DSGVO und KI im Unternehmen: Praktische Checkliste für Anfragen, Angebote und Geschäfts-E-Mails

Team BOTrento3. 10. 2026 · Aktualisiert 11. 10. 20268 Min. Lesezeit

Welche personenbezogenen Daten in Ihrer Geschäftskommunikation wirklich stecken

Bevor Sie über Werkzeuge sprechen, halten Sie fest, was in Anfragen, E-Mails und Angeboten tatsächlich kursiert. In den meisten B2B-Unternehmen sind das diese Kategorien:

• Kontaktdaten: Name, geschäftliche E-Mail-Adresse, Telefonnummer, Position, E-Mail-Signatur.
• Inhalt der Kommunikation: Text der Anfrage, Anforderungen, Termine, Veranstaltungsort, Verlauf der Absprachen.
• Geschäftsdaten: Preise, Rabatte, Rechnungsdaten. Bei Einzelunternehmern sind sie zugleich personenbezogen.
• Unerwartete Daten: bei Events etwa Gästelisten, bei Maklern Angaben zur familiären Situation, in der Autowerkstatt Kennzeichen und Fahrzeughistorie. Genau hier wird am häufigsten mehr an die KI geschickt als nötig.

Firmendaten (Name, Handelsregisternummer, Sitz) sind für sich genommen nicht personenbezogen. Sobald aber in einer E-Mail der Name einer konkreten Person steht, greift die DSGVO, auch im B2B-Geschäft.

Rechtsgrundlage: Was üblicherweise in Betracht kommt

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. In der Geschäftskommunikation werden in der Praxis meist drei geprüft:

Vertragsanbahnung auf Anfrage des Kunden

Wenn Ihnen jemand eine Anfrage schickt und Sie mit einem Angebot antworten, verarbeiten Sie seine Daten für vorvertragliche Maßnahmen, um die er selbst gebeten hat. Den Antwortentwurf mit KI vorzubereiten ist dann nur eine andere Art, dieselbe Tätigkeit auszuführen. Einen neuen Zweck schafft das in der Regel nicht.

Berechtigtes Interesse

Nachfassen nach einem Angebot, die Erfassung von Vorgängen im CRM oder die interne Auswertung von Anfragen stützen sich häufig auf das berechtigte Interesse. Es muss begründbar sein und gegen die Interessen der betroffenen Person abgewogen werden. Dafür genügt eine kurze schriftliche Interessenabwägung, die Sie ablegen.

Einwilligung

Für Werbebotschaften an Personen, die nichts angefragt haben, oder für die Nutzung von Daten zu einem anderen Zweck als dem ursprünglichen braucht es meist eine Einwilligung oder eine andere, gesondert geprüfte Grundlage. Wollen Sie KI etwa zum Profiling von Kontakten für Kampagnen einsetzen, lassen Sie das separat bewerten.

Eine einfache Faustregel: Die KI sollte dasselbe tun wie bisher der Vertriebsmitarbeiter, nur schneller. Sobald sie etwas Neues macht, etwa Personen bewertet oder Kontakte anreichert, stellt sich die Frage der Rechtsgrundlage neu.

Verantwortlicher, Auftragsverarbeiter und KI-Anbieter: Wer ist wer?

Ihr Unternehmen ist für die Kundendaten der Verantwortliche. Jeder Dienst, der für Sie mit diesen Daten arbeitet (E-Mail, CRM, KI-Werkzeug, Prozessdienstleister), ist in der Regel Auftragsverarbeiter. Mit ihm brauchen Sie einen Vertrag zur Auftragsverarbeitung oder Bedingungen, die ihn enthalten.

Bei KI prüfen Sie vor allem diese Punkte:

• Art des Zugangs. Ein privates Konto im Chat und ein Unternehmenszugang über die API haben oft unterschiedliche Bedingungen. Bei kommerziellen APIs verwenden Anbieter die Daten nicht zum Training ihrer Modelle. Bei Verbraucherversionen lesen Sie die Bedingungen gesondert. Zum Unterschied zwischen Chat in Eigenregie und gesteuertem Prozess lesen Sie ChatGPT oder Claude im Unternehmen – oder ein gesteuerter KI-Prozess.
• Wo Daten gespeichert und wo sie verarbeitet werden. Das sind zwei verschiedene Fragen. Der Speicher kann in der EU liegen, das Modell dennoch bei einem Anbieter außerhalb laufen. Dann geht es um eine Übermittlung in ein Drittland und deren Absicherung.
• Weitere Auftragsverarbeiter. Wer kommt noch an die Daten, und wie erfahren Sie von Änderungen?
• Beendigung. Wie erhalten Sie die Daten zurück, und wann werden sie gelöscht?

Tragen Sie jeden Auftragsverarbeiter in Ihr Verzeichnis von Verarbeitungstätigkeiten ein, falls Sie eines führen, oder zumindest in eine interne Werkzeugübersicht.

Datenminimierung: Was in die KI gehört und was nicht

Datenminimierung ist in der Praxis der wirksamste Schutz. Das Modell braucht für einen Antwortentwurf den Inhalt der Anfrage, nicht die ganze E-Mail-Kette mit allen Signaturen.

