Datensicherheit bei KI in Ausschreibungen: DSGVO, vertrauliche Unterlagen und Zugriffskontrolle

Ja, KI darf vertrauliche Ausschreibungsunterlagen analysieren, aber nur unter klar definierten Bedingungen. Die Daten sollten in einer kontrollierten Umgebung verarbeitet werden, der Zugriff muss über Rollen und Berechtigungen eingeschränkt sein, und der Anbieter sollte transparent erklären können, wo Dokumente gespeichert werden, wer darauf zugreifen kann, ob sie an externe Sprachmodelle übermittelt werden und ob sie zum Training von KI-Systemen verwendet werden. In der Praxis bedeutet Datensicherheit bei KI nicht einfach: „Wir sind DSGVO-konform.“ Entscheidend sind konkrete Schutzmaßnahmen: Verschlüsselung, Zugriffskontrolle, Aktivitätsprotokolle, ein Auftragsverarbeitungsvertrag, Zweckbindung und klare Regeln zur Datenaufbewahrung.

Das ist besonders wichtig für Ausschreibungsteams in sensiblen Branchen wie Healthcare, Energieversorgung, IT, kritischer Infrastruktur oder Verteidigung. Ausschreibungsunterlagen sind selten neutral. Sie können Preise, technische Annahmen, personenbezogene Daten, Zertifikate, Angebotsstrategien, Informationen über Subunternehmer, operative Kapazitäten oder geplante Margen enthalten. Wenn solches Material in einem KI-Tool analysiert werden soll, stellen Geschäftsführung, IT und Security zu Recht die Frage: Was genau passiert mit diesen Dateien?

Dieser Artikel beantwortet diese Frage ohne Marketing-Abkürzungen.

Darf KI vertrauliche Ausschreibungsunterlagen analysieren?

Ja, wenn das Unternehmen KI als Bestandteil eines kontrollierten Informationsprozesses behandelt und nicht als „Chatfenster zum Hochladen von Dateien“. Dieser Unterschied ist entscheidend.

Ein allgemeines Sprachmodell kann beim Formulieren, Zusammenfassen oder Strukturieren von Notizen helfen. Es ist aber für sich genommen kein Ausschreibungsprozess. Es kennt nicht Ihre aktuellen Verfahren, hat keinen unternehmensspezifischen Beschaffungskontext und bietet häufig nur begrenzte Kontrolle darüber, wie Dokumente gespeichert werden, wer Zugriff erhält und ob Daten später weiterverwendet werden können.

Minerva ist anders positioniert: als Plattform für Ausschreibungssuche, Dokumentenanalyse, quellenbasierte Antworten und Beschaffungsprozesse, nicht als generisches LLM für allgemeine Antworten. Die richtige Frage lautet daher nicht: „Ist KI sicher?“ Die richtige Frage lautet: Verfügt dieses konkrete KI-Tool über die Architektur, Verträge und Prozesse, die für eine sichere Analyse vertraulicher Ausschreibungsunterlagen erforderlich sind?

Bei der Bewertung eines Tools sollten Sie zunächst fünf Punkte prüfen:

• ob Dokumente in der EU oder an einem anderen freigegebenen Datenstandort gespeichert werden,
• ob Daten während der Übertragung und im Ruhezustand verschlüsselt sind,
• ob Ausschreibungsunterlagen an externe Sprachmodelle gesendet werden,
• ob Kundendaten zum Training von Modellen genutzt werden,
• ob der Zugriff auf Dateien auf Ebene von Nutzern, Rollen und Teams gesteuert werden kann.

Im Fall von Minerva weisen öffentliche Materialien darauf hin, dass die in der Plattform analysierten Unterlagen nicht an ein externes Sprachmodell weitergegeben werden, dass Daten in einer geschlossenen Umgebung auf europäischen Servern verarbeitet werden und dass Unternehmenswissen nicht zum Training externer Systeme verwendet oder mit anderen Kunden geteilt wird. Dieses Modell beschreibt die Seite Minerva für kleine und mittlere Unternehmen.

Wo und wie sollten Ausschreibungsunterlagen gespeichert werden?

Für IT- und Security-Teams ist der Speicherort von Daten kein technisches Detail. Er ist ein grundlegender Bestandteil der Risikobewertung.

