KI & DSGVO: Was Unternehmen beim Einsatz beachten müssen

Die häufigste Frage in unseren Erstgesprächen ist nicht „Was kostet das?" – sondern „Dürfen wir das überhaupt?". Die gute Nachricht: Ja, Unternehmen dürfen KI einsetzen – auch mit Kundendaten – wenn sie es richtig aufsetzen. Die schlechte Nachricht: „Einfach mal ein KI-Tool anschalten" ist tatsächlich riskant. Dieser Beitrag sortiert, worauf es ankommt.

Vorab der ehrliche Hinweis: Dieser Artikel ist eine praxisorientierte Einordnung, keine Rechtsberatung. Für verbindliche Fragen gehört dein Datenschutzbeauftragter oder Anwalt an den Tisch.

Die Grundlogik: KI-Dienste sind Auftragsverarbeiter

Wenn ein KI-Assistent Anrufe annimmt, E-Mails vorsortiert oder Kundenanfragen beantwortet, verarbeitet er personenbezogene Daten – Namen, Kontaktdaten, Anliegen. Datenschutzrechtlich ist das nichts Exotisches: Der KI-Anbieter wird zum Auftragsverarbeiter, genau wie dein E-Mail-Provider oder dein CRM-Anbieter es schon sind.

Das bedeutet konkret:

• Mit jedem eingesetzten Dienst braucht es einen Auftragsverarbeitungsvertrag (AVV) – die seriösen Anbieter stellen diese standardmäßig bereit.
• Die Verarbeitung braucht eine Rechtsgrundlage. In den meisten Geschäftsfällen ist das das berechtigte Interesse oder die Vertragserfüllung – ein Kunde, der anruft, um einen Termin zu vereinbaren, erwartet ja gerade, dass sein Anliegen verarbeitet wird.
• Die Verarbeitung gehört ins Verzeichnis von Verarbeitungstätigkeiten – dort, wo dein CRM vermutlich schon steht.

Die vier Punkte, die in der Praxis entscheiden

1. Wo werden die Daten verarbeitet?

Bevorzuge Anbieter mit Verarbeitung in der EU oder mit soliden Garantien für Drittlandtransfers (EU-Standardvertragsklauseln, Data Privacy Framework). Viele große KI-Anbieter bieten inzwischen EU-Endpunkte an – man muss sie nur bewusst wählen. Genau solche Architekturentscheidungen gehören an den Anfang eines Projekts, nicht ans Ende.

2. Werden deine Daten zum Training verwendet?

Der wichtigste Vertragspunkt: Deine Unternehmens- und Kundendaten dürfen nicht zum Training der KI-Modelle verwendet werden. Bei Business-Verträgen der etablierten Anbieter ist das heute Standard („Zero Data Retention" bzw. kein Training auf Kundendaten) – bei Gratis-Tools und Consumer-Versionen häufig nicht. Das ist der Grund, warum „die Mitarbeiter nutzen privat ChatGPT" riskanter ist als eine sauber aufgesetzte Unternehmenslösung.

3. Datensparsamkeit: Was muss die KI überhaupt sehen?

Ein gut gebauter Assistent bekommt nur die Daten, die er für seine Aufgabe braucht. Der Telefonassistent braucht den Kalender – nicht die Gehaltsliste. Der Wissensassistent durchsucht die freigegebene Dokumentation – nicht das Personalverzeichnis. Zugriffsgrenzen sind eine Architekturfrage und gehören zur Einrichtung.

4. Transparenz gegenüber Kunden und Mitarbeitern

Drei Pflichten, die oft übersehen werden:

• Kunden sollten erkennen können, dass sie mit einem Assistenten interagieren – ein Telefonassistent stellt sich als solcher vor. Das ist nicht nur rechtlich geboten, sondern auch schlicht guter Stil.
• Deine Datenschutzerklärung gehört aktualisiert: Welche Dienste werden eingesetzt, zu welchem Zweck, auf welcher Rechtsgrundlage.
• Deine Mitarbeiter sollten wissen, was automatisiert wird und was mit den Daten passiert – das nimmt nebenbei auch die Angst vor dem Thema.

Checkliste für den Start

1. Liste aller KI-Dienste, die eingesetzt werden sollen – inklusive der „inoffiziellen", die Mitarbeiter schon privat nutzen
2. AVV mit jedem Dienst abschließen, EU-Verarbeitung wählen, Training auf eigene Daten vertraglich ausschließen
3. Zugriff des Assistenten auf das Nötige begrenzen (Datensparsamkeit)
4. Verarbeitungsverzeichnis ergänzen, Datenschutzerklärung aktualisieren
5. Transparenz herstellen: Assistent stellt sich vor, Team ist informiert
6. Kritische Aktionen mit Freigabepunkten versehen: Der Assistent bereitet vor, ein Mensch entscheidet

Das eigentliche Risiko ist ein anderes

Unsere Erfahrung: Das größte Datenschutzrisiko in Unternehmen ist nicht die professionell eingeführte KI-Lösung – es ist der Wildwuchs. Mitarbeiter, die mangels offizieller Lösung Kundendaten in kostenlose Consumer-Tools kopieren, sind das reale Problem. Eine sauber aufgesetzte Unternehmenslösung ist kein Datenschutzrisiko – sie ist die Antwort darauf.

Wenn du KI einführen willst und der Datenschutz deine größte Sorge ist: Genau darüber sprechen wir offen in der kostenlosen Potenzialanalyse – inklusive der Frage, welche Architektur zu deinen Anforderungen passt.