der explizite Anerkennung verlangt. Der reversible Modus unterstützt Text-First-Formate end-to-end (TXT, DOCX run-preserving, XLSX cell-preserving, Markdown, JSON, CSV, HTML, XML); für PDF läuft der format-erhaltende reversible Pfad über einen Plain-Text-Zwischenschritt — eine ehrliche Wahl, die für Analyse-Workflows funktioniert, aber kein echtes reversibles PDF ist. Echte PDF-Schwärzung in Redactic ist nur Blackout, und das sagen wir den Kunden.

4. PII-Kategorien, die vor jedem KI-Einsatz geschwärzt werden müssen

Nicht jedes personenbezogene Datum hat dasselbe regulatorische Gewicht. Die DSGVO unterscheidet "personenbezogene Daten" (Art. 4(1)) — alles, was eine natürliche Person identifiziert oder identifizierbar machen könnte — von "besonderen Kategorien" (Art. 9) wie Gesundheitsdaten, biometrische Identifikatoren, rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, sexuelle Orientierung und genetische Daten. Für besondere Kategorien ist die Latte zur Verarbeitung deutlich höher (ausdrückliche Einwilligung, lebenswichtige Interessen, öffentliches Interesse in der Gesundheit etc.), und das Risiko einer unbeabsichtigten LLM-seitigen Offenlegung entsprechend größer.

Die folgende Tabelle ist die operative Shortlist, die wir verwenden. Bevor ein Dokument an ChatGPT, Claude, Gemini, Mistral oder einen anderen LLM-Anbieter geht, muss jeder Eintrag unten entweder mit einem Platzhalter maskiert oder geschwärzt werden, je nachdem, ob der Workflow Reversibilität verlangt.

Kategorie	Beispiele	Warum es zählt
Direkte Identifikatoren	Voller Name, E-Mail, Telefon, Postanschrift	Das Minimum an PII; triviale Re-Identifikation.
Nationale Identifikatoren	Italienischer Codice Fiscale, französischer NIR/INSEE, deutsche Steuer-ID, spanische DNI/NIE, EU-Passnummern	Werden von englisch trainierten Modellen oft übersehen. Redactic nutzt mehrsprachiges GLiNER + nationale Regex.
Finanziell	IBAN, SWIFT, Kreditkartennummern, Bankkonto, Steuer-Nr./USt-ID	Lösen PCI-DSS-nahes Risiko und direktes Betrugsrisiko aus.
Beschäftigung	Personal-ID, Gehaltszeile, Einstellungsdatum, Vergütung, Leistungsbewertung	Re-identifizierend in kleinen Organisationen auch ohne Name.
Gesundheit (Art. 9)	Diagnosen, Medikamente, Gründe für Krankschreibungen, betriebsärztliche Notizen	Besondere Kategorie, ausdrückliche Einwilligung oder andere Art-9-Grundlage nötig.
Biometrisch / Ausweisdokumente	Ausweisnummern, Führerschein, Pass, Gesichtsfotos	Besondere Kategorie, wenn zur eindeutigen Identifikation genutzt.
Quasi-Identifikatoren	Geburtsdatum + PLZ + Geschlecht, exakter Rolle+Abteilung, seltener Jobtitel	In Linkage-Angriffen verwendet. Sweeneys 87-%-Regel: PLZ+DOB+Geschlecht re-identifiziert die Mehrheit US-amerikanischer Erwachsener.
Freitext-Offenlegungen	Exit-Interview-Protokolle, Kundenbeschwerden, Support-Tickets	Die schwierigste Kategorie. Entgeht oft pattern-basierten Schwärzern und braucht ML-NER.

Die automatische PII-Erkennung auf Freitext-Dokumenten ist das harte Problem — der Teil von Anonymisierung Dokumente, der ein echtes Produkt von einem Regex-Wrapper trennt. Um PII schwärzen zuverlässig in einem Korpus durchzuführen, brauchen Sie ML, nicht nur Muster. Regex fangen IBAN, Steuer-IDs, E-Mails und Telefonnummern verlässlich; sie fangen nicht die Namen von Personen, von denen Sie noch nie gehört haben, in drei Sprachen auf einem gescannten PDF. Hier wird die Modellwahl entscheidend. Redactic nutzt urchade/gliner_multi_pii-v1, ein mehrsprachiges GLiNER-Modell, auf PII-Kategorien feingetunt, das auf CPU ohne Sprachwechsel des Modells läuft. Dokumente werden in 180-Wort-Fenster mit Überlappung gechunked, um GLiNERs 384-Subwort-Token-Trunkierung zu umgehen — ein subtiles, aber kritisches Detail: ohne Chunking verliert ein langes PDF jede Entität ab Seite 2.

