KI DSGVO-konform einsetzen: Leitfaden 2026

Sie wollen KI in Ihrem Unternehmen einsetzen — aber was sagt der Datenschutz dazu? Die Unsicherheit ist verständlich: 78 % der deutschen Unternehmen nennen Datenschutzbedenken als größtes Hindernis bei der KI-Einführung (Quelle: Bitkom Digital Office Index 2025).

Die gute Nachricht: KI DSGVO-konform zu nutzen ist machbar — wenn Sie die richtigen Rahmenbedingungen schaffen. Dieser Leitfaden erklärt, welche Anforderungen die DSGVO an KI-Systeme stellt, worauf Sie bei der Anbieterwahl achten müssen und wie Sie datenschutzkonforme KI in der Kundenkommunikation einsetzen — von der Checkliste bis zur konkreten Anbieterbewertung.

Was bedeutet DSGVO-konforme KI?

Die Grundlagen

DSGVO-konforme KI bedeutet, dass ein KI-System die Anforderungen der Datenschutz-Grundverordnung erfüllt. Für Unternehmen, die KI in der Kundenkommunikation einsetzen — etwa als Telefonassistent, Chatbot oder E-Mail-Automation — sind folgende Prinzipien entscheidend:

Zweckbindung

Kundendaten dürfen nur für den definierten Zweck verarbeitet werden. Wenn ein Kunde anruft, um einen Termin zu buchen, darf seine Telefonnummer nicht für Marketingzwecke verwendet werden.

Datenminimierung

Es dürfen nur die Daten erfasst werden, die für den konkreten Zweck notwendig sind. Ein KI-Telefonassistent, der Terminanfragen bearbeitet, braucht Name und Wunschtermin — nicht das Geburtsdatum.

Transparenz

Betroffene müssen wissen, dass ihre Daten verarbeitet werden und wie. Bei KI-gestützter Kommunikation bedeutet das: Der Anrufer muss erfahren, dass er mit einem KI-System spricht.

Speicherbegrenzung

Daten dürfen nicht länger gespeichert werden als nötig. Gesprächsaufzeichnungen, die nach der Zusammenfassung nicht mehr benötigt werden, müssen gelöscht werden.

Integrität und Vertraulichkeit

Technische und organisatorische Maßnahmen müssen die Daten vor unbefugtem Zugriff schützen — Verschlüsselung, Zugriffskontrollen, sichere Übertragung.

DSGVO und der AI Act: Was kommt auf Unternehmen zu?

Seit August 2024 ist der EU AI Act in Kraft — die weltweit erste umfassende KI-Regulierung. Für Unternehmen, die KI in der Kundenkommunikation einsetzen, gelten zusätzliche Anforderungen:

Transparenzpflicht: KI-Systeme, die mit Menschen interagieren, müssen als solche erkennbar sein
Risikoklassifizierung: KI-Telefonie und Chatbots fallen in der Regel unter "begrenztes Risiko" — mit überschaubaren Auflagen
Dokumentation: Unternehmen müssen dokumentieren, welche KI-Systeme sie einsetzen und wofür

Für die meisten KMUs, die einen KI-Telefonassistenten oder Chatbot nutzen, sind die Auflagen gut machbar — vorausgesetzt, der Anbieter hat die Compliance bereits eingebaut. Wenn Sie die KI-Implementierung von Anfang an richtig angehen, sparen Sie sich nachträgliche Anpassungen und mögliche Bußgelder.

Checkliste: Ist Ihr KI-Tool DSGVO-konform?

Bevor Sie ein KI-Tool in der Kundenkommunikation einsetzen, prüfen Sie diese sieben Punkte:

Wo werden die Daten verarbeitet?

Anforderung: Datenverarbeitung in der EU oder in Ländern mit angemessenem Datenschutzniveau.

Viele KI-Anbieter — insbesondere US-amerikanische — verarbeiten Daten auf Servern außerhalb der EU. Nach dem Schrems-II-Urteil des EuGH ist der Datentransfer in die USA nur unter strengen Auflagen zulässig. Prüfen Sie:

Steht im Vertrag explizit, wo Daten verarbeitet werden?
Befinden sich die Server in der EU?
Gibt es einen Auftragsverarbeitungsvertrag (AVV)?

