Deutsche Support-Teams setzen zunehmend KI-Agenten zur Bearbeitung von Kundenanfragen ein, doch die Schnittstelle zwischen DSGVO und KI-Agenten wirft schwerwiegende Compliance-Fragen auf, mit denen sich viele Unternehmen erst seit Kurzem auseinandersetzen. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat ihre Durchsetzungsmaßnahmen im Laufe des Jahres 2025 und bis ins Jahr 2026 verschärft, und die Bußgelder für den unsachgemäßen Umgang mit personenbezogenen Daten in automatisierten Systemen sind in die Millionen gestiegen. Wenn Ihr Team eine KI-gestützte Support-Lösung einsetzt oder in Erwägung zieht, ist es unerlässlich zu verstehen, wo das deutsche Datenschutzrecht Grenzen zieht: Es ist der Unterschied zwischen einer reibungslosen Einführung und einem regulatorischen Albtraum. Dieser Leitfaden erläutert die spezifischen Bereiche, auf die deutsche Support-Teams achten müssen, wenn sie KI-Agenten mit den Verpflichtungen der DSGVO kombinieren.
Der rechtliche Status von KI-Agenten gemäß DSGVO
Die DSGVO erwähnt KI-Agenten zwar nicht ausdrücklich, muss dies aber auch nicht. Jedes KI-System, das personenbezogene Daten verarbeitet, fällt uneingeschränkt unter die bestehenden Datenschutzvorschriften. Die Herausforderung für Support-Teams besteht darin, genau zu klären, wer die Verantwortung trägt, wenn ein KI-Agent Kundeninformationen erfasst, speichert oder darauf reagiert.
Abgrenzung der Verantwortlichkeiten zwischen Verantwortlichem und Auftragsverarbeiter
Ihr Unternehmen ist mit ziemlicher Sicherheit der „Verantwortliche“, wenn Sie einen KI-Agenten für den Kundensupport einsetzen. Sie legen fest, warum und wie personenbezogene Daten verarbeitet werden, auch wenn ein Drittanbieter die KI entwickelt hat. Der Anbieter fungiert seinerseits in der Regel als „Auftragsverarbeiter“ und verarbeitet die Daten nach Ihren Anweisungen.
Diese Unterscheidung ist von enormer Bedeutung. Als Verantwortlicher tragen Sie die primäre rechtliche Verantwortung: Rechtsgrundlage, Transparenz, Rechte der betroffenen Personen und Meldung von Datenschutzverletzungen liegen allesamt in Ihrer Verantwortung. Sie benötigen einen ordnungsgemäßen Auftragsverarbeitungsvertrag mit Ihrem KI-Anbieter, in dem genau festgelegt ist, auf welche Daten der Agent zugreifen darf, wie lange diese aufbewahrt werden und was passiert, wenn etwas schiefgeht. Viele handelsübliche KI-Support-Tools enthalten allgemeine Geschäftsbedingungen, die den deutschen DSGVO-Standards nicht entsprechen; prüfen Sie diese daher sorgfältig.
Die Rolle des BfDI bei der KI-Aufsicht
Das BfDI äußert sich seit der Veröffentlichung seines aktualisierten Schwerpunktbereichs „KI und Algorithmen“ Ende 2025 zunehmend deutlich zur KI-Aufsicht. Es hat mehrere Untersuchungen zur automatisierten Entscheidungsfindung im Kundenservice durchgeführt, und sein Durchsetzungsinstrumentarium umfasst sowohl Abhilfeverfügungen als auch erhebliche Geldbußen.
Was das BfDI für Support-Teams besonders relevant macht, ist sein Schwerpunkt auf branchenspezifischen Leitlinien. Es hat deutlich gemacht, dass sich Unternehmen nicht hinter den Konformitätsversprechen der Anbieter verstecken können: Wer das Tool einsetzt, trägt das Risiko. Das BfDI koordiniert sich zudem mit dem Europäischen KI-Büro im Rahmen des EU-KI-Gesetzes, was eine weitere Regulierungsebene darstellt, die deutsche Teams ab 2026 berücksichtigen müssen.
Transparenz und die Informationspflicht für Support-Teams
Transparenz ist der Punkt, an dem viele Support-Teams als Erstes ins Straucheln geraten. Die DSGVO verlangt, dass man den Betroffenen mitteilt, was man mit ihren Daten macht, und KI-Agenten bringen eine Komplexität mit sich, die allgemeine Datenschutzerklärungen selten abdecken.
