Datenschutz ist die häufigste Bremse vor der Einführung. Sechs Punkte entscheiden, ob eine KI-Lösung in der Kundenkommunikation rechtlich trägt — und alle sechs sind prüfbar.
Eine KI-Lösung für die Kundenkommunikation lässt sich datenschutzkonform betreiben, aber nicht dadurch, dass ein Anbieter es zusichert. Ob sie es tut, entscheidet sich an sechs prüfbaren Punkten: Rechtsgrundlage, Auftragsverarbeitungsvertrag, Hosting, Umgang mit Aufzeichnungen, Speicherdauer und Betroffenenrechte.
Wie sehr dieses Thema bremst, zeigt die Bitkom-Studie „Datenschutz in der deutschen Wirtschaft” mit 603 befragten Unternehmen ab 20 Beschäftigten: 77 Prozent sehen den Datenschutz als Hemmnis für die Digitalisierung, 54 Prozent geben an, dass er den KI-Einsatz im eigenen Unternehmen behindert, und 62 Prozent halten ihn für kleinere Unternehmen kaum umsetzbar. Im Kfz-Gewerbe kommt hinzu, dass die verarbeiteten Daten selten harmlos wirken: Halterdaten, Kennzeichen, Fahrgestellnummer, Reparaturhistorie, oft auch Angaben zur Finanzierung.
Auf welcher Rechtsgrundlage werden Anruf- und Nachrichtendaten verarbeitet?
Für den Normalfall — jemand meldet sich, weil er einen Termin braucht — greift Artikel 6 Absatz 1 Buchstabe b DSGVO: die Verarbeitung ist zur Durchführung vorvertraglicher Maßnahmen erforderlich. Wer wegen einer rutschenden Kupplung anruft und Kennzeichen und Rückrufnummer hinterlässt, gibt diese Daten genau zu diesem Zweck. Für die Bearbeitung eingehender Anfragen im laufenden Kundenverhältnis kommt daneben Artikel 6 Absatz 1 Buchstabe f in Betracht, also das berechtigte Interesse an einer schnellen und wirksamen Bearbeitung.
Die Datenschutzberatung DSN Group weist allerdings darauf hin, dass das berechtigte Interesse dort endet, wo ein schutzwürdiges Interesse der betroffenen Person überwiegt, nicht durch eine KI verarbeitet zu werden — dann ist eine Einwilligung nötig. Zwei Grenzen sind zusätzlich zu beachten: Artikel 22 DSGVO untersagt Entscheidungen mit rechtlicher Wirkung, die ausschließlich automatisiert ergehen, und wenn Kundendaten in das Training eines Modells zurückfließen, sind die Transparenzpflichten nach Einschätzung derselben Quelle kaum noch zu erfüllen.
Vorgang im Kundenkontakt | Rechtsgrundlage | Was der Betrieb dafür braucht |
|---|---|---|
Terminanfrage entgegennehmen, Termin anlegen | Art. 6 Abs. 1 lit. b DSGVO | Datenschutzhinweise nach Art. 13, Eintrag im Verzeichnis nach Art. 30 |
Rückfrage zu einem laufenden Auftrag beantworten | Art. 6 Abs. 1 lit. b oder lit. f | Interessenabwägung dokumentieren, wenn lit. f trägt |
Gespräch aufzeichnen oder transkribieren | Art. 6 Abs. 1 lit. a — Einwilligung | Hinweis vor Beginn, echte Alternative ohne Aufzeichnung |
Anfrage zum Training des Modells verwenden | eigener Zweck, eigene Grundlage nötig | vertraglich ausschließen, wenn nicht gewollt |
Kontaktdaten für Werbung weiterverwenden | Art. 6 Abs. 1 lit. a oder § 7 UWG | getrennte Einwilligung, nicht im Servicekontakt mitgenommen |
Warum der Auftragsverarbeitungsvertrag der eigentliche Prüfstein ist
Setzt ein Betrieb eine KI-Lösung ein, bleibt er selbst Verantwortlicher im Sinne der DSGVO. Der Anbieter verarbeitet die Daten in seinem Auftrag und ist Auftragsverarbeiter. Diese Rollenverteilung ist keine Formalie, sondern der Grund, warum Artikel 28 Absatz 3 DSGVO einen schriftlichen Vertrag mit festem Inhalt verlangt: Gegenstand und Dauer, Art und Zweck, Datenkategorien, Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Regelung zu weiteren Auftragsverarbeitern, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe nach Vertragsende, Nachweis- und Prüfrechte.