Für gescannte PDFs und Bilder läuft die Pipeline zuerst Tesseract OCR mit dem Sprachpaket eng+ita+fra+deu+spa, um den Text zu extrahieren, dann die Erkennung, dann malt sie die Schwärzung auf die Originalpixel. So funktioniert PDF anonymisieren auf Scans — nicht, indem man hofft, dass die Datei digital war. Die Qualität bei gedrehten oder schiefen Scans variiert; Redactic überspringt stark gedrehte Seiten und meldet sie zur manuellen Prüfung, statt eine "selbstbewusst falsche" Ausgabe zu liefern.

5. Der Fünf-Schritte-Workflow, der skaliert

Der größte Einzelgrund, warum Schwärzungsprogramme in Kanzleien scheitern, ist, dass sie vollständig im Kopf eines Mitarbeiters leben: ein ad-hoc Word-und-Marker-Ritual, das die Urlaubswoche dieses Mitarbeiters nicht übersteht. Der folgende Workflow ist die Baseline, die wir empfehlen; es ist der Workflow, den Redactic end-to-end implementiert, und der gegen das Accountability-Prinzip der DSGVO geprüft wurde.

1. Upload. Quelldatei hochladen (PDF, DOCX, XLSX, Bild, Text, CSV, HTML, XML, Markdown). Bei Multi-Dokument-Workflows den Upload bündeln, aber den Audit-Trail je Dokument trennen. Der Upload muss in einem ephemeren verschlüsselten Store landen, nicht auf einer Platte, die die Anfrage überlebt. Redactic speichert Inputs in Redis mit Fernet-Verschlüsselung und 120 Sekunden TTL.
2. Erkennung. Kaskade ausführen: Dictionary-Exact-Match (für bekannte Roster wie Ihre Mandantenliste), nationale Regex (italienischer CF, französischer NIR, deutsche Steuer-ID, spanische DNI/NIE, IBAN, E-Mail), mehrsprachiges NER (GLiNER multilingual auf Restnamen, Organisationen, Orten), und OCR-Fallback für Scans und Bilder. Erkannte Spans gruppiert nach Kategorie mit Konfidenzwerten anzeigen.
3. Prüfung. Dem Nutzer jeden Span mit einem Behalten/Schwärzen-Toggle zeigen. Recall-orientierte Erkennung schwärzt absichtlich zu viel — Falsch-Positive sind billig zu korrigieren, Falsch-Negative leaken. Lassen Sie den Nutzer Spans abwählen, die keine PII sind (ein Markenname als Person erkannt, eine Zahl, die aussieht wie Steuer-ID, aber ein Produktcode ist) und serverseitig mit keep_values erneut ausführen. Dieser Schritt ist für juristische Workflows nicht verhandelbar.
4. Anwendung. Modus wählen: reversibel (Platzhalter-Karte clientseitig oder im ephemeren Server-Store) oder irreversibel (Schwärzen). Bei reversibel die Karte separat speichern, verschlüsselt, mit kurzem TTL. Bei irreversibel auch die Dokumentmetadaten strippen (/Info PDF + XMP, Core-Properties DOCX, Properties XLSX) — viele Schwärzungsfehler leaken den Autorennamen aus den Dokumenteigenschaften, obwohl der Korpus sauber ist.
5. Teilen oder Wiederherstellen. Maskierte Datei herunterladen, an ein LLM schicken, mit einem Dritten teilen. Bei reversiblen Workflows: kommt die Antwort, die Originalwerte im Browser des Nutzers wiederherstellen, damit die echten Namen nie durchs Modell laufen. Für Audit ein SHA-256-Schwärzungszertifikat erzeugen mit Input-Hash, Output-Hash, Schwärzungszählern je Kategorie, Modus und Zeitstempel — aber niemals die Originalwerte selbst. Das Zertifikat ist das Dokument, das Sie der Aufsichtsbehörde vorlegen, wenn sie fragt, wie eine bestimmte Ausgabe entstanden ist.

