KI und Rechnungsdaten: Datenminimierung für KMU

Eine KI für Rechnungsprüfung oder -erfassung sollte nur die Daten erhalten, die sie für den konkret festgelegten Arbeitsschritt benötigt. Für eine Dublettenprüfung reichen meist Lieferantenkennung, Rechnungsnummer, Datum und Betrag. Für einen Kontierungsvorschlag können Positionsbezeichnungen und Steuerdaten nötig sein. Private Telefonnummern, Unterschriften, vollständige Bankverbindungen oder Namen unbeteiligter Beschäftigter gehören dagegen nicht automatisch in jeden KI-Datenstrom.

Datenminimierung bedeutet deshalb nicht, Rechnungen pauschal zu anonymisieren oder die KI mit möglichst wenig Kontext unbrauchbar zu machen. KMU müssen Zweck, erforderliche Felder, Empfänger, Speicherdauer und Zugriffsrechte je Verarbeitungsschritt bestimmen. Die robuste Reihenfolge lautet: Aufgabe eingrenzen, Datenbedarf begründen, überflüssige Angaben vor der Übermittlung entfernen und erst dann einen geeigneten KI-Dienst einsetzen.

Warum Rechnungen mehr personenbezogene Daten enthalten als gedacht

Bei einer Kapitalgesellschaft wirken Rechnungen oft wie reine Unternehmensdokumente. In der Praxis können sie dennoch personenbezogene Daten enthalten: Namen einzelner Ansprechpersonen, Durchwahlen, E-Mail-Adressen, Unterschriften, Lieferadressen, Reisende, Patientinnen oder Mitarbeiter in Leistungsbeschreibungen. Bei Einzelunternehmen können Firmenname, Anschrift, UID, IBAN und Leistungsdetails unmittelbar einer natürlichen Person zugeordnet sein.

Wer ein vollständiges Dokument an einen KI-Anbieter übermittelt, verarbeitet daher nicht nur Rechnungsnummer und Nettobetrag. Auch Kopf- und Fußzeilen, Anlagen, handschriftliche Notizen, Metadaten oder eingebettete Bilder können mitfließen. Genau hier setzt Art. 5 DSGVO an: Personenbezogene Daten müssen für den Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sein. Hinzu kommen Zweckbindung, Richtigkeit, Speicherbegrenzung und Integrität sowie Vertraulichkeit.

Die österreichische Datenschutzbehörde stellt für private Verantwortliche klar, dass die DSGVO neben der KI-Verordnung weiter anwendbar bleibt, sobald personenbezogene Daten verarbeitet werden. Ein KI-System wird durch seine technische Bezeichnung also nicht zu einem datenschutzfreien Raum. Für Deutschland bietet der KI-Fragenkatalog der BfDI eine strukturierte Orientierung, um Datenumfang, Risiken und Abhilfemaßnahmen zu prüfen.

Welche Daten braucht welche KI-Aufgabe?

Der notwendige Umfang lässt sich nicht für „KI in der Buchhaltung“ insgesamt festlegen. Er hängt von der einzelnen Funktion ab. Eine Feldmatrix verhindert, dass aus Bequemlichkeit immer die vollständige Rechnung übertragen wird.

KI-Aufgabe	Typischer Mindestkontext	Oft entbehrlich
Dokumentart erkennen	Layoutmerkmale, Absender, zentrale Überschrift, wenige Textausschnitte	IBAN, Signatur, vollständige Positionsdetails
Rechnungsfelder extrahieren	Rechnungsnummer, Datum, Beträge, Steuerangaben, Lieferant und relevante Positionen	Werbetexte, private Kontaktdaten, interne Notizen
Dubletten erkennen	Lieferantenkennung, Rechnungsnummer, Rechnungsdatum, Währung und Gesamtbetrag	Komplette PDF, Leistungsbeschreibung, Bankverbindung
Kontierung vorschlagen	Lieferant, Positionsbezeichnungen, Betrag, Steuer, Kostenstelle oder Projektbezug	Unterschrift, private Adresse, Zahlungsdaten ohne Kontierungsnutzen
Anomalien markieren	Begründete Vergleichsmerkmale wie Betrag, Frequenz, Lieferant, Steuer und Zahlungsziel	Beliebige Zusatzfelder „auf Vorrat“
Freigabevermerk formulieren	Prüfergebnis, Abweichung, Belegreferenz und nächste Aktion	Originaldokument, wenn strukturierte Prüfdaten genügen

