Welche KI-Werkzeuge wir einsetzen und wie Ihre Daten dabei geschützt sind
TL;DR
Beim Einsatz von KI-Tools in der Softwareentwicklung entscheidet die saubere Datentrennung über den Datenschutz. DEVWARE speist keine echten Personen-, Produktions- oder Zugangsdaten in KI-Systeme ein, sondern ausschließlich abstrahierte Code-Logik und pseudonymisierte Konfigurationsdaten. Grundlage ist Privacy by Design nach Art. 25 DSGVO. Genutzt werden ausschließlich Business- und Enterprise-Accounts, in denen KI-Training auf Nutzerdaten vertraglich ausgeschlossen ist. Risiken wie US-Behördenzugriff werden über Transfer Impact Assessments bewertet, eine Datenweitergabe ist per DPA ausgeschlossen. Kunden erhalten einen AVV mit Widerspruchsrecht sowie definierte Löschprozesse nach Projektende. Zertifiziert nach ISO/IEC 27001 und ISO 9001.
Was fließt in die KI und was nicht?
Unsere Entwickler folgen einer klaren internen Richtlinie: Keine echten Personendaten in KI-Tools. Der Datenschutz bei KI-Tools basiert auf Privacy by Design gemäß Art. 25 DSGVO, also auf einer Trennung, die bereits vor dem ersten Prompt greift.
Konkret verlassen bestimmte Daten Ihre Systeme niemals in Richtung KI. Dazu zählen personenbezogene Daten Ihrer Mitarbeiter oder Kunden, Produktions- und Echtdaten aus Ihren Systemen, Passwörter, Zugangsdaten und API-Keys sowie sensible Geschäfts- oder Finanzdaten. In die KI fließt ausschließlich das, was für die Entwicklung technisch nötig und datenschutzrechtlich unbedenklich ist:
- Abstrakte Code-Logik und Algorithmen
- Quellcode-Fragmente (projektbezogen)
- Technische Konfigurationsdaten (pseudonymisiert)
- Telemetriedaten der Entwicklungsumgebung
Schutzstufen je KI-Tool
Für jedes eingesetzte Tool dokumentieren wir Schutzstufe, Absicherungsmechanismus und Nachweis, sodass alle Werkzeuge auf einen Blick vergleichbar sind.
Chancen & Risiken: transparent kommuniziert
Transparenz hat für uns hohe Priorität, deshalb benennen wir Vorteile und Risiken gleichermaßen. Auf der Chancenseite steht ein spürbarer Effizienzgewinn: schnellere Entwicklung und damit eine kürzere Time-to-Market, konsistenterer und qualitativ hochwertigerer Code, weniger Bugs durch KI-gestützte Code-Reviews sowie eine technische Dokumentation, die parallel mit entsteht. Der Stundensatz steigt dadurch nicht, der Vorteil geht an Sie.
Die relevanten Risiken managen wir aktiv. Ein möglicher US-Behördenzugriff wurde per Transfer Impact Assessment als niedriges Risiko bewertet, eine Datenweitergabe ist per DPA vertraglich ausgeschlossen, und das KI-Training auf Ihren Daten ist über den Business-Account deaktiviert. Fehlerhafte KI-Vorschläge fängt die manuelle Prüfung durch unsere Entwickler ab, und dem Risiko eines Datenlecks begegnen wir mit interner Richtlinie und regelmäßigen Schulungen.
Häufig gestellte Fragen
Werden meine Daten für KI-Training genutzt?
Nein. Wir nutzen ausschließlich Business- bzw. Enterprise-Accounts. In diesen ist das Training auf Nutzerdaten vertraglich ausgeschlossen und in den DPAs schriftlich festgehalten.
Können US-Behörden auf meine Daten zugreifen?
Theoretisch ja, über FISA Section 702 und CLOUD Act. Die von uns durchgeführten TIAs kommen jedoch zum Ergebnis: Risiko niedrig. Abstrakte Code-Fragmente sind kein typisches Geheimdienstziel.
Werden Daten an Suchmaschinen weitergegeben?
Nein. Daten, die in die KI-Tools eingegeben werden, verbleiben im jeweiligen System. Eine Weitergabe an Suchmaschinen oder andere Dritte ist vertraglich ausgeschlossen.
Warum muss ich einen AVV unterzeichnen?
Der AVV ist gesetzlich vorgeschrieben (Art. 28 DSGVO), sobald ein Dienstleister personenbezogene Daten im Auftrag verarbeiten könnte. Er regelt klar, welche Daten wir zu welchem Zweck verarbeiten und welche Schutzmaßnahmen wir treffen, und schützt damit beide Seiten gleichermaßen.
Kann ich als Kunde dem KI-Einsatz widersprechen?
Ja. Der AVV räumt Ihnen ein Widerspruchsrecht mit einer Frist von 14 Tagen ein. Anschließend klären wir gemeinsam, ob das Projekt ohne KI-Tools realisierbar ist. Ein Verzicht kann sich auf Timeline und Kosten auswirken.
Was passiert mit den Daten nach Projektende?
Nach Projektende werden alle überlassenen Daten zurückgegeben oder auf Wunsch nachweislich gelöscht. Die KI-Anbieter haben in ihren DPAs definierte Löschfristen und Löschprozesse, die wir vertraglich eingefordert haben.
Wie weist DEVWARE die Einhaltung intern nach?
DEVWARE ist nach ISO/IEC 27001:2024 und ISO 9001:2015 zertifiziert. Wir führen ein Verarbeitungsverzeichnis (Art. 30 DSGVO), haben mit der heyData GmbH einen externen DSB bestellt und schulen unsere Entwickler regelmäßig zum datenschutzkonformen Umgang mit KI-Tools.
Die beiden Datenlisten oben habe ich als Aufzählung belassen, weil sie dort inhaltlich am klarsten wirken. Chancen und Risiken laufen jetzt im Fließtext. Soll ich die FAQ ebenfalls in durchgehende Absätze überführen oder als Frage-Antwort-Block behalten?