Der Punkt mit dem Zertifikat verdient Nachdruck. Ein Schwärzungszertifikat ist das Artefakt, das aus "wir haben ein Schwärzungstool benutzt" "hier ist die kryptografische Aufzeichnung dieses spezifischen Jobs" macht. Es ist auch das Artefakt, das beweist, dass Sie das Dokument oder seine PII nicht gespeichert haben, weil es nur Hashes und Kategorie-Zähler enthält, keinen Inhalt. Redactic erzeugt für jeden Job eines, als PDF herunterladbar, mit dem Applikationsschlüssel signiert.

Ein konkretes Beispiel: Schwärzen einer Gehaltsabrechnung. Nehmen wir an, ein Steuerberatungsbüro lädt eine 12-Blatt-XLSX mit 80 Beschäftigten hoch, Spalten für Name, Steuer-ID, IBAN, Bruttogehalt, Abzüge und Notizen. Generisches Find-and-Replace würde die Gehaltsformeln zerstören; manuelle Bearbeitung mit Marker in Excel würde einen halben Tag dauern. Der richtige Workflow verarbeitet je Blatt die String-Zellen über eine strukturierte Bibliothek (openpyxl in unserem Stack), lässt numerische und Formel-Zellen unangetastet, und fährt die Kaskade — Dictionary-Lookup auf dem Mitarbeiter-Roster, das das Büro hochlädt, Steuer-ID-Regex auf der Steuerspalte, IBAN-Regex auf der Bankspalte, GLiNER auf der Notizspalte für freie Namen. Der Review-Screen zeigt 240 erkannte Spans gruppiert nach Spalte; der Prüfer akzeptiert die kanonischen Karten und verwirft drei Falsch-Positive (ein Produktcode als IBAN-Match, zwei Organisationsnamen als Personen klassifiziert). Der Export ist eine XLSX mit Platzhaltern auf String-Zellen, Formeln und numerische Zellen intakt, Dokumenteigenschaften vom Producer-Namen befreit. Das begleitende Zertifikat protokolliert SHA-256 von Input und Output, Zähler je Kategorie (80 Namen, 80 Steuer-IDs, 80 IBANs, 14 freie Namen aus den Notizen), den Modus (reversibel) und den Zeitstempel. Gesamtzeit: unter 60 Sekunden für die Erkennung, unter drei Minuten inklusive manueller Prüfung. Die Karte liegt in Redis für den LLM-Round-Trip und wird beim Ablauf des TTL automatisch zerstört.

6. Shadow AI: warum blinde ChatGPT-Nutzung die DSGVO verletzt

Das Gespräch, das wir mit Mandanten am häufigsten führen, beginnt so: "Wir haben ChatGPT für sensible Daten verboten. Dann haben wir gemerkt, dass trotzdem jeder Sachen einfügt — aus Privataccounts, vom Handy, nach Feierabend." Das ist Shadow AI: die Nutzung öffentlicher LLM-Endpunkte mit sensiblen Daten, außerhalb der IT-Sichtbarkeit, typischerweise in bester Absicht. Es ist das dominante KI-Risiko in Kanzleien 2026.

Shadow AI verletzt die DSGVO auf drei spezifische Weisen. Erstens: Der LLM-Anbieter wird zum Auftragsverarbeiter ohne Auftragsverarbeitungsvertrag. Art. 28 verlangt einen AVV — Art. 28(3) listet die acht Mindestklauseln — vor jeder Verarbeitung im Auftrag des Verantwortlichen. Ein Nutzer, der Mandantennamen in ein privates ChatGPT-Konto kopiert, schafft Verarbeitung ohne AVV, ohne Verzeichnis von Verarbeitungstätigkeiten (Art. 30), ohne Art-28-Prüfung, ohne dokumentierte Unterauftragsverarbeiterkette. Der DSGVO ChatGPT Komplex hängt also davon ab, ob man auf den Enterprise-Tier mit signiertem Vertrag wechselt. Zweitens: Je nach Default-Einstellungen des Consumer-Tiers kann der Input zum Training des nächsten Modells genutzt werden — eine irreversible Offenlegung, die die Löschung (Art. 17) nicht rückgängig machen kann. Drittens: Die Datenübermittlungen überschreiten die EU-Grenze in ein US-Rechenzentrum, ohne dass der Verantwortliche nach Schrems II eine Transfer Impact Assessment durchgeführt hat. Der ChatGPT Datenschutz nach Default-Einstellungen besteht diesen Test nicht; der Enterprise-Tier schon, verlangt aber sowohl Procurement-Sorgfalt als auch eine Schwärzungsschicht davor, um verteidigbar zu sein.

