DSGVO und Automatisierung: wie Sie mit Kundendaten automatisieren, ohne Europa zu verlassen

DSGVO und Automatisierung gehören von dem Moment an zusammen, in dem ein Ablauf den Namen, die Telefonnummer oder die Buchung eines Kunden berührt, und auf Mallorca berührt fast alles, was sich zu automatisieren lohnt, genau das: Buchungsbestätigungen in einem Hotel, Terminerinnerungen in einer Klinik in Palma, Charterangebote, Nachverfolgung von Käufern in einem Immobilienbüro. Dieser Beitrag erklärt, wie wir das in jedem Projekt angehen, damit die Daten Ihrer Kunden mit Verstand verarbeitet werden und in Europa bleiben. Was folgt, sind technische und organisatorische Entscheidungen. Die rechtliche Bewertung Ihres konkreten Falls obliegt Ihrem Anwalt oder Ihrem Datenschutzbeauftragten.

Beginnen Sie damit, weniger Daten zu verarbeiten

Die erste Entscheidung jeder Automatisierung lautet, welche Daten sie wirklich braucht. Beim Verbinden von Systemen ist die Versuchung groß, "den gesamten Kundendatensatz" von einer Stelle zur anderen zu schieben, weil es bequemer ist. Die DSGVO verlangt das Gegenteil, und es vereinfacht zugleich das Projekt.

Beispiele, wie wir das anwenden:

• Eine Terminerinnerung braucht Vorname, Uhrzeit und Telefonnummer. Sie braucht keine Krankenakte.
• Eine Ankunftsmeldung für eine Ferienwohnung braucht den Namen des Buchenden und das Datum. Sie braucht nicht die Passnummer jedes einzelnen Gastes.
• Ein täglicher Umsatzbericht braucht Beträge und Kategorien. Er muss keine Kunden mit Vor- und Nachnamen auflisten.

Jedes Feld, das nicht mitreist, ist ein Feld, das später nicht geschützt, protokolliert und gelöscht werden muss.

Wissen, wo die Daten in jedem Schritt liegen

Eine Automatisierung ist eine Kette: Das Datum verlässt ein System, läuft durch ein Werkzeug und gelangt in ein anderes. Für jedes Glied fragen wir, in welchem Land der Server steht und wer der Anbieter ist. In der Praxis:

• Google Workspace und Microsoft 365 erlauben die Wahl der Speicherregion in Europa. Es lohnt sich zu prüfen, dass das so eingestellt ist, und es nicht auf der Voreinstellung zu belassen.
• Unsere Automatisierungen laufen auf einem eigenen Server innerhalb der EU. Das ist unser Standard, sodass der Ablauf und die Daten, die durch ihn laufen, Europa nicht verlassen. Make bietet in seinen Unternehmenstarifen Hosting in der EU an.
• Die Sprachmodelle, die die Agenten nutzen, lassen sich über Anbieter mit Verarbeitung in Europa betreiben oder, für sensible Fälle, auf einem eigenen Server mit quelloffenen Modellen. Welche Variante gewählt wird, entscheiden wir gemeinsam mit dem Kunden je nach Art der Daten.
• Die WhatsApp Business API gehört Meta, die Nachrichten laufen über deren Infrastruktur. Das ist eine Verarbeitung, die zu dokumentieren ist, mit dem offiziellen Anbieter, den Sie nutzen, als Vermittler.

Das Ergebnis dieser Übung ist eine einseitige Übersicht, die festhält, welches Datum wo durchläuft. Wir übergeben sie dem Kunden am Ende jedes Projekts, und sie dient dem Verzeichnis von Verarbeitungstätigkeiten.

Eigene Werkzeuge gegenüber Cloud-Diensten

Viele KI-Automatisierungswerkzeuge laufen als Dienst in den Vereinigten Staaten. Man kann sie rechtskonform nutzen, das verlangt jedoch Vertragsklauseln, Transferfolgenabschätzungen und eine Nachverfolgung, die ein Unternehmen mit 10 Personen meist nicht übernehmen möchte.

Wir bevorzugen es, auf dem aufzubauen, was Sie bereits haben (Ihr Postfach, Ihr Drive, Ihr Holded, Ihr Buchungsprogramm), und die Automatisierungsschicht sowie die Agenten auf europäischen Servern zu betreiben, die wir oder der Kunde kontrollieren. Braucht ein Agent ein Sprachmodell, nutzen wir Anbieter mit Verarbeitung in der EU oder quelloffene Modelle auf eigenem Server. Das kostet anfangs etwas mehr Einrichtung und erspart später viel Papier.

