Welche Business KI-Tools sind DSGVO-konform? Unser Check — Teil 2

# Welche Business KI-Tools sind DSGVO-konform? Unser Check

Der Einsatz von Künstlicher Intelligenz revolutioniert den Unternehmensalltag – vom Kundenservice über den Vertrieb bis hin zum Marketing. Doch für Unternehmen im europäischen Wirtschaftsraum gilt: Ohne Einhaltung der Datenschutz-Grundverordnung (DSGVO) wird der Einsatz moderner Software schnell zum rechtlichen Minenfeld. DSGVO KI-Tools sind längst kein „Nice-to-have“ mehr, sondern eine zwingende Voraussetzung für den sicheren Betrieb. Wer unbedacht US-amerikanische Cloud-Dienste oder unzureichend geprüfte datenschutzkonforme KI-Lösungen integriert, riskiert nicht nur empfindliche Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Auch der drohende Datenverlust von Betriebsgeheimnissen und massive Reputationsschäden bei Kunden machen eine präzise Prüfung unumgänglich, wenn Sie die Business DSGVO einhalten wollen.

Was bedeutet datenschutzkonforme KI im Unternehmen?

Wenn Unternehmen KI-basierte Software evaluieren, reicht ein einfaches Versprechen des Anbieters zum Datenschutz nicht aus. KI-Modelle verarbeiten riesige Mengen an Eingabedaten (Prompts) und erzeugen daraus Antworten. Dabei müssen streng geregelte juristische und technische Kriterien erfüllt sein, damit eine Software als datenschutzkonforme KI eingestuft werden kann.

Folgende Kernkriterien entscheiden über die Rechtmäßigkeit im europäischen Markt:

• Serverstandort und Datenübermittlung: Verbleiben personenbezogene Daten in der EU/im EWR oder erfolgt ein Transfer in Drittstaaten (z. B. die USA)? Werden aktuelle Rechtsgrundlagen wie das *EU-U.S. Data Privacy Framework* (DPF) oder Standardvertragsklauseln (SCCs) genutzt?
• Auftragsverarbeitungsvertrag (AVV): Liegt ein rechtssicherer AV-Vertrag nach Art. 28 DSGVO vor, der die Verpflichtungen des Anbieters eindeutig regelt?
• Verbot von KI-Training mit Kundendaten: Garantiert der Anbieter explizit, dass die eingegebenen Unternehmens- und Kundendaten nicht zum Training öffentlicher KI-Modelle (wie GPT-4 oder Claude) verwendet werden?
• Transparenz und Betroffenenrechte: Werden Löschansprüche, Auskunftsrechte und die Richtlinien zur Datenspeicherung technisch sauber unterstützt?

„Eine KI ist im Unternehmen nur so gut wie das rechtliche Fundament, auf dem ihre Datenverarbeitung steht.“

---

DSGVO KI-Tools im Detailcheck

In unserem Check haben wir sechs weit verbreitete KI-Tools für den B2B-Bereich unter die Lupe genommen. Wir bewerten die Werkzeuge anhand einer Ampellogik: Empfehlenswert (Grün), Mit Einschränkung (Gelb) oder Kritisch (Rot / Unbekannt).

Zendesk AI

Zendesk AI ist eine Erweiterung der weit verbreiteten Kundenservice-Plattform und nutzt KI-Modelle zur automatisierten Beantwortung von Kundenanfragen sowie zur Unterstützung von Service-Agenten.

• DSGVO-Status: Gelb (Mit Einschränkung)
• Serverstandort: USA / EU (über die kostenpflichtige Option *Data Location*)
• AV-Vertrag: Verfügbar und standardisiert abrufbar.
• Datenweitergabe & Training: Zendesk nutzt eigene Modelle sowie Schnittstellen zu Drittanbietern wie OpenAI. In den Enterprise-Tarifen garantiert das Unternehmen, dass Kundendaten nicht für das Training allgemeiner Modelle genutzt werden.

