Ist ein KI-Vertriebsassistent DSGVO-konform? Rechtsgrundlage & Checkliste 2026

KI Dieser Artikel wurde mit Hilfe von KI erstellt.

Wichtige Erkenntnisse

• Verantwortliche müssen Daten auf Basis einer von 6 Rechtsgrundlagen verarbeiten.
• Die DSGVO verlangt die Einhaltung von 7 Kernprinzipien, darunter Datenminimierung.
• Laut dem 15. Tätigkeitsbericht des BayLDA ist aufnahmefreie Live-Transkription zulässig.
• Auftragsverarbeiter dürfen Unterauftragnehmer nur mit schriftlicher Genehmigung einsetzen.

Was genau soll der Assistent tun?

Bevor du ein neues System im Vertrieb einführst, musst du den geplanten Workflow genau zerlegen. Die DSGVO verlangt von Unternehmen, dass jede Verarbeitung personenbezogener Daten einem eindeutigen, legitimen Zweck dient und auf das notwendige Maß beschränkt bleibt^[1]. Ein KI-Vertriebsassistent greift tief in die tägliche Schreibtischarbeit im Vertriebsalltag ein: Er unterstützt bei der Vorbereitung auf Kundentermine, strukturiert Gesprächsinhalte, erstellt Besuchsberichte und aktualisiert Datensätze in Systemen wie Salesforce, HubSpot, Microsoft Dynamics oder SAP.

Für eine belastbare Datenschutzprüfung reicht es nicht, den Assistenten als Blackbox zu betrachten. Du musst definieren, welche Datenkategorien an welcher Stelle im Prozess anfallen, wer darauf Zugriff hat und wohin die Ergebnisse fließen. Im Vertrieb betreffen diese Workflows vor allem zwei Gruppen von Menschen mit unterschiedlichen Schutzinteressen: deine eigenen Vertriebsteams im Außendienst und externe Gesprächspartner auf Kundenseite.

• Eingabedaten: Gesprochene Sprache aus Online-Meetings oder Vor-Ort-Terminen, Notizen aus der Vorbereitung sowie bestehende Stammdaten aus dem CRM.
• Verarbeitungsstufen: Echtzeit-Transkription des Gesprochenen, KI-gestützte Extraktion relevanter Fakten (z. B. Budget, nächste Schritte) und strukturierte Zusammenfassungen.
• Ausgabedaten und Zielsysteme: Generierte Besuchsberichte, Follow-up-E-Mails und aktualisierte Datenfelder im CRM-System.
• Betroffene Personen: Eigene Beschäftigte (Vertriebsteams) sowie Kundinnen und Kunden (Ansprechpartner, Entscheider).
• Zugriffsberechtigungen: Unterschiedlich basierend auf einem strikten Rollen- und Rechtekonzept.

Wenn du diesen Ablauf von Beginn an lückenlos skizzierst, schaffst du ein klares Fundament für die anschließende rechtliche Bewertung und verhinderst unkontrollierten Wildwuchs im Unternehmen.

Welche Rechtsgrundlage kommt in Betracht?

Nach den Vorgaben der europäischen Datenschutzbehörden darf dein Unternehmen personenbezogene Daten nur dann verarbeiten, wenn dafür eine der sechs anerkannten Rechtsgrundlagen greift^[2]. Bei einem KI-Vertriebsassistenten scheidet die Erfüllung eines Vertrags mit dem individuellen Ansprechpartner in der Regel aus. Daher stehen in der Praxis vor allem zwei Instrumente im Mittelpunkt: die informierte Einwilligung und das berechtigte Interesse.

Viele Unternehmen greifen reflexartig zur Einwilligung, unterschätzen dabei jedoch die organisatorischen Hürden im Vertriebsalltag. Eine Einwilligung muss stets freiwillig, spezifisch, informiert und unmissverständlich erfolgen sowie jederzeit widerrufbar sein^[2]. Zudem müssen Beschäftigtendaten und Kundendaten zwingend getrennt bewertet werden. Im Beschäftigungsverhältnis gilt wegen des strukturellen Überordnungsverhältnisses ein besonders strenger Maßstab für die Freiwilligkeit.

‍

Im Außendienst und B2B-Vertrieb lässt sich die reine Erstellung von Gesprächsnotizen und CRM-Updates bei datenschutzfreundlicher Architektur auf das berechtigte Interesse stützen. Wie ein rechtssicherer Datenschutz im Außendienst gelingt, hängt jedoch maßgeblich davon ab, dass keine unbefugten Tonaufzeichnungen erstellt werden.

Wie wird die Verarbeitung begrenzt?

