KI-Wissensdatenbanken und Vertraulichkeit: 7 Fragen, die jeder Dienstleister vor der Aufzeichnung von Kundengesprächen stellen sollte

Warum dieser Artikel

Eine KI-Wissensdatenbank, die Kundengespräche aufzeichnet, transkribiert und durchsuchbar macht, ist für Dienstleister ein erheblicher Produktivitätsgewinn. Wir haben bereits darüber geschrieben, wie KI-Wissensdatenbanken pro Projekt endlich durch Ihr Unternehmen intelligent werden – aber sobald Sie beginnen, Sprache, Video oder Chat zu erfassen, verschiebt sich das Gespräch von "nützliches Tool" zu "rechtliche Prüfung".

Dieser Artikel ist eine Checkliste mit sieben Fragen, die Sie beantworten können müssen, bevor Sie ein Tool wie Symphoria (ein Partner von Wux Webtools und die Plattform, die wir selbst nutzen) oder eine Alternative einsetzen. Die Fragen basieren auf der DSGVO, der EU-KI-Verordnung, EDSA-Leitlinien und der täglichen Praxis niederländischer Dienstleister, die compliant bleiben wollen, ohne dass Compliance die Arbeit zum Stillstand bringt.

Der Kontext: Sie sind ein Dienstleister – Beratung, Entwicklung, Marketingagentur, Steuerberatung – und unterstützen Kunden bei Projekten, die Monate dauern und Dutzende Gespräche erzeugen. Sie möchten, dass eine KI diese Gespräche zusammenfasst, Aufgaben extrahiert und Fragen beantwortet wie: "Was hat der Kunde letzte Woche zum Budget gesagt?". Das ist möglich. Aber nicht ohne diese sieben Antworten.

1. Wer erteilt die Einwilligung zur Aufzeichnung – und wie dokumentieren Sie das?

Die DSGVO verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage (Art. 6). Für Gesprächsaufzeichnungen benötigen Sie in der Regel Einwilligung (Art. 6 Abs. 1 lit. a) oder ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Die Einwilligung muss vorherig, spezifisch, informiert und freiwillig erfolgen (Art. 7). Das bedeutet: keine vorangekreuzten Kästchen, keine versteckten Klauseln in Allgemeinen Geschäftsbedingungen und ganz sicher kein "wir zeichnen auf, sofern Sie nicht widersprechen".

Was Sie sehen sollten: Einen klaren Opt-in-Moment, bevor das erste Gespräch aufgezeichnet wird. Das kann ein Kontrollkästchen in Ihrem Projekt-Onboarding sein ("Ich stimme der Aufzeichnung von Meetings zum Zweck der Projektdokumentation und KI-Unterstützung zu"), eine mündliche Bestätigung zu Beginn eines Anrufs ("Dieser Anruf wird für unsere interne Wissensdatenbank aufgezeichnet – stimmen Sie zu?") oder eine separate Einwilligungs-E-Mail. Die Einwilligung muss protokolliert werden: wer, wann, zu welchem Zweck und mit welchem Wortlaut.

Wie Symphoria dies löst: Symphoria bietet eine Einwilligungsebene pro Projekt. Bevor eine Aufzeichnung beginnt, fragt das System alle Teilnehmenden ausdrücklich nach ihrer Einwilligung. Diese Einwilligung wird mit Zeitstempel und IP-Adresse gespeichert und kann pro Projekt widerrufen werden. Das erleichtert die Einhaltung von Art. 7 Abs. 3 DSGVO ("der Widerruf der Einwilligung muss so einfach sein wie die Erteilung").

2. Wo werden die Daten physisch gespeichert, und welches Recht gilt?

Grundsätzlich untersagt die DSGVO Übermittlungen personenbezogener Daten in Länder außerhalb des EWR ohne geeignete Garantien (Art. 44–50). Seit dem Schrems-II-Urteil (2020) reichen Standardvertragsklauseln (SCCs) nicht mehr aus, wenn die empfangende Partei Überwachungsgesetzen wie FISA 702 in den USA unterliegt. Die EU-KI-Verordnung (2024) fügt eine weitere Ebene hinzu: Hochrisiko-KI-Systeme müssen Transparenz- und Prüfanforderungen erfüllen, die schwer durchzusetzen sind, wenn die Daten außerhalb der EU gespeichert werden.

Was Sie sehen sollten: Eine klare Aussage darüber, wo die Daten physisch gespeichert werden (welches Rechenzentrum, welches Land), welche Unterauftragsverarbeiter Zugriff haben und ob diese Parteien nicht-europäischen Überwachungsgesetzen unterliegen. Idealerweise: Speicherung innerhalb der EU, bei einem Anbieter, der keine US-Muttergesellschaft hat oder ausdrücklich einen "EU-only"-Modus anbietet.

Wie Symphoria dies löst: Symphoria läuft vollständig auf europäischer Infrastruktur (AWS eu-west-1, Frankfurt) und nutzt keine US-Unterauftragsverarbeiter für die Speicherung oder Verarbeitung von Transkripten. Das erleichtert die Einhaltung von Schrems II ohne komplexe Folgenabschätzungen.

