Sicherheit von KI-Sprachagenten: Was Sie vor der Übergabe Ihrer Anrufe fragen sollten

Ein KI-Sprachagent an Ihrer Leitung gibt einem Anbieter einen Livezugang zu Kunden, die Namen, Nummern, Adressen und Anliegen aussprechen. Für eine ordentliche Prüfung brauchen Sie kein Technikstudium. Sie brauchen feste Fragen und die Disziplin, schriftliche Antworten zu verlangen.

Kurz zum Umfang: Dieser Artikel bietet Unternehmensinhabern allgemeine Informationen zur Anbieterprüfung, keine Rechtsberatung. Ihr Sektor oder Mitgliedstaat kann zusätzliche Anforderungen stellen. Lassen Sie sich für eine konkrete Bereitstellung von einem qualifizierten Datenschutzberater beraten.

Warum Anrufdaten mehr Kontrolle als Ihre andere Software verdienen

Die meisten Inhaber prüfen ihre Buchhaltungssoftware gründlicher als die Anrufannahme. Das ist verkehrt herum. Ein Buchungssystem speichert bewusst in strukturierte Felder eingegebene Angaben. Eine Telefonleitung erfasst ungefilterte Worte, oft bevor Menschen selbst wissen, was sie sagen werden.

Überlegen Sie, was in einer Woche über eine Dienstleistungsleitung läuft. Ein Patient erklärt ein Symptom, um die Dringlichkeit zu begründen. Ein Mandant erwähnt seinen Rechtsstreit. Ein Hauseigentümer nennt Adresse, Türcode und seine Abwesenheit bis Donnerstag. Nichts davon haben Sie erfragt. Es kommt trotzdem, weil Menschen ihre Lage erklären, wenn jemand abhebt.

Zwei Eigenschaften machen diese Daten schwieriger als gewöhnliche Geschäftsdaten. Sprachaufnahmen stehen biometrischen Daten nahe: Eine Stimme identifiziert eine Person, lässt sich schwer anonymisieren und von ihr nicht austauschen. Zudem haben Anrufer keine Beziehung zu Ihrem Anbieter. Sie riefen Sie an. Sie schulden ihnen die erwarteten Pflichten; deshalb ist Ihr Unternehmen Verantwortlicher, nicht der Lieferant. Das ist die Grundlage unseres umfassenderen Leitfadens zu DSGVO und KI-Kundenservice.

Die gute Nachricht: Für eine gründliche Prüfung brauchen Sie keine technischen Kenntnisse. Sie müssen wissen, welche Fragen klare Antworten brauchen, und nichtschriftliche Antworten ablehnen. Die folgende Liste würden wir selbst verwenden.

Wo lebt das Audio und unter wessen Gesetz?

Fragen Sie: In welchem Land und welcher Region wird Audio gespeichert, in welchem Land verarbeitet und kann sich etwas davon unangekündigt ändern?

Die Fragen sind bewusst getrennt; Anbieter beantworten oft nur die erste. Aufnahmen können in Frankfurt liegen, während jede Audiosekunde an Spracherkennung und Sprachmodell anderswo geht. Der Speicherort sagt, wo die Datei liegt. Der Verarbeitungsort sagt, wohin das Gespräch tatsächlich gelangt. Beides zählt, in der Werbung steht meist nur eines.

Eine gute Antwort nennt eine konkrete Region statt eines Firmensitzes, trennt Speicherung und Verarbeitung, benennt den Anbieter jedes Schritts und die verbindliche Vertragsklausel. Liegt ein Teil außerhalb von EU oder EWR, weist ein guter Anbieter von sich aus darauf hin und erläutert die Transfergarantien.

Eine schlechte Antwort verweist nur auf ein europäisches Unternehmen, als bestimme der Registereintrag den Datenweg. Das tut er nicht. Auch ein großer Cloudanbieter sagt wenig aus: Alle großen Clouds haben Regionen auf mehreren Kontinenten.

Die gesamte Kette in der EU zu halten ist nicht in jedem Fall gesetzlich erforderlich. Es ist aber die einfachste vertretbare Position, weil sie Fragen beseitigt statt zusätzliche Verwaltung zu erzwingen. Auch einem Kunden lässt sich dann wesentlich kürzer erklären, wohin seine Daten gehen.

Wie lange behalten Sie es und können Sie es wirklich löschen?