Die Tabelle ist eine Prozesshilfe, keine allgemeingültige Rechtsfreigabe. Je nach Branche, Rechnung und Zweck können andere Felder erforderlich sein. Entscheidend ist, dass das Unternehmen die Notwendigkeit jedes Datenblocks erklären kann.

Vier Ebenen der Datenminimierung

1. Dokument vorverarbeiten

Ein lokaler oder kontrollierter Parser kann Text und strukturierte Rechnungsfelder zuerst auslesen. Danach erhält das KI-Modell nur die für seine Aufgabe freigegebenen Ausschnitte. Für eine Dublettenprüfung ist beispielsweise kein Bild der gesamten Rechnung nötig, wenn Rechnungsnummer, Lieferant, Datum und Betrag bereits zuverlässig vorliegen.

Bei Bildmodellen kann ein Zuschnitt helfen: Statt der ganzen Seite wird nur der relevante Positions- oder Summenbereich verarbeitet. Das ist jedoch nur sinnvoll, wenn Pflichtkontext nicht verloren geht und die Vorverarbeitung selbst sicher betrieben wird.

2. Felder erlauben statt Einzelfälle verbieten

Eine Positivliste ist belastbarer als eine lange Verbotsliste. Für jeden KI-Schritt wird festgelegt, welche Felder übertragen werden dürfen. Neue Felder bleiben standardmäßig ausgeschlossen, bis Zweck, Rechtsgrundlage und Risiko geprüft sind. Dieses Vorgehen entspricht dem Gedanken von Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen aus Art. 25 DSGVO und den Leitlinien des EDSA.

3. Identifikatoren ersetzen oder entfernen

Wenn ein Modell für einen Kontierungsvorschlag keinen Klarnamen benötigt, kann eine interne Lieferanten-ID genügen. Namen von Beschäftigten in einer Leistungsbeschreibung können vor der Übermittlung geschwärzt oder durch Rollen ersetzt werden. Pseudonymisierung reduziert Risiken, ist aber keine Anonymisierung: Solange das Unternehmen oder ein anderer Beteiligter den Bezug wiederherstellen kann, bleiben die Daten personenbezogen.

4. Ausgabe und Protokolle begrenzen

Datenminimierung endet nicht beim Prompt. Auch Modellantworten, Fehlerprotokolle, Debug-Dateien, Vektorspeicher und Support-Tickets können Rechnungsdaten enthalten. KMU sollten festlegen, welche Eingaben und Ausgaben gespeichert werden, wer sie sehen darf und wann sie gelöscht werden. Eine vollständige Prompt-Historie „für alle Fälle“ widerspricht dem Minimierungsziel, wenn kürzere Prüfprotokolle ausreichen.

Schwärzen, pseudonymisieren oder strukturiert filtern?

Methode	Geeignet, wenn	Wichtige Grenze
Schwärzen	einzelne sichtbare Angaben im Dokument sicher entfallen können	muss technisch irreversibel sein; bloße schwarze Rechtecke über Text reichen nicht immer
Pseudonymisieren	Zuordnung intern erhalten bleiben muss, das Modell aber keinen Klarnamen braucht	Zuordnungsschlüssel getrennt schützen; DSGVO bleibt anwendbar
Strukturierte Feldfilterung	Rechnungsdaten bereits als definierte Felder vorliegen	Freitexte und Anlagen können weiterhin unerwartete Daten enthalten
Aggregation	Trends oder Kennzahlen statt einzelner Belege analysiert werden	kleine Gruppen können Rückschlüsse auf Personen zulassen
Lokale Verarbeitung	Extraktion oder Vorfilterung ohne externe Übermittlung möglich ist	lokaler Betrieb braucht ebenfalls Zugriffsschutz, Updates und Protokollregeln

Besondere Vorsicht gilt bei sensiblen Angaben nach Art. 9 DSGVO, etwa Gesundheitsdaten. Solche Informationen können in Bewirtungs-, Reise-, Therapie- oder Erstattungsbelegen auftauchen, obwohl die Buchhaltungsaufgabe sie nicht benötigt. Sie sollten nicht beiläufig in ein allgemeines KI-System gelangen.

