In einem Automatisierungsgespräch ist die häufigste Frage selten technisch. Nachdem geklärt ist, wie das System arbeitet, wie viele Aufgaben es übernimmt und mit welchen Programmen es spricht, kommt meist dieser Satz: „Und wohin gehen meine Kundendaten?“
Die Frage ist berechtigt und bleibt oft unbeantwortet. Texte über Automatisierung erklären, was das System tut, nicht wohin die Daten wandern. Dabei trägt jedes Unternehmen, das Kundendaten verarbeitet, Pflichten aus dem Datenschutzrecht. Eine Automatisierung nimmt diese Verantwortung nicht weg; sie kann sie mitunter erweitern.
Dieser Beitrag ist keine Rechtsberatung. Er soll zeigen, welche Fragen bei einer Automatisierung zu stellen sind. Für Ihren eigenen Fall wenden Sie sich bitte an eine Juristin oder einen Juristen.
🔒 Denken Sie daran: Wenn Sie eine Automatisierung einrichten, bleibt die Verantwortung für die Daten bei Ihnen. Das einrichtende Unternehmen verarbeitet Daten in Ihrem Auftrag, doch gegenüber Ihren Kundinnen und Kunden haften Sie. Steht diese Abgrenzung nicht im Vertrag, bleibt im Ernstfall unklar, wer was zu tun hat.
Warum verändert KI dieses Bild?
Personenbezogene Daten zu verarbeiten ist nichts Neues. Namen, Telefonnummern und Adressen werden seit Jahren erfasst. Was KI hinzufügt, lässt sich auf drei Punkte bringen.
Daten können das Haus verlassen. Ein klassisches Buchhaltungsprogramm behält Ihre Daten bei sich. Ein System mit KI schickt Texte zur Verarbeitung meist an ein Sprachmodell. Dieses Modell kann einem anderen Unternehmen gehören und in einem anderen Land laufen.
Daten fließen zusammen. Automatisierung führt verschiedene Quellen an einem Ort zusammen: Webformular, WhatsApp-Nachricht, Anrufnotiz, E-Mail. Einzeln harmlos wirkende Angaben können zusammengenommen ein weit genaueres Profil ergeben.
Entscheidungen laufen automatisch. Entscheidet das System, welches Angebot an welche Kundin geht oder wie eine Anfrage priorisiert wird, kann es nötig werden, diese Entscheidung erklären zu können.
Wer ist Verantwortlicher, wer Auftragsverarbeiter?
Das Datenschutzrecht unterscheidet zwei Rollen, und diese Unterscheidung ist die Grundlage des Vertrags.
- Der Verantwortliche entscheidet, warum und wie Daten verarbeitet werden. Das Unternehmen, das Kundendaten erhebt, steht meist in dieser Rolle.
- Der Auftragsverarbeiter verarbeitet Daten im Auftrag und auf Weisung des Verantwortlichen. Das Unternehmen, das die Automatisierung baut und betreibt, steht meist hier.
Diese Unterscheidung sollte nicht nur auf dem Papier bestehen. Das Verhältnis gehört in eine schriftliche Vereinbarung zur Auftragsverarbeitung: welche Daten, zu welchem Zweck, wie lange, auf wessen Weisung. Fehlt dieses Dokument, sind die Verantwortungsgrenzen unklar.
Drei Teile der Frage „wohin gehen meine Daten?“
Wo steht der Server?
Daten liegen physisch irgendwo. Im eigenen Land, in Europa oder anderswo. Die Übermittlung ins Ausland folgt eigenen Regeln, und es gelten nicht in jedem Fall dieselben Bedingungen. Das ist die erste Frage an das einrichtende Unternehmen: in welchem Land steht der Server mit den Daten?
Was macht das KI-Modell mit den Daten?