Fragen Sie: Welche Standardaufbewahrung gilt für Audio und Transkripte, ist sie einstellbar und wie funktioniert eine vom Kunden verlangte Löschung tatsächlich?

Bei der Aufbewahrung zeigt sich die Lücke zwischen Regelwerk und Technik besonders klar. Eine Aufnahme aus dem Hauptspeicher zu löschen ist einfach. Was geschieht mit der Kopie im gestrigen Backup, dem Transkript in der Analyse, der CRM-Zusammenfassung, dem Telefonieprotokoll und der Diagnoseaufzeichnung aus einem Supportfall im März?

Audio und Transkripte brauchen unterschiedliche Fristen. Viele Unternehmen benötigen Audio nach Transkript und strukturierter Zusammenfassung betrieblich gar nicht mehr. Die Aufnahme schnell zu löschen und den Text nur kurz aufzubewahren ist oft sinnvoll, weil das risikoreichste Material zuerst verschwindet.

Eine gute Antwort bietet einstellbare Standardfristen, trennt Audio von Text, beschreibt Sicherungen und Folgesysteme, nennt die maximale Frist bis zur vollständigen Löschung und bestätigt sie schriftlich. Eine schlechte Antwort bedeutet mangels Frist unbegrenzte Speicherung oder besteht nur aus einem Supportticket und einem Versprechen.

Trainieren meine Daten Ihre Modelle oder die von anderen?

Fragen Sie: Nutzen Sie Aufnahmen, Transkripte oder abgeleitete Daten zum Trainieren, Abstimmen oder Bewerten eigener oder fremder Modelle und wo ist das schriftlich geregelt?

Hier ist eine mündliche Antwort am wenigsten akzeptabel, unabhängig von heutiger Ehrlichkeit. Bedingungen ändern sich, Unternehmen werden übernommen, Tarifstufen umgebaut und benötigte Funktionen verschoben. Eine Klausel schützt Sie, kein Gespräch.

Grenzen Sie den Umfang genau ab: Es gibt mehr mögliche Datennutzungen, als viele erwarten:

• Eigene Modelle des Anbieters. Werden Ihre Gespräche genutzt, um das Produkt für andere Kunden zu verbessern?
• Externe Modellanbieter. Die meisten Sprachagenten basieren auf Modellen weniger großer Anbieter. Deren Unternehmens- und API-Bedingungen unterscheiden sich von Verbraucherbedingungen. Fragen Sie, welche Ihr Anbieter nutzt.
• Menschliche Prüfung. Manche Abläufe geben Gesprächsstichproben zur Qualitätskennzeichnung an Menschen. Das ist legitim, doch Sie sollten es wissen und abschalten können.
• Abgeleitete Daten. Vektorrepräsentationen, Zusammenfassungen, Absichtskennzeichnungen und Qualitätswerte entstehen aus Kundenworten. Eine Klausel nur für Rohaufnahmen lässt eine Lücke.

Eine gute Antwort ist eine schriftliche Zusage für alle vier Bereiche, auch für Unterauftragsverarbeiter verbindlich und an einer benannten Vertragsstelle festgehalten. Eine schlechte Antwort ist Vertriebsberuhigung oder eine Datenschutzklausel mit der so weiten Ausnahme „zur Verbesserung unserer Dienste“, dass fast alles darunterpasst.

Verschlüsselung, erklärt ohne den Jargon

Fragen Sie: Sind Anrufdaten bei Übertragung und Speicherung verschlüsselt, welche Standards nutzen Sie und wer hält die Schlüssel?

Zwei einfache Definitionen, die Anbieter selten liefern. Bei der Übertragung sind Daten zwischen Systemen verschlüsselt; ein Abfangen ergibt Unverständliches statt eines Gesprächs. Bei der Speicherung sind ruhende Daten verschlüsselt, sodass ein Festplattenabbild oder Backup nicht einfach geöffnet und gelesen werden kann. Sie brauchen beides; jeder ernsthafte Anbieter bietet beides.

Weil beides fast überall Standard ist, unterscheidet die bloße Antwort wenig. Die Nachfragen sind aussagekräftiger: Wer hält die Entschlüsselungsschlüssel, wie wird der Zugriff geregelt und werden Schlüssel regelmäßig gewechselt? Eine sichere fachliche Antwort zeigt ein Technikteam, das Sicherheit mitdenkt. Wer nur „Verschlüsselung auf Bankenniveau“ wiederholt – ohne konkrete Bedeutung –, betreibt eher Sicherheitsmarketing.

