KI-Nutzungsrichtlinie
Grundsätze und Regeln für die Nutzung von KI im Unternehmen: Freigabe, Verantwortung für die Ergebnisse, Datenschutz und Sicherheit, Dokumentation. Dazu drei Anlagen: die freigegebenen KI-Anwendungen, die freigegebenen Connectoren und Plugins und der Datenkatalog.
Original als PDF herunterladen (254 KB)
Wortlaut der Richtlinie lesen
KI-Nutzungsrichtlinie der Effizienzpioniere GmbH
- Eingeführt durch: Effizienzpioniere GmbH, Gutenbergstraße 16A, 70176 Stuttgart, Deutschland
- Version: 1.0
- Stand: 01.09.2026
- Gültig ab: 03.09.2026
- Verantwortlich: Geschäftsführung
- Operative Umsetzung: IT-Leitung
1. Ziel der Richtlinie
Diese Richtlinie legt die Grundsätze und Regeln für die Nutzung von KI im Unternehmen fest. Ziel ist es, den verantwortungsvollen Einsatz von KI zu gewährleisten, Risiken zu minimieren und die Einhaltung rechtlicher sowie ethischer Standards zu sichern.
2. Geltungsbereich
Diese Richtlinie gilt für alle Mitarbeitenden der Effizienzpioniere GmbH. Sie gilt unabhängig vom Arbeitsort, insbesondere auch bei mobiler Arbeit und im Homeoffice.
Die Richtlinie gilt außerdem für externe Dienstleister und sonstige Auftragnehmer, soweit sie im Auftrag der Effizienzpioniere GmbH von der Effizienzpioniere GmbH bereitgestellte KI-Anwendungen oder Benutzerkonten verwenden.
3. Anwendungsbereich
Diese Richtlinie gilt für jede betriebliche Nutzung von KI-Systemen und umfasst neben bereits geprüften und freigegebenen KI-Anwendungen (4.1) auch künftig durch das Unternehmen nach Prüfung freigegebene Systeme.
Ein KI-System ist gemäß Art. 3 Nr. 1 KI-VO ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können.
Eingebettete KI-Funktionen in Bestandssoftware (z. B. Notion AI, der Miro-„KI-Kollege“ oder Microsoft Copilot) gelten als KI-Anwendungen im Sinne dieser Richtlinie und bedürfen einer Freigabe nach Ziffer 4.1. Nicht geprüfte oder nicht freigegebene KI-Funktionen werden deaktiviert, soweit dies technisch möglich ist (Grundsatz: aus bis zur Freigabe).
Browser-Erweiterungen mit KI-Funktion gelten als KI-Anwendungen im Sinne dieser Richtlinie. Sie sind ohne ausdrückliche Freigabe gesperrt, da sie innerhalb der angemeldeten Browser-Sitzung der Nutzenden agieren und damit deren Zugriffsrechte (z. B. auf SharePoint oder HR-Systeme) übernehmen können.
4. Grundsätze für die Nutzung von KI
4.1 Freigabe
Vor Inbetriebnahme eines KI-Systems bedarf es einer Freigabe gemäß des unternehmensinternen Freigabeverfahrens für Software, unter ergänzender Berücksichtigung der für KI-Anwendungen spezifischen rechtlichen Anforderungen. Insbesondere ist zu prüfen, ob
- der Einsatz des KI-Systems gegen die in Art. 5 KI-VO normierten Verbote unzulässiger Praktiken verstößt,
- eine Einstufung als Hochrisiko-KI-System gemäß Art. 6 ff. KI-VO vorliegt und damit besondere Anforderungen an Entwicklung, Dokumentation, Transparenz, menschliche Aufsicht und Risikomanagement zu erfüllen sind,
- sich Transparenzpflichten im Sinne des Art. 50 KI-VO ergeben,
- der Datenschutzbeauftragte die mögliche Verarbeitung personenbezogener Daten geprüft und bewertet hat.
Die Prüfung und Freigabe neuer KI-Anwendungen, Anwendungsfälle sowie von Connectoren, Plugins, Agents oder sonstigen technischen Verbindungen zu Unternehmenssystemen wird durch den jeweils verantwortlichen KI-Nutzer mit dem Anlegen eines IT-Tickets angestoßen.
Der geplante Einsatz wird anschließend durch die IT-Leitung mit Unterstützung des Datenschutzbeauftragten geprüft. Die IT-Leitung bewertet insbesondere die technische Sicherheit, Berechtigungen und Systemzugriffe, der Datenschutzbeauftragte prüft die datenschutzrechtlichen Anforderungen.
Die abschließende Freigabe erfolgt durch die Geschäftsführung, welche die Informationen von IT-Leitung und dem Datenschutzbeauftragten zum Nutzen der Freigabe für das Unternehmen abwägt.
Nur entsprechend freigegebene KI-Anwendungen (Anlage 1), Anwendungsfälle und technische Verbindungen (Anlage 2) dürfen verwendet werden. Die Nutzung nicht freigegebener Anwendungen oder Verbindungen ist untersagt.
Der Freigabeprozess ist zu dokumentieren.
