Ist Ihr Unternehmen bereit für KI? Datenlage prüfen
Ihre Daten sind für eine KI-Aufgabe bereit, wenn Sie wissen, wo sie liegen, wie Sie technisch an sie kommen, wie vollständig und einheitlich sie sind und ob Sie sie für diesen Zweck nutzen dürfen. Eine Inventur je Quelle klärt das in rund vier Stunden.
Ein Angebotsassistent soll aus alten Angeboten Textvorschläge machen. Im ersten Test stellt sich heraus: Die Angebote der letzten sieben Jahre liegen auf einem Netzlaufwerk, ein Teil davon als eingescannte PDFs ohne Textebene, die Preise stehen in einer Excel-Datei, die nur eine Kollegin pflegt, und niemand weiß, ob die Kundennamen in den Dokumenten an einen externen Anbieter gehen dürfen. Solche Fragen klärt eine Daten-Inventur, bevor ein Pilot Zeit und Budget bindet.
Welche Aufgabe sich für KI eignet, ist der Schritt davor; Ideen sammeln und bewerten steht unter KI-Anwendungsfälle finden. Wie ein bestandener Test in den Alltag kommt, beschreibt KI im Unternehmen einführen: vom Piloten zum Betrieb. Dazwischen liegt die Frage, ob die Daten die Aufgabe tragen.
Inventur · Teil 1
Wo Ihre Daten liegen
Die Inventur beginnt bei der Aufgabe und fragt rückwärts: Welche Angaben braucht ein Modell, um sie zu erledigen, und wo stehen diese Angaben? Für den Angebotsassistenten sind das alte Angebote, Preislisten und Produktbeschreibungen; für eine Vorsortierung im Service sind es vergangene Anfragen samt der Abteilung, die sie am Ende bearbeitet hat.
Typische Fundorte im Mittelstand sind das ERP- oder Warenwirtschaftssystem, das CRM, Sammelpostfächer, Netzlaufwerke und Cloud-Ablagen, Excel-Dateien einzelner Abteilungen und Fachanwendungen mit eigener Datenbank. Notieren Sie für jede Quelle eine verantwortliche Person aus dem Fachbereich. Sie weiß, was die Felder bedeuten, welche Einträge veraltet sind und wer sonst noch Kopien führt.
Sprachmodelle arbeiten vor allem mit Text: Mails, Dokumente, Notizen. Wo sie aus solchem Freitext strukturierte Angaben machen, beschreibt Wann ein LLM den Tag rettet. Für die Inventur heißt das: Unstrukturierte Quellen zählen mit, auch wenn sie in keiner Systemübersicht stehen.
Inventur · Teil 2
Zugriff: Schnittstelle, Export oder Kopie
Für jede Quelle gibt es drei Wege, die Daten zu einer KI-Anwendung zu bringen, und jeder hat eine eigene Folge für Aktualität und Aufwand.
Schnittstelle: Die Anwendung fragt das System live ab, zum Beispiel über die REST-API des CRM. Die Daten sind aktuell, aber Sie brauchen ein Konto mit passenden Rechten, und Abfragegrenzen des Anbieters bestimmen, wie viel pro Minute geht.
Export: Das System schreibt eine Datei, etwa CSV oder XML. Das geht ohne Programmierung, die Daten sind aber ab dem Exporttag veraltet, und Exporte aus deutschem Excel kommen mit Semikolon und Dezimalkomma.
Kopie: Dateien werden in eine eigene Ablage kopiert, etwa Angebots-PDFs für eine Wissenssuche. Jede Kopie ist eine weitere Ablage mit eigener Löschpflicht; die Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO gilt auch für sie.
Für einen ersten Test genügt ein Export: Er zeigt, ob die Daten die Aufgabe tragen, bevor jemand eine Schnittstelle baut. Für den Betrieb ist der Export dagegen eine Fehlerquelle, weil jemand daran denken muss.
Inventur · Teil 3
Qualität: Dubletten, Lücken, Formate
Ob eine Quelle brauchbar ist, zeigt eine Stichprobe schneller als jede Systembeschreibung. Ziehen Sie je Quelle 20 zufällige Datensätze und zählen Sie drei Dinge.
Dubletten: Derselbe Kunde zweimal, einmal als „Müller GmbH“, einmal als „Mueller GmbH“. Ein Modell behandelt beide als verschiedene Kunden.
Lücken: Pflichtangaben für die Aufgabe, die leer sind. Fehlt bei 5 von 20 Anfragen die bearbeitende Abteilung, ist ein Viertel der Beispiele für eine Vorsortierung wertlos.
