WhyVault
AnmeldenenKostenlos starten

Datenschutz

KI und DSGVO: Claude und ChatGPT mit deinen Daten nutzen.

Du willst, dass Claude oder ChatGPT deine Projekte, Kunden und Entscheidungen kennt – und fragst dich, was die DSGVO dazu sagt. Hier liest du ruhig und praktisch, wohin deine Daten gehen, was du prüfen solltest und was du selbst in der Hand hast.

Lesezeit: 9 MinutenStand:

01

Zwei Orte, an die deine Daten gehen

Wenn du einen KI-Agenten mit deinen Notizen arbeiten lässt, sind fast immer zwei Anbieter beteiligt. Der erste speichert deine Notizen – bei WhyVault ein Rechenzentrum in Frankfurt. Der zweite ist der Anbieter des Agenten, etwa Anthropic für Claude oder OpenAI für ChatGPT. Er verarbeitet alles, was im Gespräch vorkommt: deine Frage, die Antwort und die Notizen, die der Agent dafür abruft.

Viele Diskussionen über „KI und Datenschutz“ schauen nur auf einen der beiden Orte. Ein Vault in Frankfurt hilft wenig, wenn du den KI-Anbieter nie angesehen hast. Und der sorgfältigste KI-Vertrag nützt nichts, wenn deine Notizen irgendwo liegen, wo du nicht weißt, wer mitliest.

Die gute Nachricht: Für beide Orte gibt es klare Fragen, die du einmal beantwortest. Danach arbeitest du entspannt.

02

Was die DSGVO verlangt – in einfachen Worten

Die DSGVO gilt, sobald du personenbezogene Daten beruflich verarbeitest: Namen, E-Mail-Adressen, Notizen über Kunden oder Bewerber. Vier Gedanken tragen fast alles.

  • Ein guter Grund

    Jede Verarbeitung braucht eine Rechtsgrundlage, etwa einen Vertrag mit dem Kunden oder ein berechtigtes Interesse. „Die KI soll es wissen“ allein reicht nicht – „ich brauche es, um das Projekt zu betreuen“ oft schon.

  • So wenig wie nötig

    Datenminimierung: Schreib auf, was du für die Arbeit brauchst, nicht alles, was du weißt. Eine Entscheidung braucht selten die private Handynummer.

  • Verträge mit Dienstleistern

    Wer Daten in deinem Auftrag verarbeitet, braucht einen AVV (Art. 28 DSGVO). Das gilt für den Notizdienst genauso wie für den KI-Anbieter.

  • Daten außerhalb der EU

    Gehen Daten in ein Drittland wie die USA, braucht es eine Grundlage – etwa einen Angemessenheitsbeschluss oder die EU-Standardvertragsklauseln.

03

Was der KI-Anbieter sieht, wenn dein Agent liest

Ein ganz normaler Moment. Du fragst, der Agent sucht im Vault und liest eine Notiz:

Claude

  1. Du: Wo stehen wir beim Angebot für Berger Logistik?

  2. Werkzeug: read_note · „Berger Logistik – Angebot“

    Claude: Laut Notiz hast du am 18. September ein Angebot über drei Workshops geschickt. Ansprechpartnerin ist Frau Kaya (Einkauf). Offen ist die Frage, ob der Termin im November passt.

  3. Du: Notier bitte, dass sie den Termin bestätigt hat.

  4. Werkzeug: append_to_note · „Verlauf“

    Claude: Erledigt. Ich habe unter „Verlauf“ ergänzt: Termin im November von Frau Kaya bestätigt.

Die gelesene Notiz, der Name der Ansprechpartnerin, deine Fragen: All das hat der KI-Anbieter verarbeitet. WhyVault gibt nur heraus, was der Agent abruft.

04

Was nicht in dein Vault gehört

Die einfachste Datenschutzmaßnahme ist die Notiz, die du nicht schreibst.

