DSGVO-konformer KI-Kundenservice: Praxisleitfaden für Unternehmen
Kundenanfragen enthalten personenbezogene Daten. Erfahren Sie, welche Pflichten Sie als Verantwortlicher tragen, wie die Rollenverteilung mit KI-Anbietern geregelt wird und welche Checkliste Sie beachten müssen.
Kurze Antwort
Beim Einsatz eines KI-Kundenservice agiert das anwendende Unternehmen als Verantwortlicher (Art. 4 Nr. 7 DSGVO), während der Softwareanbieter als Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) tätig wird. Das bedeutet, dass Informationspflichten, Rechtsgrundlagen und Betroffenenrechte primär in der Verantwortung Ihres Unternehmens liegen. Vertragliche Auftragsverarbeitungsverträge (AVV) und technische Sicherheitsgarantien sind unverzichtbar.
Warum Datenschutz im Kundenservice entscheidend ist
Eine über WhatsApp oder Instagram gesendete Nachricht enthält in der Regel Namen, Telefonnummern, Adressen oder Bestellhistorien. Im medizinischen oder rechtlichen Kontext können sogar sensible Daten berührt werden. Die Automatisierung entbindet nicht von Sorgfaltspflichten, sondern erfordert saubere Prozesse.
Rollenverteilung nach DSGVO
| Partei | DSGVO-Rolle | Kernverantwortung |
|---|---|---|
| Ihr Unternehmen | Verantwortlicher | Festlegung von Zweck und Mitteln, Datenschutzerklärung, Bearbeitung von Betroffenenrechten |
| KI-Softwareanbieter | Auftragsverarbeiter | Weisungsgebundene Datenverarbeitung, technische und organisatorische Schutzmaßnahmen (TOMs) |
| Cloud-Hosting-Provider | Unterauftragsverarbeiter | Bereitstellung zertifizierter Serverinfrastruktur und Verschlüsselung |
Praxishinweis: Verlangt ein Kunde die Löschung seiner Daten (Art. 17 DSGVO), liegt die Pflicht zur Erfüllung bei Ihnen. Ihr Softwareanbieter muss die technische Möglichkeit zur sofortigen Datenlöschung gewährleisten.
6-Punkte-Compliance-Checkliste
1. Datenschutzerklärung aktualisieren
Informieren Sie transparent über automatisierte Systeme, genutzte Kanäle (WhatsApp, Instagram, Web-Chat), Verarbeitungszwecke und Speicherfristen.
2. Rechtsgrundlage präzise wählen
Die reine Beantwortung von Kundenanfragen stützt sich regelmäßig auf Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) oder berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO). Eine Einwilligung ist primär für Marketingnachrichten oder optionale Drittübermittlungen erforderlich.
3. Informationspflicht und Einwilligung strikt trennen
Informationshinweise dürfen nicht mit Einwilligungserklärungen vermischt werden. Die Inanspruchnahme des Grundservices darf nicht von Werbeeinwilligungen abhängig gemacht werden.
4. Ausschluss von KI-Modelltraining
Stellen Sie sicher, dass vertrauliche Kundennachrichten nicht zum Training öffentlicher Basismodelle herangezogen werden. Eine Modelloptimierung darf ausschließlich auf Basis unwiderruflich anonymisierter Daten erfolgen.
5. Internationale Datentransfers absichern
Werden Server außerhalb der EU/des EWR eingesetzt, müssen Angemessenheitsbeschlüsse oder EU-Standardvertragsklauseln (SCC) vorliegen.
6. Löschfristen festlegen
Nach Ablauf der steuerlichen oder handelsrechtlichen Aufbewahrungsfristen müssen Kommunikationsdaten unwiderruflich gelöscht werden.
Fazit
KI-Kundenservice lässt sich im Einklang mit der DSGVO rechtskonform betreiben, wenn die vertragliche Basis stimmt. Weitere Details finden Sie in unserer Datenschutzerklärung.
Harby Digital Forschungseinheit für KI & Kundenkommunikation
Dieser Leitfaden wurde erstellt, damit Unternehmen in der Türkei ihre Prozesse rund um KI, die WhatsApp Business API und die Automatisierung des Kundensupports korrekt, transparent und im Einklang mit rechtlichen Standards gestalten können.
Häufig gestellte Fragen
Wer ist Verantwortlicher beim Einsatz eines KI-Assistenten?
Das einsetzende Unternehmen ist Verantwortlicher (Art. 4 Nr. 7 DSGVO), der Softwareanbieter Auftragsverarbeiter. Die Erfüllung der Betroffenenrechte verbleibt beim Unternehmen.
Brauche ich für jede Kundenantwort eine Einwilligung?
Nein. Die direkte Bearbeitung von Anfragen und Bestellungen stützt sich auf Vertragserfüllung oder berechtigte Interessen. Einwilligungen sind für Marketingnachrichten nötig.
Dürfen Kundendaten zum Training von KI-Modellen genutzt werden?
Nur, wenn die Daten zuvor unwiderruflich anonymisiert wurden. Identifizierbare Kundendaten dürfen keinesfalls in öffentliche Modelle fließen.
Was gilt bei Datenübermittlungen ins Ausland?
Internationale Transfers müssen durch Angemessenheitsbeschlüsse oder Standarddatenschutzklauseln der EU-Kommission rechtlich abgesichert sein.
Welche Unterlagen muss der Anbieter bereitstellen?
Einen Auftragsverarbeitungsvertrag (AVV), eine Dokumentation der technischen und organisatorischen Maßnahmen (TOMs) sowie eine Liste der Unterauftragsverarbeiter.