KI und Datenschutz: Was die DSGVO von KI-Agenten verlangt.

Die DSGVO verbietet KI-Agenten nicht. Sie verlangt dasselbe wie bei jeder anderen Verarbeitung von Kundendaten: einen Grund, Transparenz, einen Vertrag mit dem Dienstleister, Sicherheit und nicht mehr Daten als nötig. Bei einem Agenten kommen zwei Punkte hinzu, die bei einem einfachen Kontaktformular keine Rolle spielen: Er kann selbst handeln, und er spricht wie ein Mensch.

Jede Verarbeitung braucht eine Grundlage aus Art. 6 DSGVO. Im Kundenservice ist das häufig die Erfüllung eines Vertrags oder die Anbahnung (Art. 6 Abs. 1 lit. b): Wer nach seiner Bestellung fragt, will, dass sie bearbeitet wird. Für weitere Zwecke kann ein berechtigtes Interesse (lit. f) tragen, wenn es gegen die Interessen der Kunden abgewogen ist. Eine Einwilligung (lit. a) kommt vor allem dann in Frage, wenn keine dieser Grundlagen trägt – etwa wenn Gesprächsdaten zum Verbessern eines Modells genutzt werden sollen.

Art. 13 DSGVO verlangt, dass Kunden bei der Erhebung erfahren, wer verantwortlich ist, wofür die Daten verarbeitet werden, auf welcher Grundlage, an wen sie gehen und wie lange sie gespeichert werden. Für einen KI-Agenten heißt das konkret: Die Datenschutzerklärung nennt den Agenten, den Anbieter des Sprachmodells, den Ort der Verarbeitung und die Löschfrist der Gespräche.

Betreibt ein Dienstleister den Agenten oder stellt das Sprachmodell bereit, klären Sie zuerst seine Rolle. Verarbeitet er die Daten nur nach Ihrer Weisung und für Ihre Zwecke, ist er Auftragsverarbeiter. Legt er Zwecke selbst fest, etwa das Training eigener Modelle, ist er für diese Verarbeitung selbst Verantwortlicher (Art. 4 Nr. 7 und 8, Art. 28 Abs. 10 DSGVO). Für die Auftragsverarbeitung schreibt Art. 28 DSGVO einen Vertrag vor. Achten Sie darin besonders auf diese Punkte:

Die DSGVO schreibt keinen Serverstandort in Deutschland vor. Sie regelt aber, wann Daten in ein Land außerhalb des Europäischen Wirtschaftsraums (EWR) gehen dürfen (Art. 44 ff.). Zum EWR gehören die EU-Staaten sowie Island, Liechtenstein und Norwegen. Eine Übermittlung in ein Drittland ist auf einem von drei Wegen erlaubt: mit einem Angemessenheitsbeschluss der EU-Kommission (Art. 45), mit geeigneten Garantien wie Standarddatenschutzklauseln (Art. 46) oder in Ausnahmefällen nach Art. 49, etwa mit ausdrücklicher Einwilligung. Die Ausnahmen sind für bestimmte Einzelfälle gedacht, nicht für den laufenden Betrieb.

Art. 22 Abs. 1 DSGVO gibt Menschen das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich automatisch fällt und ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Ob ein Vorgang darunter fällt, hängt von seinen Folgen für den Kunden ab, nicht von der Art der Aufgabe. Eine Statusauskunft hat meist keine solche Wirkung. Eine Terminverschiebung kann sie haben, etwa wenn dadurch eine Frist oder eine Leistung wegfällt. Eine Kündigung ablehnen, eine Erstattung verweigern oder einen Vertrag ändern hat in der Regel rechtliche Wirkung.

Art. 35 DSGVO verlangt eine Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene hat. Bei einem KI-Agenten sprechen dafür: neue Technik, viele Betroffene, sensible Daten (etwa Gesundheit oder Finanzen) oder automatische Entscheidungen mit Wirkung. Ein Agent, der nur allgemeine Fragen beantwortet, braucht sie oft nicht; einer, der in Kundenkonten handelt, eher schon. Halten Sie die Abwägung auch dann schriftlich fest, wenn Sie zu „nicht nötig“ kommen.

Neben der DSGVO gilt die KI-Verordnung der EU, Verordnung (EU) 2024/1689 (KI-Verordnung, AI Act). Ihr Art. 50 Abs. 1 verlangt, dass Menschen erfahren, dass sie mit einem KI-System sprechen – es sei denn, das ist aus den Umständen offensichtlich. Diese Pflicht gilt seit 02.08.2026. Ein kurzer Hinweis am Anfang des Chats genügt meist, etwa „Sie schreiben mit einer KI“.