DSGVO-konforme KI im Support: Worauf es wirklich ankommt
KI-Anbieter für den Kundenservice sicher bewerten. So stellst du sicher, dass AVV, EU-Hosting und Löschfristen den DSGVO-Anforderungen standhalten.
Martin Semmele
Wichtige Erkenntnisse
- Ein Auftragsverarbeitungsvertrag (AVV) ist für jedes KI-Tool im Support zwingend erforderlich.
- Das größte Risiko ist das unbemerkte Training fremder KI-Modelle mit deinen sensiblen Kundendaten.
- Achte auf die Kernkriterien EU-Hosting, Trainingsausschluss und vollständige Transparenz bei Subprozessoren.
- Kläre vor der Auswahl außerdem Löschfristen und den Ablauf bei Auskunftsanfragen.
Der AVV: Die rechtliche Basis
Wenn du KI im Kundenservice einsetzt, verarbeitet der gewählte Software-Anbieter personenbezogene Daten deiner Kundschaft: Namen, E-Mail-Adressen, Bestellnummern oder konkrete Anliegen. Rechtlich wird der Software-Anbieter damit zum Auftragsverarbeiter nach Art. 28 DSGVO. Ohne einen rechtsgültigen Auftragsverarbeitungsvertrag (AVV) darfst du das System in Deutschland schlicht nicht betreiben. Ein fehlender oder unvollständiger AVV stellt einen direkten Datenschutzverstoß dar: Für Verstöße gegen die Pflichten aus den Art. 25 bis 39 DSGVO sieht Art. 83 Abs. 4 DSGVO Geldbußen von bis zu 10 000 000 Euro oder, im Fall eines Unternehmens, von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs vor, je nachdem, welcher Betrag höher ist1.
Zweckbindung und technische Maßnahmen
Der AVV regelt zwei wesentliche Schutzmechanismen: Die strikte Zweckbindung und die technischen und organisatorischen Maßnahmen (TOMs). Die Zweckbindung legt fest, dass der Anbieter deine Daten ausschließlich zur Erfüllung der jeweiligen Support-Aufgabe verarbeiten darf. Eine Weiterverwendung für eigene Geschäftszwecke ist rechtlich ausgeschlossen. Die TOMs beschreiben konkrete Schutzvorkehrungen wie Ende-zu-Ende-Verschlüsselung, Zugriffskontrollen und Trennungsgebote. Standard-AGB ohne individuellen AVV reichen bei B2B-SaaS-Lösungen keinesfalls aus.
- Strikte Weisungsgebundenheit: Der Anbieter darf Daten nur auf deine direkte Weisung hin verarbeiten.
- Garantierte TOMs: Dokumentierte Verschlüsselung, Zugriffsbeschränkungen und kontinuierliche Datensicherheit.
- Prüfungs- und Auditrechte: Nachweisbare Zertifikate und Kontrollmöglichkeiten für dein Unternehmen.
Vergewissere dich vor dem Start, dass der AVV digital und ohne langwierige Papierprozesse direkt beim Onboarding abgeschlossen werden kann. Einen Vorab-Einblick in praxistaugliche Vertragsmuster bietet die Vertrag zur Auftragsverarbeitung Dokumentation von CITO GmbH.
Hosting-Region: Wo die Daten physisch liegen
Der physische Ort, an dem Server stehen und KI-Modelle Anfragen verarbeiten, entscheidet über den rechtlichen Aufwand deines Kundenservice. Viele etablierte US-Tools hosten ihre Infrastruktur in Nordamerika. Datenübermittlungen in Drittstaaten außerhalb des Europäischen Wirtschaftsraums (EWR) erfordern nach der DSGVO jedoch zusätzliche Schutzmaßnahmen und Risikobewertungen.