Wer diese Liste in der Hand hat, kann jeden Anbieter in zehn Minuten prüfen. Fehlt ein Punkt, ist der Vertrag unvollständig — und unvollständige Auftragsverarbeitungsverträge sind der Befund, der Betriebe bei Prüfungen am häufigsten einholt, weil sie unterschrieben abgelegt und nie gelesen wurden.
Muss der Server in der EU stehen?
Nein, zwingend ist das nicht — aber es ist der einfachere Weg. Werden Daten in ein Drittland übermittelt, gilt Kapitel V der DSGVO, also Artikel 44 und folgende. Für die USA hat die Kommission mit dem EU-US Data Privacy Framework einen Angemessenheitsbeschluss erlassen, dessen Gültigkeit das Gericht der Europäischen Union am 4. September 2025 in der Rechtssache T-553/23 (Latombe) bestätigt hat. Übermittlungen an zertifizierte US-Unternehmen sind auf dieser Grundlage zulässig.
Praktisch heißt das: Ein Betrieb muss wissen, wo die Daten liegen und welche weiteren Dienstleister beteiligt sind. Sprachmodelle laufen häufig nicht beim Anbieter selbst, sondern bei einem Rechenzentrumsbetreiber oder Modellanbieter dahinter. Diese Kette gehört in den Vertrag, nicht in ein Verkaufsgespräch. Hosting in der EU erspart die Prüfung nach Kapitel V vollständig — das ist kein rechtliches Muss, aber eine erhebliche Vereinfachung.
Dürfen Gespräche aufgezeichnet werden, und wie lange dürfen die Daten liegen bleiben?
Bei der Aufzeichnung ist die Rechtslage enger, als viele Betriebe annehmen. Nach Einschätzung der IT-Recht Kanzlei kommt als Rechtsgrundlage allein die Einwilligung nach Artikel 6 Absatz 1 Buchstabe a DSGVO in Betracht; Vertragserfüllung und berechtigtes Interesse scheiden aus, weil die Aufzeichnung dafür nicht erforderlich ist. Ohne wirksame Einwilligung ist das Mitschneiden nicht nur datenschutzwidrig, sondern nach § 201 StGB als Verletzung der Vertraulichkeit des Wortes auch strafrechtlich relevant. Wichtig ist die Unterscheidung: Ein System, das ein Gespräch versteht und daraus einen Termin erzeugt, muss dafür keine Audiodatei speichern. Verarbeitung im Moment und dauerhafte Aufzeichnung sind zwei verschiedene Dinge.
Für die Speicherdauer gilt der Grundsatz der Speicherbegrenzung nach Artikel 5 Absatz 1 Buchstabe e DSGVO: nicht länger als für den Zweck erforderlich. Eine Terminanfrage, aus der nichts wird, braucht niemand über Wochen. Wird daraus ein Auftrag, greifen handels- und steuerrechtliche Fristen — für Handelsbriefe einschließlich geschäftlicher E-Mails sechs Jahre nach § 257 Absatz 1 HGB und § 147 Absatz 1 AO, für Buchungsbelege seit 2025 acht statt zehn Jahre. Beides sind Aufbewahrungspflichten, keine Erlaubnis, alles andere ebenso lange zu behalten.
Was passiert, wenn ein Kunde Auskunft verlangt?
Ein Fahrzeughalter, dessen Leasingrückläufer vor zwei Jahren abgegeben wurde, schreibt an die Serviceadresse und will wissen, welche Daten der Betrieb über ihn gespeichert hat. Was im Dealer-Management-System steht, weiß der Serviceleiter. Ob im Protokoll der KI-Lösung noch ein Transkript liegt, weiß er in vielen Fällen nicht — und genau das ist das Problem.