Manche Daten schützt die DSGVO besonders streng: Gesundheit, Religion, politische Meinung, Gewerkschaftszugehörigkeit, sexuelle Orientierung und einige mehr (Art. 9 DSGVO). Solche Angaben über andere Menschen – Kunden, Mitarbeitende, Bewerber – haben in einem Notizbuch, das KI-Agenten lesen, nichts verloren. Auch nicht „nur kurz“.

Für alles andere hilft eine Gewohnheit: Schreib über Entscheidungen, nicht über Menschen. „Wir starten mit drei Workshops, weil das Budget erst im Q1 kommt“ ist wertvoll. Wie es der Ansprechpartnerin privat geht, gehört nicht dazu. Wo Namen nicht nötig sind, reichen Rollen: „die Einkäuferin“, „Kunde B“.

Räume und Ordner helfen dir beim Ordnen, sie sind aber keine Wände: Ein verbundener Agent kann das ganze Vault lesen. Was ein Agent nicht sehen soll, legst du deshalb gar nicht erst ab.

05

Deinen KI-Anbieter prüfen

Die Bedingungen der KI-Anbieter ändern sich regelmäßig. Statt dir hier einen Stand zu nennen, der morgen veraltet ist: Das sind die Stellen, an denen du selbst nachsiehst.

  1. 1

    Den passenden Tarif wählen

    Anbieter unterscheiden oft zwischen Privat- und Geschäftstarifen, mit unterschiedlichen Regeln für deine Daten. Für berufliche Nutzung mit Kundendaten schaust du dir die Business- oder Team-Angebote an und liest nach, was sie zusagen.

  2. 2

    Training ausschalten oder prüfen

    Sieh in den Datenschutz-Einstellungen deines Kontos nach, ob Gespräche zum Training von Modellen genutzt werden dürfen, und stell es so ein, wie du es willst. Prüf das nach Änderungen der Bedingungen noch einmal.

  3. 3

    AVV des Anbieters abschließen

    Such in den Geschäftsbedingungen nach dem Data Processing Addendum (DPA, auf Deutsch AVV) und stell sicher, dass er für deinen Tarif gilt. Oft ist er Teil der Business-Bedingungen.

  4. 4

    Verarbeitungsort nachlesen

    Prüf, wo der Anbieter Daten verarbeitet und speichert und auf welcher Grundlage Daten in ein Drittland gehen. Manche Anbieter bieten eine Datenhaltung in der EU an, oft nur in bestimmten Tarifen.

  5. 5

    Dokumentieren

    Trag Notizdienst und KI-Anbieter in dein Verzeichnis der Verarbeitungstätigkeiten ein und nenn sie, wo nötig, in deiner Datenschutzerklärung. Eine kurze Notiz im Vault, was du wann geprüft hast, reicht als Gedächtnisstütze.

9_System/Datenschutz.md
---typ: regel---# Datenschutz## Beim Schreiben- Keine Gesundheitsdaten und keine privaten Details über andere Menschen.- Kunden und Kontakte mit Rolle und Firma, private Nummern nie.- Bewerbungen und Personalthemen nur als Entscheidung, ohne Begründung zur Person.## Beim Lesen- Lies nur die Notizen, die du für die Frage brauchst.- Zitier Personendaten nicht, wenn eine Zusammenfassung reicht.Zuletzt geprüft: [[2026-09-29 KI-Anbieter geprüft]]

06

Deine Regeln, die jeder Agent liest

Jeder verbundene Agent bekommt beim Start die Regeln aus 9_System mit. Dort kannst du festhalten, wie er mit Personendaten umgehen soll:

  1. Eine Regel im Vault ersetzt keine Einstellung beim Anbieter – sie sorgt aber dafür, dass jeder verbundene Agent dieselben Grenzen kennt.