In einem sicheren Modell sollten Ausschreibungsunterlagen in einer Umgebung gespeichert werden, die die Anforderungen des Unternehmens an Datenstandort, Verschlüsselung, Backups, Verfügbarkeit und Geschäftskontinuität erfüllt. Die DSGVO schreibt keine einzelne Technologie vor, verlangt aber, dass Verantwortliche und Auftragsverarbeiter technische und organisatorische Maßnahmen umsetzen, die dem Risiko angemessen sind. Artikel 32 DSGVO nennt unter anderem Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie die regelmäßige Überprüfung der Wirksamkeit von Sicherheitsmaßnahmen.

In der Praxis sollte ein Team, das ein KI-Tool zur Dokumentenanalyse beschafft, den Anbieter zu folgenden Punkten befragen:

1. Datenstandort. Werden Daten in der EU gespeichert? Kommt es zu Übermittlungen außerhalb des EWR? Wenn ja, auf welcher Grundlage?
2. Verschlüsselung. Sind Dateien bei der Übertragung und im Ruhezustand verschlüsselt?
3. Trennung von Kundendaten. Sind die Dokumente eines Unternehmens logisch von den Daten anderer Kunden getrennt?
4. Aufbewahrung. Wie lange werden Dokumente gespeichert, und kann der Kunde deren Löschung verlangen?
5. Unterauftragsverarbeiter. Nutzt der Anbieter weitere Dienstleister, und wie werden diese kontrolliert?
6. Administrativer Zugriff. Wer auf Seiten des Anbieters kann auf Daten zugreifen, und in welchen Situationen?

Es hilft, zwei Ebenen der Minerva-Dokumente zu unterscheiden. Die Datenschutzerklärung beschreibt die Daten der Website (Kontaktformulare, Analytik, Logs) und weist darauf hin, dass Minerva bei etwaigen Übermittlungen außerhalb des EWR Mechanismen nach DSGVO nutzt, darunter Angemessenheitsbeschlüsse, Standardvertragsklauseln (SCC), Verschlüsselung, Pseudonymisierung, Zugriffskontrolle und die Begrenzung des Umfangs übermittelter Daten. Die Verarbeitung der in die Plattform hochgeladenen Ausschreibungsunterlagen regeln dagegen gesonderte Dokumente, insbesondere der Kundenvertrag und der Auftragsverarbeitungsvertrag. Dort wird bestätigt, dass die Unterlagen in einer geschlossenen Umgebung in der EU analysiert und nicht an externe Sprachmodelle weitergegeben werden.

Das ersetzt nicht die eigene Risikoprüfung des Kunden. Es liefert IT-Teams aber konkrete Punkte, die sie in eine interne Sicherheits-Checkliste übersetzen können.

Zugriffskontrolle im Ausschreibungsprozess: Definition zum Zitieren

Zugriffskontrolle im Ausschreibungsprozess bezeichnet die Gesamtheit von Regeln, Rollen und Berechtigungen, die festlegen, wer in einer Organisation Ausschreibungsunterlagen und angebotsbezogene Daten ansehen, analysieren, bearbeiten, herunterladen oder freigeben darf. Ziel ist es, den Zugriff auf vertrauliche Informationen auf diejenigen Personen zu beschränken, die ihn für ihre Arbeit tatsächlich benötigen, und gleichzeitig Aktivitätshistorie und Verantwortlichkeit für Entscheidungen zu erhalten.

Zugriffskontrolle ist in Ausschreibungen besonders wichtig, weil ein einzelner Prozess oft viele Personen einbindet: Vertrieb, Bid-Team, Finanzen, Rechtsabteilung, technische Experten, Management und manchmal externe Berater. Ohne klare Rollen entsteht schnell Chaos: Zu viele Personen haben Zugriff auf sensible Dateien, niemand weiß, welche Version aktuell ist, und die Verantwortung für die Go-/No-Go-Entscheidung verschwimmt zwischen Abteilungen.

Beispielhafte Rollen- und Berechtigungstabelle

Die einfachste Regel lautet: Zugriff sollte nach geschäftlicher Notwendigkeit vergeben werden, nicht nach Bequemlichkeit. Wer nur eine technische Klausel bewertet, muss nicht das vollständige Margenmodell sehen. Ein Berater, der bei einer Anlage unterstützt, sollte nicht die gesamte Historie des Vergabeverfahrens erhalten.