Rollen und Verantwortlichkeiten:
Die Geschäftsführung trägt die Gesamtverantwortung für diese Richtlinie und erteilt die abschließende Freigabe. Die IT-Leitung verantwortet die technische Prüfung, die Umsetzung und Dokumentation technischer Schutzmaßnahmen sowie die KI-Inventur (Ziffer 6). Der Datenschutzbeauftragte berät zu den datenschutzrechtlichen Anforderungen und der Einordnung in den Datenkatalog.
4.2 Geprüfte und freigegebene KI-Anwendungen
Die aktuell freigegebenen KI-Anwendungen sind in Anlage 1 zu dieser Richtlinie aufgeführt.
Anlage 1 kann aktualisiert werden, sofern eine KI-Anwendung nach dem in Ziffer 4.1 festgelegten Freigabeprozess geprüft und von der Unternehmensleitung freigegeben wurde. Eine Aktualisierung der Anlage 1 erfordert keine erneute Unterzeichnung dieser Richtlinie.
Anlage 1 ist fortlaufend aktuell zu halten, spätestens vor Beginn der Nutzung der jeweiligen KI-Anwendung zu aktualisieren und den Mitarbeitenden in geeigneter Weise bekannt zu machen.
4.3 Verbot der Nutzung privater KI-Anwendungen
Die Nutzung von KI-Anwendungen darf ausschließlich unter Verwendung der dafür angelegten betrieblichen Accounts erfolgen. Eine Nutzung privater Accounts im betrieblichen Kontext ist nicht gestattet.
4.4 Zweckgebundene Nutzung und Verbot der privaten Nutzung
Bei der Nutzung von freigegebener KI (4.2) sind deren Nutzungsbedingungen und die festgelegte Zweckbestimmung einzuhalten. Falls das Unternehmen ausdrücklich genehmigte Zwecke definiert, sind diese zu befolgen. Eine zweckentfremdende Nutzung oder eine eigenmächtige wesentliche Änderung der KI-Anwendung ist nicht gestattet. Eine Nutzung der KI-Anwendungen für private Zwecke ist ebenfalls nicht gestattet.
4.5 Verantwortung und Überprüfung der Ergebnisse
KI-generierte Inhalte werden nicht auf Basis von Verständnis oder ethischer Abwägungen erzeugt, sondern beruhen auf Wahrscheinlichkeit. Daher können die Inhalte ungenau, fehlerhaft oder potenziell diskriminierend sein.
Die Mitarbeitenden müssen alle KI-generierten Inhalte unter Anwendung der gebotenen Sorgfalt eigenverantwortlich prüfen und anhand ihrer fachlichen Expertise sowie unter Berücksichtigung inhaltlicher, ethischer und anwendungsbezogener Anforderungen bewerten.
Erkenntnisse und Erfahrungen zur Qualität der KI-Ergebnisse werden zwischen den Nutzenden ausgetauscht und an die IT-Leitung weitergegeben. Offensichtliche oder wiederkehrende Fehler, die nicht auf eine fehlerhafte Eingabe oder unsachgemäße Nutzung zurückzuführen sind, sind der IT-Leitung zu melden.
Die IT-Leitung erfasst und bewertet die gemeldeten Fehler. Sie wird insbesondere tätig, wenn die Anzahl vergleichbarer Fehlermeldungen erkennbar zunimmt oder eine einzelne Meldung auf einen schwerwiegenden Fehler, ein Sicherheitsrisiko oder eine nicht ordnungsgemäße Funktion der KI-Anwendung hindeutet. Erforderliche Maßnahmen können insbesondere zusätzliche Nutzungshinweise, eine Einschränkung oder Aussetzung der Nutzung sowie eine Kontaktaufnahme mit dem Anbieter umfassen.
4.5.1 Entscheidungsfindung
Entscheidungen, die gegenüber betroffenen Personen rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen, dürfen nicht ausschließlich auf einer automatisierten Verarbeitung durch eine KI-Anwendung beruhen. KI-generierte Entscheidungen sind stets einer menschlichen Prüfung zu unterziehen, die den geltenden Sorgfaltsmaßstäben entspricht (4.5).
4.5.2 Ethische Grundsätze
KI-Anwendungen dürfen nicht für rechtswidrige oder ethisch unzulässige Zwecke eingesetzt werden. Insbesondere ist es untersagt, KI zur gezielten Manipulation oder Täuschung von Personen, zur Ausnutzung von Schutzbedürftigkeit oder zur Überwachung ohne hinreichende rechtliche Grundlage zu verwenden.
Der Einsatz von KI muss stets im Einklang mit geltendem Recht, den Grundsätzen der Transparenz, Fairness und Nichtdiskriminierung sowie unter Achtung der Menschenwürde erfolgen.
4.6 Einhaltung von Urheberrechten
Bei der Nutzung von KI-Anwendungen müssen die Lizenzbedingungen eingehalten werden. Die Unternehmensleitung hat durch geeignete technische und organisatorische Maßnahmen sicherzustellen, dass bei der Verwendung von KI-generierten Inhalten alle geltenden Bestimmungen zum Urheber- beziehungsweise Nutzungsrecht, Markenrecht und Persönlichkeitsrecht (insbesondere bei Bildern) eingehalten werden. Inhalte, die mit Unterstützung von KI erstellt wurden, dürfen nur unter Beachtung der rechtlichen Rahmenbedingungen verwendet werden.