Wenn Sie Text zur Verarbeitung an ein Modell senden, hängt es vom Anbieter ab, was damit geschieht. Manche Anbieter sagen zu, übermittelte Daten nicht für das Training zu nutzen, manche speichern sie für eine festgelegte Zeit, manche gar nicht. Diese Bedingungen stehen in Verträgen und können sich ändern.
Die Frage lautet: Welche Datenrichtlinie hat der eingesetzte KI-Anbieter, und werden meine Daten für das Modelltraining verwendet?
Wer steht sonst noch in der Kette?
Eine Automatisierung ist selten ein einzelnes Teil. Messaging-Infrastruktur, Datenbank, E-Mail-Dienst, Hosting-Anbieter. Jedes Glied kann mit den Daten in Berührung kommen. Solange diese Liste nicht aufgeschrieben ist, lässt sich nicht sagen, wohin die Daten gehen.
Jedes Glied dieser Kette ist zugleich eine Angriffsfläche; woher die Bedrohung kommen kann, behandeln wir in KI-Cybersicherheit.
Fragen für das Automatisierungsgespräch
Ohne technische Tiefe können die folgenden Fragen das Bild weitgehend klären:
- In welchem Land werden die Kundendaten gespeichert?
- Welche Drittdienste berühren die Daten? Gibt es eine Liste?
- Nutzt der KI-Anbieter übermittelte Daten für das Modelltraining?
- Wie lange werden Daten aufbewahrt, und was geschieht danach?
- Werden die Daten bei Beendigung des Systems zurückgegeben, in welchem Format?
- Wie läuft es ab, wenn eine Kundin die Löschung verlangt?
- Wird eine Vereinbarung zur Auftragsverarbeitung zum Vertrag gestellt?
- Wann und wie werde ich bei einem Sicherheitsvorfall informiert?
Keine Antwort zu bekommen ist ebenfalls eine Information. Wer nicht antworten kann, weiß es vermutlich selbst nicht.
Diese Fragen sind die Datenseite der Vorbereitungsliste; den Rest dieser Liste führen wir in Warum Automatisierungsprojekte scheitern auf.
Information und Einwilligung
Wenn Sie Daten Ihrer Kundinnen und Kunden verarbeiten, sollten Sie ihnen das mitteilen. Dafür gibt es die Datenschutzinformation: wer welche Daten zu welchem Zweck verarbeitet und welche Rechte die Person hat.
Nicht für jede Verarbeitung ist eine gesonderte Einwilligung nötig. Für die Erfüllung eines Vertrags kann eine andere Rechtsgrundlage greifen. Bei Werbekommunikation kann jedoch eine gesonderte Zustimmung erforderlich sein, und in diesem Bereich kommen zusätzliche Pflichten hinzu.
Der entscheidende Punkt bei einer Automatisierung: Auf welcher Rechtsgrundlage verarbeitet das System welche Daten, und ist das schriftlich festgehalten?
Aufbewahrung und Löschung
Daten werden nicht für immer aufbewahrt. Für jede Datenart wird eine Aufbewahrungsfrist erwartet, nach deren Ablauf gelöscht wird. Automatisierung kann dabei helfen: Das System lässt sich so einrichten, dass es Fristen verfolgt und abgelaufene Datensätze selbsttätig löscht.
Die Frage lautet: Gibt es im System überhaupt eine Löschfunktion, oder sammeln sich die Daten nur an? Was geschieht in den Sicherungskopien? Kann ein gelöschter Datensatz aus einem Backup zurückkehren?
Worauf im Vertrag zu achten ist
Der Datenteil sollte im Automatisierungsvertrag unter einer eigenen Überschrift stehen. Mindestens Folgendes gehört sinnvollerweise schriftlich hinein:
- Die Rollen der Parteien: wer ist Verantwortlicher, wer Auftragsverarbeiter
- Die verarbeiteten Datenarten und die Zwecke der Verarbeitung
- Die Aufbewahrungsfrist und was nach ihrem Ablauf geschieht
- Einsatz von Unterauftragsverarbeitern und deren Mitteilung
- Sicherheitsmaßnahmen und der Ablauf der Vorfallsmeldung
- Rückgabe oder Vernichtung der Daten bei Vertragsende
Der Teil des Vertrags jenseits der Daten kann davon abhängen, ob maßgeschneidert oder von der Stange gebaut wird; die beiden Wege vergleichen wir in Maßgeschneiderte Software oder Standardlösung?.