  2. Der Link auf eine Notiz mit Datum hält fest, wann du Tarif, Training und AVV zuletzt angesehen hast.

  3. Agenten halten sich an solche Regeln meistens, aber nicht garantiert. Deshalb bleibt die erste Regel: Was nicht drinsteht, kann auch niemand lesen.

07

Im Chat-Gedächtnis oder im eigenen Vault?

Claude und ChatGPT können sich selbst Dinge merken. Das ist bequem – aber es ist ein anderer Ort mit anderen Regeln.

–Gedächtnis im KI-AssistentenEigenes Vault mit WhyVault
Wo das Wissen liegtBeim KI-Anbieter, nach dessen BedingungenIn Frankfurt, mit AVV für Unternehmen
Was genau gespeichert istJe nach Anbieter mehr oder weniger gut einsehbarNormale Markdown-Notizen, die du jederzeit lesen kannst
Mehrere AgentenJeder Assistent hat sein eigenes GedächtnisClaude, ChatGPT, Cursor und Co. teilen dieselben Notizen
Wer was geändert hatMeist nicht nachvollziehbarJede Änderung mit Agentennamen im Verlauf, rückgängig machbar
Mitnehmen und LöschenHängt von den Funktionen des Anbieters abExport als Zip jederzeit, Löschen in deiner Hand
Wo das Wissen liegt
Gedächtnis im KI-AssistentenBeim KI-Anbieter, nach dessen Bedingungen
Eigenes Vault mit WhyVaultIn Frankfurt, mit AVV für Unternehmen
Was genau gespeichert ist
Gedächtnis im KI-AssistentenJe nach Anbieter mehr oder weniger gut einsehbar
Eigenes Vault mit WhyVaultNormale Markdown-Notizen, die du jederzeit lesen kannst
Mehrere Agenten
Gedächtnis im KI-AssistentenJeder Assistent hat sein eigenes Gedächtnis
Eigenes Vault mit WhyVaultClaude, ChatGPT, Cursor und Co. teilen dieselben Notizen
Wer was geändert hat
Gedächtnis im KI-AssistentenMeist nicht nachvollziehbar
Eigenes Vault mit WhyVaultJede Änderung mit Agentennamen im Verlauf, rückgängig machbar
Mitnehmen und Löschen
Gedächtnis im KI-AssistentenHängt von den Funktionen des Anbieters ab
Eigenes Vault mit WhyVaultExport als Zip jederzeit, Löschen in deiner Hand

Wichtig: Auch mit eigenem Vault verarbeitet der KI-Anbieter, was der Agent im Gespräch liest. Das Vault ändert, wo dein Wissen dauerhaft liegt – nicht, dass der Anbieter geprüft sein will.

08

Was WhyVault für deinen Teil beiträgt

Für den Speicherort nimmt dir WhyVault einiges ab. Die Details stehen in der Datenschutzerklärung und unter Verlauf, Export und Datenschutz.

  • Gehostet in Frankfurt

    Datenbank, Anmeldung und Dateien liegen bei Supabase in Frankfurt, Website und Server-Funktionen bei Vercel in der Region Frankfurt. Betrieben von der Ohrlaf GmbH.

  • AVV inklusive

    Nutzt du WhyVault als Unternehmen, wird der AVV Teil des Vertrags – ohne Unterschrift, mit Liste aller Unterauftragsverarbeiter.

  • Kein Training, keine Werbung

    WhyVault nutzt deine Notizen nur, um den Dienst zu betreiben: nicht für Werbung, nicht zum Training von KI-Modellen, kein Verkauf.

  • Rechte pro Verbindung

    Mit einem Zugangsschlüssel (etwa für Claude Code oder Cursor) darf ein Agent auf Wunsch nur lesen. Jede Verbindung kannst du jederzeit widerrufen.

  • Verlauf statt Blackbox

    Jede Änderung ist eine Version mit dem Namen des Agenten. Löschen geht per MCP gar nicht, und schreibt ein Agent ungewöhnlich viel, wird er gestoppt und du bekommst eine Mail.