Erkennbarkeit: Wann muss der Kunde wissen, dass es sich um eine KI handelt?
Gemäß dem EU-KI-Gesetz, das 2025 teilweise in Kraft trat und dessen schrittweise Umsetzung bis 2026 fortgesetzt wird, müssen Nutzer informiert werden, wenn sie mit einem KI-System interagieren. Das ist nicht nur ein „Nice-to-have“, sondern eine gesetzliche Verpflichtung. Deutsche Support-Teams müssen zu Beginn jeder Interaktion deutlich darauf hinweisen, dass der Kunde mit einem KI-Agenten spricht.
Ein einfaches „Sie chatten gerade mit unserem KI-Assistenten“ zu Beginn eines Gesprächs reicht in der Regel aus. Der Hinweis muss jedoch gut sichtbar und eindeutig sein. Ihn in einer Seite mit Nutzungsbedingungen zu verstecken, die niemand liest, reicht nicht aus. Der BfDI hat Fälle, in denen Unternehmen ihre KI-Agenten ohne entsprechenden Hinweis menschlich klingen ließen, ausdrücklich als Verstoß gegen die Transparenzpflicht beanstandet.
Erklärbarkeit automatisierter Entscheidungsfindung
Artikel 22 der DSGVO räumt Einzelpersonen das Recht ein, nicht Entscheidungen zu unterliegen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und sie erheblich betreffen. Wenn Ihr KI-Agent ohne menschliche Überprüfung Entscheidungen über Rückerstattungen, den Zugriff auf Konten, Servicelevels oder die Ergebnisse von Beschwerden trifft, fallen Sie unter Artikel 22.
Sie müssen in der Lage sein, in für den Kunden verständlicher Sprache zu erklären, wie die KI zu ihrer Entscheidung gelangt ist. „Der Algorithmus hat entschieden“ ist keine Erklärung. Sie sollten die Logik hinter automatisierten Entscheidungen, die verwendeten Dateneingaben und die Kriterien, die zu den Ergebnissen führen, dokumentieren. Für deutsche Support-Teams bedeutet dies, eng mit Ihrem KI-Anbieter zusammenzuarbeiten, um die Entscheidungswege des Modells zu verstehen, anstatt es lediglich als Black Box zu betrachten.
Datenminimierung und Zweckbindung bei KI-Interaktionen
KI-Agenten sind datenhungrig. Sie erzielen bessere Leistungen, wenn ihnen mehr Kontext, mehr Verlaufsdaten und mehr Informationen über den Kunden zur Verfügung stehen. Der Grundsatz der Datenminimierung der DSGVO besagt jedoch, dass Sie nur das verarbeiten sollten, was für den jeweiligen Zweck unbedingt erforderlich ist.
Filterung von nationalen Identifikationsnummern und sensiblen Daten in Chat-Protokollen
Deutsche Kunden geben in Support-Chats manchmal unaufgefordert ihre Steueridentifikationsnummer oder Sozialversicherungsnummer, Gesundheitsdaten oder finanzielle Details preis. Ihr KI-Agent benötigt Leitplanken, um damit umzugehen. Bewährt ist die Implementierung einer Echtzeit-Filterung, die sensible Daten wie nationale Identifikationsnummern erkennt und unkenntlich macht, bevor sie in Chat-Protokollen gespeichert oder in Trainingspipelines eingespeist werden.
Hier helfen mehrere praktische Schritte:
- Konfigurieren Sie Eingabefilter, die Muster deutscher Steuer- und Sozialversicherungsnummern erkennen und diese automatisch maskieren
- Richten Sie Warnmeldungen ein, wenn Kunden gesundheitsbezogene oder biometrische Daten preisgeben
- Stellen Sie sicher, dass Ihr KI-Agent Kunden aktiv davon abhält, unnötige sensible Informationen preiszugeben
- Richten Sie einen separaten, verschlüsselten Speicher für alle sensiblen Daten ein, deren Verarbeitung rechtmäßig erforderlich ist
Aufbewahrungsfristen für Trainingsdaten und Konversationsverlauf
Wie lange sollten Sie Chat-Protokolle aufbewahren? Die DSGVO legt keine genauen Aufbewahrungsfristen fest, verlangt jedoch, dass Sie personenbezogene Daten nicht länger als nötig aufbewahren. Viele deutsche Support-Teams bewahren standardmäßig alles auf unbestimmte Zeit auf: „nur für den Fall“, was ein Compliance-Risiko darstellt.
