Eine Zertifizierung allein macht einen Dokumenten-KI-Anbieter noch nicht sicher für vertrauliche Kundendateien. Für Anwaltskanzleien und Unternehmen sollte die KI-Anbieter Due Diligence untersuchen, wohin die Daten fließen, wie der Anbieter sie behandelt, wer auf sie zugreifen kann und wozu sich der Anbieter vertraglich verpflichtet.
Die richtigen Fragen sind sowohl vertraglicher als auch technischer Natur. Bevor Kundendokumente hochgeladen werden, sollten Unternehmen die Datenpraktiken, Sicherheitskontrollen, Unterauftragsverarbeiter, Aufbewahrungsrichtlinien und Compliance-Verpflichtungen des Anbieters detailliert überprüfen.
Wichtigste Erkenntnisse:
- Überprüfen Sie die Sicherheit, Datenpraktiken und Verträge eines Anbieters, nicht nur seine Compliance-Behauptungen.
- Wählen Sie Anbieter, die ihre Sicherheitskontrollen und Datenrichtlinien klar erklären können.
- Parseur speichert Daten in der EU, trainiert keine KI mit Kundendokumenten und ist konform mit SOC 2 Type II, DSGVO (EU und UK), California CCPA, Schweizer DSG und Singapur PDPA.
Warum „Compliant“ auf einer Anbieterseite sehr wenig bedeutet
Wenn ein Anbieter behauptet, „compliant“ (konform) zu sein, ist das nur ein Ausgangspunkt für die KI-Anbieter Due Diligence. Die Behauptung ist erst dann von Bedeutung, wenn Sie überprüfen können, was sie abdeckt, welche Kontrollen sie unterstützen und wozu sich der Anbieter in seinem Vertrag konkret verpflichtet.
Das Risiko durch Dritte ist ein Hauptgrund, warum eine Überprüfung so wichtig ist. Eine ISC2-Umfrage von 2025 ergab, dass 70 % der Cybersicherheitsexperten sehr besorgt über Cybersicherheitsrisiken in der Lieferkette waren, während 28 % angaben, dass ihre Organisation in den vorangegangenen zwei Jahren einen Cybersicherheitsvorfall erlebt hatte, der von einem Drittanbieter oder Lieferanten ausging.
Die FTC empfiehlt, klare Sicherheitsanforderungen in Lieferantenverträge aufzunehmen und proaktiv zu überprüfen, ob die Anbieter diese auch einhalten.
Unternehmen, die mit vertraulichen Kundendaten umgehen, sollten weit über das reine Compliance-Label hinausblicken. Überprüfen Sie den Auftragsverarbeitungsvertrag (AVV), die Sicherheitskontrollen, die Unterauftragsverarbeiter, die Aufbewahrungspraktiken, die Zugriffskontrollen und die Löschverfahren, bevor Sie einem Anbieter Kundendokumente anvertrauen.
Die Checkliste für die Due Diligence von Anbietern
Bevor ein Unternehmen vertrauliche Dokumente an einen KI-Anbieter sendet, sollten spezifische Fragen gestellt werden, wie diese Daten verarbeitet, gespeichert, abgerufen und gelöscht werden. Ein Compliance-Label allein kann diese Fragen nicht beantworten.
Sicherheit und Datenschutz gehören zu den größten Bedenken von Unternehmen, die KI einführen. In einer DISCO-Umfrage von 2025 identifizierten 70 % der befragten Anwaltskanzleien Datensicherheit und Datenschutz als das größte Hindernis für die Einführung von KI.
Das macht eine gründliche KI-Anbieter Due Diligence zu weit mehr als nur einer formellen Beschaffungsmaßnahme. Es ist ein essenzieller, praktischer Schritt bei der Entscheidung, ob ein KI-Tool für vertrauliche Kundendaten geeignet ist.
Hier sind 10 Fragen, die Sie jedem Anbieter stellen sollten, zusammen mit den Antworten von Parseur.