4.7 Kennzeichnung und Redaktionsverantwortung bei KI-generierten Inhalten
KI-generierte oder KI-unterstützte Inhalte dürfen nicht ungeprüft veröffentlicht werden. Vor der Veröffentlichung ist eine menschliche redaktionelle Prüfung durch die jeweils verantwortliche Stelle sicherzustellen. Für zentrale Unternehmenskanäle liegt die Redaktionsverantwortung bei der Marketingleitung. Für Inhalte einzelner Teams liegt sie bei der jeweiligen Teamleitung. Die Vertretung übernimmt die Marketingleitung.
KI-generierte oder KI-manipulierte Inhalte sind zu kennzeichnen, wenn:
- Bild-, Audio- oder Videoinhalte einen Deep Fake darstellen. Es muss erkennbar gemacht werden, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Bei offensichtlich künstlerischen, illustrativen, satirischen oder fiktionalen Inhalten genügt eine angemessene Kennzeichnung, die die Nutzung des Werks nicht beeinträchtigt.
- KI-generierte oder KI-manipulierte Texte veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Eine Kennzeichnung ist jedoch nicht erforderlich, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung übernimmt.
4.8 Schulungspflicht
Alle Mitarbeitenden, die KI-Systeme im Rahmen ihrer beruflichen Tätigkeit einsetzen, sind verpflichtet, an einer vom Unternehmen organisierten Schulung gemäß Art. 4 der KI-Verordnung teilzunehmen. Ziel der Schulung ist die Vermittlung der notwendigen Kompetenzen für den sicheren, verantwortungsvollen und rechtskonformen Umgang mit KI-Anwendungen. Die Schulung wird jährlich für alle Mitarbeitenden durchgeführt, die im Rahmen ihrer Tätigkeit mit KI-Anwendungen arbeiten. Das entsprechende Zertifikat ist nach erfolgreich durchlaufener Schulung an die Personalabteilung zur Ablage in der Personalakte zu schicken. Mitarbeitende ohne gültiges Schulungszertifikat können von der Nutzung von KI-Anwendungen ausgeschlossen werden.
Der Zugang zu KI-Anwendungen wird erst nach erfolgreich absolvierter Erstschulung freigeschaltet („Schulung vor Lizenz“). Neue Mitarbeitende erhalten ihren KI-Zugang erst nach Teilnahme an der Schulung.
5. Sicherheit und Datenschutz
5.1 Personenbezogene Daten und Geschäftsgeheimnisse
Bei der Nutzung von KI-Systemen ist sicherzustellen, dass die im Unternehmen geltenden Vertraulichkeitsanforderungen für personenbezogene Daten sowie Geschäftsgeheimnisse uneingeschränkt gewahrt werden. Vertrauliche oder geschützte Informationen dürfen grundsätzlich nicht in KI-Anwendungen eingegeben werden.
Ausnahmen sind nur zulässig, wenn diese ausdrücklich und schriftlich vom Unternehmen genehmigt wurden und die jeweilige KI-Anwendung ein nachweislich angemessenes Schutzniveau gewährleistet.
Personenbezogene Daten dürfen nur verarbeitet werden, wenn eine rechtskonforme datenschutzrechtliche Grundlage vorliegt. Die allgemeinen Datenschutzbestimmungen im Beschäftigungskontext sowie die Vorgaben der DSGVO sind auch bei der Datenverarbeitung mittels KI uneingeschränkt zu beachten.
Welche Daten in KI-Anwendungen verarbeitet werden dürfen, richtet sich nach dem jeweils gültigen Datenkatalog (Anlage 3) sowie den freigegebenen KI-Anwendungen und Nutzungszwecken (Anlage 1).
Unabhängig von der Art der Daten gilt der Grundsatz der Datenminimierung bei der Nutzung von KI-Anwendungen.
5.2 Training von KI-Anwendungen
Unternehmensdaten, insbesondere personenbezogene Daten, Geschäftsgeheimnisse sowie sonstige vertrauliche oder geschützte Informationen, dürfen nicht zum Training oder zur Verbesserung allgemeiner Modelle des KI-Anbieters verwendet werden. Es dürfen nur KI-Anwendungen eingesetzt werden, bei denen dies vertraglich bzw. durch entsprechende Produkteinstellungen sichergestellt ist.
5.3 Sicherheitsanforderungen
KI-Anwendungen dürfen nur eingesetzt werden, wenn ein angemessenes Datenschutz- und Sicherheitsniveau gewährleistet ist. Hierzu müssen insbesondere:
- angemessene technische und organisatorische Maßnahmen (TOM) zum Schutz der verarbeiteten Daten bestehen,
- soweit eine Auftragsverarbeitung vorliegt, ein Auftragsverarbeitungsvertrag (AVV) geschlossen sein,
- Zugriffs- und Berechtigungsrechte nach dem Need-to-know- und Least-Privilege-Prinzip auf das erforderliche Maß beschränkt werden,
- Unternehmensdaten vor unbefugtem Zugriff, Veränderung, Weitergabe und Verlust geschützt sowie angemessene Speicher- und Löschfristen vorgesehen werden und
- Connectoren, Plugins, Agents und sonstige Systemzugriffe ausschließlich nach dem Freigabeprozess gemäß Ziffer 4.1 eingerichtet werden.