Formate: Datumsangaben als „03.11.“ und „2026-11-03“ nebeneinander, Preise mit Komma und mit Punkt, Scans ohne Textebene, Zeichensätze, die Umlaute zerstören.
20 Datensätze liefern keine Statistik, aber eine Richtung: Ist schon die Stichprobe voller Lücken, lohnt die genaue Zählung erst nach einer Bereinigung. Wo die Ursache im Datenmodell liegt, etwa weil ein Feld nie Pflicht war, hilft ein Blick auf die Struktur der Datenbank. Wie wir Datenmodelle prüfen und bestehende Strukturen aufräumen, steht auf der Seite Datenbank-Systeme.
Ein Data Warehouse ist für einen ersten KI-Test keine Voraussetzung. Es hilft bei Auswertungen über viele Systeme; für eine einzelne Aufgabe genügen die Daten der zwei oder drei Quellen, die sie braucht.
Inventur · Teil 4
Rechte und personenbezogene Daten
Sobald eine Quelle personenbezogene Daten enthält, braucht jeder Verarbeitungsschritt mit der KI-Anwendung eine Rechtsgrundlage nach Art. 6 DSGVO. So formuliert es auch die Orientierungshilfe der Datenschutzkonferenz zu KI und Datenschutz vom 06.05.2024. Dazu kommen die Grundsätze aus Art. 5 Abs. 1 DSGVO: ein festgelegter Zweck (lit. b), nur die nötigen Daten (lit. c), richtige Daten (lit. d) und eine begrenzte Speicherdauer (lit. e).
Für die Inventur ergeben sich daraus vier Prüfungen je Quelle:
Zweck: Daten, die für die Auftragsabwicklung erhoben wurden, sollen für einen neuen Zweck genutzt werden. Ob das ohne Einwilligung zulässig ist, richtet sich nach Art. 6 Abs. 4 DSGVO: Er fragt nach der Verbindung zwischen altem und neuem Zweck, dem Zusammenhang der Erhebung, der Art der Daten, den Folgen für die Betroffenen und nach Garantien wie Pseudonymisierung.
Besondere Kategorien: Gesundheitsdaten, religiöse Überzeugungen, Gewerkschaftszugehörigkeit oder biometrische Daten darf nach Art. 9 Abs. 1 DSGVO grundsätzlich niemand verarbeiten; erlaubt ist es nur unter einer der Ausnahmen aus Art. 9 Abs. 2. Die DSK nennt diese Prüfung ausdrücklich für Eingabe, Verarbeitung und Ausgabe.
Anonymisieren: Namen und Anschriften zu entfernen reicht nach der DSK-Orientierungshilfe regelmäßig nicht, weil sich der Personenbezug aus dem Zusammenhang ergeben kann. Ein Serviceticket über „den Schaden an der Anlage in Halle 3 bei unserem Kunden in Grünwald“ bleibt zuordenbar.
Anbieter: Geht die Quelle an einen externen KI-Dienst, braucht es einen Vertrag zur Auftragsverarbeitung, und die DSK hält Dienste für vorzugswürdig, die Ein- und Ausgaben nicht zum Training verwenden. Was in den Vertrag gehört, steht unter Auftragsverarbeitungsvertrag: was bei Web-Dienstleistern hineingehört.
Die EU-Kommission hat am 19.11.2025 mit dem Digital Omnibus (COM(2025) 837) Änderungen an der DSGVO vorgeschlagen, auch zur Verarbeitung für KI. Bis zum 22.09.2026 war der Vorschlag nicht beschlossen; für die Inventur gilt die DSGVO in ihrer geltenden Fassung.
Inventur · Ablauf
Eine Inventur an einem Nachmittag
Für eine einzelne Aufgabe mit zwei bis vier Quellen reichen vier Stunden, wenn die Fachverantwortlichen und der Datenschutzbeauftragte für ihren Teil dabei sind. Die Zeiten gelten als Planungsrahmen; mehr Quellen verlängern vor allem die Schritte 3 bis 5.
Aufgabe festhalten (20 Minuten): eine Aufgabe, ein Satz zum Ergebnis, die Angaben, die das Modell dafür braucht.
Quellen sammeln (40 Minuten): jede Quelle eine Zeile in der Vorlage unten, mit verantwortlicher Person.
Zugriff klären (45 Minuten): Schnittstelle, Export oder Kopie, und wer den Zugang einrichten kann.