1. Wo werden die Daten verarbeitet und gespeichert, und in welcher Gerichtsbarkeit?
Warum das wichtig ist: Die Datenresidenz kann maßgeblich beeinflussen, welche Datenschutzgesetze auf Ihre Informationen Anwendung finden und ob Ihre Organisation Beschränkungen für grenzüberschreitende Übertragungen unterliegt.
Der Ansatz von Parseur: Parseur speichert seine Daten in der Europäischen Union, wobei die Infrastruktur in den Niederlanden gehostet wird. Der AVV dokumentiert zudem internationale Übermittlungen unter Einbeziehung von Unterauftragsverarbeitern und die für diese Übermittlungen verwendeten Schutzmaßnahmen, einschließlich Standardvertragsklauseln, sofern anwendbar.
2. Werden Kundendokumente verwendet, um Modelle zu trainieren, Ihre eigenen oder die von anderen?
Warum das wichtig ist: Dies ist eine der wichtigsten Fragen für Unternehmen, die mit vertraulichen Kundeninformationen umgehen. Ein Anbieter sollte glasklar angeben, ob er Kundendokumente, Prompts oder extrahierte Daten zur Verbesserung von KI-Modellen wiederverwenden kann.
Der Ansatz von Parseur: Nein. Parseur verwendet keinerlei Kundendokumente, um seine KI-Modelle zu trainieren oder zu verbessern. Die KI-Extraktion nutzt vorab trainierte Modelle, anstatt aus den vertraulichen Dokumenten einzelner Kunden zu lernen.
3. Wer sind Ihre Unterauftragsverarbeiter und wo haben sie ihren Sitz?
Warum das wichtig ist: Ihr Anbieter ist möglicherweise nicht die einzige Organisation, die Ihre Daten verarbeitet. Cloud-Anbieter, E-Mail-Dienste und andere Unterauftragsverarbeiter können Zugang zu Teilen der Verarbeitungskette haben. Daher benötigen Sie vollständige Transparenz darüber, wer sie sind und wo sie tätig sind.
Der Ansatz von Parseur: Parseur veröffentlicht eine transparente Liste der Unterauftragsverarbeiter, die Anbieter wie AWS, Google, Microsoft und E-Mail-Dienstanbieter umfasst. Die Liste nennt deren Zwecke, Standorte, die betroffenen Daten und die anwendbaren Übermittlungsmechanismen.
4. Gibt es einen Auftragsverarbeitungsvertrag (AVV) und wozu verpflichtet er Sie?
Warum das wichtig ist: Eine Datenschutzrichtlinie beschreibt lediglich allgemeine Praktiken. Ein AVV schafft hingegen rechtsbindende vertragliche Verpflichtungen darüber, wie personenbezogene Daten verarbeitet, geschützt, übertragen und gelöscht werden.
Der Ansatz von Parseur: Ja. Parseur stellt einen AVV zur Verfügung, der den Kunden als Verantwortlichen und Parseur als Auftragsverarbeiter definiert. Er beschränkt die Verarbeitung strikt auf dokumentierte Anweisungen, legt Vertraulichkeits- und Sicherheitsverpflichtungen fest und stellt klare Anforderungen an Unterauftragsverarbeiter und internationale Datenübermittlungen auf.
5. Wie lange werden Daten aufbewahrt, und können wir dies kontrollieren oder verkürzen?
Warum das wichtig ist: Die Aufbewahrung vertraulicher Dokumente über den notwendigen Zeitraum hinaus erhöht das Risiko von Datenlecks oder deren Einbeziehung in rechtliche und behördliche Anfragen.
Der Ansatz von Parseur: Parseur ermöglicht es Kunden, die Dokumentenaufbewahrung auf Postfachebene flexibel zu konfigurieren. Die Aufbewahrungsfrist kann auf bis zu einen Tag eingestellt werden. Zudem bietet Parseur eine „Verarbeiten und dann löschen“-Option (Process then Delete), die Dokumente unmittelbar nach erfolgreicher Verarbeitung und Lieferung der extrahierten Daten vollständig entfernt.
6. Wie können wir alles exportieren und löschen?
Warum das wichtig ist: Datenübertragbarkeit und -löschung sollten praktisch umsetzbar sein und nicht nur auf dem Papier versprochen werden. Ein Unternehmen muss genau wissen, wie es seine Daten abrufen kann und was passiert, wenn es den Anbieter anweist, diese zu entfernen.