Für besonders schutzbedürftige Systemzugriffe gelten verbindliche technische Schutzmaßnahmen. Insbesondere dürfen Agents keine E-Mails selbstständig versenden und KI-Anwendungen keine Schreib-, Änderungs- oder Löschrechte auf SharePoint erhalten. Die festgelegten Zugriffsbeschränkungen und Systemschutzmaßnahmen werden durch die IT technisch erzwungen und dokumentiert. Ist eine technische Erzwingung im Einzelfall nicht möglich, wird dies dokumentiert und durch organisatorische Maßnahmen kompensiert. Wesentliche Änderungen der Sicherheits-, Berechtigungs- oder Datenverarbeitungseinstellungen bedürfen einer erneuten Prüfung.
Kontenmodell: KI-Anwendungen erhalten dauerhafte Zugriffe auf das führende Unternehmenssystem MS 365 (insb. Outlook oder Sharepoint) grundsätzlich nicht über die persönlichen Konten der Mitarbeitenden und nicht über Vollzugriffs-Verbindungen, sondern ausschließlich über eigene, eingeschränkte und von der IT verwaltete Konten (z. B. ein eingeschränktes M365-Konto), die nur die für den freigegebenen Zweck erforderlichen Postfächer und Ablagen sehen. Einzelne nutzerbezogene Connectoren außerhalb des führenden Unternehmenssystems, die ausschließlich mit den Rechten des jeweiligen Nutzers lesen, können abweichend über das persönliche Konto laufen; sie werden in Anlage 2 dokumentiert.
Einrichtung, Berechtigungsumfang und Änderungen dieser Konten werden durch die IT dokumentiert; Erweiterungen bedürfen der Freigabe nach Ziffer 4.1.
5.4 Beachtung anderer Richtlinien
Bei der Nutzung von KI-Anwendungen sind alle im Unternehmen geltenden sicherheits-, datenschutzrechtlichen sowie sonstigen einschlägigen Anweisungen, Richtlinien und Vorgaben verbindlich zu beachten.
Die „Arbeitsanweisung zur KI-Nutzungsrichtlinie“ (jeweils aktuelle Version) konkretisiert diese Richtlinie und den Datenkatalog (Anlage 3) für die tägliche Anwendung und ist für alle Mitarbeitenden verbindlich. Bei Widersprüchen geht diese Richtlinie vor.
6. Dokumentation und Nachvollziehbarkeit
Die Nutzung von KI in geschäftskritischen Prozessen ist zu dokumentieren. Dies umfasst insbesondere:
- die eingesetzten KI-Anwendungen,
- die Art der Nutzung und die erzielten Ergebnisse,
- die Freigabe zur Verarbeitung personenbezogener Daten,
- ggf. erforderliche Überprüfungsmaßnahmen.
Die Dokumentation führt die IT-Abteilung unter Verantwortung der Geschäftsführung durch. KI-Anwendungen sind in Anlage 1 zu dokumentieren. Freigegebene Connectoren sind in Anlage 2 zu dokumentieren.
Eingebettete KI-Funktionen, die ausschließlich G1-/K1-/M1-Daten verarbeiten, können nach Freigabe gemäß 4.1 in der KI-Inventur dokumentiert werden; ein Eintrag in Anlage 1 ist nicht erforderlich.
Die IT-Leitung führt darüber hinaus eine KI-Inventur: ein Verzeichnis aller eingesetzten und gemäß 4.1 dieser Richtlinie freigegebenen Softwareanwendungen mit KI-Funktionen einschließlich ihres Aktivierungsstatus. Die Inventur wird bei Einführung neuer Software sowie im Rahmen der regelmäßigen Überprüfung (Ziffer 9) aktualisiert. Ein Eintrag in Anlage 1 ist nicht erforderlich
7. Haftung und Sanktionen
Die Gesamtverantwortung für den unternehmensweiten Einsatz von KI-Anwendungen liegt nach außen hin beim Unternehmen, vertreten durch die Geschäftsführung.
Verstöße gegen diese Richtlinie können arbeitsrechtliche Konsequenzen bis hin zur Kündigung nach sich ziehen.
Mitarbeitende haften für Schäden, die aus einer missbräuchlichen oder fahrlässigen Nutzung von KI entstehen, im Rahmen der gesetzlichen Bestimmungen.
8. Überwachung und sicherer Einsatz
Die Leiter der jeweiligen Fachbereiche, in denen KI-Systeme eingesetzt werden, sind unter Berücksichtigung ihrer erforderlichen KI-Kompetenz dazu verpflichtet, den Einsatz der KI-Systeme regelmäßig zu überwachen und sicherzustellen, dass diese ausschließlich im Rahmen der genehmigten Zwecke und unter Beachtung dieser Richtlinie betrieben werden.
Die Überwachung und Bewertung erfolgt in enger Abstimmung mit der zuständigen IT-Leitung sowie, falls erforderlich, unter Einbindung des Datenschutzbeauftragten.
9. Regelmäßige Überprüfung der Richtlinie
Diese Richtlinie wird regelmäßig überprüft und an neue technologische, rechtliche oder organisatorische Anforderungen angepasst.
