KI-Einsatz im Unternehmen ist DSGVO-technisch kein Neuland, die meisten Anforderungen sind dieselben wie bei jeder anderen Datenverarbeitung. Diese Checkliste bildet ab, worauf es in der Praxis ankommt, wenn Telefon-KI, Chatbot oder Agenten personenbezogene Daten verarbeiten.
Auftragsverarbeitungsverträge (AVV)
Jeder Anbieter, dessen Infrastruktur personenbezogene Daten verarbeitet, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO: Das gilt für das eingesetzte Sprachmodell ebenso wie für Hosting, Sprachsynthese oder Automatisierungsplattform. Prüfen Sie vor dem Einsatz jedes Tools, ob ein AVV vorliegt, nicht erst danach.
EU-Verarbeitung sicherstellen
Wo möglich, sollte die Verarbeitung personenbezogener Daten in der EU stattfinden. Viele KI-Anbieter bieten mittlerweile EU-Rechenzentren an, das ist Standard, kein Sonderwunsch, und sollte explizit vertraglich zugesichert sein, nicht nur beworben.
Rechtsgrundlage klären
Für die Verarbeitung von Kundendaten durch einen KI-Telefonassistenten oder Chatbot braucht es eine Rechtsgrundlage, meist die Erfüllung eines (vor-)vertraglichen Verhältnisses (Art. 6 Abs. 1 lit. b DSGVO) oder ein berechtigtes Interesse. Dokumentieren Sie, welche Grundlage für welchen Anwendungsfall greift.
Art.-15- und Art.-17-Prozesse einrichten
Betroffene haben ein Recht auf Auskunft (Art. 15) und Löschung (Art. 17). Ihr KI-System sollte beides technisch abbilden können: Auf Anfrage muss sich nachvollziehen lassen, welche Daten zu einer Person gespeichert sind, und eine Löschung muss vollständig und mit Protokoll erfolgen, nicht nur „aus der Oberfläche entfernt”.
Protokollierung
Jede Antwort, die eine KI im Namen Ihres Unternehmens gibt, sollte protokolliert werden: wer (welches System), was, wann, mit welcher Quelle. Das dient nicht nur der Nachvollziehbarkeit bei Beschwerden, sondern auch dem Nachweis der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Aufbewahrungsfristen definieren
Legen Sie fest, wie lange Transkripte, Chatverläufe und Protokolle gespeichert werden, und stellen Sie sicher, dass die Löschung danach automatisch erfolgt, nicht manuell und nicht „wenn jemand dran denkt”.
Mitarbeiter-Schulung
Das größte praktische Risiko ist selten das offizielle KI-System, sondern der informelle Einsatz daneben: Mitarbeiter, die Kundendaten in ein privates Chat-Tool kopieren, weil es schneller geht. Eine klare, kurze interne Richtlinie (welche Tools erlaubt sind, welche Daten dort nicht hinein dürfen) plus eine einmalige Schulung senkt dieses Risiko spürbar.
EU AI Act: Transparenzpflichten (Stand Juli 2026)
Der EU AI Act verlangt für Chatbots und Sprach-KI im Kundenkontakt Transparenz: Nutzer müssen zu Beginn der Interaktion erkennen können, dass sie mit einem KI-System sprechen, nicht mit einem Menschen. Das betrifft sowohl Text-Chatbots auf der Website als auch Sprachassistenten am Telefon. Diese Kennzeichnungspflicht sollte fest im Gesprächsleitfaden bzw. im ersten Chat-Prompt verankert sein, nicht als nachträglicher Disclaimer irgendwo im Kleingedruckten.
Checkliste zum Abhaken
| Punkt | Erledigt? |
|---|---|
| AVV mit jedem beteiligten KI-Anbieter vorhanden | ☐ |
| Verarbeitung nachweislich in der EU | ☐ |
| Rechtsgrundlage pro Anwendungsfall dokumentiert | ☐ |
| Auskunftsprozess (Art. 15) technisch umgesetzt | ☐ |
| Löschprozess (Art. 17) technisch umgesetzt, mit Protokoll | ☐ |
| Protokollierung jeder KI-Antwort aktiv | ☐ |
| Aufbewahrungsfristen definiert und automatisiert | ☐ |
| Mitarbeiter zu erlaubten/verbotenen KI-Tools geschult | ☐ |
| KI-Kennzeichnung gegenüber Kunden zu Gesprächsbeginn (EU AI Act) | ☐ |
Diese Checkliste ersetzt keine Rechtsberatung im Einzelfall, gibt Ihnen aber einen praktischen Ausgangspunkt für das Gespräch mit Ihrem Datenschutzbeauftragten oder Anwalt. Bei meine-bots ist jeder dieser Punkte fest in die Architektur des KI-Betriebssystems eingebaut, nicht nachträglich aufgesetzt.