Es hilft, wenn der Prozess nicht davon abhängt, dass jeder Vertriebsmitarbeiter Texte auf eigene Weise kopiert. Liegen Ihre Anfragen in einer Erfassung und folgen einem klaren Ablauf (siehe Anfragen schnell bearbeiten, ohne eine zu verlieren), lässt sich festlegen, welches Feld ans Modell geht und welches nicht.

Checkliste: DSGVO und KI in der Geschäftskommunikation Schritt für Schritt

1. Daten erfassen. Welche personenbezogenen Daten stecken in Anfragen, E-Mails und Angeboten, auch die unerwarteten?
2. Zweck und Rechtsgrundlage bestimmen für Antwort auf Anfragen, Nachfassen und Erfassung. Das berechtigte Interesse kurz schriftlich begründen.
3. Art des KI-Zugangs wählen. Unternehmenszugang oder API mit klaren Bedingungen, keine privaten Konten von Mitarbeitenden.
4. Verträge mit Auftragsverarbeitern schließen und Speicherort, Verarbeitung und Übermittlung außerhalb der EU prüfen.
5. Datenminimierung festlegen. Bestimmen, was ans Modell geht und was entfällt.
6. Freigabe durch einen Menschen einführen. Keine E-Mail und kein Angebot geht ohne Prüfung durch die verantwortliche Person raus.
7. Datenschutzinformationen aktualisieren auf der Website und in der Datenschutzerklärung.
8. Eine interne Regel auf einer Seite schreiben: Wer welche Werkzeuge nutzen darf und was nicht hineingehört.
9. An die Rechte der Betroffenen denken. Wo finden Sie Daten, wenn jemand Auskunft oder Löschung verlangt, einschließlich KI-Ausgaben?
10. Den Prozess regelmäßig prüfen. Werkzeuge und ihre Bedingungen ändern sich.

Vorlage: Ergänzung der Datenschutzinformationen

Passen Sie den Text an die Realität an und lassen Sie ihn prüfen:

Bei der Beantwortung von Anfragen und der Erstellung von Angeboten nutzen wir Werkzeuge der künstlichen Intelligenz, die uns beim Entwurf einer Antwort unterstützen. Wir verarbeiten nur Daten, die zur Bearbeitung Ihrer Anfrage erforderlich sind. Jeder Entwurf wird vor dem Versand von einer Mitarbeiterin oder einem Mitarbeiter geprüft und freigegeben. Die Anbieter dieser Werkzeuge handeln als unsere Auftragsverarbeiter und verwenden die Daten nicht zum Training ihrer Modelle. Einzelheiten zur Übermittlung von Daten, zur Speicherdauer und zu Ihren Rechten finden Sie weiter unten, oder schreiben Sie uns.

Kommuniziert die KI direkt mit dem Kunden, ohne Kontrolle durch einen Menschen, sollten Sie zusätzlich die Transparenzpflichten für KI bedenken. Wenn ein Mensch den Entwurf freigibt und versendet, ist die Lage einfacher, dennoch ist es sinnvoll, über den KI-Einsatz zu informieren.

So löst BOTrento diese Punkte

BOTrento Chief of Staff ist ein gesteuerter Prozess für Anfragen, Angebote und weitere Vertriebsschritte. Einige Punkte der Checkliste sind direkt im Prozess verankert:

• Freigabe durch den Menschen. Nichts wird ohne Freigabe versendet. Entwürfe für E-Mails und Angebote prüft und versendet Ihr Mitarbeiter.
• Eigene API-Schlüssel. Den Modellanbieter wählen Sie selbst per eigenem Schlüssel (Anthropic Claude, OpenAI, Google Gemini und weitere) und zahlen die KI direkt dort. Die Schlüssel sind verschlüsselt, sichtbar sind nur die letzten vier Zeichen, und Sie können sie jederzeit entfernen. Das Vorgehen beschreibt die Hilfe zu eigenen API-Schlüsseln.
• Wo die Daten liegen. Wir speichern Daten auf Servern in Deutschland (EU). Das Sprachmodell verarbeitet nur Texte, die für die Aufgabe nötig sind, über die API des Anbieters, den Sie wählen. Kommerzielle API-Anbieter verwenden Daten nicht zum Training. Ganz offen: Ein eigener Server in der EU mit Aufruf einer externen KI-API ist keine geschlossene Verarbeitung, deshalb gehört der Modellanbieter in Ihre Übersicht der Auftragsverarbeiter.
• Eine Erfassung. Der Prozess arbeitet auf Ihrem CRM oder Ihrer Tabelle, es entsteht keine zweite, parallele Datenbank. Wie sich die Rollen zwischen CRM und KI aufteilen lassen, beschreibt CRM und KI: Pipedrive oder HubSpot um Entwürfe mit menschlicher Freigabe ergänzen.
• Beendigung. Sie erhalten einen Export der Daten und Ergebnisse sowie eine Beschreibung der Prozesse. Den Termin für die Entfernung von Zugängen und Kopien vereinbaren wir vorab.

Eingeführt wird er über eine 14-tägige kostenlose Testphase, die erst mit dem ersten erfolgreichen Hochladen Ihrer Daten (Import oder Postfachanbindung) beginnt; für die Vorbereitung bleiben 7 Tage. So lassen sich Datenminimierung und Freigabe in einem kleinen, überschaubaren Umfang einrichten und prüfen. Wie eine Anfrage den Prozess durchläuft, zeigt die Prozessdemo, die Tarife stehen unter Preise.