Vertrauliche Anfragen: NDA, Geheimhaltung und Team-Zugriff sicher regeln

Team BOTrento11. 11. 20266 Min. Lesezeit

Was „vertraulich“ in der Praxis bedeutet

Nicht jede Anfrage braucht ein NDA. Hilfreich ist eine einfache Einstufung, die jeder im Team in Sekunden anwenden kann:

• Normal: Standardanfrage ohne Geheimnisse, etwa Mietanfrage für Technik oder Preisanfrage für eine Dienstleistung.
• Sensibel: Die Anfrage enthält Personendaten, Budgets, Standorte oder Details, die nicht jeder im Haus sehen muss.
• Geheim: Der Kunde verlangt ein NDA, nennt unveröffentlichte Produkte, Übernahmen oder Veranstaltungen mit Sicherheitsauflagen.

Die Einstufung legt fest, wer die Anfrage sehen, bearbeiten und freigeben darf. Ohne sie entscheidet im Alltag der Zufall, wer gerade im Posteingang sitzt.

NDA vor dem Angebot: Was Sie prüfen sollten

Viele Kunden schicken ein eigenes NDA, bevor sie Details nennen. Bevor Sie unterschreiben, lohnt ein Blick auf fünf Punkte:

1. Gegenstand: Was genau gilt als vertraulich? Sehr weite Formulierungen („alle Informationen“) sind im Tagesgeschäft schwer einzuhalten.
2. Empfängerkreis: Wer darf die Informationen erhalten? Zählen Freelancer, Subunternehmer und Dienstleister dazu?
3. Dauer: Wie lange gilt die Pflicht, auch nach Ende der Anfrage?
4. Rückgabe und Löschung: Müssen Sie Unterlagen vernichten, und wie weisen Sie das nach? Das muss zu Ihren Aufbewahrungspflichten passen.
5. Werkzeuge: Dürfen Sie die Informationen in E-Mail-Systemen, Cloud-Diensten und KI-gestützten Werkzeugen verarbeiten? Fragen Sie das im Zweifel offen nach.

Der letzte Punkt wird oft übersehen. Wenn ein NDA Dritte ausschließt, kann auch ein Dienstleister im Hintergrund relevant sein. Mehr zur Einordnung finden Sie in unserer DSGVO-Checkliste für KI in der Geschäftskommunikation.

Zugriffsschutz im Team: Schritt für Schritt

So gehen Sie vor, wenn eine sensible oder geheime Anfrage eintrifft:

1. Einstufen: Wer die Anfrage zuerst liest, vergibt „sensibel“ oder „geheim“ und vermerkt es sichtbar.
2. Verantwortliche Person festlegen: Eine Person führt den Fall, eine zweite ist Vertretung. Mehr nicht, solange das NDA nichts anderes erlaubt.
3. Kommunikation bündeln: Keine Weiterleitung per „cc an alle“. Rückfragen laufen über die verantwortliche Person.
4. Ablageort bestimmen: Ein Ordner oder Fall mit begrenztem Kreis, nicht der allgemeine Posteingang oder die Sammeltabelle.
5. Neutral benennen: Betreffzeilen, Dateinamen und Kalendereinträge sollten keine Kundennamen oder Projektcodes verraten, die nicht jeder kennen soll. Das gilt besonders für Kalender, die Sie als Abo auf mehreren Geräten oder mit Kollegen teilen.
6. Freigabe vor Versand: Angebote und Antworten prüft vor dem Senden eine Person. Das Vier-Augen-Prinzip fängt falsche Empfänger und zu viele Details ab.
7. Abschluss dokumentieren: Wann wurde gelöscht oder archiviert, und wer hat es bestätigt?

Vorlage: Antwort auf einen NDA-Wunsch

Wenn der Kunde ein NDA wünscht, antworten Sie schnell und sachlich. Das schafft Vertrauen und verhindert, dass die Anfrage liegen bleibt:

Betreff: Ihre Anfrage – Vertraulichkeitsvereinbarung

Guten Tag Frau/Herr [Name],

vielen Dank für Ihre Anfrage. Gerne behandeln wir Ihre Angaben vertraulich. Bitte senden Sie uns Ihr NDA zu, oder wir schicken Ihnen unsere Standardvereinbarung.