Modell nutzen, Modell anpassen und Modell trainieren sind verschiedene Vorgänge

Im Einkauf werden diese Verarbeitungsschritte häufig vermischt. Bei einer reinen Nutzung sendet das Unternehmen Eingaben an ein vorhandenes Modell und erhält eine Ausgabe. Beim Feinabstimmen werden eigene Beispiele verwendet, um das Verhalten eines Modells dauerhaft anzupassen. Beim Training entsteht oder verändert sich das Modell auf Grundlage größerer Datensätze. Für jeden Vorgang können andere Zwecke, Datenempfänger, Speicherzeiten und Risiken gelten.

Auch wenn ein Anbieter Eingaben nicht zum allgemeinen Modelltraining verwendet, kann er sie kurzfristig verarbeiten, protokollieren oder zur Missbrauchserkennung prüfen. Umgekehrt bedeutet die Aussage „anonymes Modell“ nicht automatisch, dass alle vorgelagerten Datenverarbeitungen anonym waren. Die Opinion 28/2024 des EDSA betont, dass die Anonymität eines KI-Modells im Einzelfall beurteilt werden muss. Es sollte sehr unwahrscheinlich sein, Personen aus dem Modell direkt oder indirekt zu identifizieren oder personenbezogene Trainingsdaten durch Abfragen zu extrahieren.

Für KMU folgt daraus eine Beschaffungsregel: Nicht nur das fertige Modell bewerten, sondern den gesamten Lebenszyklus der eigenen Daten. Dazu gehören Upload, Vorverarbeitung, Modellaufruf, Ausgabe, Protokolle, Supportzugriff, Sicherungskopien und Löschung.

Österreich und Deutschland: gemeinsame DSGVO, unterschiedliche Aufsicht

Die Grundsätze der DSGVO gelten in Österreich und Deutschland unmittelbar. Datenminimierung, Zweckbindung, Rechtsgrundlage, Auftragsverarbeitung und Sicherheit unterscheiden sich daher nicht allein durch den Unternehmenssitz. Unterschiede entstehen vor allem durch Zuständigkeiten, nationale Ergänzungen und die konkrete Branche.

In Österreich ist die Datenschutzbehörde die zentrale staatliche Aufsichtsbehörde. Ihre Information für private Verantwortliche stellt ausdrücklich klar, dass die KI-Verordnung datenschutzrechtliche Pflichten nicht verdrängt. In Deutschland sind für private Unternehmen in der Regel die Datenschutzaufsichtsbehörden der Länder zuständig; die BfDI beaufsichtigt vor allem Bundesstellen und bestimmte Telekommunikations- und Postbereiche. Ihr KI-Fragenkatalog ist trotzdem eine nützliche strukturierte Prüfhilfe, ersetzt aber nicht die Einordnung durch die tatsächlich zuständige Behörde oder Beratung.

Unternehmen mit Niederlassungen, Auftragsverarbeitern oder betroffenen Personen in mehreren Staaten sollten Zuständigkeit und grenzüberschreitende Verarbeitung früh klären. Eine technische Feldliste bleibt dennoch ein gemeinsamer praktischer Ausgangspunkt: Sie dokumentiert unabhängig vom Land, welche Rechnungsdaten für welchen KI-Zweck freigegeben wurden.