Der Auftragsverarbeitungsvertrag

Wenn wir oder ein anderer Anbieter auf Daten Ihrer Kunden zugreifen, um eine Automatisierung zu bauen oder zu warten, handeln wir als Auftragsverarbeiter, und es braucht einen Vertrag, der das regelt (Artikel 28 DSGVO). Wir schließen ihn mit jedem Kunden, bevor wir echte Daten anfassen. Was er in einfacher Sprache enthalten muss:

• Welche Daten wir verarbeiten und wozu.
• Dass wir ausschließlich Ihren Weisungen folgen.
• Welche Sicherheitsmaßnahmen wir anwenden.
• Welche Unterauftragsverarbeiter wir einsetzen (den Serveranbieter, den Anbieter des KI-Modells) und wo sie sitzen.
• Was mit den Daten am Ende der Zusammenarbeit geschieht.

Verlangen Sie diesen Vertrag von jedem Unternehmen, das für Sie etwas automatisiert. Wenn dort niemand weiß, wovon Sie sprechen, ist das ein Warnzeichen.

Einwilligung und WhatsApp

WhatsApp ist auf Mallorca der Kanal mit der größten Wirkung und zugleich der, der die meiste Sorgfalt verlangt. Regeln, die wir immer anwenden, wenn wir Abläufe über die WhatsApp Business API bauen:

• Der Kunde hat seine Nummer zu diesem Zweck angegeben und weiß das. Eine Buchung oder ein Termin bedeutet, dass er Bestätigungen und Erinnerungen zu dieser Buchung oder diesem Termin erhalten kann, es bedeutet nicht, dass er Angebote erhalten darf.
• Werbliche Nachrichten laufen getrennt und mit ausdrücklicher Einwilligung, mit einem klaren Weg zur Abmeldung ("antworten Sie mit STOPP").
• Der Agent importiert keine Telefonlisten aus anderen Quellen und schreibt niemanden an, der die Beziehung nicht selbst begonnen hat.
• Die Nachrichtenvorlagen werden bei Meta freigegeben und dokumentiert aufbewahrt.

Protokolle und Löschung

Zwei Dinge, die eine Automatisierung besser erledigt als ein Mensch, sofern sie von Anfang an so entworfen wird:

Protokolle. Jede Aktion eines Ablaufs oder eines Agenten wird festgehalten: welches Datum er gelesen hat, was er versendet hat, an wen und wann. Damit lässt sich einem Kunden antworten, der fragt, was Sie über ihn wissen, und bei Bedarf nachweisen, dass das System getan hat, was es sollte. Die Protokolle liegen ebenfalls in der EU und werden für einen festgelegten Zeitraum aufbewahrt, nicht für immer.

Löschung. Wir legen mit dem Kunden fest, wie lange jedes Datum aufbewahrt wird (zum Beispiel werden die Gespräche eines Buchungs-Chatbots eine bestimmte Zahl von Monaten nach der Abreise gelöscht), und die Automatisierung führt das von allein aus. Verlangt ein Kunde seine Löschung, durchläuft der Prozess alle verbundenen Systeme, nicht nur das erste.

Häufige Fragen

Darf ich einen KI-Agenten mit Patienten- oder Finanzkundendaten einsetzen?

Ja, mit mehr Sorgfalt. Gesundheitsdaten sind eine besondere Kategorie und verlangen eine verstärkte Rechtsgrundlage, eine Datenschutz-Folgenabschätzung und ernsthafte technische Maßnahmen. In solchen Fällen arbeiten wir mit Modellen auf eigenem Server innerhalb der EU und beschränken auf ein Minimum, was der Agent sieht. Ihr Datenschutzbeauftragter sollte von Anfang an eingebunden sein.

Brauche ich eine Einwilligung, um Terminerinnerungen zu automatisieren?

In der Regel ist die Erinnerung Teil der Leistung, die der Kunde beauftragt hat, und stützt sich auf dieses Verhältnis, nicht auf eine gesonderte Einwilligung. Was Sie brauchen, ist eine klare Information (im Moment der Buchung), dass er Erinnerungen erhält und über welchen Kanal. Lassen Sie diesen Punkt für Ihren konkreten Fall von Ihrem Anwalt bestätigen.

Was passiert mit meinen Daten, wenn ich die Zusammenarbeit beende?

Der Auftragsverarbeitungsvertrag legt fest, dass wir die Daten, auf die wir Zugriff hatten, zurückgeben oder löschen, und dass Konten, Abläufe und Server auf Ihren Namen laufen. Wir übergeben Ihnen die aktualisierte Verarbeitungsübersicht und die Zugangsdaten, und die Automatisierung läuft ohne uns weiter.

Wenn Sie wissen möchten, welche Prozesse in Ihrem Unternehmen sich automatisieren lassen und wie die Daten in jedem Schritt behandelt würden, prüfen wir das in der Erstanalyse zum Preis von 1.500 €, der mit dem ersten Projekt verrechnet wird. Analyse anfragen