10. Inkrafttreten
Diese Richtlinie tritt am 15.09.2026 in Kraft.
Für Rückfragen oder die Genehmigung neuer Anwendungen wenden Sie sich bitte an die IT-Leitung.
Anlage 1 - Verzeichnis der freigegebenen KI-Anwendungen
- Stand der Anlage: 01.09.2026
- Zuletzt freigegeben am: 01.09.2026
- Zuletzt freigegeben durch: Geschäftsführung, IT-Leitung
Diese Anlage enthält die von der Unternehmensleitung geprüften und freigegebenen KI-Anwendungen. Die Freigabe gilt ausschließlich für die jeweils angegebene Produkt- und Tarifversion sowie die beschriebenen Nutzungszwecke. Änderungen sind vor Beginn der Nutzung in dieser Anlage zu dokumentieren.
1. Claude
- Bezeichnung der Anwendung: Claude
- Bezogener Plan: Enterprise-Plan, Team-Plan (nur Power User)
- Anbieter: Anthropic Inc.
- Adresse des Anbieters: 548 Market Street, PMB 90375, San Francisco, CA 94104
- Land: USA
- Ort der Verarbeitung: USA
- Ggf. anwendbare Garantie zur Übermittlung personenbezogener Daten in ein Drittland: Standardvertragsklauseln inkl. Transfer Impact Assessment
- Risikokategorie: Begrenztes Risiko
- Rolle der Effizienzpioniere GmbH unter der KI-Verordnung: Betreiber
Freigegebene Nutzungszwecke:
- Erstellung, Überarbeitung und Zusammenfassung von Berichten, Texten, Dokumenten, Präsentationen und Tabellen
- Analyse, Strukturierung und Auswertung von Projekt- und Gebäudeunterlagen, insbesondere Gebäudeplänen, Energieabrechnungen, Angeboten und Fördervorgängen
- Unterstützung bei geschäftlicher Kommunikation und Vertrieb, insbesondere bei E-Mail-Entwürfen, Informationsaufbereitung und vertriebsbezogenen Auswertungen
- Meeting-Transkription und -Zusammenfassung unter den hierfür festgelegten Voraussetzungen
- Unterstützung bei Recherche, Ideenfindung, Marketing- und Fachcontent
- Unterstützung bei Software- und Anwendungsentwicklung in durch die IT freigegebenen Entwicklungsumgebungen
- Nutzung freigegebener Agents, Skills, Plugins und Datenzugriffe im Rahmen der hierfür jeweils erteilten Freigabe
Erzielte Ergebnisse:
- Text-, Berichts- und Formulierungsentwürfe
- Zusammenfassungen und strukturierte Aufbereitungen von Informationen und Unterlagen
- Auswertungen, Gegenüberstellungen und Analysen
- Präsentationen, Tabellen, Checklisten und Konzeptentwürfe
- E-Mail- und Kommunikationsentwürfe
- Besprechungszusammenfassungen, Transkripte und Aufgabenlisten
- Recherche-, Ideen- und Contententwürfe
- Code- und Entwicklungsvorschläge
Kategorien personenbezogener Daten: gemäß Anlage 3
Gegebenenfalls erforderliche Überprüfungsmaßnahmen: Es gelten die allgemeine Ergebniskontrolle durch die Anwendenden sowie die für den jeweiligen Anwendungsfall und die jeweilige Datenkategorie festgelegten Überprüfungsmaßnahmen und Auflagen
Besondere Einschränkungen und Bedingungen:
- Nutzung ausschließlich über die betrieblich freigegebene Claude-Zugänge
- Nicht freigegebene Datenkategorien und nicht erforderliche Informationen sind vor der Verarbeitung zu entfernen.
- Meeting-Aufzeichnungen und Transkriptionen sind nur unter den hierfür im Datenkatalog festgelegten Voraussetzungen zur Einwilligung zulässig.
- Eine automatisierte Bewertung von Mitarbeitenden, Bewerbern oder sonstigen natürlichen Personen ist nicht von dieser Freigabe umfasst.
- Agents dürfen keine E-Mails selbstständig versenden; KI-Anwendungen erhalten keine Schreib-, Änderungs- oder Löschrechte auf SharePoint.
- Connectoren, Plugins, Agents und sonstige Systemverbindungen dürfen nur im Rahmen der hierfür erteilten Freigabe genutzt werden.
- Freigegebene Claude-Plugins: Word, Excel, PowerPoint. Es gilt der Datenkatalog (Anlage 3): keine Anwendungen in Dateien mit K3- und M2-Daten; K2-Daten wenn möglich vorher aufräumen.
2. Notion AI
- Bezeichnung der Anwendung: Notion AI (in Notion eingebettete KI-Funktionen, u. a. Schreiben/Überarbeiten/Zusammenfassen, Q&A-Suche im Workspace)
- Bezogener Plan: Business Plan
- Anbieter: Notion Labs, Inc.
