DSGVO-Konformität in einem KI-Projekt ist keine Checkbox, die man am Ende noch abhakt. Sie bestimmt, wo Daten gehostet werden, welche Anbieter beteiligt sind und was mit einem Gespräch geschieht, sobald es beendet ist. Hier erfahren Sie, was ein Entscheider einen Anbieter tatsächlich fragen sollte.
Wo liegen die Daten tatsächlich?
Die erste Frage betrifft den Hosting-Standort, nicht nur die Vertragsklauseln. Ein DSGVO-konformes Setup hält Daten auf Servern in der EU oder in Deutschland, und für Unternehmen, die die stärkstmögliche Garantie benötigen, ist auf Wunsch eine vollständig On-Premise-Bereitstellung möglich, sodass Daten die eigene Infrastruktur des Kunden überhaupt nie verlassen. Diese Option ist am wichtigsten für alles, was direkt mit Kundengesprächen zu tun hat, und genau das tut ein KI-Telefonassistent oder Chatbot.
Welche Unterlagen tatsächlich vorhanden sein sollten
Ein Auftragsverarbeitungsvertrag (AVV) sollte zwischen dem Unternehmen und jedem Anbieter bestehen, der in seinem Auftrag personenbezogene Daten verarbeitet. Das ist eine DSGVO-Vorgabe, kein optionales Extra, das ein Anbieter bei einem kleineren Kunden weglassen kann. Speziell bei einem Chatbot hat jeder beteiligte Drittanbieter-Kanal (etwa WhatsApp Business) eigene Auswirkungen auf die Datenübertragung, die es zu verstehen gilt: Die Nutzung der WhatsApp Business API bedeutet eine Verbindung zur eigenen Infrastruktur von WhatsApp, was eine gesonderte Überlegung ist, unabhängig vom KI-System selbst.
Wer ist verantwortlich, und wie lange werden Daten gespeichert
Verantwortlichkeit sollte eine namentlich benannte Kontaktperson bedeuten, keine allgemeine Support-Adresse, und Aufbewahrungsfristen sollten festgelegt und durchgesetzt werden, statt unbegrenzt zu gelten: Daten werden nur so lange aufbewahrt, wie es der Zweck ihrer Erhebung erfordert. Ein Anbieter, der die Frage „Wie lange bewahren Sie das auf, und wer löscht es" nicht konkret beantworten kann, hat die Compliance-Struktur, die er für sich beansprucht, tatsächlich nicht aufgebaut.
Diese Fragen lohnen sich vor jeder Unterschrift
Wo werden die Daten physisch verarbeitet? Liegt ein AVV vor, und kann er vor Projektbeginn geprüft werden? Steht eine On-Premise-Bereitstellung zur Verfügung, falls die Antwort auf die erste Frage nicht ausreicht? Wie lautet die Aufbewahrungsfrist, und wird sie automatisch durchgesetzt, oder hängt es davon ab, ob jemand daran denkt? Ein Anbieter mit einer echten Compliance-Struktur beantwortet alle vier Fragen ohne Zögern.
Fazit
DSGVO-Konformität bei einem KI-Einsatz lässt sich auf vier überprüfbare Punkte reduzieren: Hosting-Standort, ein unterzeichneter AVV, klare Verantwortlichkeit und eine durchgesetzte Aufbewahrungsfrist, wobei eine On-Premise-Bereitstellung die stärkste Option ist, wenn die Daten sensibel genug sind, um dies zu rechtfertigen.