Bewertung: Mit Einschränkung empfehlenswert. Das Tool ist für europäische Unternehmen nutzbar, sofern das EU-Datenhosting explizit gebucht und die Opt-out-Optionen für das Modelltraining im Admin-Center aktiviert werden. Ohne diese Konfiguration drohen unzulässige Datenübermittlungen in die USA.

Halveo

Halveo verspricht die Automatisierung von Geschäftsprozessen durch intelligente KI-Assistenten, richtet sich an B2B-Kunden und ist noch vergleichsweise neu am Markt.

• DSGVO-Status: Unbekannt (Kritisch)
• Serverstandort: Unklar / Nicht eindeutig dokumentiert.
• AV-Vertrag: Derzeit kein öffentlicher, standardisierter AVV direkt einsehbar.
• Datenweitergabe & Training: Es fehlen transparente Angaben darüber, welche Foundation Models im Hintergrund eingesetzt werden und wie mit den Prompts verfahren wird.

Bewertung: Kritisch. Aufgrund der mangelnden Transparenz bei der Datenverarbeitung und des fehlenden Nachweises eines DSGVO-konformen Setups können wir von einem Einsatz in datenschutzsensiblen Unternehmensbereichen derzeit nur abraten. Hier besteht dringender Nachbesserungsbedarf seitens des Anbieters.

Intercom AI (Fin)

Intercom AI setzt mit seinem KI-Bot „Fin“ auf die direkte Klärung von Kundensupport-Tickets mithilfe von Large Language Models.

• DSGVO-Status: Gelb (Mit Einschränkung)
• Serverstandort: USA / Irland (EU-Hosting für europäische Kunden verfügbar).
• AV-Vertrag: Sehr gut ausgearbeiteter AVV inklusive EU-Standardvertragsklauseln verfügbar.
• Datenweitergabe & Training: Intercom verarbeitet Daten über OpenAI-Schnittstellen (API). Laut Richtlinien werden Daten über die API nicht zum Training der OpenAI-Modelle verwendet.

Bewertung: Mit Einschränkung empfehlenswert. Intercom hat im Bereich Datenschutz stark nachgebessert und ist DPF-zertifiziert. Unternehmen müssen jedoch sicherstellen, dass die EU-Datenresidenz in den Workspace-Einstellungen aktiviert ist und der AVV unterzeichnet wird.

Salesforce Einstein

Salesforce Einstein ist die integrierte KI-Lösung des weltweiten Marktführers für CRM-Systeme und unterstützt Vertrieb, Marketing und Service mit prädiktiven sowie generativen Funktionen.

• DSGVO-Status: Gelb (Mit Einschränkung)
• Serverstandort: Global / EU (über *Hyperforce* in Frankfurt/Paris).
• AV-Vertrag: Umfassender, rechtssicherer AVV für Enterprise-Kunden.
• Datenweitergabe & Training: Der sogenannte *Einstein Trust Layer* verhindert, dass Daten bei der Nutzung externer LLMs gespeichert oder zum Training verwendet werden. Daten werden nach der Verarbeitung umgehend gelöscht.

Bewertung: Mit Einschränkung empfehlenswert. Technisch bietet Salesforce eine der ausgereiftesten Schutzarchitekturen am Markt. Die gelbe Bewertung resultiert daraus, dass die DSGVO-Konformität von der korrekten Architekturwahl (*Hyperforce*) und oft kostenintensiven Enterprise-Optionen abhängt.

Tidio AI (Lyro)

Tidio AI bietet mit dem Bot „Lyro“ eine KI- Kundenservicelösung, die speziell auf kleine und mittlere Unternehmen (KMU) sowie E-Commerce-Plattformen zugeschnitten ist.