Legen Sie klare Aufbewahrungsfristen fest. Support-Konversationen können zur Qualitätssicherung durchaus 6 bis 12 Monate lang aufbewahrt werden, doch aus diesen Konversationen abgeleitete Trainingsdaten bedürfen einer gesonderten Betrachtung. Wenn Sie Kundeninteraktionen zur Feinabstimmung Ihres KI-Modells nutzen, müssen Sie die Daten entweder wirksam anonymisieren (wirklich anonymisierte Daten fallen nicht unter den Geltungsbereich der DSGVO) oder den Trainingsdatensatz als eigenständige Verarbeitungsaktivität mit eigener Rechtsgrundlage und eigener Aufbewahrungsfrist behandeln.
Rechte der betroffenen Personen in einer automatisierten Umgebung
Ihre Kunden behalten alle ihre DSGVO-Rechte, unabhängig davon, ob sie es mit einem Menschen oder einer KI zu tun haben. Die praktische Herausforderung besteht darin, diese Rechte in einer automatisierten Umgebung ausübbar zu machen.
Das Recht auf menschliches Eingreifen bei Supportanfragen
Artikel 22 Absatz 3 der DSGVO garantiert das Recht auf menschliches Eingreifen bei automatisierten Entscheidungen. Das bedeutet, dass Ihr KI-Support-System einen klaren, leicht zugänglichen Eskalationsweg zu einem menschlichen Mitarbeiter enthalten muss. Die Option „Drücken Sie die 0 für einen Menschen“, die fünf Menüpunkte tief vergraben ist, entspricht diesem Standard nicht.
Deutsche Gerichte und der BfDI legen dieses Recht weit aus. Wenn ein Kunde eine Überprüfung einer von der KI getroffenen Entscheidung durch einen Menschen beantragt, müssen Sie diese innerhalb einer angemessenen Frist bereitstellen. Ihr Support-Workflow sollte so gestaltet sein, dass die Eskalation an einen menschlichen Mitarbeiter reibungslos verläuft: Ein Klick, ein Satz oder eine Anfrage sollten ausreichen. Verfolgen Sie auch, wie oft Kunden menschliches Eingreifen beantragen, denn eine hohe Eskalationsrate könnte darauf hindeuten, dass Ihr KI-Agent schlechte Entscheidungen trifft, die behoben werden müssen.
Das Recht auf Berichtigung und Löschung gewährleisten
Wenn ein Kunde die Berichtigung oder Löschung seiner Daten verlangt, muss Ihr KI-System dies an allen Speicherorten umsetzen. Das ist schwieriger, als es klingt. Kundendaten können im Live-Chat-System, in archivierten Protokollen, in Analyse-Dashboards, in Trainingsdatensätzen und möglicherweise auch in den Gewichten des KI-Modells vorhanden sein, falls eine Feinabstimmung vorgenommen wurde.
Erstellen Sie eine Datenkarte, die nachverfolgt, wo Kundeninformationen innerhalb Ihres KI-Support-Stacks fließen. Wenn eine Löschanfrage eingeht, müssen Sie in der Lage sein, diese Daten von jedem Speicherort zu entfernen oder zu dokumentieren, warum eine bestimmte Aufbewahrung rechtlich gerechtfertigt ist. Bei Daten, die in das Modelltraining eingebettet sind, kann eine vollständige Löschung ein erneutes Training des Modells erfordern, weshalb viele Unternehmen mittlerweile anonymisierte oder synthetische Daten für das Fine-Tuning bevorzugen.
Sicherheit und grenzüberschreitende Datenflüsse
Bei den Themen Sicherheit und grenzüberschreitende Datenübermittlungen wird die Einhaltung der DSGVO für KI-Agenten technisch komplex. Die meisten KI-Support-Tools stützen sich auf Cloud-Infrastruktur und Sprachmodelle, die außerhalb der EU gehostet werden.
Risiken bei US-amerikanischen LLM-Anbietern und das Datenschutz-Rahmenwerk
Wenn Ihr KI-Agent auf einem großen Sprachmodell eines amerikanischen Anbieters (OpenAI, Anthropic, Google) läuft, werden Kundendaten möglicherweise auf US-Servern verarbeitet. Das 2023 verabschiedete EU-US-Datenschutz-Rahmenwerk (DPF) bietet einen rechtlichen Mechanismus für diese Übermittlungen, doch seine langfristige Stabilität bleibt ungewiss. Datenschützer haben es angefochten, und eine frühere Angemessenheitsentscheidung (Privacy Shield) wurde 2020 vom EuGH für ungültig erklärt.