- Adresse des Anbieters: 685 Market Street, Suite 300, San Francisco, CA 94105
- Land: USA
- Ort der Verarbeitung: USA
- Ggf. anwendbare Garantie zur Übermittlung personenbezogener Daten in ein Drittland: EU-U.S. Data Privacy Framework-Zertifizierung, Standardvertragsklauseln;
- Risikokategorie: Begrenztes Risiko
- Rolle der Effizienzpioniere GmbH unter der KI-Verordnung: Betreiber
Freigegebene Nutzungszwecke:
- Textentwurf, Überarbeitung und Zusammenfassung von Inhalten in freigegebenen Teamspaces
- Fragen an den Workspace (Q&A) ausschließlich in freigegebenen Teamspaces
Erzielte Ergebnisse:
- Text- und Formulierungsentwürfe
- Überarbeitete und zusammengefasste Inhalte
- Antworten und strukturierte Informationsaufbereitungen auf Grundlage freigegebener Workspace-Inhalte
Kategorien personenbezogener Daten:
- Es gilt der Datenkatalog (Anlage 3).
- Besonderheit: Q&A-Funktionen können alle für die Nutzenden sichtbaren Inhalte des Workspace einbeziehen.
- Maßgeblich für die Zulässigkeit der Verarbeitung ist daher der jeweilige Datenbestand des betreffenden Teamspace.
Gegebenenfalls erforderliche Überprüfungsmaßnahmen: Es gelten die allgemeine Ergebniskontrolle durch die Anwendenden sowie die für den jeweiligen Anwendungsfall und die jeweilige Datenkategorie festgelegten Überprüfungsmaßnahmen und Auflagen.
Besondere organisatorische Einschränkungen:
- In Teamspaces und Bereichen mit Personal- oder HR-Inhalten (M2-Daten), insbesondere dokumentierten Mitarbeitergesprächen, ist die Nutzung der KI-Funktionen in Notion untersagt
- Verbindungen von Notion zu weiteren Systemen, insbesondere über Connectoren, dürfen nur nach Freigabe gemäß Anlage 2 genutzt werden.
- Die Freigabe von Claude Enterprise gemäß Ziffer 1 dieser Anlage erstreckt sich nicht auf Notion AI.
Anlage 2 - Verzeichnis der freigegebenen Connectoren und Plugins
- Stand der Anlage: 01.09.2026
- Zuletzt freigegeben am: 01.09.2026
- Zuletzt freigegeben durch: Geschäftsführung, IT-Leitung
Diese Anlage enthält die gemäß Ziffer 4.1 geprüften und freigegebenen Connectoren, Plugins, Agents und sonstigen technischen Verbindungen von KI-Anwendungen zu Unternehmenssystemen oder externen Diensten. Die Freigabe gilt ausschließlich für den jeweils dokumentierten Zweck, Datenbereich und Berechtigungsumfang. Änderungen sind vor Beginn der geänderten Nutzung in dieser Anlage zu dokumentieren.
Die standardmäßig in Claude Enterprise bereitgestellten Funktionen zur Erstellung von Word-, Excel- und PowerPoint-Dateien bedürfen keiner gesonderten Freigabe als Plugin. Die sonstigen Vorgaben dieser Richtlinie und des Datenkatalogs gelten uneingeschränkt.
Verzeichnis
| KI-Anwendung | Connector / Plugin / Verbindung | Zweck | Zugriff / Datenbereich | Anwender | Besondere Bedingungen | Freigabestatus / Datum |
|---|---|---|---|---|---|---|
| Claude Enterprise | Figma-Connector | Erstellung von Marketing-Content | Account des Anwenders in Figma | Marketingleitung | keine K3 oder M2-Daten enthalten | freigegeben am 01.09.2026 |
| Claude Enterprise | Notion Connector | Erstellung von Marketing-Content | Account des Anwenders in Notion | Marketingleitung, keine anderen Teams | keine K3 oder M2-Daten enthalten, kein Zugriff auf M2-Daten, die von anderen in Notion gepflegt werden | freigegeben am 01.09.2026 |
| Claude Enterprise | GitHub Connector | Entwicklung von Cloude-Anwendungen | GitHub Arbeitsbereich Effizienzpioniere inkl. Repositories | Ausgewählte Nutzer | keine K3 oder M2-Daten enthalten | freigegeben am 01.09.2026 |
Anlage 3 – Datenkatalog
- Stand der Anlage: 01.09.2026
- Zuletzt freigegeben am: 01.09.2026
- Zuletzt freigegeben durch: Geschäftsführung, IT-Leitung
| Bereich | Datenart | Beispiele / Abgrenzung | Einstufung | Regel für die KI-Nutzung | Bemerkung |
|---|---|---|---|---|---|
| Gebäudedaten (G1) | Gebäudekennwerte | Fläche, Baujahr, Zustand, U-Werte, DIN-Berechnungen | Frei | erlaubt in freigegebenen KI-Anwendungen | Sachdaten — kein Personenbezug |
| Gebäudedaten (G1) | Baupläne & Grundrisse | ohne Eigentümer-/Bewohnerangaben | Frei | erlaubt in freigegebenen KI-Anwendungen | Achtung: Pläne enthalten oft Eigentümernamen und Wohnadressen → vorher entfernen, sonst gilt K2 |
