Jedes KI-System, das Anrufe, Chats oder E-Mails beantwortet, verarbeitet personenbezogene Daten, sobald ein Kunde einen Namen, eine Telefonnummer oder Bestelldaten nennt. Für EU-Unternehmen gilt damit die DSGVO ab der ersten Interaktion. Vor dem Einsatz sollten Sie verstehen, was das konkret erfordert.
Warum KI-Kundenservice überhaupt unter die DSGVO fällt
Die DSGVO regelt die Verarbeitung personenbezogener Daten. Dazu zählen Gesprächstranskripte, Chatverläufe und Supportanfragen mit Namen und Kontaktdaten von Kunden. Ob ein Mensch oder ein KI-System die Daten verarbeitet, spielt dabei keine Rolle: Es gelten dieselben Regeln. Die Frage ist also nicht, ob die DSGVO anwendbar ist, sondern ob das System entsprechend konzipiert wurde.
Datenminimierung
Die DSGVO verlangt, nur die für den jeweiligen Zweck erforderlichen Daten zu erheben. Ein gut konzipiertes KI-Supportsystem erfasst, was zur Lösung nötig ist, etwa Bestellnummer und Kontaktmöglichkeit. Es sollte keine zusätzlichen personenbezogenen Daten sammeln, nur weil sie im Gespräch technisch verfügbar sind.
Das Recht auf Löschung
Planen Sie einen nachvollziehbaren Ablauf für Löschanfragen und die Prüfung der einschlägigen Voraussetzungen und Ausnahmen. Erfassen Sie, welche Systeme Gespräche, Transkripte oder Kopien speichern und wer eine Anfrage bearbeitet. Die EDPB-Übersicht zu Betroffenenrechten bietet einen Einstieg; die konkrete Umsetzung muss zur Verarbeitung passen.
Der Speicherort der Daten ist entscheidend
Prüfen Sie die gesamte Verarbeitungskette: Speicherung, Spracherkennung, Sprachmodell, Supportzugriffe und weitere Anbieter. EU-Hosting allein klärt nicht alle Fragen zu Drittlandübermittlungen. Welche Voraussetzungen und Garantien gelten, richtet sich nach den tatsächlichen Datenflüssen. Die EDPB-Hinweise zu internationalen Datenübermittlungen erläutern die Grundlagen.
Trainingsdaten sind eine eigene Frage
Klären Sie schriftlich, ob Gesprächsdaten für andere Zwecke oder zum Modelltraining genutzt werden und welche Einstellungen und Verträge dafür gelten. Aus der Bezeichnung „KI-Anbieter“ folgt weder eine allgemeine Erlaubnis noch ein pauschales Verbot jeder Trainingsnutzung. Die EDPB-Stellungnahme zu KI-Modellen betont die notwendige Prüfung des konkreten Falls. Diese Übersicht ist keine Freigabe, Kundenanrufe zum Training zu verwenden.
Was Sie einen Anbieter konkret fragen sollten
Wo werden die Daten gespeichert, und verlassen sie irgendwann die EU? Gibt es einen funktionierenden Löschprozess – nicht nur ein Richtliniendokument, sondern einen tatsächlichen Mechanismus? Werden Kundendaten zum Training von Modellen außerhalb Ihres Systems genutzt? Ein Anbieter, der das nicht klar beantworten kann, ist nicht bereit für ein Unternehmen, das die DSGVO ernst nimmt. Daran ändert auch eine überzeugende Demo nichts.
Die konkrete Verarbeitung vor dem Einsatz prüfen
Vor einem KI-Kundensupport-Projekt müssen beteiligte Anbieter, Datenflüsse, Zugriffe, Aufbewahrung und Löschwege konkret festgelegt werden. Ein EU-Unternehmenssitz belegt für sich allein keine vollständige DSGVO-Konformität. Lassen Sie den tatsächlichen Einsatz und die zugehörigen Unterlagen fachkundig prüfen, bevor personenbezogene Daten verarbeitet werden.
Kostenloses Analysegespräch vereinbaren