Empfehlung: Wählen Sie Anbieter mit europäischen Rechenzentren. Das eliminiert die Unsicherheit rund um internationale Datentransfers und vereinfacht die Dokumentation gegenüber Aufsichtsbehörden erheblich.

Werden Gesprächsdaten für KI-Training verwendet?

Anforderung: Kundendaten dürfen ohne explizite Einwilligung nicht für Modelltraining verwendet werden.

Einige KI-Plattformen verwenden Nutzerdaten, um ihre Sprachmodelle zu verbessern. Das bedeutet: Das Gespräch Ihres Kunden fließt potenziell in das Training eines Modells ein, das auch anderen Unternehmen dient. Das ist ohne informierte Einwilligung nicht DSGVO-konform.

Empfehlung: Klären Sie vertraglich, dass Kundendaten nicht für Modelltraining genutzt werden. Seriöse Anbieter schließen das standardmäßig aus und bestätigen dies schriftlich im AVV.

Wie lange werden Daten gespeichert?

Anforderung: Daten müssen gelöscht werden, sobald der Verarbeitungszweck erfüllt ist.

Ein KI-Telefonassistent, der einen Termin bucht, braucht die Gesprächsdaten nur bis zur erfolgreichen Buchung. Danach gibt es keinen Rechtsgrund für die weitere Speicherung — es sei denn, gesetzliche Aufbewahrungspflichten greifen.

Empfehlung: Achten Sie auf konfigurierbare Löschfristen. Ideal ist ein Zero Retention Mode, bei dem Gesprächsdaten nach der Verarbeitung automatisch gelöscht werden.

Gibt es einen Auftragsverarbeitungsvertrag (AVV)?

Anforderung: Wenn ein externer Anbieter Kundendaten verarbeitet, ist ein AVV nach Art. 28 DSGVO Pflicht.

Der AVV regelt, was der Anbieter mit den Daten tun darf und welche Sicherheitsmaßnahmen gelten. Ohne AVV setzen Sie sich einem Bußgeldrisiko aus.

Empfehlung: Fordern Sie den AVV vor Vertragsabschluss an. Professionelle Anbieter stellen ihn standardmäßig zur Verfügung.

Wird der Anrufer über die KI informiert?

Anforderung: Transparenzpflicht nach DSGVO und AI Act — Nutzer müssen wissen, dass sie mit einer KI interagieren.

Das bedeutet nicht, dass der Assistent sich als "Roboter" vorstellen muss. Eine natürliche Formulierung wie "Sie sprechen mit dem digitalen Assistenten der Firma Müller" erfüllt die Anforderung.

Wie sicher ist die Datenübertragung?

Anforderung: Technische Maßnahmen zum Schutz personenbezogener Daten (Art. 32 DSGVO).

Gerade bei Telefongesprächen werden oft sensible Informationen übermittelt. Die gesamte Kommunikationskette muss durchgängig geschützt sein. Prüfen Sie:

Verschlüsselte Übertragung (TLS/SSL) für alle Gespräche und Daten
Verschlüsselte Speicherung (Encryption at Rest)
Zugriffskontrollen und Authentifizierung
Regelmäßige Sicherheitsaudits und Penetrationstests beim Anbieter
ISO 27001 oder vergleichbare Zertifizierung als zusätzliches Vertrauenssignal

Können Betroffenenrechte gewährleistet werden?

Anforderung: Betroffene haben das Recht auf Auskunft, Löschung und Widerspruch.

Wenn ein Kunde wissen möchte, welche Daten über ihn gespeichert sind, oder die Löschung verlangt, müssen Sie das umsetzen können. Ihr KI-Anbieter muss Ihnen die Werkzeuge dafür bereitstellen — idealerweise über ein Dashboard mit Export- und Löschfunktion.

Branchen mit besonderen Datenschutzanforderungen

Die oben genannten Anforderungen gelten für jedes Unternehmen — aber einige Branchen haben verschärfte Regelungen:

Gesundheitswesen

Patientendaten unterliegen der ärztlichen Schweigepflicht (§ 203 StGB) und besonderem Schutz nach Art. 9 DSGVO. Ein KI-Telefonassistent in einer Arztpraxis verarbeitet potenziell Gesundheitsdaten — etwa wenn ein Patient Symptome schildert oder nach Laborergebnissen fragt.

