Claude und ChatGPT nutzen. Personendaten bleiben in Deutschland.

Keine Rechtsberatung. Alle Beispiele sind erfunden. Ob ihr Kundendaten mit KI verarbeiten dürft, klärt ihr mit eurem Datenschutzbeauftragten.

Das Prinzip in 30 Sekunden.

Ich arbeite gern mit starken Modellen wie Claude und ChatGPT. Aber eine Kundenmail mit Name, Adresse und IBAN kopiere ich nicht einfach in einen Chat. Deshalb setze ich eine Schicht davor: einen kleinen Server in Deutschland. Dort erkennt ein lokales Sprachmodell zusammen mit dem Open-Source-Werkzeug Presidio die Personendaten und ersetzt sie durch Platzhalter. Erst dann geht die Anfrage an das externe Modell. Die Antwort kommt zurück, und erst auf dem Server werden die Platzhalter wieder durch die echten Angaben ersetzt.

Wie Pseudonymisierung grundsätzlich funktioniert und was die Begriffe bedeuten, erkläre ich unter KI und Datenschutz. Hier geht es um den Bau.

Übung: Finde die Personendaten.

Bevor du etwas baust, schau mit den Augen der Schutzschicht auf eine Mail. Tippe alles an, was du ersetzen würdest. Dann löse auf.

Die schwierigste Stelle ist der Filialleiter der einzigen Bäckerei in Blaubeuren. Darin steht kein Name. Trotzdem weiß jeder in Blaubeuren sofort, wer gemeint ist. Solche indirekten Angaben erkennt kein Muster und kein Wörterbuch. Dafür braucht es ein Sprachmodell, das den Sachverhalt versteht und umschreibt. Datum, Wochentag und das eigentliche Anliegen bleiben dagegen stehen, denn ohne sie kann die KI nicht helfen.

Welcher Weg passt zu dir?

Nicht jeder braucht eine Schutzschicht. Zwei Fragen genügen für eine erste Einschätzung:

Der Aufbau: fünf Stationen.

So läuft eine Anfrage durch die Schutzschicht. Klick dich durch:

Herr Jonas Albrecht (Kd.-Nr. 48-1937) aus Ulm schreibt: Die Rechnung RE-2026-0412 wurde doppelt abgebucht …

Gefunden: PERSON „Jonas Albrecht“ · KUNDENNUMMER „48-1937“ · ORT „Ulm“ · RECHNUNG „RE-2026-0412“

[PERSON_1] (Kd.-Nr. [KUNDE_1]) aus [ORT_1] schreibt: Die Rechnung [RECHNUNG_1] wurde doppelt abgebucht …

Tresor: PERSON_1 → Jonas Albrecht · KUNDE_1 → 48-1937 · …

Sehr geehrter [PERSON_1], danke für Ihren Hinweis zur Rechnung [RECHNUNG_1]. Wir prüfen die doppelte Abbuchung …

Sehr geehrter Herr Albrecht, danke für Ihren Hinweis zur Rechnung RE-2026-0412. Wir prüfen die doppelte Abbuchung …

Wohin die Anfrage geht: die Anbieter.

Die Schutzschicht entfernt die Personendaten. Trotzdem lohnt es sich, den API-Weg bewusst zu wählen. Stand 31.10.2026:

Meine Reihenfolge: Erst die Schutzschicht, damit gar keine Namen rausgehen. Dann, wenn möglich, ein Weg mit EU-Verarbeitung. Beides zusammen ist stärker als jedes für sich.

Schritt für Schritt bauen.

Das brauchst du: einen kleinen Linux-Server, etwas Erfahrung mit der Kommandozeile und einen API-Schlüssel bei einem Anbieter. Plane für den ersten Aufbau einen Tag ein.