Anbieterprüfung: „Kein Training“ ist nur ein Teil

Ein Vertragshinweis, dass Kundendaten nicht zum Modelltraining verwendet werden, ist wichtig, beantwortet aber nicht alle Fragen. KMU sollten zusätzlich prüfen:

Welche Gesellschaft verarbeitet die Eingaben und in welcher Rolle?
Gibt es einen Auftragsverarbeitungsvertrag, wenn der Anbieter als Auftragsverarbeiter tätig wird?
Wo werden Eingaben, Ausgaben, Backups und Supportdaten gespeichert?
Welche Unterauftragnehmer und Drittlandübermittlungen sind beteiligt?
Wie lange bleiben Daten in Betriebs-, Sicherheits- und Fehlerprotokollen?
Können Inhalte durch Mitarbeitende des Anbieters eingesehen werden?
Werden Kundendaten für Training, Feinabstimmung, Qualitätssicherung oder Missbrauchserkennung genutzt?
Welche Rollen, Mandantentrennung, Verschlüsselung und Löschmöglichkeiten sind verfügbar?

Das BSI weist bei generativen KI-Modellen unter anderem auf eine mögliche Ausleitung oder Weiterverwendung von Ein- und Ausgabedaten hin. Mitarbeiterschulung und technische Begrenzungen gehören daher zusammen. Eine interne Richtlinie ohne Zugriffskontrolle ist ebenso schwach wie ein Filter ohne klare Zuständigkeit.

Praxisbeispiel 1: Dublettenprüfung im Handwerksbetrieb

Ein Installationsbetrieb erhält Rechnungen von Großhandel, Subunternehmen und freien Monteuren. Die erste Idee lautet, alle PDFs an ein Sprachmodell zu senden und nach Doppelzahlungen zu fragen. Dafür würde das Modell jedoch auch Lieferadressen, Namen von Baustellenkontakten, Bankdaten und detaillierte Leistungsbeschreibungen erhalten.

Der minimierte Ablauf trennt die Schritte. Ein Parser liest Lieferantenkennung, Rechnungsnummer, Datum, Währung und Gesamtbetrag aus. Die Dublettenlogik vergleicht genau diese Felder mit vorhandenen Belegen. Nur unklare Treffer erhalten eine zusätzliche KI-Prüfung mit einem begrenzten Textausschnitt. Die Originalrechnung bleibt im geschützten Dokumentenprozess und wird erst von einer berechtigten Person geöffnet, wenn der Treffer manuell beurteilt werden muss.

So sinkt nicht nur das Datenschutzrisiko. Das Ergebnis wird auch leichter prüfbar, weil die Entscheidung auf wenigen dokumentierten Merkmalen beruht. Für fachliche Prüfschwellen ergänzt der Beitrag Kontrollmatrix für KI-Rechnungsdaten diesen Ablauf.

Praxisbeispiel 2: Kontierung in einer Agentur

Eine Agentur möchte Eingangsrechnungen Projekten und Sachkonten zuordnen. Für den Vorschlag braucht die KI Lieferant, Positionsbeschreibung, Betrag, Steuerinformation und eine Liste zulässiger Projekte. Namen reisender Beschäftigter, private Mobilnummern oder die IBAN des Lieferanten sind für diese Aufgabe nicht erforderlich.

Die Agentur ersetzt den Lieferantennamen durch eine interne ID, übermittelt nur freigegebene Positionstexte und beschränkt die Projektauswahl auf die aktive Mandantin. Der Vorschlag kommt als DRAFT zurück und enthält Belegreferenz, vorgeschlagenes Konto und Begründung. Eine Person prüft den Vorschlag vor der Buchung. Dieses Rollenprinzip passt zum Leitfaden Rechte von KI-Assistenten begrenzen.