Stichprobe ziehen (60 Minuten): 20 Datensätze je Quelle, Dubletten, Lücken und Formate zählen.
Rechte prüfen (45 Minuten): personenbezogene Daten, besondere Kategorien, Zweck, Anbieter.
Ergebnis festhalten (30 Minuten): je Quelle „bereit“, „nach Bereinigung“ oder „nicht nutzbar“, mit dem nächsten Schritt und einem Namen.
Zusammen sind das 20 + 40 + 45 + 60 + 45 + 30 = 240 Minuten. Am Ende steht eine Tabelle, mit der Sie entscheiden, ob der Pilot startet, ob zuerst bereinigt wird oder ob die Aufgabe ohne neue Datenquelle zurückgestellt wird. Welche Aufgabe mit dieser Datenlage zuerst kommen sollte, lässt sich im KI-Readiness-Check besprechen, einem kostenlosen Termin von 30 Minuten.
Vorlage mit zwei ausgedachten Beispielzeilen; die Rechtsgrundlage ist dort als offene Prüfung eingetragen, nicht als Ergebnis. Semikolon als Trennzeichen, damit deutsches Excel die Spalten erkennt; speichern Sie die Datei als „CSV UTF-8“, sonst zeigt Excel Umlaute falsch an.
Quelle;Verantwortlich;Zugriff;Format;Datensätze;Personenbezogene Daten;Besondere Kategorien;Rechtsgrundlage;Qualität laut Stichprobe;Status
"CRM, Kontakte und Anfragen";"Vertrieb (Leitung Innendienst)";"REST-API mit Lesekonto; Test per CSV-Export";"JSON / CSV";18400;"ja: Name, E-Mail, Telefon";"nein";"zu prüfen mit DSB: Art. 6 Abs. 1 lit. f DSGVO, Zweckvereinbarkeit nach Art. 6 Abs. 4";"Stichprobe 20: 2 Dubletten (Schreibweise), 5 ohne Abteilung, Datum einheitlich";"nach Bereinigung"
"Netzlaufwerk Angebote 2019 bis 2025";"Vertrieb (Angebotswesen)";"Kopie in eigene Ablage, nur Lesen";"PDF, DOCX";3150;"ja: Ansprechpartner beim Kunden";"nein";"noch offen, Termin mit DSB am 29.09.";"Stichprobe 20: 7 Scans ohne Textebene, Dateinamen uneinheitlich, Preise teils nur in Excel";"nicht nutzbar ohne Texterkennung"
Fragen zur Datenlage
Häufige Fragen
-
Für einen ersten Test nicht. Ein Data Warehouse bündelt Daten aus vielen Systemen für Auswertungen; eine einzelne KI-Aufgabe braucht nur die Quellen, aus denen ihre Angaben stammen. Wird aus mehreren Piloten ein dauerhafter Betrieb mit vielen Quellen, kann eine zentrale Datenhaltung sinnvoll werden.
-
Das hängt vom Zweck, der Rechtsgrundlage nach Art. 6 DSGVO und dem Anbieter ab. Wurden die Daten für einen anderen Zweck erhoben, prüfen Sie die Vereinbarkeit nach Art. 6 Abs. 4; bei einem externen Dienst brauchen Sie einen Vertrag zur Auftragsverarbeitung und eine Zusage, dass die Eingaben nicht ins Training fließen. Ziehen Sie den Datenschutzbeauftragten vor dem ersten Test hinzu.
-
Zuerst die Ursache suchen: Fehlt ein Pflichtfeld im System, kommen neue Lücken jeden Tag dazu, und eine einmalige Bereinigung hält nicht. Korrigieren Sie die Eingabe an der Quelle und bereinigen Sie dann den Bestand, beginnend mit den Feldern, die die Aufgabe braucht. Reicht die Zeit dafür nicht, wählen Sie eine andere Aufgabe mit besserer Datenlage.
Die Inventur liegt vor, und dann?
Schicken Sie die ausgefüllte Tabelle vorab. Im KI-Readiness-Check, einem kostenlosen Mini-Audit, klären wir in 30 Minuten, wo KI in Ihrem Unternehmen Sinn ergibt und wo nicht.
Nachweise
Quellen und Stand
Stand: 22.09.2026. Beschrieben sind die Anforderungen der DSGVO und die Empfehlungen der Datenschutzkonferenz zu diesem Datum; keine Rechtsberatung. Die CSV-Vorlage haben wir mit Python 3 und dem Modul csv (Trennzeichen Semikolon) eingelesen und die Spaltenzahl je Zeile geprüft.
Artikel teilen