KI-Tools Datenschutz: was Agenturen jetzt riskieren

Freitagnachmittag, schnell noch die Produktliste eines Kunden und eine halbfertige Angebots-E-Mail in ChatGPT geworfen, damit der Text rund wird. Routine in fast jeder Agentur. Was dabei kaum jemand bedenkt: Dieses Gespräch bleibt womöglich nicht zwischen dir und der KI. Eine neue Untersuchung zeigt, dass bei vielen dialogorientierten KI-Diensten der Titel des Chats, sein Link und in Einzelfällen sogar Inhalte an Werbe- und Tracking-Dienste abfließen, die in den Diensten eingebettet sind.

Dieser Beitrag fasst die Befunde sachlich zusammen, ordnet ein, warum das für Agenturen ein echtes Datenschutzproblem ist, und zeigt, was du konkret ändern kannst – ohne KI gleich ganz zu verbannen. Vorab: Das ist eine fachliche Einordnung, keine Rechtsberatung.

KI-Tools und Datenschutz: was die IMDEA-Studie gefunden hat

Hinter der Untersuchung steht das IMDEA Networks Institute, eine gemeinnützige Forschungseinrichtung für Kommunikationsnetze mit Sitz in Madrid. In der Studie mit dem Titel „Prompt like a Butterfly, Sting like a Tracker" analysierten die Forschenden neun verbreitete KI-Dienste – jeweils die Web-Version und, soweit vorhanden, die Android-App: ChatGPT, Claude, Gemini, Grok, DeepSeek, Perplexity, Le Chat, Meta AI und Microsoft Copilot. Darüber berichteten Anfang Oktober 2026 unter anderem basicthinking und TECHBOOK.

Das zentrale Ergebnis: Alle neun Dienste banden mindestens einen externen Werbe- oder Tracking-Dienst ein. Insgesamt identifizierten die Forschenden 44 solcher Drittanbieter. Eine KI-Konversation läuft also selten im luftleeren Raum, sondern in einer Oberfläche, die – wie viele andere Websites und Apps auch – Tracker mitlädt.

Was genau abfließt

Der Unterschied zu einer gewöhnlichen Website liegt in der Sensibilität dessen, was hier potenziell mitgeschnitten wird. Es geht nicht um besuchte Produktseiten, sondern um Gesprächsinhalte.

Gesprächs-URLs, Titel und sogar Inhalte

Laut Studie gaben sechs der neun Web-Dienste – also rund zwei Drittel – sowie drei von acht Apps Gesprächsdaten an Dritte weiter. Übertragen wurden je nach Anbieter Gesprächs-URLs, Titel, Eingaben oder Screenshots, teils zusammen mit dauerhaften Nutzerkennungen und automatisch erzeugten Gesprächszusammenfassungen. Besonders heikel: Bei Grok und Perplexity gingen laut den Berichten Gesprächs-URLs mit schwacher Zugangskontrolle an Tracker wie den Meta Pixel. Über solche Permalinks ließe sich ein Chatverlauf im Zweifel direkt aufrufen – auch von Dritten. Bei Grok fanden sich zudem wörtliche Nachrichteninhalte in den Open-Graph-Metadaten der Seite, die von TikTok erfasst wurden. Darüber hinaus übermittelten mehrere Dienste automatisch erzeugte Gesprächstitel – nach den Berichten rund ein Drittel der Anbieter – sowie Standortangaben, E-Mail-Adressen und dauerhafte Nutzerkennungen. Schon der Titel allein verrät oft das Thema: Steht dort der Name eines Kunden oder eines noch nicht gelaunchten Projekts, reicht das für unangenehme Rückschlüsse.

Dass ausgerechnet der Meta Pixel hier auftaucht, ist kein Zufall: Das Tracking-Tool beschäftigt die Datenschutzaufsicht seit Jahren, wie unser Beitrag zu den Meta-Pixel-Urteilen zeigt. Dass es nun auch in KI-Oberflächen Gesprächsdaten abgreift, hebt das Problem auf eine neue Stufe.

Wenn Ablehnen nicht reicht

Jetzt könnte man einwenden: Dann lehne ich die Tracking-Cookies eben ab. Die Studie dämpft diese Hoffnung. Die Ablehnung schützte nach den Berichten nur eingeschränkt, nicht immer vollständig – manche Daten, darunter Cookies, gehashte E-Mail-Adressen und weitere Kennungen, wurden weiterhin übertragen. basicthinking zitiert aus der Studie, dass ein großer Teil der Drittanbieter-Tracker durch eine Ablehnung nicht zusätzlich verhindert werde; die den Nutzern zur Verfügung stehenden Einstellungen hätten „nur begrenzte Auswirkungen auf die grundlegenden Datenflüsse". Erschwerend kommt hinzu, dass im Web laut Studie nur die kostenpflichtige ChatGPT-Stufe dauerhafte Einwilligungseinstellungen unterstützt – während der Großteil der Nutzer die kostenlose Variante verwendet.

Wichtig zur Einordnung: Nicht jeder Anbieter gibt komplette Chats weiter, und ein eingebundener Tracker liest nicht automatisch jeden Inhalt mit. Die Befunde zeichnen aber ein klares Bild davon, wie durchlässig diese Oberflächen sein können.

