KI-Kundenservice und die DSGVO: ist das erlaubt, und wie machst du es richtig?

Darfst du eine KI deine Kundenfragen beantworten lassen, ohne gegen das Datenschutzrecht zu verstoßen? Ja, das darfst du. Aber nicht einfach so, und genau darum geht es in diesem Beitrag. KI-Kundenservice und die DSGVO stehen sich nicht von Natur aus im Weg, du musst nur ein paar Dinge sauber regeln, bevor du live gehst. Lässt du die aus, riskierst du Bußgelder, Datenlecks und Kunden, die sich zu Recht unwohl fühlen.

Die meiste Skepsis kommt aus Unwissenheit. Leute hören KI und sehen ihre Kundendaten schon in einem amerikanischen Rechenzentrum verschwinden, um ein Modell zu füttern. Das kann passieren, aber es ist kein Naturgesetz. Wenn du weißt, worauf du achten musst, ist eine DSGVO-konforme Einrichtung gut machbar.

Ist KI-Kundenservice laut DSGVO erlaubt? Ja, wenn du es richtig aufsetzt

Die DSGVO verbietet KI nirgendwo. Das Gesetz ist technologieneutral, es macht also keinen Unterschied, ob ein Mensch oder ein System personenbezogene Daten verarbeitet: Es gelten dieselben Regeln. Sobald du eine KI eine E-Mail oder Chatnachricht eines Kunden lesen lässt, verarbeitest du personenbezogene Daten. Damit fällst du unter die DSGVO, genau wie bei einem Mitarbeiter, der dieselbe Mail öffnet.

Der Unterschied liegt in Umfang und Sichtbarkeit. Eine KI liest in kurzer Zeit viel mehr Nachrichten, als ein Team je bewältigen kann, und von außen ist weniger klar, was mit diesen Daten passiert. Da liegt der wunde Punkt. Die Frage ist also nicht, ob es erlaubt ist, sondern ob du erklären und belegen kannst, was mit den Daten deiner Kunden geschieht.

Was die DSGVO konkret von dir verlangt

KI-Kundenservice DSGVO-konform zu machen, läuft auf eine Handvoll Prinzipien hinaus, die du ohnehin schon einhalten solltest. KI macht nur schmerzhaft sichtbar, wo es noch hakt.

• Rechtsgrundlage: Du hast einen gültigen Grund, die Daten zu verarbeiten. Im Kundenservice ist das meist die Erfüllung eines Vertrags oder ein berechtigtes Interesse, nicht zwingend die Einwilligung.
• Datenminimierung: Die KI bekommt nur die Daten, die zur Beantwortung der Frage nötig sind, nicht deinen kompletten Kundenbestand, weil es zufällig geht.
• Transparenz: Der Kunde weiß, dass er mit einer KI spricht, und kommt bei einem Menschen unter. Zu verstecken, dass ein Computer mitliest, heißt Ärger geradezu einzuladen.
• Speicherfrist: Gespräche und Logs bewahrst du nicht ewig auf. Du legst fest, wie lange, und warum diese Frist sinnvoll ist.
• Auftragsverarbeitungsvertrag: Nutzt du einen externen Anbieter, hältst du darin fest, was der mit den Daten darf und muss.

EU-Hosting ist kein Detail

Wo die Daten physisch liegen, ist eines der ersten Dinge, die ein Datenschutzbeauftragter oder ein kritischer Kunde überprüft. Läuft deine KI auf Infrastruktur in den USA, steht die Frage nach der Übermittlung außerhalb der EU sofort im Raum. Seit dem Fall des alten Privacy Shield und dem Hin und Her, das darauf folgte, ist das ein Sumpf, um den du besser einen Bogen machst.

Wählst du einen Anbieter, der vollständig innerhalb der EU hostet und die Daten nicht zum Training von Modellen nutzt, fällt ein großer Teil dieser Diskussion weg. Das erspart dir einen Berg juristischer Arbeit, und du kannst einem Kunden ohne Zögern antworten. Bei Conveya ist genau das der Grund, warum das gesamte Setup EU-gehostet ist: Es ist schlicht der Weg mit den wenigsten Komplikationen.