Die Grundsätze der DSGVO fordern eine strikte Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit^[1]. Für deinen KI-Vertriebsassistenten bedeutet das: Er darf nur diejenigen Informationen aufbereiten und speichern, die für den geschäftlichen Zweck der Gesprächsdokumentation tatsächlich notwendig sind. Überflüssige persönliche Details oder vertrauliche Randbemerkungen gehören nicht in das CRM-System.

Ein weiterer zentraler Baustein ist die Transparenz gegenüber allen Beteiligten. Werden personenbezogene Daten verarbeitet, müssen Betroffene verständlich und in klarer Sprache über Verantwortliche, Zwecke, Rechtsgrundlagen, Speicherdauer und ihre Betroffenenrechte informiert werden^[1]. Falls Daten nicht direkt bei der Person erhoben werden, verlangt die DSGVO diese Information spätestens innerhalb eines Monats^[1].

• Rollen- und Rechtekonzept: Zugriff auf Notizen und CRM-Felder erhalten nur die zuständigen Vertriebsmitarbeiter und Führungskräfte.
• Automatische Löschroutinen: Rohtranskripte und temporäre Textfragmente werden nach Erstellung der Zusammenfassung unmittelbar verworfen.
• Minimierte Datenfelder: Nur vertriebsrelevante Fakten (Bedarf, Timeline, Einwände) fließen in Systeme wie Salesforce, Microsoft Dynamics, HubSpot oder SAP.
• Klare Datenschutzhinweise: Bereitstellung transparenter Informationen in E-Mail-Signaturen oder vor Beginn digitaler Meetings.

Durch definierte Löschfristen und sparsame Datenfelder schützt du nicht nur Kundendaten, sondern reduzierst auch den administrativen Ballast für dein gesamtes Team.

Welche Verträge und Nachweise sind nötig?

Wenn du einen externen KI-Assistenten nutzt, fungiert der Anbieter als Auftragsverarbeiter, der personenbezogene Daten ausschließlich auf deine Weisung hin verarbeitet^[3]. Gemäß den europäischen Vorgaben ist ein schriftlicher Vertrag zur Auftragsverarbeitung (AVV) zwingend vorgeschrieben. Darin verpflichtet sich der Dienstleister unter anderem zur Vertraulichkeit, zur Gewährleistung angemessener Sicherheitsmaßnahmen und zur Unterstützung bei Betroffenenrechten^[3].

Besondere Aufmerksamkeit verlangen Unterauftragnehmer und der Serverstandort. Der Auftragsverarbeiter darf Subunternehmer nur mit vorheriger schriftlicher Genehmigung hinzuziehen und muss vertraglich sicherstellen, dass für diese dieselben strengen Schutzpflichten gelten^[3]. Für europäische Unternehmen ist ein Hosting innerhalb der EU oder des EWR der sicherste Weg, um komplexe Drittlandstransfers zu vermeiden.

• Auftragsverarbeitungsvertrag (AVV): Vollständige Regelung aller Verarbeitungsschritte, Weisungsgebundenheit und Kontrollrechte^[3].
• Technische und organisatorische Maßnahmen (TOMs): Nachweise über Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrollen und Systemresilienz.
• Sicherheitszertifizierungen: Unabhängige Audits nach ISO 27001 oder SOC 2 zur Bestätigung robuster Sicherheitsstandards.
• Subunternehmerverzeichnis: Transparente Übersicht aller eingesetzten Cloud- und Schnittstellenanbieter inklusive deren Datenverarbeitungsorte.
• Löschkonzept: Verbindliche Zusicherung, dass Kundendaten nach Vertragsende vollständig gelöscht oder zurückgegeben werden^[3].

Fordere diese Nachweise vor dem Produktivstart an. Nur mit vollständigen Dokumenten erfüllt dein Unternehmen die Rechenschaftspflicht gegenüber Aufsichtsbehörden.

Wann braucht es eine Folgenabschätzung?

Vor der Einführung neuer Technologien müssen Unternehmen prüfen, ob die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat^[4]. Bei KI-Systemen im Vertrieb ist eine strukturierte Schwellenwertanalyse unerlässlich, um festzustellen, ob eine formelle Datenschutz-Folgenabschätzung (DSFA) durchgeführt werden muss.

Besonders sensibel ist der Einsatz von Assistenzsystemen im Hinblick auf die eigenen Mitarbeiter. Wird ein KI-Tool genutzt, um Verhaltens- oder Leistungsmuster zu analysieren, entstehen schnell Überwachungsängste. Eine proaktive und transparente Einbindung des Betriebsrats ist hier der Schlüssel zum Erfolg: Wenn klar ist, dass der Assistent administrative Schreibtischarbeit im Vertriebsalltag abnimmt und nicht der Verhaltenskontrolle dient, gelingt ein reibungsloser Rollout. Wie du die Zusammenarbeit mit Legal, IT und Arbeitnehmervertretern strukturierst, beschreibt der Leitfaden Rollout ohne Stress.