  • Alles mitnehmen

    Normales Markdown, jederzeit als Zip exportierbar – auch ohne Abo. Dein Wissen hängt an keinem Anbieter, auch nicht an uns.

Datenschutz mit KI heißt nicht: gar nichts teilen. Sondern wissen, wer was sieht.

09

Checkliste, bevor du einen Agenten verbindest

Einmal durchgehen, dann in Ruhe arbeiten:

  • Du weißt, wo deine Notizen liegen und hast – als Unternehmen – einen AVV mit dem Notizdienst. Bei WhyVault: AVV.
  • Du nutzt beim KI-Anbieter einen Tarif, der zu beruflicher Nutzung passt, und hast dessen AVV bzw. DPA gefunden.
  • Die Training-Einstellung in deinem KI-Konto steht so, wie du es willst.
  • Du weißt, wo der KI-Anbieter Daten verarbeitet und auf welcher Grundlage sie in ein Drittland gehen.
  • Im Vault stehen keine Gesundheitsdaten und keine sensiblen Details über andere Menschen.
  • Für Werkzeuge, die nur nachschlagen sollen, nutzt du einen Zugangsschlüssel mit nur lesen.
  • Eine Regel-Notiz in 9_System sagt jedem Agenten, wie er mit Personendaten umgeht.
  • Notizdienst und KI-Anbieter stehen in deinem Verzeichnis der Verarbeitungstätigkeiten.

?

Häufige Fragen

Ist das hier Rechtsberatung?

Nein. Dieser Guide erklärt die Grundgedanken der DSGVO und zeigt, was du prüfen kannst. Für deinen konkreten Fall – etwa mit Gesundheits- oder Mandantendaten – frag deinen Datenschutzbeauftragten oder eine Anwältin.

Ist Claude oder ChatGPT DSGVO-konform?

Das hängt weniger vom Werkzeug ab als davon, wie du es nutzt: welcher Tarif, welche Einstellungen, welcher Vertrag, welche Daten. Prüf beim Anbieter Tarif, Training, AVV und Verarbeitungsort – und schreib nur hinein, was nötig ist.

Brauche ich einen AVV mit WhyVault?

Wenn du WhyVault beruflich mit personenbezogenen Daten nutzt, ja. Er wird automatisch Teil des Vertrags, sobald du WhyVault als Unternehmen nutzt – eine Unterschrift braucht es nicht. Den Text findest du unter Auftragsverarbeitung.

Trainiert WhyVault KI-Modelle mit meinen Notizen?

Nein. WhyVault lässt keine KI-Modelle über deine Inhalte laufen und nutzt sie nicht zum Training. Was ein verbundener Agent abruft, verarbeitet aber dessen Anbieter nach seinen eigenen Bedingungen – deshalb lohnt der Blick in deine Einstellungen dort.

Kann ich einem Agenten nur Leserechte geben?

Ja, bei Verbindungen mit Zugangsschlüssel, etwa für Claude Code oder Cursor. Verbindungen per Anmeldung, wie Claude oder ChatGPT im Browser, dürfen lesen und schreiben – löschen kann aber kein Agent, und jede Verbindung lässt sich jederzeit widerrufen. Agenten verbinden

Darf ich Kundendaten in mein Vault schreiben?

Geschäftliche Kontaktdaten und Projektnotizen, die du für die Arbeit brauchst, sind in der Regel kein Problem, wenn Rechtsgrundlage und Verträge stimmen. Sensible Daten nach Art. 9 DSGVO und private Details über andere Menschen gehören nicht hinein.

Alle Guides

Dein Wissen, an einem Ort, den du kennst.

Gehostet in Frankfurt, mit AVV, Verlauf und Export. Verbinde Claude oder ChatGPT in fünf Minuten – kostenlos bis 20 Notizen.

Kostenlos starten