Beim Thema KI im Kundenservice und DSGVO geht es für ein kleines Team vor allem um einige Fragen, die du klärst, bevor das Modell das erste Gespräch sieht. Welche Chatdaten gehen an den Anbieter? Wer verarbeitet sie und zu welchen Bedingungen? Wo stehen die Server, und verlassen die Daten den Europäischen Wirtschaftsraum? Wer im Unternehmen gibt das Tool frei, und wo wird das festgehalten?
Die Checkliste stützt sich auf Hinweise europäischer und deutscher Datenschutzbehörden für Organisationen, die fertige KI-Anwendungen einsetzen, übertragen auf den Kundenchat und mit Beispielen ergänzt. Sie ist keine Rechtsberatung: Rechtsgrundlage und Drittlandübermittlung klärst du mit einer Anwältin, einem Anwalt oder deiner Datenschutzbeauftragten. Arbeitest du von der Schweiz aus, prüfe zusätzlich das Schweizer Datenschutzgesetz (DSG).
KI im Kundenservice und DSGVO: Beginne mit einem Einsatzzweck
Prüfe jeden Einsatz eines Tools gesondert, denn dasselbe Produkt birgt im Kundenservice ein anderes Risiko als im Recruiting. Beschreibe für den Chat einen konkreten Zweck, etwa: „Das Modell schlägt dem Teammitglied einen Antwortentwurf zu Lieferfragen vor.“ Dieser eine Satz zeigt sofort, welche Daten das Tool braucht und ob das Ergebnis die Lage der Kundin oder des Kunden beeinflusst.
Die Datenschutzkonferenz hat am 6. Mai 2024 die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ vorgestellt, die im Sinne einer Checkliste bei Auswahl, Einführung und Nutzung von KI-Anwendungen helfen soll und LLM-Chatbots in den Mittelpunkt stellt. Sie bewertet keine einzelnen Produkte und soll laut DSK weiterentwickelt werden.
Trenne deine Fragen in zwei Arten: was das Tool tatsächlich tut und was das Recht verlangt. Eine leere Antwort ist kein Fehler, sondern eine Aufgabe: Notiere, was geprüft werden muss, wer das übernimmt und bis wann. Bewahre die ausgefüllte Liste auf, denn sie zeigt, dass dein Unternehmen diese Punkte vor dem Start geprüft hat.
Welche Gesprächsdaten beim Modell landen
Ein Chatgespräch enthält fast immer personenbezogene Daten, auch ohne Nachnamen; den Gesamtüberblick gibt unser Leitfaden zu Live-Chat und DSGVO. Hier geht es um die engere Frage, was das Tool bei jeder Generierung an den Modellanbieter schickt. Verlange vom Anbieter eine schriftliche Liste statt der Zusicherung, es werde „nur das Nötige“ übertragen.
Scrolle die Tabelle seitlich, um alle Spalten zu sehen.
| Was zum Modell geht | Beispiel im fiktiven Shop | Kontrollfrage |
|---|---|---|
| Das laufende Gespräch | „Paket 4821 ist nicht angekommen, ich wohne in Kassel“ | Wird der ganze Verlauf gesendet oder nur der nötige Teil? |
| Auszüge aus der Wissensbasis | Lieferbedingungen und eine Tabelle der Versanddienste | Enthalten die Quellen Daten einzelner Kunden? |
| Anweisungen für den Assistenten | Tonalität und Themen, die übergeben werden | Stehen in den Anweisungen Daten von Beschäftigten? |
| Sensible Angaben der Kundschaft | Eine Krankheit als Grund für die Rücksendung | Was tut das Team, wenn so eine Nachricht schon im Chat steht? |
Die letzte Zeile ist die schwierigste, denn was Kundinnen und Kunden schreiben, bestimmst du nicht. Gesundheitsdaten brauchen eine besondere Rechtsgrundlage, also lege vorher fest, ob KI in Gesprächsarten laufen soll, in denen solche Angaben regelmäßig vorkommen. Wähle Wissensquellen nach unserem Leitfaden dazu, welche Daten in die Chatbot-Wissensbasis gehören, und halte Dokumente mit Kundendaten heraus.