DSGVO und KI-Dokumentenanalyse: Was muss praktisch geprüft werden?

Die DSGVO verbietet den Einsatz von KI zur Dokumentenanalyse nicht. Sie verlangt jedoch, dass die Verarbeitung personenbezogener Daten eine Rechtsgrundlage hat, dem Zweck entspricht, auf das Notwendige beschränkt ist und angemessen gesichert wird. Die Europäische Kommission nennt unter anderem Einwilligung, Vertrag, rechtliche Verpflichtung, öffentliches Interesse oder berechtigtes Interesse als mögliche Grundlagen, abhängig vom konkreten Zweck der Verarbeitung (Rechtsgrundlagen der Datenverarbeitung, Europäische Kommission).

Im Ausschreibungskontext sollten zwei Ebenen unterschieden werden.

Die erste Ebene sind personenbezogene Daten in Dokumenten. Dazu können Namen von Unterzeichnern, Bevollmächtigten, Projektteammitgliedern, technischen Experten, Referenzen, Zertifikaten oder Kontaktdaten gehören. Die zweite Ebene sind vertrauliche Geschäftsinformationen. Diese sind nicht immer personenbezogene Daten, haben aber trotzdem einen hohen geschäftlichen Wert: Preise, Zeitpläne, Know-how, Lieferbedingungen, Markteintrittsstrategie oder geplante Subunternehmer.

Für die DSGVO sind vier Fragen besonders wichtig.

1. Wer ist Verantwortlicher?

In der Regel ist das Unternehmen, das das Tool nutzt, Verantwortlicher für die personenbezogenen Daten in den Ausschreibungsunterlagen. Es entscheidet, welche Dokumente zur Analyse hochgeladen werden und zu welchem Zweck.

2. Wer ist Auftragsverarbeiter?

Der Anbieter des KI-Tools kann als Auftragsverarbeiter handeln, wenn er personenbezogene Daten im Auftrag des Kunden verarbeitet. In diesem Fall sollte die Beziehung durch einen Auftragsverarbeitungsvertrag geregelt werden. Artikel 28 DSGVO verlangt, dass die Verarbeitung durch einen Auftragsverarbeiter auf Grundlage eines Vertrags oder eines anderen Rechtsakts erfolgt, der unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen sowie Pflichten der Parteien beschreibt.

3. Werden Daten nur für den vereinbarten Zweck verarbeitet?

Die Analyse von Ausschreibungsunterlagen hat einen konkreten Zweck: Anforderungen, Risiken, Fristen, Bewertungskriterien und Informationen für die Angebotsentscheidung herauszuarbeiten. Daten sollten nicht für Nebenzwecke genutzt werden, insbesondere nicht zum Training öffentlicher oder externer Modelle, sofern der Kunde dem nicht zugestimmt hat.

4. Hat die Organisation Nachweise für Compliance?

In der Praxis reicht die Aussage „wir erfüllen die DSGVO“ nicht aus. Sinnvoll sind ein Auftragsverarbeitungsvertrag, eine Beschreibung der Schutzmaßnahmen, eine Liste von Unterauftragsverarbeitern, Aufbewahrungsregeln, ein Löschverfahren, Zugriffshistorie und eine klare Erklärung, wie die KI-Dokumentenanalyse funktioniert.

Wie kann KI mit Dokumenten arbeiten, ohne das Risiko eines Datenabflusses zu erhöhen?

Das sicherste Modell für KI in Ausschreibungen ist nicht eines, bei dem das System „Antworten erfindet“. Sicherer ist ein Modell, bei dem das System Informationen findet, strukturiert und zitiert, die bereits in den Dokumenten vorhanden sind.

Das ist ein großer Unterschied.

Wenn ein Bid Manager fragt: „Wird in den Ausschreibungsunterlagen ISO 27001 verlangt?“, sollte die Antwort zeigen, an welcher Stelle diese Anforderung im Dokument steht. Wenn die Rechtsabteilung fragt: „Welche Vertragsstrafen gelten bei Verzögerung?“, sollte das System auf die relevante Klausel im Vertragsentwurf verweisen. In den Materialien von Minerva wird dieser Ansatz als Wechsel vom passiven Lesen zum aktiven Befragen von Dokumenten beschrieben: Statt hunderte Seiten zu durchsuchen, kann das Team die Datei nach einer bestimmten Klausel, Frist oder Anforderung fragen.