• Schwellenwertanalyse: Prüfe Kriterien wie systematische Auswertung, neue Technologien und Verarbeitung von Beschäftigtendaten.
• Zweckabgrenzung: Stelle sicher, dass Analysen anonymisiert erfolgen und reine Prozessunterstützung bieten.
• Betriebsratsabstimmung: Binde Arbeitnehmervertreter frühzeitig ein und zeige den konkreten Nutzen zur Entlastung von Routineaufgaben auf.
• Pilotierung mit klaren Grenzen: Teste das System zunächst in einer begrenzten Nutzergruppe mit definierten Feedbackschleifen.

Indem du Risiken vorab identifizierst und dokumentierst, schaffst du Akzeptanz im Team und vermeidest rechtliche Verzögerungen kurz vor dem Go-Live.

Was ändert die aufnahmefreie Verarbeitung?

Der entscheidende Hebel für die rechtliche Zulässigkeit liegt in der technischen Architektur: Speichert das System Audiodateien oder verarbeitet es das gesprochene Wort ausschließlich in Echtzeit? Das unbefugte Aufzeichnen des nichtöffentlich gesprochenen Wortes berührt die Vertraulichkeit des Wortes nach § 201 StGB. Wer Audiosignale aufzeichnet oder zwischenspeichert, benötigt zwingend die vorherige, lückenlose Einwilligung aller Gesprächsteilnehmer.

Eine reine Live-Transkription verändert die datenschutzrechtliche Bewertung grundlegend. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat in seinem 15. Tätigkeitsbericht 2025 festgestellt, dass die Live-Transkription von Besprechungen zur Erstellung von Zusammenfassungen auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann, wenn keine dauerhafte Speicherung des Audiomaterials erfolgt. Ein detaillierter Vergleich der Ansätze findet sich im Leitfaden Transkription statt Aufnahme.

‍

Für moderne Vertriebsorganisationen bedeutet das: Durch den Verzicht auf Audioaufnahmen eliminierst du das größte Compliance-Risiko und ermöglichst einen praxistauglichen Einsatz im Alltag.

Dokumentation der Entscheidung

Am Ende der Prüfung steht die formelle Freigabe. Deine Dokumentation muss nachweisen, dass alle Aspekte der DSGVO geprüft wurden - von der Zweckbestimmung über die Rechtsgrundlage bis zu den Sicherheitsnachweisen des Anbieters. Auch bei einer aufnahmefreien Verarbeitung bleibt der Text-, Analyse- und CRM-Datenfluss im Detail zu auditieren und schriftlich festzuhalten.

Halte die Entscheidung in einem klaren Beschluss fest, der Zuständigkeiten, Maßnahmen und Kontrollintervalle definiert. Für moderne Vertriebsteams im Innen- und Außendienst, die ihre Kundengespräche effizient vor- und nachbereiten wollen, bieten persönliche Sprachassistenten am Telefon eine enorme Arbeitserleichterung. Wie Vertriebsmitarbeiter Meetings direkt vom Handy vorbereiten und Besuchsberichte erstellen, zeigen mobile Telefonassistenten Vicky & Tim.

• Freigabestatus: Festlegung auf Go, Go mit Auflagen (z. B. Schulung der Teams) oder No-Go.
• Dokumentenablage: Zusammenführung von AVV, TOMs, ISO-Zertifikaten und Schwellenwertanalyse.
• Verantwortlichkeiten: Zuweisung klarer Owner für Datenschutz, IT-Sicherheit und Systemadministration.
• Wiedervorlage: Jährliche Überprüfung der Datenflüsse, Berechtigungen und Schnittstellen zu Systemen wie Microsoft Dynamics, Salesforce oder SAP.

Wenn du administrative Routineaufgaben automatisieren und gleichzeitig höchste DSGVO-Standards wahren möchtest, unterstützt dich der Bliro Sales Assistant. Er übernimmt die strukturierte Vorbereitung, Transkription und CRM-Pflege ohne Audioaufnahmen, sodass sich deine Vertriebsteams voll auf ihre Kundengespräche konzentrieren können.

Quellen

1. https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/principles-gdpr_en
2. https://www.edpb.europa.eu/sme/be-compliant/process-personal-data-lawfully_en
3. https://www.edpb.europa.eu/sme/learn-the-basics/data-controller-or-data-processor_en
4. https://gdpr.eu/article-35-impact-assessment