Wer Auftragsverarbeiter ist
In der Regel ist das Unternehmen, das den Chat betreibt, Verantwortlicher, und der Chatanbieter verarbeitet die Daten in dessen Auftrag auf Grundlage eines Vertrags nach Art. 28 DSGVO. Mit KI kommt ein zweites Glied hinzu: der Modellanbieter, den dein Chatanbieter nutzt. Frage, wer das ist, ob er als Unterauftragsverarbeiter arbeitet und wo das geregelt ist. Ein für den EDSA von einer externen Expertin erstellter Bericht weist darauf hin, dass ein Modellanbieter, der Daten für eigene Zwecke wie die Verbesserung seines Modells behält, insoweit selbst Verantwortlicher wird.
Prüfe deshalb in den Bedingungen drei Dinge: ob deine Eingaben zum Training genutzt werden dürfen, ob du das abschalten kannst und wie lange der Anbieter Anfragen speichert. Halte jede Antwort mit Link zum Dokument und Lesedatum fest, denn Bedingungen ändern sich. Wie viel Zugriff der Assistent selbst auf deine Systeme bekommt, ist eine eigene Frage, die unser Leitfaden zu Berechtigungen für KI-Agenten behandelt.
Wo die Server stehen und ob Daten den EWR verlassen
Den Verarbeitungsort findest du im Auftragsverarbeitungsvertrag, in der Datenschutzerklärung des Anbieters und in seiner Liste der Unterauftragsverarbeiter. Notiere das Land, in dem der Modellanbieter tätig ist, nicht nur den Sitz der Firma, die dir den Chat verkauft. Verlassen Daten den EWR, gilt Kapitel V der DSGVO (Art. 44 bis 49): Du brauchst einen Angemessenheitsbeschluss der Kommission oder eine andere dort vorgesehene Garantie, etwa Standardvertragsklauseln.
Die Liste der Angemessenheitsbeschlüsse der Europäischen Kommission umfasst unter anderem Japan, die Schweiz, das Vereinigte Königreich und die USA für Organisationen im Data Privacy Framework; China steht nicht darauf. Die Liste sagt nicht, ob eine bestimmte Übermittlung rechtmäßig ist, sondern nur, ob sie sich auf einen Kommissionsbeschluss stützen kann.
Dieser Punkt verändert auch den Aufwand. Gehen Gesprächsdaten in ein Land ohne Angemessenheitsbeschluss, reicht eine kurze Checkliste nicht mehr aus, und du brauchst fachliche Unterstützung für die Bewertung der Übermittlung.
Wer im Unternehmen das Tool freigibt
Gesprächsinhalte an einen Modellanbieter zu geben, ist eine Unternehmensentscheidung und keine Sache des Teammitglieds mit der längsten Warteschlange. Bestimme eine Person, die das Tool freigibt, und eine zweite, die regelmäßig prüft, ob sich etwas geändert hat. In einem kleinen Betrieb können das die Inhaberin und die Leitung des Kundenservice sein.
- Einsatzzweck beschreiben.Ein Satz dazu, was die KI im Chat tut und ob Kunden ihre Antworten sehen oder nur das Team.
- Unterlagen des Anbieters sammeln.Auftragsverarbeitungsvertrag, Liste der Unterauftragsverarbeiter, Angaben zum Modellanbieter und zum Datenstandort.
- Rechtsgrundlage und Übermittlung klären.Rechtsgrundlage und Garantien für die Übermittlung mit Rechtsberatung oder Datenschutzbeauftragten bestätigen.
- Freigeben und dokumentieren.Die verantwortliche Person gibt das Tool frei und notiert Datum und Version der gelesenen Unterlagen.
- Überprüfung einplanen.Lege einen Termin für die nächste Prüfung fest, denn der Anbieter kann das Modell und das Team seine Arbeitsweise ändern.
Ohne freigegebenes Tool verschwindet der Bedarf im Team nicht, er wandert auf private Konten. Wie du das verhinderst, zeigt unser Leitfaden zu Shadow AI im Kundenservice.