Anforderung: Erweiterte technische Maßnahmen, Zero Retention für Gesprächsinhalte, keine Datenweitergabe an Dritte. Ein KI-Telefonassistent für Arztpraxen muss diese Anforderungen ab dem ersten Anruf erfüllen. Die Verarbeitung von Gesundheitsdaten erfordert zudem eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO.

Rechtsberatung

Mandantenkommunikation unterliegt der anwaltlichen Schweigepflicht. Ein KI-System, das Anrufe einer Anwaltskanzlei entgegennimmt, darf unter keinen Umständen Gesprächsinhalte an Dritte weitergeben oder für KI-Training verwenden.

Anforderung: Ende-zu-Ende-Verschlüsselung, Zero Retention, keine Cloud-basierte Verarbeitung in Drittländern. Selbst die Zusammenfassung eines Mandantengesprächs darf nur auf sicheren, europäischen Servern verarbeitet werden.

Finanzdienstleistungen

Versicherungsmakler, Steuerberater und Finanzberater verarbeiten sensible Finanzdaten. Regulierungen wie MaRisk und BAIT stellen zusätzliche Anforderungen an die IT-Sicherheit.

Anforderung: Auditierbare Datenverarbeitung, dokumentierte Sicherheitsmaßnahmen, AVV mit detaillierten technischen Standards. Regulierungsbehörden erwarten, dass Sie jederzeit nachweisen können, welche Daten wo und wie lange gespeichert werden.

Wie VOISA diese Anforderungen erfüllt

VOISA wurde von Grund auf für den deutschen Markt und seine Datenschutzanforderungen entwickelt:

Europäische Datenverarbeitung

Alle Daten werden ausschließlich auf Servern in der EU verarbeitet

Zero Retention Mode

Gesprächsdaten werden nach der Verarbeitung automatisch gelöscht

Kein Modelltraining

Kundendaten werden niemals für KI-Training verwendet

AVV inklusive

Auftragsverarbeitungsvertrag wird standardmäßig bereitgestellt

Transparenz-Modus

Konfigurierbare Ansage zu Beginn jedes Gesprächs

Verschlüsselung

TLS-verschlüsselte Übertragung und Encryption at Rest

Durch den Zero Retention Mode geht VOISA über die DSGVO-Mindestanforderungen hinaus: Gesprächsdaten existieren nur so lange, wie sie für die Verarbeitung benötigt werden — danach werden sie automatisch und unwiderruflich gelöscht.

Häufige Fehler bei der KI-Einführung

Fehler 1: US-amerikanische Tools ohne Prüfung einsetzen

Viele populäre KI-Tools verarbeiten Daten standardmäßig auf US-Servern. Auch das EU-US Data Privacy Framework schafft keine vollständige Rechtssicherheit. Prüfen Sie immer die Enterprise-Version und deren Datenschutzoptionen — oder wählen Sie von Anfang an einen europäischen Anbieter.

Fehler 2: Keinen AVV abschließen

Das KI-Tool wird eingerichtet, ohne dass ein Auftragsverarbeitungsvertrag vorliegt. Das ist ein klarer DSGVO-Verstoß — unabhängig davon, wie gut das Tool technisch arbeitet. Der AVV sollte vor der ersten Nutzung vorliegen.

Fehler 3: Gesprächsdaten unbegrenzt speichern

"Könnte ja noch nützlich sein" ist kein Rechtsgrund für die Datenspeicherung. Definieren Sie klare Löschfristen. Automatisierte Löschung ist sicherer als manuelle Prozesse, weil sie nicht vergessen werden kann.

Fehler 4: Mitarbeiter nicht schulen

Auch wenn die KI DSGVO-konform arbeitet: Ihre Mitarbeiter müssen wissen, welche Daten sie aus dem KI-System exportieren dürfen und wie sie mit Kundenanfragen umgehen.

Fehler 5: Einwilligung und Rechtsgrundlage verwechseln

Nicht jede Datenverarbeitung braucht eine explizite Einwilligung. Bei einem eingehenden Anruf liegt häufig ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) oder eine Vertragsanbahnung (Art. 6 Abs. 1 lit. b) als Rechtsgrundlage vor.