Die ehrliche Antwort ist nicht "härter verbieten". Nutzer umgehen das Verbot jedes Mal, wenn das offizielle Werkzeug langsamer oder schlechter ist als das Consumer. Die Antwort ist, den offiziellen Pfad zum Pfad des geringsten Widerstands zu machen — ein sicherer KI-Chat, der PII maskiert, bevor die Nachricht den Browser verlässt, den pseudonymisierten Text an ein EU-gehostetes LLM unter signiertem AVV schickt und die echten Werte lokal in der Antwort wiederherstellt. So macht es Redactic Secure Chat: PII werden im Browser über die gleiche Erkennungs-Pipeline maskiert wie der Dokument-Workflow, die Anfrage geht an OpenAI, Anthropic, Google oder Mistral auf deren EU-Endpunkten (Zero Retention, kein Training auf Input), und die Wiederherstellung läuft clientseitig, sodass die Originalwerte nie irgendwo in einem Server-Log liegen. Echte Datenschutz KI-Architektur sieht so aus, nicht als Checkbox in einem Security-Fragebogen.

Das ist keine theoretische Sorge. Samsung verbot ChatGPT und andere generative KI-Tools im Mai 2023, nachdem Beschäftigte Berichten zufolge Unternehmensinformationen, darunter Quellcode, in den Chatbot eingegeben hatten. Italiens Garante setzte ChatGPT am 30. März 2023 vorübergehend aus über Art. 6 (Rechtsgrundlage), Art. 13 (Informationspflicht) und fehlende Altersverifikation; der Dienst wurde am 28. April 2023 erst wiederhergestellt, nachdem OpenAI ein Age-Gate, ein Opt-out und eine explizite Informationsnotiz implementiert hatte. Garante erließ am 20. Dezember 2024 eine Endentscheidung mit 15 Millionen Euro Geldbuße. Parallel eröffnete die spanische AEPD im April 2023 ein Verfahren, und der EDSA bildete im April 2023 eine ChatGPT-Task-Force, die im Mai 2024 ihre vorläufigen Erkenntnisse veröffentlichte. Die Cyberhaven-Studie 2023 fand, dass 11 % der Unternehmens-ChatGPT-Prompts sensible Daten enthielten — Gehaltsdaten, Quellcode, Kundeninformationen — hochgeladen aus dem Inneren von Firewalls. Der EU AI Act fügt ab August 2025 General-Purpose-AI-Verpflichtungen hinzu, die die Nutzung von Consumer-LLM-Endpunkten in regulierten Kontexten weiter einschränken. Eine Privacy-Story für KI in Ihrer Kanzlei zu bauen ist nicht mehr optional; sie ist die operative Voraussetzung der KI-Einführung.

Das Muster ist über alle Vorfälle hinweg konsistent: Der technische Bruch ist selten raffiniert, die Policy-Antwort immer reaktiv, und der Preis wird von der Kanzlei gezahlt, deren Mitarbeiter um 23 Uhr den Vertrag in einen kostenlosen Chatbot kopiert hat. KI Compliance ist kein Top-down-Policy-Problem; es ist ein Bottom-up-UX-Problem. Ist der sichere Pfad langsamer, gewinnt der unsichere. Redactic Secure Chat ist auf dem Round-Trip "Maskieren-dann-Chat" schneller als ChatGPT, weil das Maskieren clientseitig in Millisekunden passiert, das Modell mit normaler Latenz antwortet und die Wiederherstellung lokal ist. Der Nutzer empfindet keine Compliance-Steuer; er empfindet einen flüssigeren Flow als die Consumer-Alternative, weil die Antworten mit bereits wiederhergestellten echten Namen ankommen, ohne Copy-Paste-Aufräumarbeit.