Drittlandtransfer und Rechtssicherheit
Seit dem 10. Juli 2023 gilt zwar das EU-U.S. Data Privacy Framework (DPF) als Angemessenheitsbeschluss der Europäischen Kommission. Dennoch bleibt die Rechtslage bei US-Servern durch ausländische Zugriffsbefugnisse komplex. Ein Rechenzentrum in der Europäischen Union eliminiert dieses Risiko vollständig. Wenn Konversationen, Wissensdatenbanken und Vektorspeicher in der EU verbleiben, greift der Standard des europäischen Datenschutzrechts ohne komplizierte Transferfolgenabschätzungen.
| Hosting-Standort | DSGVO-Einstufung | Einschlägige Rechtsgrundlage und Nachweise |
|---|---|---|
| Reine EU-Regionen | Direkte DSGVO-Konformität | Nur AVV nach Art. 28 Abs. 3 DSGVO, kein Transferinstrument |
| USA mit DPF-Zertifizierung | Angemessenheitsbeschluss nach Art. 45 DSGVO | AVV plus Prüfung der aktuellen DPF-Zertifizierung des Anbieters |
| Drittland ohne DPF | Übermittlung nur mit geeigneten Garantien | AVV plus Standardvertragsklauseln und Transferfolgenabschätzung |
Transparente Anbieter nennen nicht nur abstrakte Begriffe wie Cloud, sondern benennen konkrete Rechenzentren. Eine Übersicht über strikt europäische Speicherorte und Datenwege findest du im Bereich Sicherheit & Datenschutz.
Modelltraining: Die rote Linie für Kundendaten
Kundinnen und Kunden tippen im Support-Chat sensible Details ein: Privatadressen, Rechnungsnummern, Reklamationen oder Kontodaten. Das größte Risiko beim Einsatz generativer Künstlicher Intelligenz besteht darin, dass diese Eingaben ungefragt in das allgemeine Training der verwendeten Sprachmodelle fließen.
Kein Opt-out: Warum Verträge klare Ausschlussklauseln brauchen
Einige Software-Anbieter behalten sich in ihren allgemeinen Nutzungsbedingungen vor, Kundendaten zur Modellverbesserung zu nutzen. Oft wird lediglich eine versteckte Opt-out-Option angeboten. Für datenschutzkonformen Support reicht das nicht aus. Es braucht eine vertragliche Vereinbarung, die jegliche Nutzung deiner Wissensbasis und Kundenchats für das Training eigener oder fremder Foundation-Modelle strikt ausschließt.
- Strikter Trainingsausschluss: Konversationen und Dokumente verbleiben isoliert in deinem Workspace.
- Keine Datenweitergabe an Drittmodelle: API-Anfragen an Sprachmodelle laufen ohne Datenspeicherung durch den Modellbetreiber.
- Garantierte Mandantentrennung: Vektor-Embeddings deines Unternehmens bleiben strikt getrennt von anderen Systemen.
Ein verlässlicher Partner stellt klar: Deine Daten dienen ausschließlich dazu, genaue Antworten für deine Kundschaft zu erzeugen. Nichts fließt in globale Algorithmen zurück.
Subprozessoren: Wer liest im Hintergrund mit?
Ein KI-Support-Tool besteht selten aus einer einzelnen Softwarekomponente. Häufig nutzt die Plattform externe Dienstleister für Teilaufgaben: Hosting, Mailversand, Zahlungsabwicklung oder Vektor-Suche. Für dein Unternehmen ist die gesamte Kette dieser Subprozessoren datenschutzrechtlich relevant.