Die Rechte aus den Artikeln 15 bis 21 DSGVO — Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch — gelten für alle Systeme, in denen personenbezogene Daten liegen, auch für das der KI-Lösung. Nach Artikel 12 Absatz 3 DSGVO ist unverzüglich, spätestens innerhalb eines Monats zu antworten. Der Auftragsverarbeiter muss den Betrieb dabei unterstützen; das ist Pflichtbestandteil des Vertrags nach Artikel 28 Absatz 3 Buchstabe e. Die praktische Prüffrage lautet deshalb nicht, ob der Anbieter Auskunft geben kann, sondern wie lange er dafür braucht.
Wie sich die Rollen bei Carl verteilen
Setzt ein Betrieb Carl ein, das Anfragen über Telefon, WhatsApp und E-Mail bearbeitet, ist GetCarl in dieser Konstellation Auftragsverarbeiter im Sinne von Artikel 28 DSGVO. Verantwortlicher bleibt das Autohaus oder die Werkstatt; verarbeitet werden Sprachinhalte, Transkripte und technische Verbindungsdaten ausschließlich auf Weisung des Betriebs. Das ist nicht nur eine Vertragsformel, sondern bestimmt, wer Auskunft erteilt, wer löscht und wer die Datenschutzhinweise pflegt: der Betrieb, unterstützt vom Anbieter.
In der Direktannahme steht der Serviceberater mit dem Kunden an der offenen Motorhaube und geht die Bremsscheiben durch — währenddessen nimmt die KI-Lösung im Büro eine Anfrage entgegen und legt einen Termin an. Die Verarbeitung findet statt, ob jemand hinsieht oder nicht. Genau deshalb muss vorher feststehen, auf welcher Grundlage sie läuft, wie lange die Daten bleiben und wer sie herausgeben kann: transparent gegenüber dem Kunden, belegbar gegenüber der Aufsichtsbehörde, dokumentiert im eigenen Haus.
Was sich in den nächsten Monaten ändern dürfte
Die Frage ist selten, ob eine KI-Lösung DSGVO-konform ist — sie ist es oder sie ist es nicht, je nachdem, wie sie betrieben wird. Die Frage ist, wer im Betrieb belegen kann, dass sie es ist.
An dieser Aufgabe ändert sich vorerst wenig. Beim Digital Omnibus hat die EU den KI-Teil im Mai 2026 politisch abgeschlossen, der Datenteil mit den geplanten Änderungen an der DSGVO steckt dagegen weiter in den Verhandlungen: Zum Stand Juni 2026 lagen die Positionen von Kommission und Rat unter anderem beim Begriff des personenbezogenen Datums und bei der Rechtsgrundlage für KI-Training auseinander. Wer heute Rechtsgrundlage, Vertrag und Löschkonzept sauber aufsetzt, arbeitet also nicht gegen eine Reform an, die morgen alles umwirft — sondern erledigt die Arbeit, die auch danach zu erledigen wäre. Wie die Offenlegungspflicht aus der KI-Verordnung dazu passt, ist im Beitrag zur AI-Act-Transparenzpflicht eingeordnet.
Der Beitrag gibt einen allgemeinen Überblick und ist in keiner Weise eine Rechtsberatung; für den eigenen Fall bleibt anwaltlicher Rat unersetzt.