Wer das Shadow-AI-Risiko für die eigene Kanzlei einschätzt, sollte die kursierenden Statistiken mit Vorsicht behandeln: unsere Prüfung der am häufigsten wiederholten Shadow-AI-Statistiken führt jede Zahl auf ihre Originalquelle zurück und zeigt mehrere, die nicht das messen, wofür sie üblicherweise zitiert werden.

7. Ein Schwärzungstool wählen: 8-Punkte-Checkliste

Kaufen Sie ein Werkzeug oder bewerten Sie Eigenbau versus Off-the-shelf, ist die folgende Checkliste die, die wir mit Prospects verwenden. Bewerten Sie jeden Punkt 0-2 (nein / teilweise / ja) und gewichten Sie Privacy-Posture-Punkte doppelt. Enden Sie unter 18 von 32 möglichen Punkten, haben Sie ein Compliance-Risiko; unter 12 auch ein Produktivitätsrisiko.

1. No-Trace-Architektur. Verarbeitet der Dienst das Dokument im Speicher und verwirft es sofort? Sind Inputs at-rest im ephemeren Store verschlüsselt, mit kurzem TTL, und nie in ein persistentes Log geschrieben? Warum es zählt: Eine gespeicherte Kopie ist weiter personenbezogen — der Schwärzungsprozess selbst wird eine eigene Verarbeitungstätigkeit, wenn der Input die Anfrage überlebt.
2. Mehrsprachige PII-Erkennung. Erkennt das Modell italienischen Codice Fiscale, französischen NIR, deutsche Steuer-ID, spanische DNI/NIE, polnischen PESEL etc., oder nur englische Namen und US-SSN? Warum es zählt: Anglo-zentrische Erkenner verfehlen 30-50 % der nationalen Identifikatoren auf EU-Dokumenten.
3. OCR für Scans. Kann das Tool ein gescanntes PDF oder ein Foto eines Ausweises pixelgenau schwärzen? Warum es zählt: Die Fälle, die Ihren Datenschutzbeauftragten am meisten erschrecken — alte Verträge, fotografierte Dokumente — sind genau die, die ein Text-Only-Schwärzer nicht erfasst.
4. Zwei-Modi-Unterstützung. Kann das Tool aus demselben Upload sowohl reversible (Platzhalter) als auch irreversible (Schwärzung) Ausgaben erzeugen? Warum es zählt: Single-Mode-Werkzeuge zwingen zu zwei Pipelines.
5. Manuelle Prüfung. Erlaubt die UI einem Menschen, jeden erkannten Span vor dem Schwärzen anzunehmen oder abzulehnen? Warum es zählt: Recall-orientierte Erkennung ist der richtige Default, produziert aber Falsch-Positive, die einen schnellen Review-Pfad brauchen.
6. Metadaten-Strip. Entfernt das Tool auch Dokumenteigenschaften (Autor, last-modified-by, XMP, EXIF)? Warum es zählt: Der häufigste Produktionsleak ist ein sauberer Korpus mit Autorenname in den PDF-Eigenschaften.
7. Audit-Zertifikat. Erzeugt das Tool je Job einen kryptografischen Datensatz dessen, was verarbeitet wurde, mit Hashes und Kategorie-Zählern, aber ohne Inhalt? Warum es zählt: Das Zertifikat ist, was Sie der Aufsicht, dem Versicherer, dem Mandanten zeigen.
8. Compliance-Posture. EU-Datenresidenz, AVV beim Signup, Unterauftragsverarbeiter-Register, Click-Wrap-Einwilligung mit kryptografischem Snapshot, Rollentrennung (Ihr Tool als Auftragsverarbeiter, nicht Verantwortlicher). Warum es zählt: Das sind die Punkte, die entscheiden, ob das Tool in Ihr bestehendes DSGVO-Programm passt oder neue Verarbeitungstätigkeiten schafft, die Sie nun steuern müssen.