Versteckte Schnittstellen und Transparenzpflicht
Selbst wenn ein Hauptanbieter seinen Sitz in Deutschland hat, können im Hintergrund externe KI-APIs eingebunden sein. Nach Art. 28 Abs. 2 DSGVO darf ein Auftragsverarbeiter weitere Auftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen einsetzen und muss über jede beabsichtigte Änderung informieren, damit du Einspruch erheben kannst4. Kommt ein Unterauftragnehmer seinen Datenschutzpflichten nicht nach, haftet der Hauptanbieter dir gegenüber für dessen Pflichten.
| Aufgabe im System | Anforderung an Subprozessor | Kontrollpflicht für Kunden |
|---|---|---|
| KI-Generierung & LLM | Vertraglicher Trainingsverzicht & EU-Endpoint | Offenlegung des Anbieters im AVV |
| Semantische Vektorsuche | Gekapselte Datenbanken in der EU | Prüfung des Speicherorts |
| Mail- & Messaging-Versand | DSGVO-konforme Auftragsverarbeitung | Einsicht in Subprozessoren-Liste |
Eine transparente Dienstleisterliste verhindert böse Überraschungen bei Audits. Eine nachvollziehbare Aufstellung aller Unterauftragnehmer ist Voraussetzung für jede DSGVO-konforme Architektur.
Löschfristen: Wenn Daten verschwinden müssen
Kundenservice-Protokolle enthalten personenbezogene Daten, die nicht unbegrenzt auf Servern liegen dürfen. Der Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO verlangt, dass Daten nur so lange in identifizierbarer Form gespeichert werden, wie es für den jeweiligen Verarbeitungszweck erforderlich ist5.
Automatische Routinen und manuelle Steuerung
Eine professionelle Support-Plattform muss zwei Löschwege unterstützen: automatisierte Löschregeln nach definierten Zeitintervallen und manuelle Löschungen auf Knopfdruck. Wenn Kundinnen oder Kunden die Löschung ihrer personenbezogenen Daten verlangen, muss das Ticket inklusive aller Chat-Verläufe und Dateianhänge rückstandslos entfernt werden.
- Konfigurierbare Aufbewahrungsfristen: Automatische Anonymisierung oder Löschung von Alt-Tickets nach definierten Monatsfristen.
- Sofortlöschung im Posteingang: Löschung einzelner Konversationen per Klick durch Support-Agents.
- Rückstandslose Bereinigung: Entfernung aus Vektor-Speichern und Caches bei Löschung von Wissensquellen.
Saubere Löschkonzepte schützen dein Unternehmen vor rechtlichen Altlasten und stellen sicher, dass du Anfragepflichten fristgerecht nachkommst.
Auskunftsrechte: Transparenz für die Kundschaft
Nach Art. 15 DSGVO haben Betroffene das Recht zu erfahren, welche personenbezogenen Daten ein Unternehmen über sie verarbeitet. Im KI-gestützten Support betrifft das nicht nur gespeicherte Stammdaten, sondern auch Verläufe automatisierter Chat-Unterhaltungen.
Unkomplizierter Datenexport im Support-Alltag
Wenn eine Auskunftsanfrage eingeht, darf die Support-Software deine Prozesse nicht ausbremsen. Das System muss es deinem Team ermöglichen, alle gespeicherten Konversationen einer betroffenen Person rasch in einem gängigen, maschinenlesbaren Format zu exportieren.
| Anforderung nach Art. 15 DSGVO | Funktion der Support-Software | Nutzen für dein Team |
|---|---|---|
| Vollständigkeit der Auskunft | Erfassung aller Chat- und Mail-Protokolle | Keine manuellen Suchen in Datenbanken |
| Gängiges Exportformat | Export als strukturierte Datei | Direkte Bereitstellung an Antragsteller |
| Fristgerechte Beantwortung | Zentrale Suchfunktion nach Kundendaten | Zeitersparnis im Support-Betrieb |
Eine gut strukturierte Posteingangs-Architektur verwandelt DSGVO-Anfragen von einer Zeitfresser-Aufgabe in einen Routineklick. Detailfragen zur Datennutzung beantwortet die offizielle Datenschutzerklärung.