Wie wir arbeiten
In den Systemen, die wir bei Kılman Bilişim bauen, liegen die Daten in der eigenen Installation der Kundin. Unsere Server werden in Europa gehostet. Für Chatprotokolle wird eine Aufbewahrungsfrist festgelegt, und abgelaufene Einträge werden selbsttätig gelöscht.
Vor jeder Einrichtung erfassen wir gemeinsam, welche Daten wohin gehen. Der Datenteil wird im Vertrag als eigene Überschrift behandelt, und wir holen dazu juristische Unterstützung ein.
Häufig gestellte Fragen
Erzeugt eine KI-gestützte Automatisierung zusätzliche Datenschutzrisiken?
Das Risiko entsteht meist nicht durch die Automatisierung selbst, sondern dadurch, dass unklar bleibt, wohin die Daten gehen. Sobald schriftlich feststeht, auf welchem Server die Daten liegen, welche Dritten sie berühren und wie lange sie gespeichert werden, klärt sich das Bild. Bleiben diese Fragen offen, kann das Risiko bestehen bleiben, so gut das System auch läuft.
Werden meine Kundendaten zum Training eines KI-Modells verwendet?
Das hängt vollständig vom Anbieter und vom gewählten Tarif ab. Manche Anbieter sagen vertraglich zu, geschäftliche Daten nicht für das Training zu verwenden, andere speichern sie für einen festgelegten Zeitraum. Es ist angemessen, vom einrichtenden Unternehmen schriftlich zu verlangen, welcher Anbieter zu welchen Bedingungen eingesetzt wird.
Ist es ein Problem, wenn meine Daten auf einem Server im Ausland liegen?
Die Übermittlung ins Ausland folgt eigenen Regeln, und es gelten nicht in jedem Fall dieselben Bedingungen. Entscheidend sind die Rechtsgrundlage der Übermittlung und die vorhandenen Nachweise. Zu erfahren, in welchem Land der Server steht, ist der erste Schritt; danach kann eine juristische Prüfung nötig sein.
Braucht es einen gesonderten Datenvertrag mit dem einrichtenden Unternehmen?
Das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter sollte schriftlich festgehalten werden. Üblich ist eine Vereinbarung zur Auftragsverarbeitung als Anlage zum Hauptvertrag. Darin steht, welche Daten zu welchem Zweck, wie lange und auf wessen Weisung verarbeitet werden. Ohne eine solche Anlage können die Verantwortungsgrenzen unklar bleiben.
Lassen Sie uns kartieren, wohin Ihre Daten gehen
Bevor wir eine Einrichtung vorschlagen, gehen wir Schritt für Schritt durch, welche Daten wohin gehen. Bleibt ein Punkt offen, sagen wir es offen.
💬 Angebot per WhatsAppFazit
Eine Automatisierung nimmt die Verantwortung für die Daten nicht weg. Das einrichtende Unternehmen verarbeitet Daten in Ihrem Auftrag, doch gegenüber Ihren Kundinnen und Kunden haften Sie. Neben „Was tut das System?“ gehört daher auch die Frage „Wohin gehen die Daten?“.
Die gute Nachricht: Diese Fragen sind nicht kompliziert, und die Antworten lassen sich vor der Einrichtung einholen. Wo steht der Server, wer berührt die Daten, wie lange werden sie aufbewahrt, wie werden sie gelöscht. Vier Fragen können den größten Teil des Bildes klären.