Welche Agentur-Daten besonders heikel sind

Übertrage das auf deinen Alltag. In Prompts landen bei Agenturen regelmäßig Inhalte, die dort nichts verloren haben: Klarnamen und Kontaktdaten aus Kundenlisten, Auszüge aus Verträgen und Geheimhaltungsvereinbarungen, Zugangsdaten, die versehentlich im kopierten Code-Schnipsel stecken, oder ganze Kampagnen, die noch gar nicht veröffentlicht sind. Jedes dieser Beispiele ist entweder personenbezogen, vertraulich oder beides. Und jedes wäre in einer Gesprächs-URL, einem automatisch erzeugten Titel oder einem mitgelesenen Inhalt denkbar schlecht aufgehoben – erst recht, wenn der Link, wie im Fall von Grok und Perplexity beschrieben, nur schwach gegen fremden Zugriff geschützt ist.

Warum das für Agenturen ein DSGVO-Problem ist

In der Agentur ist der Prompt kein Smalltalk, sondern oft eine Datenverarbeitung. Wer einen Kundennamen, eine Kontaktliste, einen internen Angebotsentwurf oder Auszüge aus einem Pflichtenheft einfügt, verarbeitet damit personenbezogene oder vertrauliche Daten – und zwar in einem Dienst, der laut dieser Studie Gesprächsmetadaten und mitunter Inhalte an Dritte weitergeben kann.

Das verschiebt die bekannte Debatte. Bisher drehte sie sich vor allem um den Serverstandort und die US-Cloud oder um Mitarbeitende, die heimlich KI-Tools nutzen. Die IMDEA-Befunde zeigen ein zusätzliches Problem: Selbst der bewusste, erlaubte Einsatz eines bekannten Dienstes kann Daten an Werbenetzwerke streuen, weil Tracker in der Oberfläche stecken. Das berührt nicht nur die DSGVO, sondern auch die ePrivacy-Regeln für Tracking – zwei Maßstäbe, an denen die Forschenden ihre Ergebnisse ausdrücklich gemessen haben. Dass sie betroffene Anbieter und europäische Datenschutzbehörden informiert haben, deutet an, dass das Thema die Aufsicht noch beschäftigen dürfte.

Was du jetzt tun kannst

Der Reflex, KI komplett zu verbieten, hilft niemandem – und treibt die Nutzung nur in den Untergrund. Sinnvoller ist ein nüchterner Umgang mit dem Risiko.

Behandle jeden Prompt als potenzielle Offenlegung. Personenbezogene Daten von Kunden, Kontaktlisten oder vertrauliche Unterlagen gehören nicht in die kostenlose Consumer-Variante eines KI-Dienstes. Wo du KI im Kundenkontext einsetzt, nutze die Business- oder Enterprise-Stufen mit echten Datenschutz-Einstellungen, schließe einen Auftragsverarbeitungsvertrag ab und dokumentiere das – warum das kein Papierkram ist, steht in unserem Beitrag zum AVV für KI-Tools. Prüfe außerdem europäische, datenschutzfreundliche Alternativen, bei denen weniger Daten an Werbenetzwerke abfließen. Und halte eine kurze interne Regel fest, welche Daten in welches Tool dürfen – das deckt zugleich den Fall ab, dass im Kundengespräch ein KI-Notetaker mitläuft.

Ein schneller Hebel kostet dabei nichts: Schalte in den Kontoeinstellungen der genutzten Dienste den Chat-Verlauf und die Nutzung deiner Eingaben fürs Modelltraining ab, wo das möglich ist. Das verhindert zwar nicht jeden eingebetteten Tracker, reduziert aber, was dauerhaft gespeichert und weiterverwertet wird. Lege zusätzlich in zwei, drei Sätzen fest, was als vertraulich gilt und deshalb nie in ein KI-Tool kopiert wird – eine Regel, die ins Team-Onboarding passt und die jeder sofort versteht. Wichtiger als jedes einzelne Werkzeug ist die Gewohnheit, vor dem Einfügen kurz innezuhalten: Muss dieser konkrete Name, diese Liste, dieser Vertragsauszug wirklich in den Prompt – oder tut es auch eine anonymisierte Variante?

Für kundenseitige KI gilt dasselbe Prinzip auf der Produktseite: Ein Assistent, der in der EU gehostet ist und seine Antworten ausschließlich aus den hinterlegten, belegbaren Kundeninhalten zieht, statt Gesprächsdaten an eingebettete Tracker zu streuen, umgeht einen Großteil der hier beschriebenen Datenflüsse von vornherein. Genau dieser Gedanke steckt hinter Ragnova. Entscheidend ist weniger das einzelne Produkt als die Frage, die du dir bei jedem KI-Baustein stellen solltest: Wohin fließen die Daten, die hier hineingehen?

Fazit

Die IMDEA-Studie ist kein Grund für Panik, aber ein überfälliger Realitätscheck. KI-Oberflächen sind nicht per se vertraulich: Alle neun geprüften Dienste banden Tracker ein, viele gaben Gesprächs-URLs, Titel oder Inhalte an Dritte weiter, und das bloße Ablehnen von Cookies half nur begrenzt. Für Agenturen heißt das, den Prompt als das zu behandeln, was er ist – eine Datenverarbeitung. Wer sensible Daten aus den Consumer-Tools heraushält, auf Stufen mit echten Datenschutzgarantien setzt und bei kundenseitiger KI auf den Datenfluss achtet, nutzt die Werkzeuge weiter, ohne die Kontrolle über fremde Daten abzugeben.