DSGVO-konforme KI

DSGVO-konforme KI ist der Einsatz künstlicher Intelligenz, bei dem personenbezogene Daten nach den Regeln der Datenschutz-Grundverordnung verarbeitet werden: mit Rechtsgrundlage, Auftragsverarbeitungsvertrag, sparsamem Umgang mit Daten und festen Löschfristen. Im Kundenservice kommt seit August 2026 der EU AI Act hinzu, nach dem Kunden erkennen müssen, dass sie mit einer KI schreiben.

Was bedeutet DSGVO-konforme KI?

Sobald eine KI Kundenanfragen beantwortet, verarbeitet sie personenbezogene Daten: Namen, Telefonnummern, Bestellnummern, manchmal auch Angaben zur Gesundheit oder zu Finanzen. Für diese Verarbeitung gilt die DSGVO genauso wie für Ihr CRM oder Ihren E-Mail-Versand. DSGVO-konforme KI heißt also nicht, dass die KI selbst ein Siegel trägt. Es heißt, dass der Anbieter und Sie als Unternehmen die Datenschutzregeln einhalten.

Worauf sollten Sie bei einem KI-Anbieter achten?

  • Auftragsverarbeitungsvertrag: Ohne AVV dürfen Sie Kundendaten nicht an einen Dienstleister geben.
  • Ort der Verarbeitung: Wo laufen Plattform und KI? Mehr dazu unter Datenresidenz.
  • Übermittlung in Drittländer: Welche Daten verlassen die EU und auf welcher Grundlage? Hintergrund bei Schrems II.
  • Modelltraining: Werden Ihre Kundendaten genutzt, um das KI-Modell zu trainieren?
  • Sicherheit: Verschlüsselung und dokumentierte technische und organisatorische Maßnahmen.
  • Löschfristen: Können Sie festlegen, wann Nachrichten und Kontakte gelöscht werden (Löschkonzept)?

Was gilt zusätzlich nach dem EU AI Act?

DSGVO und EU AI Act sind zwei getrennte Regelwerke. Die DSGVO schützt Daten, der AI Act regelt KI-Systeme. Für KI im Kundenservice ist vor allem die KI-Transparenzpflicht nach Artikel 50 wichtig, die seit dem 2. August 2026 gilt: Kunden müssen erkennen können, dass sie mit einer KI schreiben. Wie das im Chat aussieht, steht unter KI-Offenlegung.

Welche Stolperfallen gibt es?

Ein Beispiel: Eine Physiotherapie-Praxis in Dresden nutzt einen KI-Agenten für Terminanfragen. Ein Patient schreibt ungefragt Details zu seiner Diagnose in den Chat. Solche Gesundheitsdaten gehören nach Artikel 9 DSGVO zu den besonders geschützten Daten. Die Praxis sollte deshalb vorher klären, wie sie damit umgeht, und den Agenten so einrichten, dass er nur nach dem fragt, was er für den Termin braucht. Weitere typische Punkte:

  • Datenschutzhinweise, die den Einsatz von KI nicht erwähnen
  • keine Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist
  • der Gedanke, dass bei WhatsApp, Instagram und Messenger alles in der EU bleibt: Die Zustellung läuft dort über Meta

Dieser Eintrag ist keine Rechtsberatung. Ob Ihr konkreter Einsatz passt, hängt auch von Ihrer Rechtsgrundlage und Ihren Datenschutzhinweisen ab.

Wie setzt SendSeven DSGVO-konforme KI um?

SendSeven ist DSGVO-konform und in der EU gehostet, auch die KI läuft in der EU. Den AVV gibt es für alle Pakete, Sie können ihn jederzeit im Tool herunterladen. Ihre Daten werden nicht genutzt, um das zugrunde liegende KI-Modell zu trainieren. Daten werden verschlüsselt übertragen und gespeichert, und die Löschfristen legen Sie selbst fest. Die DSGVO-konformen KI-Agenten von SendSeven sind EU AI Act ready: Im Live Chat sehen Kunden, dass sie mit einer KI schreiben, und den Hinweistext passen Sie selbst an. Die KI lässt sich jederzeit abschalten.