1. Server in Deutschland mieten. Für Presidio und ein kleines Modell reichen 8 bis 16 GB Arbeitsspeicher. Bei Hetzner (Falkenstein oder Nürnberg) kostet das ab ca. 9 bis 70 € im Monat netto, je nach Tarif (Stand 10/2026). Schließ im Kundenkonto den Auftragsverarbeitungsvertrag ab.
2. Den Server abschotten. Anmeldung nur mit SSH-Schlüssel, Firewall an, automatische Sicherheitsupdates. Von außen erreichbar ist nur das Gateway, und zwar nur über HTTPS mit Passwort oder über ein VPN.
3. Ollama installieren. Ollama hört standardmäßig nur auf 127.0.0.1:11434. So soll es bleiben, denn eine eigene Anmeldung beschreibt Ollama nicht. Lade ein kleines Modell, das Deutsch kann.
4. Presidio auf Deutsch einrichten. Presidio erkennt von Haus aus nur Englisch. Für Deutsch brauchst du das spaCy-Modell de_core_news_lg und musst die Erkenner für Mail, IBAN und Telefon zusätzlich für „de“ anlegen. Kundennummern und Adressen brauchen eigene Regeln.
5. Platzhalter und Tresor bauen. Ein kleines Skript nummeriert die Funde ([PERSON_1], [KUNDE_1]) und hält die Zuordnung nur im Arbeitsspeicher. Nach der Antwort wird sie gelöscht.
6. Das Gateway davorsetzen. LiteLLM leitet Anfragen an Claude oder ChatGPT weiter und kann Presidio vor jedem Aufruf ausführen. Die Option output_parse_pii setzt die Originalwerte in der Antwort wieder ein.
7. API-Zugang wählen. Konto beim Anbieter anlegen, Datenaufbewahrung und Vertrag prüfen, wo möglich eine EU-Region nutzen (siehe Tabelle oben). Den API-Schlüssel nur auf dem Server speichern.
8. Mit erfundenen Daten testen. Bau dir 30 erfundene Mails mit allen Sorten von Personendaten. Zähl, was die Schutzschicht findet und was sie übersieht. Erst wenn du die Quote kennst, kommen echte Daten dazu, und nur nach Freigabe.

Ollama installieren und testen

curl -fsSL https://ollama.com/install.sh | sh
ollama pull llama3.1:8b
curl http://127.0.0.1:11434/api/generate -d '{"model": "llama3.1:8b", "prompt": "Antworte mit OK.", "stream": false}'

Ich nehme Llama 3.1 8B, weil Meta Deutsch in der Modellkarte ausdrücklich als unterstützte Sprache nennt. Qwen3, Gemma 3 und Mistral Small nennen „viele Sprachen“. Zur Qualität bei der Erkennung deutscher Personendaten sagt keine dieser Karten etwas. Das musst du selbst testen.

Presidio auf Deutsch

# pip install presidio-analyzer && python -m spacy download de_core_news_lg
from presidio_analyzer import AnalyzerEngine, PatternRecognizer, Pattern
from presidio_analyzer.nlp_engine import NlpEngineProvider
from presidio_analyzer.predefined_recognizers import EmailRecognizer, IbanRecognizer, PhoneRecognizer

nlp = NlpEngineProvider(nlp_configuration={
    "nlp_engine_name": "spacy",
    "models": [{"lang_code": "de", "model_name": "de_core_news_lg"}],
}).create_engine()
analyzer = AnalyzerEngine(nlp_engine=nlp, supported_languages=["de"])

# Die Standard-Erkenner gelten nur für Englisch, also für Deutsch neu anlegen
analyzer.registry.add_recognizer(EmailRecognizer(supported_language="de"))
analyzer.registry.add_recognizer(IbanRecognizer(supported_language="de"))
analyzer.registry.add_recognizer(PhoneRecognizer(supported_language="de", context=["telefon", "tel", "mobil", "erreichbar"]))

# Eigene Regeln: Kundennummer und Rechnungsnummer (an euer Format anpassen)
analyzer.registry.add_recognizer(PatternRecognizer(supported_entity="KUNDE", supported_language="de",
    patterns=[Pattern("kdnr", r"\b\d{2}-\d{4}\b", 0.5)], context=["kd", "kunde", "kundennummer"]))
analyzer.registry.add_recognizer(PatternRecognizer(supported_entity="RECHNUNG", supported_language="de",
    patterns=[Pattern("re", r"\bRE-\d{4}-\d{4}\b", 0.8)]))

for f in analyzer.analyze(text="Herr Jonas Albrecht (Kd.-Nr. 48-1937) aus Ulm …", language="de"):
    print(f.entity_type, f.start, f.end, round(f.score, 2))

Platzhalter und Tresor

def pseudonymisieren(text, funde):
    """Ersetzt Funde durch nummerierte Platzhalter. Die Zuordnung bleibt im Speicher."""
    tresor, zaehler, aus = {}, {}, text
    for f in sorted(funde, key=lambda f: f.start, reverse=True):
        wert = text[f.start:f.end]
        alt = next((k for k, v in tresor.items() if v == wert), None)
        if not alt:
            zaehler[f.entity_type] = zaehler.get(f.entity_type, 0) + 1
            alt = f"[{f.entity_type}_{zaehler[f.entity_type]}]"
            tresor[alt] = wert
        aus = aus[:f.start] + alt + aus[f.end:]
    return aus, tresor

def zurueckfuellen(antwort, tresor):
    for platzhalter, wert in tresor.items():
        antwort = antwort.replace(platzhalter, wert)
    offen = [t for t in tresor if t in antwort]
    return antwort, offen  # offen sollte leer sein

Überlappende Funde, etwa wenn Presidio und deine Regel dieselbe Stelle finden, solltest du vorher zusammenführen. Das Skript ist bewusst kurz gehalten, damit du siehst, wie es funktioniert.