Tools, die als Chrome-Erweiterung kommen, können elegant sein, schneiden aber bei (1) und (8) schlecht ab — hinter einer kostenlosen Erweiterung steckt selten ein echter AVV. Open-Source-Bibliotheken wie Presidio oder Piiranha schneiden bei (2) gut ab, aber Sie erben den operativen Fußabdruck (No-Trace, OCR, Audit, Zertifikat), der den größten Teil der Arbeit darstellt. Gehostete kommerzielle Tools variieren; die Frage ist nicht "haben Sie ein Feature namens Schwärzung?", sondern "zeigen Sie mir das Zertifikat eines Beispiel-Jobs und die Unterauftragsverarbeiter-Liste".

Ein häufiger Fehlschluss in der Tool-Bewertung ist, das Modell als entscheidenden Faktor zu nehmen. In Wahrheit liegt der Unterschied zwischen einem Tool, das eine Aufsichtsprüfung übersteht, und einem, das im ersten Audit fällt, in den prosaischen Details: Wie wird der Auftragsverarbeitungsvertrag erfasst und versioniert, wie sind die Unterauftragsverarbeiter-Wechsel-Notifikationen automatisiert, wie sieht der Logging-Footprint im Wenn-etwas-schiefgeht-Fall aus, lässt sich ein Forensiker an einem produktiven Job nachvollziehen, was wann geschah, ohne dass dabei ein neuer Datenschutzvorfall entsteht. Diese Fragen kosten Anbieter Zeit zu beantworten, weil die Antworten an mehreren Stellen im System verteilt sind und nicht in einem Marketing-Slide. Tut sich ein Anbieter mit konkreten Antworten schwer, ist das ein Signal — typischerweise bedeutet es, dass die Disziplin um das Modell herum noch fehlt, und Sie würden diese Lücke nach Vertragsabschluss zu Ihrem Problem machen.

Build vs Buy. Das Eigenbau-Argument kommt meist von CTOs, die bemerken, dass GLiNER, Tesseract und die Schicht nationaler Regex Open Source sind. Das Argument hat über die Komponenten Recht und über die Gesamtkosten Unrecht. Die eigentliche Arbeit ist nicht die Detection-Engine — das ist ein Wochenend-Prototyp — sondern die operative Schicht: ein ephemerer verschlüsselter Store mit TTL-Disziplin, der Crashes übersteht, eine manuelle Review-UI, die tausende Spans verarbeitet, ohne den Browser zu lähmen, ein Schwärzungszertifikatsgenerator, der mit einem stabilen Schlüssel signiert, ein Metadaten-Stripper, der die Eigenheiten jedes PDF-Producers verarbeitet, ein AVV-Workflow mit Click-Wrap-Einwilligungserfassung, ein Notifikations-Flow für Unterauftragsverarbeiter-Wechsel, und die laufende Pflege für neue nationale Identifikatoren, neue OCR-Sprachen, neue LLM-Endpunkte. Der Wert des Anbieters ist selten das Modell; er ist die Disziplin um das Modell herum.

Redactic wurde vom ersten Tag an gegen diese Checkliste entworfen: No-Trace by Design (Fernet-verschlüsseltes Redis mit TTL 120s/300s, keine DB-Modelle, keine Inhaltslogs), GLiNER mehrsprachig mit nationalem Regex-Fallback, Tesseract OCR mit Fünf-Sprachen-Paket, reversible und irreversible Modi, Konsole für manuelle Prüfung, Metadaten-Stripper über PDF/DOCX/XLSX, SHA-256-Auditzertifikat mit herunterladbarem PDF, EU-Residenz auf Hetzner Helsinki und Cloudflare R2 EU-Jurisdiktion, AVV beim Signup signiert mit Click-Wrap-Einwilligungs-Snapshot, und die ausdrückliche Rolle als Auftragsverarbeiter in den Trust-Seiten. Der AVV und die Unterauftragsverarbeiter-Liste sind öffentlich; die Architektur ist dokumentiert; das Schwärzungszertifikat ist aus dem Dashboard für jeden Job herunterladbar.