Kennen Sie auch die Grenzen: Verschlüsselung ruhender Daten schützt gegen gestohlene Speichermedien, nicht gegen ein kompromittiertes Konto mit berechtigtem Zugriff. Letzteres ist viel häufiger. Deshalb zählt die nächste Frage mehr.

Wer beim Verkäufer kann meinen Kunden zuhören?

Fragen Sie: Welche Rollen dürfen Aufnahmen öffnen oder abspielen, wie wird der Zugriff kontrolliert und kann ich die Zugriffsprotokolle prüfen?

Fast jeder reale Datenvorfall bei einem Dienstleister hat eher mit Zugriffen als mit Kryptografie zu tun. Jemand hatte einen unberechtigten Zugang, behielt ihn nach einem Rollenwechsel oder ein Konto ohne Mehrfaktor-Authentifizierung fiel Phishing zum Opfer. Das ist der unspektakulärste, aber aussagekräftigste Teil der Sicherheitsprüfung.

Guter Zugriff heißt konkret: nur benannte Rollen statt aller Mitarbeiter, Mehrfaktor-Authentifizierung, begründete statt standardmäßige Freigabe, Entzug beim Ausscheiden und Protokolle darüber, wer was geöffnet hat. Manche Anbieter verlangen zusätzlich eine Genehmigung oder Supportticketreferenz, bevor Techniker Kundenaufnahmen öffnen. Das ist ein gutes Zeichen.

Fragen Sie auch nach unspektakulären Verwaltungsfakten: Hintergrundprüfung des Personals, Verschwiegenheitspflichten und anerkannten Nachweisen wie ISO/IEC 27001 oder SOC 2. Eine Zertifizierung beweist nicht, dass ein Anbieter sicher ist. Sie belegt, dass Externe Kontrollen geprüft haben und intern jemand den Prozess verantwortet – mehr, als viele kleine Anbieter vorzeigen können.

Wer ist noch in der Kette hinter dir?

Fragen Sie: Bitte senden Sie Ihre aktuelle Unterauftragsverarbeiterliste und erklären Sie, wie Änderungen mitgeteilt werden.

Ein KI-Sprachagent wirkt wie ein Produkt, ist aber fast nie ein Unternehmen. Typisch sind ein Telefonienetzbetreiber für den Anruftransport, Spracherkennung für Audio zu Text, ein Sprachmodell für die Antwortwahl, Sprachsynthese für die Stimme, eine Transkriptdatenbank, Kalender oder CRM für Ergebnisse und oft zusätzliche Überwachung oder Analyse. Unser Beitrag darüber, wie KI-Sprachagenten funktionieren, erklärt diese Kette im Detail.

Jede dieser Firmen verarbeitet die Worte Ihrer Kunden. Ihre Pflichten folgen den Daten, nicht der Rechnung. Deshalb müssen Sie diese Firmen kennen. Wer die Liste vertraulich nennt, verlangt, dass Sie unbenannte Beteiligte in Ihrer Lieferkette akzeptieren. Das ist keine angemessene Forderung.

Eine gute Antwort ist eine gepflegte, veröffentlichte oder auf Anfrage erhältliche Liste mit Namen, Aufgaben und Verarbeitungsorten aller Unterauftragsverarbeiter. Änderungen werden vorher angekündigt, damit Sie widersprechen können. Eine schlechte Antwort verweist pauschal auf „branchenführende Partner“.

Was passiert mit meinen Daten, wenn ich gehe?

Fragen Sie: Was kann ich nach Kündigung in welchem Format exportieren, wie lange habe ich dafür Zeit und wann wird alles gelöscht?

Jeder Käufer prüft den Einstieg, fast niemand den Ausstieg. Deshalb laufen Ausstiege oft schlecht. Verhandeln können Sie diese Bedingungen genau vor der Unterschrift.

Klären Sie drei Punkte. Portabilität: Lassen sich Transkripte, Metadaten und strukturierte Ergebnisse in brauchbaren offenen Formaten wie CSV oder JSON exportieren statt nur als PDF oder abzukopierende Bildschirmansicht? Löschung: Gibt es nach Vertragsende eine feste Frist für sämtliche Daten einschließlich Backups und eine schriftliche Bestätigung? Kontinuität: Wer kontrolliert Ihre Hauptnummer und wie schnell lässt sie sich umleiten? Nummernportierung ist ein echtes Bindungsrisiko, unabhängig von der KI, aber entscheidend für Ihren Ausstieg.