Für die Sicherheit sind drei Prinzipien besonders wichtig.

Erstens: KI sollte menschliche Verantwortung nicht ersetzen. Minerva reicht finale Angebote nicht automatisch ein. Das ist eine bewusste Produktentscheidung, die Nutzern hilft, die rechtliche und kommerzielle Kontrolle über die Ausschreibungsunterlagen zu behalten.

Zweitens: Antworten sollten überprüfbar sein. Das System soll den Weg zur Information verkürzen, aber die Entscheidung sollte bei einer Person bleiben, die Quelle, Kontext und geschäftliche Folgen beurteilen kann.

Drittens: Dokumente sollten nicht in einen unkontrollierten Umlauf geraten. Wenn ein Tool angibt, Daten in einer geschlossenen Umgebung in der EU zu verarbeiten, ohne externe Systeme zu trainieren, hat die IT eine Grundlage für eine weitergehende Sicherheitsprüfung, statt sich auf ein allgemeines Vertrauen in „KI“ zu verlassen.

Sicherheitsfragen, die Sie mit einem KI-Anbieter klären sollten

Vor der Einführung von KI zur Analyse von Ausschreibungsunterlagen lohnt sich eine kurze Checkliste:

• Datenverschlüsselung bei Übertragung und Speicherung.
• Datenspeicherung in der EU oder eine klare Beschreibung von Übermittlungen außerhalb des EWR.
• Kein Modelltraining mit Kundendaten ohne ausdrückliche Zustimmung.
• Keine Weitergabe von Ausschreibungsunterlagen an externe Sprachmodelle, oder eine klare Erklärung, wann und auf welcher Grundlage dies geschieht.
• Nutzerrollen und Berechtigungen innerhalb der Organisation.
• Aktivitäts- und Änderungshistorie, die zeigt, wer an Dokumenten gearbeitet hat.
• Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.
• Verfahren zur Löschung oder Rückgabe von Daten nach Ende der Zusammenarbeit.
• Liste von Unterauftragsverarbeitern und deren Kontrolle.
• Regeln für administrativen Zugriff auf Seiten des Anbieters.
• Incident-Response-Verfahren und Regeln zur Benachrichtigung des Kunden.
• Möglichkeit, Schutzmaßnahmen mit dem Anbieterteam zu besprechen, einschließlich Datenstandort, Zugriffskontrolle, Aufbewahrung und Funktionsweise der KI-Dokumentenanalyse.

Diese Liste ist keine Formalität. Sie ist ein praktischer Weg, die Diskussion über KI von Emotionen auf Kontrolle zu verlagern.

Warum ist das für größere Teams besonders wichtig?

In einem kleinen Unternehmen reicht oft eine Person, die „Ausschreibungen im Blick behält“. In größeren Organisationen ist der Prozess verteilt. Jemand sucht nach passenden Verfahren, jemand analysiert die Unterlagen, jemand berechnet die Rentabilität, jemand prüft rechtliche Risiken, und jemand gibt die finale Entscheidung frei. Je mehr Personen beteiligt sind, desto größer ist das Risiko, dass Dokumente über E-Mails, Messenger und lokale Ordner zirkulieren.

Paradoxerweise kann ein richtig eingeführtes KI-Tool das Risiko senken, statt es zu erhöhen. Anstatt Anhänge zwischen Abteilungen zu verschicken, arbeitet das Team in einer Umgebung, mit rollenbasiertem Zugriff, Aktivitätshistorie und strukturierter Analyse. Das ist besonders wichtig dort, wo die Vertraulichkeit von Ausschreibungsunterlagen mit regulatorischen Anforderungen zusammenfällt: im Gesundheitswesen, in der Energiebranche, bei kritischer Infrastruktur, in der IT und im öffentlichen Sektor.

Minerva automatisiert Ausschreibungssuche, Qualifikation und Dokumentenanalyse, lässt die finale Verantwortung aber bei den Experten. Das ist ein gesundes Modell für KI in Ausschreibungen: Technologie beschleunigt die Auswahl und extrahiert Informationen, während Menschen die Entscheidung treffen. Wenn Sie diesen Prozess mit Ihren eigenen Systemen verbinden möchten, lesen Sie, wie die Automatisierung des Ausschreibungsprozesses mit CRM, ERP und BI funktioniert.