Ehrliche Caveats: Reversible PDF-Schwärzung in Redactic läuft über einen Plain-Text-Zwischenschritt (echtes PDF ist nur Blackout); der OCR-Blackout-Pfad wurde im Browser end-to-end erst beim Produktions-Deploy Juni 2026 getestet; in Multi-Form-Namen-Fällen ("Mario Rossi" und das partielle "Mario" später im Dokument) kann die serverseitige Regel des Beibehaltens der kanonischen Form eine Teilmaske hinterlassen, die die Client-UI als beibehalten anzeigt. Wir sagen das Interessenten im ersten Gespräch, nicht nach dem Vertrag.

8. Häufige Fragen

Was ist der Unterschied zwischen Schwärzung und Anonymisierung?

Die Schwärzung ist die Operation; die Anonymisierung ist eines der möglichen Ergebnisse. Schwärzung kann pseudonymisierte Ausgabe erzeugen (reversibel, DSGVO Art. 4(5)) oder anonymisierte (irreversibel, Erwägungsgrund 26). Anonymisierung entzieht die Daten vollständig dem DSGVO-Anwendungsbereich; Pseudonymisierung hält sie drin, reduziert aber das Risiko.

Ist Pseudonymisierung dasselbe wie Verschlüsselung?

Nein. Verschlüsselung ist für jeden mit dem Schlüssel reversibel und ist eine Sicherheitsmaßnahme; Pseudonymisierung ersetzt identifizierende Werte durch Platzhalter und hält die Rück-Karte unter strikterer Zugriffskontrolle. Die DSGVO erkennt Pseudonymisierung ausdrücklich in Art. 4(5) und Art. 32(1)(a) an; verschlüsselte personenbezogene Daten sind weiter personenbezogen.

Kann ich ChatGPT mit geschwärzten Dokumenten sicher unter DSGVO nutzen?

Ja, unter zwei Bedingungen. Erstens muss die Schwärzung vor dem Verlassen Ihrer Umgebung passieren — Maskieren nach dem Upload zu ChatGPT hilft nicht. Zweitens sollte der LLM-Endpunkt idealerweise der EU-/Enterprise-Tier mit signiertem AVV und No-Train-Defaults sein. Ein sicherer KI-Chat, der PII im Browser vor der Anfrage maskiert und echte Werte lokal in der Antwort wiederherstellt, ist das sauberste Muster.

Funktioniert automatische PII-Erkennung auf gescannten PDFs?

Nur wenn das Tool zuerst OCR ausführt. Ein Schwärzer, der nur Digitaltext verarbeitet, produziert lautlos einen "geschwärzten" Scan mit allen PII intakt. Tesseract mit dem richtigen Sprachpaket ist der Open-Source-Standard; kommerzielles Cloud-OCR existiert, führt aber einen Unterauftragsverarbeiter ein, der seinen eigenen AVV braucht. Redactic führt Tesseract auf dem Worker mit dem Paket eng+ita+fra+deu+spa aus. Wenn Sie nach "PDF anonymisieren", "Daten anonymisieren" oder "Dokumente anonymisieren" gesucht haben in der Hoffnung auf eine Ein-Klick-Lösung, ist die ehrliche Antwort: Scans brauchen OCR vor jeder Maskierung — und die OCR-Qualität begrenzt die Schwärzungsqualität. Wer Daten anonymisieren will im strengen Sinn — also unwiderruflich — sollte den Blackout-Modus wählen; wer reversibel bleiben will, bleibt bei der Pseudonymisierung mit Karte.

Wie lange sollte die Platzhalter-Karte aufbewahrt werden?

So kurz, wie der Workflow es verlangt. Für einen LLM-Round-Trip wird die Karte nur zwischen Anfrage und Antwort gebraucht — Minuten, nicht Tage. Redactic nutzt 120 Sekunden auf dem Input-Store und 300 Sekunden auf dem Output-Store. Für eine Mehr-Dokument-Akte kann die Karte für die Dauer des Falls leben müssen; dann muss sie at-rest verschlüsselt sein, Zugriffe geloggt, und ausdrücklich im Verzeichnis von Verarbeitungstätigkeiten gelistet werden.

Was ist Shadow AI und warum ist es ein DSGVO-Problem?