| Gebäudedaten (G1) | Energieabrechnungen auf Gebäudeebene | Gesamtverbrauch, ohne Zuordnung zu Haushalten | Frei | erlaubt in freigegebenen KI-Anwendungen | sobald einzelne Haushalte erkennbar → K2 (private Energiedaten) |
| Gebäudedaten (G1) | Anlagentechnik | Heizung, PV, Lüftung, hydraulischer Abgleich | Frei | erlaubt in freigegebenen KI-Anwendungen | |
| Gebäudedaten (G1) | Objektadresse | reine Gebäudeadresse ohne Personenzuordnung | Frei | erlaubt in freigegebenen KI-Anwendungen | Grenzfall: kombiniert mit Eigentümer-/Bewohnernamen → K2 |
| Gebäudedaten (G1) | Förder- und Programmdaten | BEG, iSFP-Inhalte ohne Personendaten | Frei | erlaubt in freigegebenen KI-Anwendungen | |
| Person — geschäftlich | Name + berufliche Funktion | Ansprechpartner einer Firma/Kommune | K1 | erlaubt in freigegebenen KI-Anwendungen | berufliche Kontaktdaten |
| Person — geschäftlich | Berufliche E-Mail / Telefonnummer | vorname.name@firma.de, Durchwahl | K1 | erlaubt in freigegebenen KI-Anwendungen | |
| Person — geschäftlich | Firmenanschrift | Anschrift des Unternehmens/der Kommune | K1 | erlaubt in freigegebenen KI-Anwendungen | Anschrift natürlicher Personen (privat) → K2 |
| Person — geschäftlich | E-Mail-Signatur (geschäftlich) | Name, Funktion, Firmendaten | K1 | erlaubt in freigegebenen KI-Anwendungen | |
| Person — geschäftlich | Inhalt geschäftlicher E-Mails | Sachthemen, Projektabsprachen | K1 | erlaubt in freigegebenen KI-Anwendungen | enthält der Text private/sensible Angaben (z. B. Krankheit) → K2/K3: nicht einfügen, manuell prüfen |
| Person — geschäftlich | Vertragskonditionen & Angebotspreise | Preise, Rabatte, Zahlungsziele | K2 | nur wenn für den Zweck nötig | zugleich Geschäftsgeheimnis (eigenes und fremdes) |
| Person — geschäftlich | Bankverbindung / USt-ID einer Firma | IBAN, Steuernummern juristischer Personen | K2 | nur wenn für den Zweck nötig; ggf. rausnehmen/schwärzen | bei juristischen Personen nicht personenbezogen, aber vertraulich; bei Einzelunternehmern personenbezogen |
| Person — Kunden / geschäftlich oder privat | Meeting-Recording & KI-Transkription | Audio-/Videoaufzeichnung von Kundenmeetings; automatisierte Transkription, Zusammenfassung und Erstellung von Meeting-Notizen durch freigegebene KI-Systeme | K2 | nur nach vorheriger transparenter Information und Einwilligung der betroffenen Gesprächsteilnehmenden; ausschließlich in freigegebenen KI-Anwendungen | Vor Beginn der Aufzeichnung auf Recording, KI-Transkription, Zweck und Verarbeitung hinweisen. Nicht erforderliche personenbezogene bzw. sensible Inhalte aus Transkripten entfernen. Art.-9-Daten nicht aufgrund dieser allgemeinen Einwilligung pauschal freigegeben. |
| Person — geschäftlich | Foto im beruflichen Kontext | Website-Porträt, Teamfoto | K2 | nur wenn für den Zweck nötig; Unterlagen vorher aufräumen, im Zweifel raus/schwärzen | Nutzung/Veröffentlichung nur mit Einwilligung; Redaktionsregel beachten |
| Person — privat | Private Wohnadresse | auch aus Plänen, Grundbuch, Verträgen | K2 | nur wenn für den Zweck nötig; Unterlagen vorher aufräumen, im Zweifel raus/schwärzen | |
| Person — privat | Gebäudeeigentum / Eigentümerstellung | wem ein Gebäude gehört, Eigentümerlisten (WEG) | K2 | nur wenn für den Zweck nötig; Unterlagen vorher aufräumen, im Zweifel raus/schwärzen | |
| Person — privat | Private Telefonnummer / E-Mail | K2 | nur wenn für den Zweck nötig; im Zweifel raus/schwärzen | ||
| Person — privat | Private IBAN / Bankverbindung | z. B. in Förderanträgen | K2 | nur wenn für den Zweck nötig; im Zweifel raus/schwärzen | kritisch — Datenminimierung: im Zweifel raus/schwärzen; berechtigtes Interesse trägt hier nicht automatisch |
| Person — privat | Private Steuernummer / Steuer-ID | z. B. in Förderanträgen | K2 | nur wenn für den Zweck nötig; Unterlagen vorher aufräumen, im Zweifel raus/schwärzen | kritisch — wie private IBAN |
| Person — privat | Private Energie-/Verbrauchsdaten | Verbrauch eines identifizierbaren Haushalts | K2 | nur wenn für den Zweck nötig; Unterlagen vorher aufräumen, im Zweifel raus/schwärzen | Rechtsgrund: berechtigtes Interesse — dokumentieren |
| Person — privat | Geburtsdatum | K2 | nur wenn für den Zweck nötig; Unterlagen vorher aufräumen, im Zweifel raus/schwärzen | ||
