KI, die Kundenmails liest, zusammenfasst und Antworten vorschlägt, ist vom Experiment zum Alltagswerkzeug geworden. Für kleine Unternehmen in Deutschland hängt an dieser Bequemlichkeit aber eine ernsthafte Frage: Kundenmails enthalten personenbezogene Daten - Namen, Adressen, Vertragsdetails, manchmal deutlich Sensibleres. Sobald ein KI-Dienst sie verarbeitet, ist das ein Datenschutzthema. Dieser Artikel sortiert, was die DSGVO tatsächlich verlangt und welche Fragen du jedem Anbieter stellen solltest, bevor du ihm dein Postfach öffnest.
Was die DSGVO verlangt, wenn KI Kundenmails verarbeitet
Eine Rechtsgrundlage
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage aus Art. 6 DSGVO. Beim Beantworten von Kundenanfragen kommt regelmäßig die Vertragserfüllung oder das berechtigte Interesse in Betracht - der Kunde will ja eine Antwort. Entscheidend ist, dass die KI-Verarbeitung demselben Zweck dient wie die Bearbeitung durch einen Menschen und nicht heimlich weiteren Zwecken, etwa dem Training fremder Modelle.
Ein Auftragsverarbeitungsvertrag (AVV)
Der KI-Anbieter verarbeitet Daten in deinem Auftrag - dafür verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Kein AVV, kein Einsatz: So einfach ist diese Prüfung. Zum AVV gehört auch die Liste der Subunternehmer, denn hinter einem KI-Produkt stehen oft mehrere Dienste (Hosting, Modell, Suche).
Der Blick auf Drittlandtransfers
Verarbeitet der Anbieter - oder eines seiner Modelle - Daten außerhalb der EU, greifen die Regeln für Drittlandtransfers: Angemessenheitsbeschluss, Standardvertragsklauseln, Transfer-Folgenabschätzung. Das ist machbar, aber Aufwand und Restrisiko trägst du. Die einfachste Antwort auf diese Komplexität ist, sie zu vermeiden: Verarbeitung innerhalb der EU.
Datenminimierung und Löschung
Braucht die KI wirklich das ganze Postfach, oder nur die aktuelle Konversation? Werden Daten nach der Verarbeitung gespeichert, und wie lange? Ein seriöser Anbieter kann beide Fragen präzise beantworten und bietet Aufbewahrungsfristen, die du kontrollierst.
Die Checkliste: Fragen an jeden Anbieter
- Wo werden meine Daten gespeichert - und wo läuft die KI-Verarbeitung? (Region genügt nicht: „EU" muss für beides gelten, nicht nur fürs Speichern.)
- Gibt es einen AVV, und steht die vollständige Subunternehmer-Liste darin?
- Werden meine Inhalte zum Training von Modellen verwendet? (Die Antwort muss Nein sein.)
- Welche Zugriffe verlangt die Anbindung an mein Postfach - und sind sie aufs Nötige beschränkt?
- Sendet die KI selbstständig, oder gibt ein Mensch jede Antwort frei?
- Wie lange werden Mails und KI-Ergebnisse aufbewahrt, und kann ich das steuern?
Drei verbreitete Missverständnisse
„Wenn der Anbieter groß ist, wird es schon passen"
Die Größe eines Anbieters sagt nichts über den Verarbeitungsort deiner Daten. Gerade große US-Dienste verarbeiten standardmäßig außerhalb der EU - die DSGVO-Verantwortung bleibt trotzdem bei dir als Verantwortlichem.
„Wir haben doch die Einwilligung des Kunden"
Wer dir eine E-Mail schreibt, willigt damit nicht in beliebige Weiterverarbeitung ein. Einwilligung ist außerdem die fragilste Rechtsgrundlage - widerruflich und an strenge Bedingungen geknüpft. Sauberer ist eine Verarbeitung, die sich im Rahmen des erwartbaren Zwecks bewegt und technisch datensparsam bleibt.
„KI-Antworten sind das Risiko, nicht die Verarbeitung"
Beides zählt. Eine falsche KI-Antwort ist ärgerlich; eine rechtswidrige Verarbeitung ist ein Bußgeldthema. Deshalb gehören zwei Mechanismen zusammen: EU-Verarbeitung für die Datenseite und eine menschliche Freigabe für die Inhaltsseite. KI, die ungeprüft sendet, ist an beiden Fronten das falsche Werkzeug.