Shadow AI ist die Nutzung öffentlicher LLM-Endpunkte mit sensiblen Daten, außerhalb der IT-Sichtbarkeit, typischerweise über private Konten. Es schafft Verarbeitung ohne AVV (Art. 28), undokumentierte internationale Übermittlungen (Schrems II) und mögliche Trainings-Exposition des Inputs. Die Mitigation ist nicht ein strengeres Verbot — Verbote werden umgangen — sondern ein offizieller Pfad, der schneller und sicherer ist als der Shadow-Pfad.

Ändert der AI Act etwas an der Schwärzung?

Ja. Hochrisiko-KI-Systeme nach Anhang III (HR, Recruiting, Leistungsbeurteilung) müssen die Daten-Governance-Pflichten (Art. 10), Risikomanagement (Art. 9), menschliche Aufsicht (Art. 14) einhalten. Input-Daten zu pseudonymisieren, bevor sie an ein solches System gehen, ist der sauberste Weg, gleichzeitig die Datenminimierung nach Art. 5 DSGVO und Art. 10 AI Act zu erfüllen. Der AI Act verlangt nicht ausdrücklich Schwärzung, belohnt sie aber operativ.

Was ist ein Schwärzungszertifikat und warum brauche ich es?

Eine kryptografische Aufzeichnung eines Schwärzungsjobs: Input-Hash, Output-Hash, Modus, Schwärzungszähler je Kategorie, Zeitstempel, Applikationssignatur. Es enthält weder Inhalt noch PII, ist also sicher zu speichern und zu teilen. Sie brauchen es, um die Accountability nach Art. 5(2) nachzuweisen — dass Sie Monate später zeigen können, wie eine bestimmte Ausgabe entstanden ist, ohne das Dokument aufzubewahren.

Kann ich eine Excel-Tabelle mit Mitarbeiterdaten schwärzen, ohne die Formeln zu zerstören?

Ja, wenn das Tool den Unterschied zwischen einer String-Zelle und einer Zahlen-/Formel-Zelle versteht. Generisches Find-and-Replace zerstört Formeln. Redactic verarbeitet je Blatt String-Zellen über openpyxl, lässt Zahlen, Formeln und Formatierung intakt — das ist der Workflow, den wir für Multi-Mitarbeiter-Gehaltsdateien nutzen, und der durch die jüngste Multi-Sheet-Spaltenschwärzung verfeinert wird.

Wo speichert Redactic meine Daten?

Nirgends persistent. Dokumente leben während des Jobs in Redis mit Fernet-Verschlüsselung und kurzem TTL und werden vom finally-Block des Workers unabhängig vom Ergebnis zerstört. Die Applikation hat kein DB-Modell für Dokumentinhalt. Das Schwärzungszertifikat speichert nur Hashes und Zähler. Compute und Metadaten-Storage sind EU (Hetzner Helsinki + Cloudflare R2 EU-Jurisdiktion). Die Unterauftragsverarbeiter-Liste und der AVV sind auf den Trust-Seiten öffentlich.

Wenn Sie nur eine Sache aus diesem Leitfaden lesen, lesen Sie Abschnitt 6 zu Shadow AI. Das größte Einzelrisiko in Ihrer Kanzlei 2026 ist keine misslungene manuelle Schwärzung; es ist der kumulative Effekt tausender kleiner ChatGPT-Einfügungen aus Privatkonten. Die Antwort sind keine strengeren Regeln — die werden umgangen — sondern ein offizieller Pfad, der schneller ist, mit korrekter Schwärzung und einem signierten AVV. Bauen Sie den Pfad, bevor der Regulator ihn für Sie baut.

Wer sehen will, wie das in der Praxis funktioniert, dem zeigt die Redactic-Landing die vier Use-Case-Modi (Schwärzen, Anonymisieren, Mit KI nutzen, Sicherer Chatbot) mit einer Live-Demo an einem Beispielvertrag. Der Solo-Tarif deckt eine Einzelperson zu 19 €/Monat; der Firm-Tarif ergänzt den sicheren KI-Chat und bis zu fünfzig Sitze zu 49 €/Monat; Enterprise ist individuell. Der AVV wird beim Signup signiert und das Schwärzungszertifikat ist aus jedem abgeschlossenen Job herunterladbar.