| Person — privat | Foto/Bild einer Person (privat) | Bewohnerfotos, Fotos mit Personen auf Baustellen | K2 | nur wenn für den Zweck nötig; Unterlagen vorher aufräumen, im Zweifel raus/schwärzen | Veröffentlichung nur mit Einwilligung; biometrische Auswertung → K3 |
| Person — privat | Unterschriften | auf gescannten Dokumenten | K2 | nur wenn für den Zweck nötig; Unterlagen vorher aufräumen, im Zweifel raus/schwärzen | vor KI-Nutzung schwärzen, wenn nicht nötig |
| Person — besonders geschützt | Mieter-/Bewohnerdaten | Namen, Wohneinheiten, Mietverhältnisse | K3 | gesperrt — Nutzung nur komplett anonymisiert (kein Rückschluss möglich) | realistischster Risikofall bei Wohnungswirtschafts-Kunden |
| Person — besonders geschützt | Gesundheitsdaten | auch beiläufig, z. B. Krankheit in einer Kundenmail | K3 | gesperrt — Nutzung nur komplett anonymisiert (kein Rückschluss möglich) | besondere Kategorie (Art. 9 DSGVO) |
| Person — besonders geschützt | Religion, Gewerkschaft, Sozial-/Härtefalldaten | z. B. Härtefallanträge | K3 | gesperrt — Nutzung nur komplett anonymisiert (kein Rückschluss möglich) | besondere Kategorie (Art. 9 DSGVO) |
| Mitarbeitende (M1) | Name und berufliche E-Mail-Adresse | Name, Firmen-E-Mail; technische Benutzer-ID nur soweit für Account-/Rechteverwaltung erforderlich | M1 | erlaubt in freigegebenen KI-Anwendungen | M1-Basisdaten; nur erforderliche Identifikations- und Accountdaten. Weitere Beschäftigtendaten fallen nicht automatisch unter M1. |
| Mitarbeitende (M1) | Nutzungs- und Protokolldaten der KI-Systeme | Nutzer-/Account-Zuordnung, Login- und Nutzungszeitpunkte, genutztes KI-System bzw. Funktion, technische Audit-/Security-Logs, Nutzungsumfang bzw. Mengen-/Abrechnungsdaten | M1 | erlaubt in freigegebenen KI-Anwendungen | M1 umfasst nur erforderliche Nutzungs-Metadaten. Keine Prompt-/Chat-Inhalte, Leistungsprofile, Produktivitätsbewertung oder anlasslose Verhaltenskontrolle. Nutzung zur Mitarbeiterbewertung → M2. |
| Mitarbeitende (M2) | Meeting-Recording & KI-Transkription | Audio-/Videoaufzeichnung interner Meetings, Mitarbeitergespräche oder sonstiger Besprechungen; KI-Transkription und Meeting-Zusammenfassungen | M2 | nur als ausdrücklich definierte M2-Ausnahme mit Einwilligung oder – soweit im konkreten Fall tragfähig – Verarbeitung aufgrund dokumentierter Erforderlichkeitsabwägung; ausschließlich in freigegebenen KI-Anwendungen. | M2-Sonderfall: keine allgemeine Freigabe sonstiger Mitarbeiterdaten. Bei Tonaufzeichnung müssen die Teilnehmenden vorab informiert sein und die Aufnahme muss befugt sein. |
| Mitarbeitende (M2) | Mitarbeiter-Gesprächsdaten / Personalvorgänge | Vorbereitung MA-Gespräche, Konflikte, Leistung, Abmahnungen, Zielvereinbarungen, Feedback | M2 | gesperrt — keine Eingabe in KI-Anwendungen Ausnahme: Nutzung als komplett anonyme Fallbeschreibung — ohne Namen, Rollen-, Team- oder Fallbezug, sodass keine Person identifizierbar ist (entsprechend der bei anderen M2-Datenarten zugelassenen vollständigen Anonymisierung). | M2 = verboten. Auch mittelbare Identifizierbarkeit über Rolle, Team oder konkrete Umstände vermeiden. |
| Mitarbeitende (M2) | Bewerbungsunterlagen | Lebensläufe, Zeugnisse, Anschreiben, Interviewnotizen, Bewerberbewertungen | M2 | gesperrt — keine Eingabe in KI-Anwendungen; Nutzung nur nach vollständiger Anonymisierung | M2 = verboten. Zusätzlich kann eine KI-gestützte Auswahl oder Bewertung von Bewerbern unter die Hochrisiko-Regeln des AI Act fallen. |
| Mitarbeitende (M2) | Personio-/HR-Daten | alle Exporte, Auszüge und Datensätze aus Personio oder sonstigen HR-Systemen | M2 | gesperrt — keine Übermittlung oder Eingabe in KI-Anwendungen; Nutzung nur nach vollständiger Anonymisierung | M2 = verboten; insbesondere keine ungeprüften HR-Exporte oder Connector-Zugriffe |
| Mitarbeitende (M2) | Private E-Mails und private Kommunikation | private Inhalte im dienstlichen Postfach, persönliche Nachrichten, nicht dienstliche Kommunikation | M2 | gesperrt — keine Eingabe in KI-Anwendungen; Nutzung nur nach vollständiger Anonymisierung | M2 = verboten; insbesondere kein pauschaler Zugriff eines Mail-/Outlook-Connectors auf private Inhalte |