DSGVO-orientierte KI: Was du wirklich beachten musst

Du willst einen KI-Chatbot für deinen Kundenservice einsetzen? Super Idee - aber Vorsicht: Die meisten KI-Anbieter speichern deine Kundendaten in den USA. Das kann teuer werden.

Das Problem: Wo landen deine Kundendaten?

Wenn du ChatGPT, Claude oder andere US-basierte KI-Dienste nutzt, passiert Folgendes:

• Deine Kunden schreiben persönliche Daten (Namen, Adressen, Bestellungen)
• Diese Daten werden an Server in den USA geschickt
• OpenAI/Anthropic speichert und verarbeitet sie dort
• Der US CLOUD Act erlaubt US-Behörden Zugriff auf diese Daten

Das kann datenschutzrechtlich problematisch sein. Ob ein konkretes Setup zulässig ist, hängt von Region, Verträgen, SCCs, TIA, DPA und Schutzmaßnahmen ab.

Realistisches Szenario: Was passieren kann

Stell dir vor: Ein Kunde fragt deinen KI-Chatbot: „Ich bin Max Mustermann, wohnhaft in Musterstraße 12, 12345 Berlin. Meine Bestellung #12345 ist noch nicht angekommen. Könnt ihr bitte nachschauen?"

Diese Nachricht enthält:

• Name (personenbezogen)
• Adresse (personenbezogen)
• Bestellnummer (potenziell personenbezogen)

Wenn das an US-Server geht, hast du eineunrechtmäßige Datenübermittlung in ein Nicht-EU-Land ohne angemessenes Datenschutzniveau.

Die Lösung: geprüfte Datenflüsse und klare Anbieterwahl

Es gibt mehrere Wege, KI DSGVO-orientiert und prüfbar zu nutzen:

Option 1: EU-Datenoptionen bei Managed AI

Du nutzt einen KI-Anbieter mit dokumentierten EU-Datenoptionen:

• ✅ Datenregionen und Unterauftragsverarbeiter dokumentiert
• ✅ Datenübermittlungen und Schutzmaßnahmen geprüft
• ✅ Auftragsverarbeitungsvertrag (AVV) vorhanden
• ✅ Technische und organisatorische Maßnahmen (TOMs) dokumentiert

Option 2: eigene Anbieterzugänge

Je nach Setup kannst du eigene Anbieterzugänge nutzen, etwa über bestehende Verträge mit OpenAI, Azure oder EU-orientierten Providern.

Vorteile:

• ✅ Verantwortlichkeiten sind klarer dokumentierbar
• ✅ Du prüfst, wo und wie Daten verarbeitet werden
• ✅ Speicherfristen und Logs werden vertraglich geklärt
• ✅ Kostenmodell wird transparent je Anbieter ausgewiesen

Wichtig bei eigenen Anbieterzugängen: Du brauchst passende Verträge und musst Datenflüsse, Speicherfristen und TOMs sauber dokumentieren.

Was sagt die DSGVO konkret?

Die Datenschutz-Grundverordnung fordert:

• Rechtsgrundlage (Art. 6): Du brauchst eine Erlaubnis, Daten zu verarbeiten (z.B. Vertragserfüllung oder Einwilligung)
• Transparenz (Art. 12-14): Nutzer müssen wissen, dass sie mit einer KI sprechen und wie ihre Daten genutzt werden
• Datenminimierung (Art. 5): Nur nötige Daten erheben
• Löschung (Art. 17): Nutzer können Löschung verlangen
• Auskunft (Art. 15): Nutzer können wissen, welche Daten über sie gespeichert sind

Was brauchst du für einen DSGVO-orientierten KI-Agent?

1. Hosting und Anbieterregion prüfen

Prüfe, wo App, Datenbank, Dateien und KI-API-Calls verarbeitet werden. Nicht nur die Website zählt, sondern die komplette Verarbeitungskette.

2. Auftragsverarbeitungsvertrag (AVV)

Zwischen dir und deinem KI-Anbieter. Dokumentiert, wer was mit den Daten macht.

3. Datenschutzerklärung anpassen

Erwähne explizit:

• Dass ein KI-Chatbot eingesetzt wird
• Welche Daten verarbeitet werden
• Wo die Server stehen
• Wie lange Daten gespeichert werden

4. Opt-In für sensible Daten

Wenn dein KI-Agent Gesundheitsdaten, politische Meinungen oder andere sensible Daten verarbeitet: Einwilligung einholen!

5. Löschfunktion

Nutzer müssen Chat-Verläufe löschen können. Und du musst beweisen können, dass sie gelöscht wurden.

Schwarzwald Agent: DSGVO-orientiert gedacht

Wir bauen Schwarzwald Agent mit DSGVO-Fokus und transparenten Datenflüssen:

• 🌍 Datenregion: Anbieter und Regionen werden je Setup ausgewiesen
• 🔒 Schlüsseloptionen: eigene Anbieterzugänge werden je Setup geprüft
• 📋 AVV: Vertragsunterlagen werden im Onboarding bereitgestellt
• 🗑️ Löschung: Speicherfristen werden transparent konfiguriert
• 📊 Audit-Logs: Wer hat wann auf welche Daten zugegriffen?
• 🇩🇪 Deutsches Unternehmen: Anspruch in Deutschland

Was du als Nutzer tun musst

1. Datenschutzerklärung aktualisieren (Template verfügbar)
2. AVV unterschreiben (bei uns automatisch)
3. Cookie-Banner anpassen (falls Tracking)
4. Team schulen (wer hat Zugriff auf Chat-Logs?)
5. Dokumentation führen (Verarbeitungstätigkeitenverzeichnis)

Fazit

KI im Kundenservice ist kein Datenschutz-Problem - wenn du es richtig machst.

Die wichtigsten Regeln:

• ✅ Datenregionen und Anbieterzugänge prüfen
• ✅ AVV mit deinem Anbieter
• ✅ Transparente Datenschutzerklärung
• ✅ Lösch- und Auskunftsrechte gewährleisten

Dann kannst du die Vorteile von KI nutzen, ohne rechtliche Risiken einzugehen.