Zusammenfassung der Anforderungen

Anforderung	Was Sie prüfen müssen	Empfohlene Lösung
Datenverarbeitung	Server-Standort	EU-Server, kein Drittland-Transfer
Modelltraining	Verwendung von Kundendaten	Vertraglicher Ausschluss
Speicherdauer	Löschfristen	Automatische Löschung / Zero Retention
AVV	Vertragliche Grundlage	AVV nach Art. 28 DSGVO
Transparenz	Information der Betroffenen	KI-Hinweis zu Gesprächsbeginn
Sicherheit	Technische Maßnahmen	TLS, Encryption at Rest, Zugriffskontrolle
Betroffenenrechte	Auskunft, Löschung, Widerspruch	Dashboard mit Export/Löschfunktion

Häufige Fragen zu KI und DSGVO

Darf ein KI-Telefonassistent Gespräche aufzeichnen?

Ja, unter bestimmten Bedingungen. Die Aufzeichnung muss einen klaren Zweck haben (z. B. Qualitätssicherung), der Anrufer muss darüber informiert werden, und es muss eine Rechtsgrundlage vorliegen. Ohne diese Voraussetzungen ist eine Aufzeichnung nicht zulässig. Wenn Sie auf der sicheren Seite sein wollen, nutzen Sie den Zero Retention Mode — dann werden Gesprächsdaten nach der Verarbeitung automatisch gelöscht.

Brauche ich einen Datenschutzbeauftragten, wenn ich KI einsetze?

Die Pflicht hängt nicht vom KI-Einsatz ab, sondern von der Unternehmensgröße und der Art der Datenverarbeitung. Unternehmen mit mindestens 20 Mitarbeitern, die regelmäßig personenbezogene Daten verarbeiten, brauchen einen — unabhängig davon, ob sie KI nutzen. In jedem Fall sollten Sie intern eine verantwortliche Person für Datenschutzfragen benennen.

Was passiert, wenn mein KI-Anbieter nicht DSGVO-konform ist?

Die Verantwortung liegt bei Ihnen als Unternehmen. Wenn Ihr KI-Anbieter personenbezogene Daten Ihrer Kunden verarbeitet und dabei gegen die DSGVO verstößt, haften Sie als Verantwortlicher. Bußgelder können bis zu 4 % des Jahresumsatzes betragen. Prüfen Sie daher jeden Anbieter sorgfältig.

Können meine Kunden der KI-Verarbeitung widersprechen?

Ja. Betroffene haben jederzeit das Recht, der Verarbeitung ihrer Daten zu widersprechen. Wenn ein Anrufer nicht mit einer KI sprechen möchte, muss eine Alternative bereitgestellt werden — etwa die Weiterleitung an einen menschlichen Mitarbeiter. Gute KI-Telefonassistenten bieten diese Option standardmäßig an.

Fazit: Datenschutzkonforme KI ist kein Hindernis, sondern Qualitätsmerkmal

KI DSGVO-konform einzusetzen ist keine Bürokratie-Hürde — es ist ein Wettbewerbsvorteil. Kunden vertrauen Unternehmen, die transparent mit ihren Daten umgehen. Gerade in sensiblen Branchen wie Gesundheit, Recht und Finanzen entscheidet der Datenschutz darüber, ob Kunden einer KI-Lösung vertrauen.

Die wichtigsten Punkte:

EU-Datenverarbeitung ist Pflicht — Keine Kompromisse beim Server-Standort
Zero Retention schafft Vertrauen — Automatische Löschung geht über die Mindestanforderungen hinaus
Der AVV schützt Sie — Ohne Auftragsverarbeitungsvertrag kein DSGVO-konformer KI-Einsatz
Transparenz gewinnt Kunden — Wer offen mit KI umgeht, wird belohnt
Die richtige Anbieterwahl vereinfacht alles — DSGVO-Compliance sollte eingebaut sein, nicht nachgerüstet

Datenschutz und KI sind kein Widerspruch. Mit dem richtigen Anbieter nutzen Sie die Vorteile von KI in der Kundenkommunikation — ohne Kompromisse beim Schutz persönlicher Daten. Und Ihre Kunden danken es Ihnen: mit Vertrauen, Loyalität und der Bereitschaft, ihre Anliegen einem KI-Assistenten anzuvertrauen.

DSGVO-konforme KI-Lösung kostenlos testen

Überzeugen Sie sich selbst: VOISA wurde für den deutschen Datenschutz entwickelt. Zero Retention, EU-Server, AVV inklusive.

Jetzt kostenlos testen

KI DSGVO-konform einsetzen: Leitfaden für Unternehmen