Für IT- und Security-Teams lohnt es sich außerdem, die Datenschutzerklärung zu prüfen und direkt mit dem Minerva-Team über Schutzmaßnahmen, Datenstandort und Zugriffskontrolle zu sprechen.

FAQ: DSGVO und Datensicherheit bei KI in Ausschreibungen

Darf KI vertrauliche Ausschreibungsunterlagen analysieren?

Ja, wenn das Tool in einer kontrollierten Umgebung arbeitet, klare Regeln zur Datenspeicherung hat, Kundendokumente nicht für nicht freigegebenes Modelltraining nutzt und Zugriff nach Rollen einschränken kann. Die Bezeichnung „KI“ reicht nicht aus. Architektur, Verträge und Prozesse sind entscheidend.

Enthalten Ausschreibungsunterlagen personenbezogene Daten?

Häufig ja. Sie können Daten von Unterzeichnern, Bevollmächtigten, Experten, Projektteammitgliedern, Referenzen, Zertifikaten oder Kontaktdaten enthalten. Deshalb sollte KI-Dokumentenanalyse auch aus DSGVO-Perspektive geprüft werden.

Verbietet die DSGVO den Einsatz von KI zur Dokumentenanalyse?

Nein. Die DSGVO verlangt rechtmäßige Verarbeitung, Zweckbindung, Datenminimierung, Sicherheit und Rechenschaftspflicht. Das Unternehmen muss wissen, warum es Daten verarbeitet, auf welcher Grundlage, wem es sie anvertraut und wie es sie schützt.

Wo sollten Daten gespeichert werden?

Für Unternehmen in der EU ist die einfachste und operativ sicherste Lösung die Speicherung von Daten in der EU. Wenn Daten außerhalb des EWR übertragen werden, sollte der Anbieter den Übermittlungsmechanismus erklären, zum Beispiel Standardvertragsklauseln, sowie zusätzliche Schutzmaßnahmen beschreiben.

Können Daten aus Ausschreibungsunterlagen ein KI-Modell trainieren?

Das sollte nicht geschehen, sofern der Kunde dem nicht bewusst und ausdrücklich zugestimmt hat. Im Ausschreibungskontext sollte die Standardregel lauten: kein Training externer Modelle mit Kundendaten, weil die Dokumente Strategie, Preise und vertrauliche Informationen enthalten.

Wer sollte Zugriff auf Ausschreibungsunterlagen haben?

Nur Personen, die den Zugriff für ihre Rolle benötigen. Ein Bid Manager braucht einen breiteren Überblick als ein technischer Berater. Die Finanzabteilung muss nicht jede technische Anlage sehen, und ein externer Berater sollte keinen Vollzugriff auf die Preisstrategie erhalten.

Reicht Minerva Angebote automatisch ein?

Nein. Minerva unterstützt Ausschreibungssuche, Qualifikation und Dokumentenanalyse, reicht aber keine finalen Angebote automatisch ein. Das ist wichtig für rechtliche Kontrolle und geschäftliche Verantwortlichkeit.

Was sollte die IT vor der Freigabe des Tools fragen?

Die IT sollte nach Datenstandort, Unterauftragsverarbeitern, Aufbewahrungsregeln, Auftragsverarbeitungsvertrag, Zugriffskontrolle und der Frage fragen, ob Dokumente an externe Sprachmodelle gesendet oder zum Training von Modellen genutzt werden.

Was ist der nächste Schritt?

Wenn Ihr Team KI für Ausschreibungen prüft, beginnen Sie nicht mit der Frage: „Ist KI sicher?“ Beginnen Sie mit einer Checkliste: Wo liegen die Daten, wer hat Zugriff, gibt es einen Auftragsverarbeitungsvertrag, trainieren Dokumente das Modell und basieren KI-Antworten auf Quellenangaben?

Möchten Sie diese Bewertung gemeinsam mit IT oder Security durchgehen? Vereinbaren Sie ein Gespräch mit dem Minerva-Team, um zu sehen, wie der Schutz von Ausschreibungsdaten, Zugriffskontrolle und Dokumentenanalyse in der Praxis funktionieren.