Datenminimierung: Hier liegt der größte Gewinn

Von allen DSGVO-Prinzipien berühren sich Technik und Compliance am stärksten bei der Datenminimierung. Eine KI, die live in deinen Systemen mitliest, denk an Shopify, dein CRM oder einen Kalender, kann enorm nützlich sein. Aber zwischen der KI den Bestellstatus dieses einen Kunden abrufen zu lassen und der KI Zugriff auf deine komplette Bestelldatenbank zu geben, liegt ein Riesenunterschied.

Das Erste ist vertretbar und sofort nützlich. Das Zweite ist ein Datenleck, das nur auf seinen Moment wartet. Richte den Zugriff so ein, dass die KI pro Gespräch genau das abruft, was für diesen Kunden nötig ist, und sonst nichts. Das ist sauber nach DSGVO und macht deine Antworten schärfer, weil die KI nicht von Daten abgelenkt wird, die nichts zur Sache tun.

Achte auch auf besondere Kategorien personenbezogener Daten. In einer simplen Kundenfrage kann schnell mal eine Gesundheitsinformation oder etwas anderes Sensibles auftauchen, gerade in Branchen wie Gesundheit oder Versicherung. Überleg dir vorab, wie dein System damit umgeht und wer es zu Gesicht bekommt.

Automatisierte Entscheidungen und Artikel 22

Ein Teil der DSGVO wird beim KI-Kundenservice oft übersehen: Artikel 22, zur automatisierten Entscheidungsfindung. Ein Kunde darf keiner ausschließlich automatisierten Entscheidung mit Rechtsfolgen oder etwas von vergleichbarem Gewicht unterworfen werden, ohne dass ein Mensch beteiligt ist.

Für den Großteil des Kundenservice spielt das keine Rolle. Eine KI, die erklärt, wo ein Paket bleibt oder wie man etwas zurückschickt, trifft keine schwerwiegende Entscheidung. Aber lässt du die KI eigenständig Ansprüche ablehnen, Kreditanfragen bewerten oder Abos mit finanziellen Folgen kündigen, dann bewegst du dich auf dünnem Eis. Halte dich deshalb an eine einfache Linie: Bei solchen Entscheidungen fällt immer ein Mensch die Entscheidung. Die Übergabe an einen Mitarbeiter, samt Kontext des Gesprächs, ist dann kein Luxus, sondern Pflicht.

Die DSGVO-Checkliste für deinen KI-Kundenservice

Geh diese Punkte durch, bevor du den KI-Kundenservice einschaltest. Kannst du überall ja sagen, bist du auf der sicheren Seite.

1. Du weißt, auf welcher Rechtsgrundlage du die Daten verarbeitest, und hast das in deinem Verarbeitungsverzeichnis festgehalten.
2. Die KI läuft auf EU-Infrastruktur, und die Kundendaten werden nicht für das Modelltraining verwendet.
3. Es gibt einen Auftragsverarbeitungsvertrag mit deinem Anbieter, in dem das festgelegt ist.
4. Der Kunde sieht deutlich, dass er mit einer KI spricht, und kommt mit einem Klick zu einem Menschen.
5. Die KI hat nur Zugriff auf die Daten, die pro Gespräch nötig sind, nicht standardmäßig auf alles.
6. Du hast eine Speicherfrist für Gespräche und Logs festgelegt, und die ist technisch erzwungen.
7. Schwerwiegende oder finanzielle Entscheidungen laufen immer über einen Mitarbeiter.
8. In deiner Datenschutzerklärung steht, dass du KI im Kundenkontakt einsetzt und was das bedeutet.

Was realistisch dabei herauskommt

KI-Kundenservice und die DSGVO passen gut zusammen, solange du die heiklen Punkte vorab regelst, statt später darüber zu stolpern. Anbieter, die das ernst nehmen, haben EU-Hosting, einen ordentlichen Auftragsverarbeitungsvertrag und Datenminimierung schon eingebaut, wodurch die meiste Arbeit bereits für dich erledigt ist. Was dir bleibt, ist zu prüfen, ob es stimmt, es deinen Kunden ehrlich zu erklären und einen Menschen in der Hinterhand zu halten für die Fälle, die wirklich zählen. Mach das, und das Datenschutzrecht ist keine Bremse, sondern eine Rahmenbedingung, die du sauber abgehakt hast.