Belegprotokoll
Belegte Zahlen und Aussagen
77 % der Unternehmen sehen Datenschutz als Hemmnis für die Digitalisierung, 54 % geben an, dass Datenschutz den KI-Einsatz im eigenen Unternehmen behindert, 62 % halten ihn für kleinere Unternehmen kaum umsetzbar; Stichprobe 603 Unternehmen ab 20 Beschäftigten, Erhebung KW 30–35/2025 — Quelle: Bitkom e. V., Studienbericht „Datenschutz in der deutschen Wirtschaft”, 2026 (https://www.bitkom.org/sites/main/files/2026-02/bitkom-studienbericht-datenschutz.pdf)
Als Rechtsgrundlagen für KI-Voice-Bots im Kundenservice kommen Art. 6 Abs. 1 lit. b und lit. f DSGVO in Betracht; überwiegt ein schutzwürdiges Interesse der betroffenen Person, ist eine Einwilligung erforderlich. Art. 22 DSGVO (automatisierte Entscheidungen) ist zu beachten, eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist erforderlich, und bei Rückfluss von Kundendaten ins Modelltraining sind die Transparenzpflichten kaum zu erfüllen — Quelle: DSN Group, „KI-Voice-Bots im Kundenservice”, 16.07.2024 (https://www.dsn-group.de/datenschutz-notizen/ki-voice-bots-im-kundenservice-2048844)
Für die Aufzeichnung von Kundentelefonaten kommt allein die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Betracht; Vertragserfüllung und berechtigtes Interesse scheiden mangels Erforderlichkeit aus. Ohne wirksame Einwilligung kann die Aufzeichnung nach § 201 StGB strafbar sein — Quelle: IT-Recht Kanzlei, „Ist die Aufzeichnung von Kundentelefonaten erlaubt?“, 14.02.2020 (https://www.it-recht-kanzlei.de/aufzeichnung-von-telefongespraechen-nach-dsgvo-zulaessig.html)
Pflichtinhalte des Auftragsverarbeitungsvertrags nach Art. 28 Abs. 3 DSGVO (Gegenstand, Dauer, Art und Zweck, Datenkategorien, Weisungsbindung, Vertraulichkeit, TOM, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Löschung/Rückgabe, Nachweis- und Prüfrechte) — Quelle: Verordnung (EU) 2016/679, Art. 28 Abs. 3, EUR-Lex (https://eur-lex.europa.eu/eli/reg/2016/679/oj)
Betroffenenrechte nach Art. 15–21 DSGVO, Antwortfrist unverzüglich, spätestens ein Monat nach Art. 12 Abs. 3 DSGVO; Unterstützungspflicht des Auftragsverarbeiters nach Art. 28 Abs. 3 lit. e — Quelle: ebenda
Grundsatz der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO; Drittlandübermittlung nach Kapitel V, Art. 44 ff. DSGVO — Quelle: ebenda
Das Gericht der Europäischen Union hat am 4. September 2025 in der Rechtssache T-553/23 (Latombe) die Gültigkeit des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework bestätigt — Quelle: dsgvo-portal.de, „EuG zum EU-US Data Privacy Framework” (https://www.dsgvo-portal.de/news/latombe_eug-urteil-angemessenheit-eu-us-data-privacy-framework.php)
Aufbewahrungsfrist für Handelsbriefe (auch geschäftliche E-Mails) sechs Jahre nach § 257 Abs. 1 Nr. 2–3 HGB und § 147 Abs. 1 Nr. 2–3 AO; für Buchungsbelege seit 2025 acht statt zehn Jahre (Viertes Bürokratieentlastungsgesetz, verkündet am 29.10.2024) — Quelle: onlinebilanz.de, „Aufbewahrungsfristen 2026: Tabelle für Unternehmen” (https://onlinebilanz.de/aufbewahrungsfristen-2026-tabelle-unternehmen/)
Ein Datenschutzbeauftragter ist zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG); eine Anhebung auf 50 Beschäftigte ist politisch angekündigt, aber nicht umgesetzt — Quelle: Gesellschaft für Datenschutz, „Datenschutzbeauftragte erst ab 50 Mitarbeitenden verpflichtend?” (https://gesellschaft-datenschutz.de/datenschutzbeauftragte-erst-ab-50-mitarbeitenden-verpflichtend/)
Der KI-Teil des Digital Omnibus wurde am 7. Mai 2026 politisch geeinigt; der Datenteil mit den DSGVO-Änderungen war zum 18.06.2026 noch nicht geeinigt, Streitpunkte sind unter anderem der Begriff des personenbezogenen Datums und die Rechtsgrundlage für KI-Training — Quelle: Noerr, „EU Digital Omnibus: Bei der KI auf der Zielgeraden – Irrweg beim Datenrecht?“, 18.06.2026 (https://www.noerr.com/de/insights/eu-digital-omnibus-bei-der-ki-auf-der-zielgeraden-irrweg-beim-datenrecht)
GetCarl agiert beim Einsatz von Carl ausschließlich als Auftragsverarbeiter im Sinne von Art. 28 DSGVO; verarbeitet werden Sprachinhalte, Transkripte und technische Verbindungsdaten auf Weisung des gewerblichen Kunden — Quelle: getcarl.de, Datenschutzerklärung (https://getcarl.de/datenschutz)
Carl deckt neben dem Telefon auch WhatsApp und E-Mail ab — Quelle: getcarl.de, Produktdarstellung