Ein Umsetzungsplan in sieben Schritten

Zweck definieren: Eine einzelne, überprüfbare Aufgabe benennen, etwa Dubletten markieren statt „Buchhaltung automatisieren“.
Dateninventar erstellen: Dokumentfelder, Freitexte, Anlagen, Metadaten, Ein- und Ausgaben sowie Protokolle erfassen.
Notwendigkeit bewerten: Für jedes Feld dokumentieren, warum es für den Zweck erforderlich ist.
Technik gestalten: Positivlisten, Redaktion, Pseudonymisierung, Mandantentrennung und kurze Aufbewahrung umsetzen.
Anbieter prüfen: Vertrag, Unterauftragnehmer, Speicherorte, Training, Protokolle, Löschung und Sicherheitsmaßnahmen klären.
Kontrolle festlegen: Berechtigungen, Stichproben, Fehlerbehandlung und menschliche Freigabe definieren.
Regelmäßig nachprüfen: Neue Modellversionen, Felder, Zwecke und Anbieteränderungen erneut bewerten.

Wenn die Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen verursacht, ist nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung zu prüfen. Nicht jeder KI-Einsatz löst sie automatisch aus; eine dokumentierte Vorprüfung sollte die Entscheidung tragen. Bei Unsicherheit sind Datenschutzbeauftragte und Rechtsberatung einzubeziehen.

Checkliste für den Produktivstart

Ist der KI-Zweck eng und verständlich beschrieben?
Gibt es je Funktion eine Positivliste zulässiger Rechnungsfelder?
Werden Freitexte und Anlagen gesondert behandelt?
Sind Pseudonyme und Zuordnungsschlüssel getrennt geschützt?
Ist geklärt, ob und wie der Anbieter Eingaben weiterverwendet?
Sind Speicher- und Löschfristen für Prompts, Ausgaben und Logs festgelegt?
Verhindern Rollen und Mandantentrennung unberechtigte Zugriffe?
Bleibt eine menschliche Prüfung bei finanziell relevanten Entscheidungen erhalten?
Werden Fehler, Datenabfluss und Anbieteränderungen als Vorfälle behandelt?
Ist die Entscheidung zur Datenschutz-Folgenabschätzung dokumentiert?

Die Claribill-Sicherheitsseite beschreibt öffentlich die Schutzmaßnahmen der Plattform. Für Rechnungen gilt unabhängig vom eingesetzten System: Datenminimierung muss im konkreten KI-Datenfluss umgesetzt werden. Die Rechnungsfunktionen von Claribill belegen den Produktbezug zur strukturierten Rechnungsarbeit; eine automatische KI-Erfassung wird hier nicht behauptet.

Häufige Fragen

Ist eine geschwärzte Rechnung automatisch anonym?

Nein. Andere Angaben, Metadaten oder vorhandenes Zusatzwissen können eine Person weiterhin identifizierbar machen. Anonymität muss im jeweiligen Kontext belastbar beurteilt werden. Das EDSA betont bei KI-Modellen eine Einzelfallprüfung.

Darf ein KI-Anbieter Rechnungsdaten speichern, wenn er sie nicht trainiert?

Ob und wie gespeichert werden darf, hängt unter anderem von Zweck, Rechtsgrundlage, Rolle des Anbieters, Vertrag und erforderlicher Speicherdauer ab. „Kein Training“ ersetzt diese Prüfung nicht.

Muss immer die ganze Rechnung an die KI?

Nein. Für viele Aufgaben genügen strukturierte Felder oder Ausschnitte. Die ganze Rechnung ist nur dann sachlich zu rechtfertigen, wenn der Zweck ohne den vollständigen Kontext nicht zuverlässig erreicht werden kann.

Fazit: Erst Datenbedarf, dann Modell

Datenschutzgerechte KI im Rechnungsprozess beginnt nicht mit der Wahl eines Modells, sondern mit einer präzisen Aufgabe. Je klarer KMU den notwendigen Kontext definieren, desto gezielter können sie Felder filtern, Identifikatoren ersetzen, Aufbewahrung begrenzen und Anbieter kontrollieren. Das reduziert Datenschutz- und Sicherheitsrisiken und verbessert zugleich die Nachvollziehbarkeit der KI-Ergebnisse. Eine breite Datensammlung auf Vorrat ist dafür weder technisch noch organisatorisch die beste Grundlage.

Welche Rechnungsdaten braucht die KI wirklich? Datenminimierung für KMU