• DSGVO-Status: Gelb (Mit Einschränkung)
• Serverstandort: EU (Hauptsitz in Polen), jedoch Einbindung internationaler Subunternehmer.
• AV-Vertrag: AVV wird direkt über das Dashboard bereitgestellt.
• Datenweitergabe & Training: Da der Hauptsitz in der EU liegt, greift das europäische Datenschutzrecht direkt. Allerdings nutzt Lyro externe LLMs (u.a. Claude von Anthropic / OpenAI), wodurch Daten zeitweise auf US-Infrastrukturen verarbeitet werden können.

Bewertung: Mit Einschränkung empfehlenswert. Für KMU ist Tidio aufgrund des EU-Firmensitzes eine attraktive Wahl. Nutzer sollten jedoch genau prüfen, welche Drittanbieter-Schnittstellen für die KI-Funktionen aktiviert sind.

Drift

Drift ist eine führende Plattform für Conversational Marketing und Vertriebsautomatisierung, die KI zur Qualifizierung von Website-Besuchern einsetzt.

• DSGVO-Status: Gelb (Mit Einschränkung)
• Serverstandort: USA.
• AV-Vertrag: AVV mit Standardvertragsklauseln ist verfügbar.
• Datenweitergabe & Training: Drift gehört zur Salesloft-Gruppe und ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Dennoch erfolgt die primäre Verarbeitung von KI-Prompts auf US-Servern.

Bewertung: Mit Einschränkung empfehlenswert. Der Einsatz erfordert eine detaillierte Datenschutz-Folgenabschätzung (DSFA) sowie eine transparente Nennung in den Datenschutzhinweisen der Website.

---

Unsere Empfehlung für deutsche Unternehmen

Wer in Deutschland oder Österreich datenschutzkonforme KI im Business-Umfeld einsetzen möchte, kommt an einer sauberen Erstkonfiguration nicht vorbei. Es gibt aktuell kaum ein US-basiertes Tool, das „out of the box“ ohne Anpassungen eine grüne Ampel erhält.

• Top-Pick für Enterprise-Anforderungen: Salesforce Einstein (in Kombination mit *Hyperforce*). Der *Einstein Trust Layer* setzt Maßstäbe bei der Anonymisierung und Verhinderung von Modell-Training durch Dritte.
• Alternative für kleinere Budgets: Tidio AI. Durch den Firmensitz in der EU bietet Tidio eine solide rechtliche Basis für KMU, erfordert aber ebenfalls den Abschluss des AVV und das Deaktivieren unrelevanter Datenfreigaben.

„Ein pauschales Verbot von KI-Tools im Unternehmen ist unrealistisch – die Lösung liegt in der richtigen Konfiguration und vertraglichen Absicherung.“

---

Fazit

Die Analyse zeigt eindeutig: Die meisten namhaften DSGVO KI-Tools auf dem Markt befinden sich im „gelben Bereich“. Das bedeutet keineswegs, dass diese Software unzulässig ist. Es zeigt vielmehr, dass die Verantwortung für die Einhaltung der Business DSGVO zu großen Teilen bei den nutzenden Unternehmen liegt. Ohne den Abschluss eines AV-Vertrags, die Aktivierung von EU-Serverstandorten und das Unterbinden von Modell-Trainings durch Drittanbieter riskieren Firmen rechtliche Konsequenzen.

Mit der richtigen Vorbereitung und Dokumentation lässt sich moderne KI jedoch auch im europäischen Markt rechtssicher und effizient einsetzen.

---

Bleiben Sie beim Thema KI und Datenschutz auf dem Laufenden!

Möchten Sie wöchentlich neutrale Analysen, Praxis-Tipps und rechtliche Updates zu neuen KI-Tools erhalten?

[Jetzt für unseren kostenlosen Tech-Newsletter anmelden] und keine wichtigen Entwicklungen verpassen!

Im Artikel erwähnte Tools

Weiterlesen

Kein Tool mehr verpassen

Wöchentlich neue DSGVO-geprüfte KI-Tools direkt ins Postfach.