Deutsche Support-Teams sollten das DPF als Mindeststandard betrachten, nicht als Garantie. Ergänzen Sie es durch Standardvertragsklauseln (SCCs), die Verschlüsselung von Daten während der Übertragung und im Ruhezustand sowie vertragliche Zusagen Ihres Anbieters darüber, wo die Daten verarbeitet werden. Besser noch: Prüfen Sie, wo möglich, in Europa gehostete KI-Alternativen oder On-Premise-Bereitstellungen. Das BfDI hat angekündigt, internationale Datenübermittlungen im Zusammenhang mit KI-Systemen im Laufe des Jahres 2026 genauer unter die Lupe zu nehmen.
Die Bedeutung einer Datenschutz-Folgenabschätzung (DPIA)
Eine DPIA ist gemäß Artikel 35 der DSGVO obligatorisch, wenn die Verarbeitung voraussichtlich ein hohes Risiko für betroffene Personen mit sich bringt. KI-gestützter Kundensupport erreicht diese Schwelle fast immer, insbesondere wenn es um Profiling, automatisierte Entscheidungen oder die Verarbeitung personenbezogener Daten in großem Umfang geht.
Ihre DPIA sollte folgende Punkte abdecken:
- Die spezifischen Kategorien personenbezogener Daten, die Ihr KI-Agent verarbeitet
- Die Rechtsgrundlage für jede Verarbeitungsaktivität
- Risiken für betroffene Personen, einschließlich Voreingenommenheit, Fehler und unbefugter Zugriff
- Technische und organisatorische Maßnahmen zur Minderung dieser Risiken
- Eine Bewertung von Datenübermittlungen außerhalb des EWR
- Beiträge Ihres Datenschutzbeauftragten
Behandeln Sie die DPIA nicht als einmalige Abhakübung. Überprüfen Sie sie immer wieder, wenn Sie Ihr KI-Modell aktualisieren, den Anbieter wechseln oder die Funktionen des Agenten erweitern.
Praktische Schritte für eine datenschutzkonforme KI-Implementierung
Bei der Einhaltung der DSGVO für KI-Agenten geht es nicht darum, vom ersten Tag an perfekt zu sein: Es geht darum, die richtigen Prozesse aufzubauen und diese aufrechtzuerhalten. Deutsche Support-Teams, die dies systematisch angehen, vermeiden in der Regel die schmerzhaften Durchsetzungsmaßnahmen, von denen Unternehmen betroffen sind, die improvisieren.
Beginnen Sie damit, Ihre aktuelle KI-Support-Umgebung anhand der oben genannten Bereiche zu überprüfen. Erfassen Sie Ihre Datenflüsse, überprüfen Sie Ihre Lieferantenverträge und stellen Sie sicher, dass Ihre Transparenzhinweise korrekt und gut sichtbar sind. Weisen Sie klare Zuständigkeiten zu: Jemand in Ihrem Team muss für die fortlaufende Einhaltung der Datenschutzbestimmungen im Zusammenhang mit KI verantwortlich sein, nicht nur für die anfängliche Einrichtung.
Schulen Sie Ihre Support-Mitarbeiter darin, wie der KI-Agent mit Daten umgeht und was zu tun ist, wenn Kunden ihre Rechte geltend machen. Führen Sie regelmäßige Tests durch, um zu überprüfen, ob Anträge auf Datenlöschung tatsächlich systemübergreifend funktionieren. Halten Sie Ihre Datenschutz-Folgenabschätzung (DPIA) auf dem neuesten Stand und beziehen Sie Ihren Datenschutzbeauftragten (DSB) in jede wesentliche Änderung am KI-System ein.
Unternehmen, die die Einhaltung der DSGVO im Bereich KI im Kundensupport als fortlaufenden Prozess und nicht als einmaliges Projekt betrachten, bauen in der Regel mehr Vertrauen bei ihren Kunden auf und haben weitaus weniger Probleme mit den Aufsichtsbehörden. Deutsche Support-Teams, die diesen Anforderungen bereits jetzt Beachtung schenken, werden gut aufgestellt sein, wenn die Durchsetzung verschärft wird und die Erwartungen der Kunden hinsichtlich der Transparenz von KI weiter steigen.