Wie diese Fragen bei Meet AI aussehen
In Meet AI ist DeepSeek der Modellanbieter, also das chinesische Unternehmen Hangzhou DeepSeek Artificial Intelligence Co., Ltd. Bei jeder Generierung gehen dorthin das laufende Gespräch mit dem nötigen Kontext früherer Nachrichten, ausgewählte Auszüge aus der Wissensbasis der Website und die für den Assistenten eingestellten Anweisungen. Die Installation erfolgt manuell, und eine Administratorin oder ein Administrator muss einen versionierten Hinweis zu diesem Anbieter und zur Übermittlung von Gesprächsinhalten bestätigen. Laut Datenschutzerklärung von Meetlead sollte ein Unternehmen, das Meet AI nutzt, DeepSeek in seinen eigenen Datenschutzhinweisen nennen und für Rechtsgrundlage und Übermittlungsgarantien sorgen.
Der Standardmodus ist Copilot: Kunden sehen keinen KI-Assistenten, und ein Vorschlag sendet sich nie selbst. Gesprächsinhalte gehen trotzdem bei jedem generierten Vorschlag an den Modellanbieter, die Freigabe gilt also auch für diesen Modus. Die Daten gehen an ein Unternehmen außerhalb des EWR, eine kurze Checkliste allein reicht hier also nicht. Das Wissen ist pro Website getrennt, und das Entfernen einer Quelle wirkt sofort. Meetlead macht deinen Einsatz nicht stellvertretend DSGVO-konform.
Was du festhältst, bevor die KI das erste Gespräch sieht
Manches kann nicht warten. Bevor das Tool mit Kundendaten arbeitet, brauchst du einen Vertrag mit dem Anbieter, eine Rechtsgrundlage, Informationen für die Betroffenen und eine klare Antwort darauf, wo die Daten liegen. Schulung des Teams und Regeln für Eingaben kannst du parallel abschließen, jeweils mit eigenem Termin.
- Beschreibung des KI-Einsatzes im Chat und ob Kunden oder nur das Team die Antworten sehen.
- Liste der Daten, die bei einer Generierung an das Modell gehen.
- Auftragsverarbeitungsvertrag, Name des Modellanbieters und Liste der Unterauftragsverarbeiter.
- Land der Verarbeitung und Übermittlungsgrundlage für alles, was den EWR verlässt.
- Eintrag im Verzeichnis der Verarbeitungstätigkeiten (Art. 30) und Entscheidung, ob eine Datenschutz-Folgenabschätzung nötig ist (Art. 35).
- Aktualisierte Datenschutzhinweise für Kunden (Art. 13) mit dem Modellanbieter und eine benannte Person für die Überprüfung.
Fragt eine Kundin nach ihren Daten, zeigen diese Unterlagen, wohin sie gegangen sind; das Vorgehen beschreibt unser Leitfaden zum Auskunftsantrag nach Art. 15 DSGVO. Soll der Assistent ohne Teammitglied antworten, erklärt unser Leitfaden zur Kennzeichnung von KI-Chatbots, wie du das Gespräch kennzeichnest.
Fragen zu KI und DSGVO im Kundenservice
Befreit mich ein Modus, in dem die KI dem Team nur Vorschläge macht, von diesen Fragen? Nein. Kunden sehen den Assistenten nicht, aber ihre Nachrichten gehen beim Erstellen eines Entwurfs trotzdem an den Modellanbieter. Es ändert sich das Risiko einer falschen Antwort, weil ein Mensch den Text vor dem Senden prüft, nicht aber der Umfang der Daten, die dein System verlassen.
Bedeutet eine ausgefüllte Checkliste, dass mein Einsatz DSGVO-konform ist? Nein. Eine Checkliste ersetzt weder eine Risikoanalyse noch eine Datenschutz-Folgenabschätzung und entscheidet nicht allein über die Rechtmäßigkeit. Sie belegt, dass dein Unternehmen die richtigen Fragen gestellt hat, und liefert eine Aufgabenliste, die du abschließt, bevor das Tool mit echten Gesprächen arbeitet.
