Warum kein Siegel eine KI rechtmäßig macht
Stimme und Bild sind KI-generiert — dieselbe Offenheit, die der Assistent am Telefon auch gegenüber Anrufern wahrt.
Woran man erkennt, ob es ernst gemeint ist
Diese sechs Fragen sollte jeder Anbieter beantworten können — ohne Rückfrage bei der Rechtsabteilung und ohne Verweis auf ein Zertifikat.
Rechtsgrundlage
Warum darf verarbeitet werden — Vertrag, berechtigtes Interesse oder Einwilligung? Ohne Antwort darauf hilft kein Serverstandort.
Information
Erfährt der Mensch, was passiert, bevor es passiert? Bei uns steht das im Gespräch selbst, nicht im Kleingedruckten.
Speicherdauer
Wie lange bleiben Aufzeichnung, Transkript und Kontaktdaten? Eine Frist, die niemand technisch umgesetzt hat, ist keine Frist.
Löschung
Gibt es eine Adresse, an die man sich wenden kann, und passiert danach tatsächlich etwas?
Datensparsamkeit
Welche Angaben braucht das System wirklich? Der beste Schutz ist die Angabe, die gar nicht erst erhoben wird.
KI-Kennzeichnung
Seit August 2026 eigene Pflicht nach Art. 50 KI-Verordnung — unabhängig davon, wo die Daten liegen.
Wo die Daten liegen können — und was das kostet
Nicht jeder Betrieb braucht die strengste Stufe. Teuer wird es, wenn man sie wählt, ohne sie zu brauchen — und riskant, wenn man sie braucht und sich das nicht eingesteht.
1 · Anbieter-Cloud außerhalb der EU
Der Normalfall bei Standardwerkzeugen. Nicht per se unzulässig, aber es braucht eine Grundlage für den Transfer, einen Auftragsverarbeitungsvertrag und eine ehrliche Information der Betroffenen. Für Marketingtexte meist unproblematisch, für Personal- und Kundendaten selten die erste Wahl.
2 · Verarbeitung in der EU
Daten bleiben im europäischen Rechtsraum, der Anbieter ist greifbar. Für die meisten Betriebe der vernünftige Mittelweg — vorausgesetzt, Speicherdauer und Löschung sind geregelt und nicht nur behauptet.
3 · Eigene Infrastruktur
Daten verlassen Ihr Netz nicht. Bei Dokumenten, Suche und Bildauswertung ist das erprobt und oft überraschend unkompliziert. Bei Sprache in Echtzeit ist es der aufwendigste Weg — sinnvoll dort, wo Auflagen keine Wahl lassen.
Wie das bei unserem eigenen Sprachassistenten aussieht
Am ehrlichsten lässt sich das am eigenen System zeigen. Der Assistent auf dieser Website sagt hörbar, dass er eine KI ist. Vor dem Gespräch steht, welche Dienstleister beteiligt sind, wie lange Aufzeichnung und Transkript gespeichert bleiben und an welche Adresse man sich für die Löschung wendet — nicht in einer verlinkten Erklärung, sondern dort, wo die Entscheidung fällt.
Das ist keine besondere Leistung, sondern das Minimum. Bemerkenswert ist eher, wie selten man es findet: Probieren Sie es aus und vergleichen Sie mit dem, was andere Anbieter beim ersten Kontakt sagen.
Was Betriebe zum Datenschutz bei KI fragen
Was heißt „DSGVO-konforme KI“ überhaupt?
Genau genommen nichts — konform oder nicht ist immer die konkrete Verarbeitung, nie das Produkt. Ein Anbieter kann seine Server in Frankfurt stehen haben und trotzdem rechtswidrig arbeiten, wenn Betroffene nicht informiert werden oder eine Rechtsgrundlage fehlt. Deshalb sagt ein Siegel auf einer Website wenig; entscheidend ist, welche Daten wohin fließen und warum.
Reicht es, wenn die Server in der EU stehen?
Es hilft, genügt aber nicht. Neben dem Ort zählen Rechtsgrundlage, Information der Betroffenen, Speicherdauer, Löschmöglichkeit und ob personenbezogene Daten überhaupt nötig sind. Umgekehrt gilt: Auch Verarbeitung außerhalb der EU ist nicht automatisch verboten — sie braucht eine Grundlage wie Standardvertragsklauseln und muss transparent gemacht werden.
Darf ich ChatGPT im Betrieb einsetzen?
Für Inhalte ohne Personenbezug ist das im Alltag unproblematisch. Heikel wird es, wenn Mitarbeitende Kundendaten, Bewerbungen, Verträge oder Krankmeldungen einfügen — dann liegt eine Verarbeitung personenbezogener Daten vor, die eine Grundlage, eine Information der Betroffenen und meist einen Auftragsverarbeitungsvertrag braucht. In der Praxis scheitert es selten am Werkzeug und fast immer daran, dass niemand geregelt hat, was hineinkopiert werden darf.
Muss ich sagen, dass eine KI antwortet?
Bei direktem Kontakt mit Menschen: ja. Artikel 50 der EU-KI-Verordnung gilt seit dem 2. August 2026 und verlangt, dass erkennbar ist, wenn man mit einem KI-System spricht oder schreibt. Das ist eine eigene Pflicht neben der DSGVO — wer nur an Datenschutz denkt, übersieht sie leicht.
Lässt sich KI vollständig im eigenen Haus betreiben?
Bei Dokumenten- und Auswertungssystemen ja, das ist erprobt: eigene Datenbank, lokale Suche, ein Modell auf eigener Hardware — nichts verlässt Ihr Netz. Bei Sprache am Telefon ist es aufwendiger, weil Spracherkennung und Sprachausgabe in Echtzeit laufen müssen; das ist möglich, aber teurer als die Standardlösung. Wer Ihnen beides zum selben Preis verspricht, hat eines davon nicht gebaut.
Was ist der häufigste Fehler in der Praxis?
Dass niemand aufschreibt, was tatsächlich passiert. Die meisten Probleme entstehen nicht durch böse Absicht, sondern weil ein Werkzeug eingeführt wurde und ein halbes Jahr später niemand mehr sagen kann, welche Daten es sieht, wo sie liegen und wie lange. Ein Verzeichnis, das der Realität entspricht, ist mehr wert als jedes Zertifikat.
Welche Daten soll Ihr System sehen?
Diese eine Frage entscheidet über fast alles Weitere — über Architektur, Aufwand und darüber, ob am Ende jemand ruhig schlafen kann. Beschreiben Sie Ihr Vorhaben in zwei Sätzen.