Zur Klärung vorab: Mit Ihrem Projekt befassen sich bei uns [Anzahl] Personen, nämlich [Rolle 1] und [Rolle 2]. Setzen wir für die Bearbeitung externe Partner oder Software-Dienstleister ein, informieren wir Sie vorher und stimmen das mit Ihnen ab.

Sobald das NDA unterschrieben ist, bitten wir Sie um [benötigte Angaben, z. B. Termin, Umfang, Ort]. Ein Angebot erhalten Sie danach bis [Datum].

Freundliche Grüße
[Name]

Wichtig: Nennen Sie nur Zusagen, die Sie tatsächlich einhalten können. Der Satz zu externen Partnern zwingt Sie, vorher zu klären, wer überhaupt beteiligt ist.

Typische Fehler im Alltag

• Sammelpostfach ohne Regeln: Info@ oder anfragen@ sehen oft mehr Personen, als das NDA erlaubt.
• Weiterleiten statt Verlinken: Jede Weiterleitung erzeugt eine weitere Kopie in einem weiteren Postfach.
• Details im CRM-Freitextfeld: In Pipedrive oder HubSpot sehen Kolleginnen und Kollegen Notizen mit, wenn die Rechte nicht eingeschränkt sind. Prüfen Sie dort die Sichtbarkeit.
• Angebotsentwürfe in Sammelordnern: Ein Entwurf in lexoffice oder sevDesk ist für alle mit Zugang sichtbar, ebenso Positionen, die Rückschlüsse auf das Projekt erlauben.
• Anhänge vergessen: Das NDA selbst oder technische Unterlagen liegen oft nur im Anhang und damit außerhalb jeder Übersicht.

So unterstützt BOTrento den Ablauf

BOTrento Chief of Staff ist ein gesteuerter Prozess für Anfragen und Angebote. Es hält fest, welche Anfragen offen sind, zeigt Ihnen an jedem Werktag morgens in der Übersicht „Heute 1+3“, was als Nächstes ansteht, und bereitet Entwürfe für Antworten, Angebote und Nachfassen vor. Nichts wird automatisch versendet: Jeder Entwurf wird von einer Person geprüft und freigegeben. Für Teams gibt es im Tarif „Team“ die gemeinsame Arbeit mit Freigabe.

Wichtig für den Umgang mit NDAs, ganz sachlich:

• Die Daten liegen auf Servern in Deutschland und Irland (EU). Die Anwendungsdatenbank ist in Irland gehostet. Für einen Auftrag verarbeitet der Anbieter des Sprachmodells nur den dafür nötigen Text. Ein Server in der EU mit Aufruf eines externen KI-Dienstes ist kein geschlossenes System. Wie das aufgebaut ist, erklärt Wo liegen Ihre Daten, wenn Sie KI nutzen?
• Auf Wunsch nutzen Sie einen eigenen API-Schlüssel (derzeit Anthropic/Claude), wie in der Hilfe zu eigenen API-Schlüsseln beschrieben. Er ist optional.
• BOTrento liest keine Anhänge, sondern arbeitet mit dem E-Mail-Text. Ein NDA als PDF bewerten Sie also weiterhin selbst.
• Es ersetzt weder Ihr CRM noch Ihre Buchhaltung und bestätigt keine Termine.

Ob ein konkretes NDA den Einsatz eines Sprachmodells zulässt, entscheiden Sie mit Ihrem Kunden und gegebenenfalls Ihrer Rechtsberatung. Ein Einstieg zur Datenschutzseite ist Is an AI sales tool GDPR-compliant? A checklist (englisch). Zur Frage, wie KI-Entwürfe mit menschlicher Freigabe unter die KI-Verordnung fallen, lesen Sie KI-Verordnung für KMU.

Sie können das 14 Tage lang kostenlos mit Ihren eigenen Daten testen, ohne Zahlungskarte und ohne eigenen API-Schlüssel. Die 14 Tage beginnen mit dem ersten erfolgreichen Datenupload. Vorab sehen Sie in der Prozessvorführung, wie der Ablauf aussieht.