Der Ansatz von Parseur: Extrahierte Daten können jederzeit als CSV, Excel oder JSON exportiert werden, und Parseur unterstützt automatisierte Exporte über Integrationen und Webhooks. Kunden können auch ihr Konto und die damit verbundenen personenbezogenen Daten selbstständig löschen. Im Rahmen des AVV gewährleistet Parseur die Löschung oder Rückgabe personenbezogener Daten nach Beendigung, vorbehaltlich geltender gesetzlicher Aufbewahrungspflichten.
7. Welche Verschlüsselung wird bei der Übertragung und im Ruhezustand angewendet?
Warum das wichtig ist: Starke Verschlüsselung verringert das Risiko eines unbefugten Zugriffs während der Übertragung und Speicherung von Daten drastisch.
Der Ansatz von Parseur: Parseur verschlüsselt Daten bei der Übertragung mit TLS 1.2 oder höher und im Ruhezustand mit AES-256. Veraltete, unsichere TLS-Versionen sind konsequent deaktiviert.
8. Wer in Ihrem Unternehmen hat Zugriff auf unsere Dokumente?
Warum das wichtig ist: Verschlüsselung ist nur eine technische Sicherheitsebene. Unternehmen müssen auch verstehen, wer organisatorisch unter welchen Umständen auf Kundendaten zugreifen kann.
Der Ansatz von Parseur: Parseur greift nicht routinemäßig auf Kundendaten zu, da die gesamte Dokumentenverarbeitung automatisiert ist. Teammitglieder greifen nur auf Kundendaten zu, wenn ein Kunde explizit Support anfordert, der dies erfordert. Der Zugriff erfolgt streng nach dem Prinzip der geringsten Rechte (Least Privilege) und dem Need-to-Know-Prinzip. Zudem unterliegt das gesamte Personal strengen Vertraulichkeits- und Datenschutzvereinbarungen.
9. Welche Zertifizierungen haben Sie heute und welche sind in Arbeit?
Warum das wichtig ist: Zertifizierungen und unabhängige Bestätigungen belegen, dass Sicherheitskontrollen anhand eines definierten, professionellen Rahmenwerks bewertet wurden. Fragen Sie immer danach, was der Anbieter heute vorweisen kann, anstatt sich auf zukünftige Zusagen zu verlassen.
Der Ansatz von Parseur: Parseur ist konform mit SOC 2 Type II, DSGVO (EU und UK), California CCPA, Schweizer DSG und Singapur PDPA. Umfassende Details zu Sicherheit und Compliance sind transparent unter trust.parseur.com verfügbar.
10. Was passiert mit unseren Daten, wenn wir aufhören zu bezahlen?
Warum das wichtig ist: Die Beendigung eines Abonnements sollte Ihr Unternehmen niemals über den Zugriff, die Aufbewahrung oder die Löschung im Unklaren lassen. Stellen Sie sicher, dass der Kündigungsprozess des Anbieters den Anforderungen Ihres Unternehmens an die Datenaufbewahrung und Ihre Exit-Strategie entspricht.
Der Ansatz von Parseur: Parseur ermöglicht es Kunden, ihre Konten zu löschen, wodurch die damit verbundenen Daten dauerhaft und unwiderruflich entfernt werden. Der AVV besagt auch, dass Kunden nach Beendigung oder Kontodeaktivierung die Rückgabe oder Löschung personenbezogener Daten verlangen können, wobei verbleibende Kopien innerhalb des in der Vereinbarung festgelegten Zeitraums gelöscht werden, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
Letztendlich ist das Ziel einer fundierten KI-Anbieter Due Diligence nicht, den Anbieter mit der längsten Liste an Sicherheitsbehauptungen zu finden. Es geht vielmehr darum, einen Partner zu finden, der klare, überprüfbare Antworten auf die Fragen geben kann, die die Sicherheit und Compliance der Daten Ihres Unternehmens tatsächlich betreffen.
Zuletzt aktualisiert am