Kliniken, Anwaltskanzleien und andere sensible Kontexte

Bei manchen Unternehmen erhöht schon das Gesprächsthema das Risiko. Eine Zahn- oder ästhetische Klinik erfährt Gesundheitsangaben, eine Kanzlei von Streitigkeiten und Finanzen, eine Tierarztpraxis ebenso viel über Haushalte wie über Tiere. Gesundheitsdaten sind nach der DSGVO besonders geschützt; bei regulierten Berufen kommen berufliche Verschwiegenheitspflichten hinzu.

Die praktische Antwort ist nicht, Automatisierung zu meiden, sondern sie zu gestalten. Drei Schritte leisten den Großteil.

Die Aufgabe des Assistenten bewusst begrenzen

Die wirksamste Datenschutzmaßnahme einer Klinik ist der Aufgabenrahmen. Ein Assistent, der bucht, umbucht, bestätigt, Öffnungszeiten und Preise erklärt und Klinisches sofort weitergibt, braucht klinische Details gar nicht erst zu speichern. Nie erhobene Daten können nicht lecken, zu lange aufbewahrt oder Gegenstand eines Löschbegehrens werden. So gestalten wir KI-Empfangslösungen in Kliniken. Das ist zuerst eine Sicherheitsentscheidung und erst danach eine Produktentscheidung.

Das risikoreichste Material kürzer aufbewahren

Nennt ein Anrufer freiwillig sensible Angaben – und das wird vorkommen –, ist Audio deren aufschlussreichste Form. Schnelle Audiolöschung und eine kurze Transkriptaufbewahrung begrenzen die Folgen künftiger Vorfälle, ohne betriebliche Möglichkeiten zu verlieren.

Die Dokumentation sauber regeln

Eine unterschriebene Auftragsverarbeitungsvereinbarung, die Unterauftragsverarbeiterliste, die Trainingsausschlussklausel und ein Protokoll Ihrer Prüfung vor dem Start. Bei höherem Risiko kann eine formale Datenschutz-Folgenabschätzung nötig sein. Das klären Sie mit Ihrem Berater, nicht mit dem Vertrieb des Anbieters.

Aufzeichnungsbekanntmachung und AI-Offenlegung

Zwei Pflichten werden oft in einen Satz gemischt und erfüllen dann keinen ihrer Zwecke.

Der Aufzeichnungshinweis betrifft Datenschutz. Eine Aufnahme erfasst personenbezogene Daten. Deshalb brauchen Sie Rechtsgrundlage, festgelegten Zweck und einen verständlichen Hinweis vor dem Beginn. Mehrere Mitgliedstaaten haben zusätzliche nationale Regeln. Prüfen Sie Ihre Rechtslage, statt das EU-Bild für vollständig zu halten.

Der KI-Hinweis ist eine andere Pflicht mit anderem Zweck im Rahmen der Transparenzanforderungen der EU-KI-Verordnung. Nach Darstellung der Europäischen Kommission sollen Menschen wissen, dass sie mit einer Maschine interagieren, um informiert entscheiden zu können. Die Bedeutung für kleine Unternehmen erläutert unser Leitfaden zur KI-Verordnung der EU für kleine Unternehmen.

Verwenden Sie zu Gesprächsbeginn zwei kurze, aufeinanderfolgende Hinweise, bevor persönliche Angaben erfragt werden, und ermöglichen Sie sofort einen menschlichen Kontakt. Nach unserer Erfahrung kostet das ein bis zwei Sekunden und verhindert die viel teurere Situation, dass Kunden mitten im Gespräch eine Täuschung bemerken.

Was passiert, wenn etwas schief geht

Fragen Sie: Wie schnell teilen Sie mir einen Sicherheitsvorfall mit meinen Daten mit, wer informiert mich und was werde ich erfahren?

Das ist kein Pessimismus, sondern Mathematik. Jeder Anbieter hat ein nicht null betragendes Vorfallrisiko. Ihre Gefährdung hängt weniger davon ab, ob etwas passiert, als davon, wie schnell und umfassend Sie es erfahren.

