KI-Governance klingt nach Konzernprogramm, ist aber im Kern eine überschaubare Liste: ein Auftragsverarbeitungsvertrag mit dem Anbieter, ein aktualisiertes Verarbeitungsverzeichnis, ein Transparenzhinweis im Kanal, eine kurze dokumentierte Schulung — und eine Person, die zuständig ist. Wer diese Punkte vor dem Livegang erledigt, hat die häufigsten Prüffragen von Datenschutzbeauftragten bereits beantwortet.
Governance, entdramatisiert
Der Begriff schüchtert ein, und das führt zu zwei gleich schlechten Reaktionen: Die einen bauen ein Programm mit Lenkungskreis und Reifegradmodell, die anderen schieben das Thema auf, bis die erste Prüfanfrage kommt. Beides verfehlt den Kern.
KI-Governance im Kundenservice beantwortet zwei Fragen: Wer ist verantwortlich? Und: Können wir belegen, dass wir es ordentlich machen? Die Antwort auf beide passt auf wenige Seiten — wenn man sie vor dem Livegang gibt statt danach.
Die Dokumentenliste
| Dokument | Zweck | Grundlage | Wer kümmert sich |
|---|---|---|---|
| Auftragsverarbeitungsvertrag (AVV) | Regelt die Verarbeitung durch den Anbieter | Art. 28 DSGVO | Einkauf mit Datenschutzbeauftragter |
| Verarbeitungsverzeichnis, aktualisiert | Dokumentiert die neue Verarbeitungstätigkeit | Art. 30 DSGVO | Datenschutzbeauftragte |
| DSFA-Prüfung (Ergebnis dokumentiert) | Klärt, ob eine Folgenabschätzung nötig ist | Art. 35 DSGVO | Datenschutzbeauftragte |
| Transparenzhinweis im Kanal | Macht die KI-Interaktion erkennbar | Art. 50 AI Act | Serviceleitung |
| Schulungsnachweis | Belegt die KI-Kompetenz des Teams | Art. 4 AI Act | Serviceleitung |
| Datenschutzerklärung, ergänzt | Informiert über den KI-Einsatz und die Kanäle | Art. 13 DSGVO | Datenschutzbeauftragte |
Die Unterlagen für den KI-Einsatz im Kundenservice, ihre Rechtsgrundlage und die Zuständigkeit im Regelfall.
Auffällig an dieser Liste: Nichts daran ist neu erfunden. Es sind die bekannten DSGVO-Instrumente plus zwei Ergänzungen aus dem AI Act — der Hinweis im Kanal und der Schulungsnachweis. Wer seine Datenschutz-Grundlagen im Griff hat, ergänzt; wer sie nie hatte, holt sie jetzt nach.
Die drei Fragen an den Anbieter
Die Hälfte der Governance-Arbeit ist Vertragsarbeit, und sie entscheidet sich in drei Fragen, deren Antworten schriftlich vorliegen müssen:
Wo wird verarbeitet? Region, Rechenzentren, Subprozessoren — als Liste, nicht als Beteuerung. Änderungen an der Liste müssen angekündigt werden, mit Widerspruchsrecht.
Was passiert mit den Daten? Insbesondere: Fließen Kundendaten in das Training von Modellen? Die saubere Antwort ist ein vertraglicher Ausschluss. Fehlt er, ist das kein Detail, sondern ein Auswahlkriterium.
Was ist nachvollziehbar? Ein Agent, der in Systemen handelt, braucht ein Protokoll jeder Aktion — nicht nur für den Betrieb, sondern als Governance-Instrument: Ohne Protokoll lässt sich im Zweifel nichts belegen.
Zuständigkeit: der Punkt, der alles trägt
Dokumente veralten, Prozesse ändern sich, Anbieter wechseln Subprozessoren. Governance bleibt deshalb nur lebendig, wenn sie einen Namen hat: eine Person, die die Liste kennt, Änderungen einpflegt und bei Fragen ansprechbar ist.
In der Praxis bewährt sich ein Doppel: die Serviceleitung als fachlich Verantwortliche — sie weiß, was der Agent tut und warum — und die Datenschutzbeauftragte als rechtliche Instanz. Was nicht funktioniert, ist „das Team“ als Zuständiger: Kollektive Verantwortung ist im Prüfungsfall keine.
Vor dem Livegang, nicht danach
Der Aufwand ist überschaubar, wenn er am Anfang steht — und wird zäh, wenn das System längst läuft und die Dokumentation der Realität hinterherläuft. Der beste Zeitpunkt für Governance ist deshalb dieselbe Woche, in der die Automatisierung geplant wird — als Teil des Projekts, nicht als Anhängsel.
Häufige Fragen
Brauchen wir eine Datenschutz-Folgenabschätzung für KI im Kundenservice?
Nicht automatisch. Eine DSFA ist nötig, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen birgt — etwa bei umfangreicher Verarbeitung besonderer Datenkategorien. Für den typischen Service-Einsatz ist das Ergebnis der Prüfung oft, dass keine DSFA nötig ist. Entscheidend ist, dass diese Prüfung stattfindet und dokumentiert wird.
Was muss im AVV mit dem KI-Anbieter stehen?
Neben den Standardinhalten nach Art. 28 DSGVO vor allem drei Punkte, die bei KI besonders zählen: wo verarbeitet wird, welche Subprozessoren beteiligt sind — und ob Kundendaten für das Training von Modellen verwendet werden. Letzteres gehört ausdrücklich ausgeschlossen, nicht stillschweigend angenommen.
Wer sollte die Zuständigkeit für KI-Governance tragen?
Eine benannte Person mit Nähe zum Servicealltag und kurzem Draht zur Datenschutzbeauftragten — oft die Serviceleitung selbst. Wichtig ist weniger die Position als die Eindeutigkeit: Bei Fragen, Vorfällen und Audits darf keine Suche nach dem Ansprechpartner beginnen.
Wie oft müssen die Unterlagen aktualisiert werden?
Anlassbezogen und turnusmäßig: anlassbezogen bei jeder Änderung an Anbieter, Datenflüssen oder Einsatzzweck — turnusmäßig in einem festen Rhythmus, in dem die Liste einmal komplett durchgesehen wird. Veraltete Governance-Dokumente sind bei einer Prüfung kaum besser als fehlende.
Quellen
Weiterlesen
Der EU AI Act im Kundenservice: was seit August 2026 gilt
Transparenzpflicht, Risikoklassen, KI-Kompetenz: was der EU AI Act von Serviceteams verlangt — und was nicht. Mit Checkliste für den Livegang.
Kundenservice automatisieren: der Leitfaden für 2026
Welche Anfragen sich wirklich automatisieren lassen, in welcher Reihenfolge man vorgeht und woran die meisten Projekte scheitern. Mit Zahlen, Grenzen und Checkliste.
WhatsApp im Kundenservice: die Business API — und was die DSGVO verlangt
Wann der Kundenservice die WhatsApp Business API braucht, wie Fenster und Vorlagen funktionieren und welche Datenschutz-Hausaufgaben vor dem Start anstehen.