Die Prüfliste: Sieben Fragen an den Anbieter
Um vor der Entscheidung für einen KI-Support-Anbieter Klarheit zu gewinnen, reichen Marketing-Versprechen nicht aus. Nutze im Evaluierungsgespräch diesen harten Fragenkatalog:
- 1. Liegt ein vorgefertigter AVV nach Art. 28 DSGVO vor, den wir direkt digital abschließen können?
- 2. In welchen konkreten EU-Regionen werden unsere Konversationen und Wissensdaten verarbeitet?
- 3. Wird vertraglich garantiert, dass unsere Daten nicht zum Training von KI-Modellen verwendet werden?
- 4. Sind alle Subprozessoren lückenlos offengelegt und wo befinden sich deren Server?
- 5. Können Aufbewahrungsfristen und automatische Löschroutinen flexibel eingestellt werden?
- 6. Bietet die Software eine Exportfunktion für Auskunftsanfragen nach Art. 15 DSGVO?
- 7. Gibt es klare Fallback-Regeln, damit die KI bei Unsicherheit nahtlos an menschliche Support-Agents übergibt?
Ein verlässlicher Partner beantwortet jede dieser Fragen ohne Ausflüchte. Genau auf dieser Grundlage ist ComLayer aufgebaut: Die Plattform vereint Support-Widget, Hilfe-Center und shared Posteingang in einer Oberfläche. Daten verbleiben in europäischen Regionen, das Modelltraining mit Kundendaten ist ausgeschlossen und ein passender AVV steht bereit.
Egal ob im flexiblen Einstiegstarif Free, im Pro Paket ab 49 € pro Monat oder in der Scale Stufe für höhere Volumen: Transparente Strukturen sichern deinen Support ab. Alle Details zu den Leistungsumfängen findest du in der Übersicht für Preise.
Häufig gestellte Fragen
Ist der Einsatz von KI im Kundenservice nach der DSGVO überhaupt erlaubt?
Ja, der Einsatz ist rechtlich zulässig. Er erfordert jedoch eine klare Rechtsgrundlage, oft das berechtigte Interesse oder die Vertragserfüllung. Zudem muss ein gültiger Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter abgeschlossen werden.
Was ist das größte Datenschutzrisiko bei Support-KIs?
Das größte Risiko liegt im heimlichen Training von KI-Modellen. Wenn ein Anbieter Chat-Protokolle nutzt, um sein eigenes Sprachmodell zu verbessern, fließen Kundendaten unkontrolliert ab. Das Training mit deinen Daten muss vertraglich ausgeschlossen sein.
Müssen die Server für die KI zwingend in der EU stehen?
Ein Standort in der EU ist nicht gesetzlich zwingend, reduziert den rechtlichen Aufwand aber enorm. Sobald Daten in Drittländer wie die USA fließen, greifen strenge Prüfpflichten. Mit europäischem Hosting umgehst du diese komplexen Hürden.
Haftet mein Unternehmen für Datenschutzverstöße des KI-Anbieters?
Gegenüber der eigenen Kundschaft haftet immer das beauftragende Unternehmen. Deswegen ist es wichtig, dass der KI-Anbieter alle Subprozessoren transparent ausweist und das Schutzniveau über die gesamte Dienstleisterkette hinweg vertraglich garantiert.
Wie gehe ich mit sensiblen Informationen in Chat-Protokollen um?
Kunden tippen oft unbewusst Kontonummern oder Gesundheitsdaten ein. Dein KI-Anbieter muss es dir ermöglichen, klare Löschfristen zu definieren. Daten, die nicht mehr für den Support-Fall benötigt werden, müssen automatisiert verschwinden.
Müssen Kunden darüber informiert werden, dass sie mit einer KI sprechen?
Ja. Transparenz ist ein Grundprinzip der DSGVO. Kunden müssen in der Datenschutzerklärung erfahren, dass KI zur Verarbeitung genutzt wird. Auch der europäische AI Act schreibt vor, dass die Interaktion mit einem KI-System klar gekennzeichnet sein muss.