Geschwindigkeit zählt, weil die gesetzliche Pflicht bei Ihnen liegt. Soweit eine Meldung erforderlich ist, verlangt die DSGVO eine Meldung an die Aufsichtsbehörde ohne unangemessene Verzögerung und möglichst binnen 72 Stunden nach Bekanntwerden. Braucht der Anbieter zwei Wochen, ist wertvolle Zeit vergangen, ohne dass Sie überhaupt von einer Frist wussten. „Innerhalb angemessener Zeit“ genügt deshalb nicht. Sie brauchen eine konkrete, kurze Frist, die Raum zum Handeln lässt.

Eine gute Antwort enthält Vertragsfrist, benannten Kontakt oder überwachte Sicherheitsadresse, zugesagte Angaben zu betroffenen Daten und Maßnahmen sowie Unterstützung bei Ihrer gegebenenfalls nötigen Meldung. Eine schlechte Antwort ist Schweigen im Vertrag: Dann erfahren Sie es praktisch zeitgleich mit einem Kunden.

Der Vendor Security Fragebogen

Schicken Sie den Fragebogen als Dokument und verlangen Sie schriftliche Antworten. Der Ablauf ist genauso aufschlussreich wie der Inhalt. Wer nach einigen Tagen konkrete Antworten liefert, ist ein anderer Anbietertyp als jemand, der stattdessen ein Gespräch anbietet.

Frage an den Anbieter	So sieht eine gute Antwort aus	Warnsignal
In welcher Region werden Anrufaufnahmen gespeichert?	Eine konkrete, in der Auftragsverarbeitungsvereinbarung zugesicherte Region.	Das Sitzland statt des Datenstandorts.
Wo verarbeiten Spracherkennung und Sprachmodelle die Aufnahmen?	Konkrete Anbieter und Regionen für jeden Verarbeitungsschritt.	Speicherung und Verarbeitung als dieselbe Frage behandeln.
Welche Standardaufbewahrung gilt für Audio und Transkripte?	Getrennte, einstellbare Fristen mit genanntem Standardwert.	Keine genannte Frist, also unbefristete Speicherung.
Wie funktioniert Löschung über Sicherungskopien und nachgelagerte Systeme hinweg?	Beschriebener Mechanismus, maximale Durchlaufzeit und schriftliche Bestätigung.	Löschung als spontane Supportanfrage.
Trainieren meine Daten Ihre Modelle oder die Dritter?	Vertraglicher Ausschluss für Rohdaten, abgeleitete und menschlich geprüfte Daten, verbindlich auch für Unterauftragsverarbeiter.	Mündliche Zusicherung oder Ausnahme zur Serviceverbesserung.
Sind Daten bei Übertragung und Speicherung verschlüsselt und wer hält die Schlüssel?	Konkrete Standards, beschriebene Schlüsselverwaltung und regelmäßiger Wechsel.	Undefinierte Werbebegriffe wie „Sicherheit auf Bankenniveau“.
Welche Rollen dürfen auf Aufnahmen zugreifen oder sie abspielen?	Rollenbasierter Zugriff, Mehrfaktor-Authentifizierung, Zugriffsprotokolle und Entzug beim Ausscheiden.	Jede Antwort, die allgemeinen Mitarbeiterzugriff nahelegt.
Haben Sie eine anerkannte Sicherheitszertifizierung?	ISO/IEC-27001-Zertifizierung oder SOC-2-Bericht mit genanntem Prüfungsumfang.	Behauptete Normerfüllung ohne Zertifizierung oder Umfangsangabe.
Kann ich Ihre aktuelle Liste der Unterauftragsverarbeiter sehen?	Gepflegte Liste mit Aufgaben und Standorten sowie Vorabinformation über Änderungen.	Verweigerung oder Verweis auf unbenannte Partner.
Was kann ich beim Ausstieg in welchem Format exportieren?	Offene Formate wie CSV oder JSON für Transkripte, Metadaten und Ergebnisse.	Export nur als Bericht oder im Vertrag nicht geregelt.
Wann werden meine Daten nach Vertragsende gelöscht?	Eine schriftlich bestätigte Frist einschließlich Sicherungskopien.	Löschung nach Ermessen des Anbieters.
Wie schnell informieren Sie mich über Sicherheitsvorfälle?	Vertragliche Frist, benannter Kontakt und festgelegter Mitteilungsinhalt.	Keine Vorfallklausel oder nur ein Versprechen angemessenen Handelns.
Wer kontrolliert meine Nummer und wie schnell kann ich sie portieren?	Sie behalten die Kontrolle, mit dokumentierter Portierung.	Die Nummer liegt beim Anbieter, die Portierung ist ungeklärt.