Gateway mit LiteLLM

model_list:
  - model_name: claude-eu
    litellm_params:
      model: bedrock/MODELL_ID_AUS_DER_BEDROCK_KONSOLE
      aws_region_name: eu-central-1
  - model_name: gpt-eu
    litellm_params:
      model: openai/MODELLNAME
      api_base: https://eu.api.openai.com/v1   # nur mit freigeschalteter EU-Datenresidenz
      api_key: os.environ/OPENAI_API_KEY

guardrails:
  - guardrail_name: personendaten-de
    litellm_params:
      guardrail: presidio
      mode: pre_call
      presidio_language: de
      output_parse_pii: true
      pii_entities_config:
        PERSON: MASK
        EMAIL_ADDRESS: MASK
        PHONE_NUMBER: MASK
        IBAN_CODE: MASK
        LOCATION: MASK

Die Adressen von Presidio bekommt LiteLLM über die Umgebungsvariablen PRESIDIO_ANALYZER_API_BASE und PRESIDIO_ANONYMIZER_API_BASE. Eigene Platzhalter mit Nummern und das lokale Sprachmodell hängst du als eigenen Schritt davor. Der eingebaute Guardrail ist ein guter Start, aber er kennt deine Kundennummern nicht.

Prompt für das lokale Modell

Das lokale Modell bekommt den Text, nachdem Presidio und deine Regeln fertig sind. Seine Aufgabe ist nur noch das Indirekte:

Du bist ein Datenschutz-Filter. Der folgende Text enthält bereits Platzhalter in eckigen Klammern. Lass sie unverändert.

Deine Aufgabe:
1. Finde Angaben, die eine Person indirekt erkennbar machen: seltene Berufe oder Funktionen, kleine Orte, auffällige Ereignisse, Kombinationen wie "die einzige Bäckerei in …".
2. Schreib diese Stellen so allgemein um, dass das Anliegen erhalten bleibt. Beispiel: "Filialleiter der einzigen Bäckerei in Blaubeuren" wird zu "Filialleiter eines Einzelhändlers".
3. Ändere sonst nichts. Erfinde keine neuen Namen.

Gib nur den umgeschriebenen Text zurück.

Text:
[TEXT]

Testdaten erzeugen

Erzeuge 30 erfundene Kundenmails auf Deutsch für einen Handwerksbetrieb. Jede Mail enthält eine Mischung aus: Vor- und Nachname, Straße mit Hausnummer, PLZ und Ort, Telefonnummer, E-Mail-Adresse, IBAN im deutschen Format, Kundennummer im Format 00-0000 und Rechnungsnummer im Format RE-0000-0000. Baue in 10 Mails zusätzlich eine indirekte Angabe ein, die eine Person ohne Namen erkennbar macht. Alle Daten müssen erfunden sein. Gib danach eine Liste aus, welche Angaben in welcher Mail stecken.

Diesen Prompt kannst du ruhig direkt in Claude oder ChatGPT nutzen. Es sind ja nur erfundene Daten. Mit der Liste am Ende misst du, wie viel deine Schutzschicht findet.

Was kostet das?

Wo die Schutzschicht nicht reicht.

Checkliste vor dem ersten echten Einsatz.

Nachlesen und selbst prüfen.

• Art. 4 DSGVO, Begriffsbestimmungen (Nr. 5 Pseudonymisierung)
• EDPB Guidelines 01/2025 on Pseudonymisation (Version 1) · 16.01.2025
• EuGH C-413/23 P, Pressemitteilung 107/25 · 04.09.2025
• Anthropic: Data residency · abgerufen 31.10.2026
• Anthropic: Wie lange werden Daten gespeichert? · 01.07.2026
• Claude in Amazon Bedrock
• OpenAI: Your data (API) · abgerufen 31.10.2026
• Azure OpenAI: Daten, Datenschutz und Sicherheit · 05.06.2026
• Presidio: Sprachen und unterstützte Entitäten
• LiteLLM: PII-Maskierung mit Presidio
• Ollama FAQ (Netzwerk, OLLAMA_HOST)
• Hetzner: Datenschutz und AVV