Ein ehrlicher Vorbehalt: Ein kleiner Anbieter ohne SOC-2-Bericht ist nicht automatisch schlechter als ein großer mit Bericht. Zertifizierungen sind teuer und langwierig; viele kompetente kleine Teams haben noch keine erworben. Entscheidend sind konkrete, widerspruchsfreie und schriftliche Antworten. Über einen ganzen Fragebogen lässt sich Konkretheit schwer vortäuschen.

Häufig gestellte Fragen

Ist ein KI-Sprachagent sicher genug für eine Arzt- oder Zahnklinik?

Das hängt von der konkreten Einrichtung ab, nicht von der Technologie an sich. Gesundheitsdaten sind nach der DSGVO besonders geschützt und unterliegen höheren Verarbeitungshürden. Eine Klinik braucht daher EU-Speicherung, kurze festgelegte Aufbewahrung, einen vertraglichen Ausschluss von Aufnahmen für Trainingszwecke, strenge Anbieterzugriffe und eine schriftliche Auftragsverarbeitungsvereinbarung mit sämtlichen Unterauftragsverarbeitern. Viele Kliniken begrenzen den Assistenten bewusst auf Buchung und Umbuchung ohne klinische Details.

Wo sollten meine Aufnahmen und Transkripte gespeichert werden?

Für ein EU-Unternehmen ist EU oder EWR die einfachste vertretbare Antwort: Sie beseitigt eine ganze Kategorie internationaler Transferfragen, statt sie verwalten zu müssen. Fragen Sie nach der konkreten Region, nicht nach dem Unternehmenssitz, und getrennt nach Speicherung, Spracherkennung und Sprachmodellverarbeitung. Das sind oft verschiedene Anbieter in verschiedenen Rechtsräumen; eine Antwort deckt die andere nicht ab.

Wie verhindere ich das Training von KI-Modellen mit meinen Kundenanrufen?

Lassen Sie es vertraglich regeln, nicht nur per E-Mail. Verlangen Sie eine ausdrückliche Klausel: Audio, Transkripte und abgeleitete Daten dürfen weder Anbieter- noch Drittmodelle trainieren, abstimmen oder verbessern; dieselbe Einschränkung muss alle Unterauftragsverarbeiter binden. Eine mündliche Vertriebszusage ist bei Verlängerung oder Übernahme nichts wert. Seriöse Modellanbieter haben passende Unternehmensbedingungen. Kann Ihr Anbieter sich nicht verpflichten, sagt das viel über die tatsächlichen Datenwege aus.

Was bedeutet Verschlüsselung bei Übertragung und Speicherung?

Verschlüsselung bei der Übertragung schützt Daten zwischen Systemen: Wer die Verbindung abfängt, sieht Unverständliches statt eines Gesprächs. Bei der Speicherung schützt sie ruhende Daten, sodass eine Festplattenkopie oder Datenbanksicherung nicht einfach lesbar ist. Sie brauchen beides. Ein Anbieter sollte die Standards ohne Zögern nennen und erklären können, wer die Entschlüsselungsschlüssel hält. Gerade Letzteres trennt echte Absicherung von einer Marketingzeile.

Muss ich Anrufer über die Aufzeichnung informieren?

Anrufaufzeichnung erfasst in der EU personenbezogene Daten. Sie brauchen deshalb eine Rechtsgrundlage, einen klaren Zweck und einen verständlichen Hinweis vor Aufzeichnungsbeginn. Mehrere Mitgliedstaaten haben zusätzliche nationale Regeln; prüfen Sie Ihren Rechtsraum. Praktisch ist das ein kurzer Hinweis am Anfang, getrennt von der Information über das KI-Gespräch. Es sind zwei verschiedene Hinweise mit unterschiedlichen Aufgaben; zusammengeführt werden beide oft unklar.

Was muss ein Anbieter bei einer Datenschutzverletzung tun?

Der Anbieter sollte Sie rasch und so konkret informieren, dass Sie handeln können: Die Meldepflicht liegt bei Ihnen als Verantwortlichem. Die DSGVO verlangt, soweit erforderlich, Meldung an die Aufsichtsbehörde ohne unangemessene Verzögerung und möglichst binnen 72 Stunden. Eine vage angemessene Anbieterfrist reicht nicht. Verlangen Sie eine vertragliche Frist, einen benannten Kontakt und die zugesagten Informationen.