3. Welches Modell verarbeitet die Transkripte, und werden sie für Training genutzt?

Die meisten KI-Wissensdatenbanken nutzen ein externes LLM (OpenAI, Anthropic, Google), um Transkripte zu verarbeiten. Das wirft zwei Fragen auf: (1) Werden die Transkripte zum Trainieren des Modells verwendet? und (2) wer hat Zugriff auf Prompts und Antworten? Die API-Bedingungen von OpenAI besagen seit März 2023, dass über die API übermittelte Daten nicht für Training verwendet werden – es sei denn, Sie stimmen ausdrücklich über ein separates Programm zu. Diese Zusicherung gilt jedoch nicht für alle Anbieter und erst recht nicht für kostenlosen oder "research"-Zugang.

Was Sie sehen sollten: Eine ausdrückliche Erklärung, dass Transkripte nicht für Modelltraining verwendet werden und dass sie nach der Verarbeitung für den LLM-Anbieter nicht mehr zugänglich sind. Das muss in der Datenverarbeitungsvereinbarung stehen, nicht nur in einer FAQ. Bonus: Die Plattform verwendet ein Modell, das Sie selbst hosten können (z. B. Llama, Mistral), oder einen europäischen Anbieter mit strenger No-Training-Klausel.

Wie Symphoria dies löst: Symphoria nutzt die API von OpenAI mit einem Business Associate Agreement (BAA) und einer No-Training-Klausel. Transkripte werden über die API verarbeitet, aber nicht von OpenAI gespeichert und nicht in zukünftige Modellversionen aufgenommen. Dies ist ausdrücklich in der Liste der Unterauftragsverarbeiter angegeben.

4. Wie lange bewahren Sie Aufzeichnungen und Embeddings auf, und wer kann sie löschen?

Die DSGVO verlangt, dass personenbezogene Daten nicht länger aufbewahrt werden, als es für den Zweck erforderlich ist, für den sie erhoben wurden (Art. 5 Abs. 1 lit. e: Speicherbegrenzung). Für eine KI-Wissensdatenbank bedeutet das, dass Sie erklären können müssen, warum eine Aufzeichnung von vor sechs Monaten noch relevant ist, und dass Sie einen Prozess zum Löschen alter Daten haben müssen. Das gilt auch für abgeleitete Daten: Embeddings (Vektordarstellungen von Text) sind personenbezogene Daten, wenn sie auf eine Person zurückgeführt werden können.

Was Sie sehen sollten: Eine konfigurierbare Aufbewahrungsfrist pro Projekt (z. B. "Aufzeichnungen nach 12 Monaten automatisch löschen"), eine Schaltfläche, mit der ein Projektmanager eine Aufzeichnung manuell löschen kann, und eine Garantie, dass die Löschung auch die Embeddings und Indizes betrifft – nicht nur die Audiodatei. Idealerweise: ein Audit-Log, das zeigt, wann etwas gelöscht wurde und von wem.

Wie Symphoria dies löst: Symphoria bietet pro Projekt eine "retention policy". Sie können konfigurieren, dass Aufzeichnungen nach X Monaten automatisch gelöscht werden, einschließlich Transkripten und Embeddings. Manuelles Löschen ist über die Projektoberfläche möglich, und jede Löschung wird im Audit-Trail protokolliert.

5. Welche Audit-Logs sind verfügbar – kann ein Kunde später sehen, was mit "seinem" Gespräch passiert ist?

Transparenz ist ein Kernprinzip der DSGVO (Art. 5 Abs. 1 lit. a). Das bedeutet, dass Sie erklären können müssen, was Sie mit den Daten einer Person getan haben – auch im Nachhinein. Für eine KI-Wissensdatenbank bedeutet das, dass Sie zeigen können müssen, welche Aufzeichnungen erstellt wurden, wer sie angesehen hat, welche Abfragen ausgeführt wurden und ob Daten exportiert oder gelöscht wurden. Ohne Audit-Logs können Sie diese Fragen nicht beantworten und riskieren im Fall einer Datenschutzverletzung oder Beschwerde Bußgelder.

Was Sie sehen sollten: Ein Audit-Log pro Projekt, das mindestens Folgendes nachverfolgt: (1) wer eine Aufzeichnung gestartet hat, (2) wer ein Transkript angesehen hat, (3) welche Abfragen gegen die Wissensdatenbank ausgeführt wurden, (4) ob Daten exportiert wurden und (5) ob Daten gelöscht wurden. Dieses Log muss durchsuchbar sein und mindestens 12 Monate aufbewahrt werden (länger, wenn Sie in einem regulierten Sektor arbeiten).

Wie Symphoria dies löst: Symphoria protokolliert alle Aktionen auf Projektebene: Aufzeichnungen, Ansichten, Abfragen, Exporte und Löschungen. Diese Logs sind für den Projekteigentümer zugänglich und können als CSV exportiert werden. Das erleichtert die Erfüllung eines Auskunftsersuchens (Art. 15 DSGVO) oder die Untersuchung eines Vorfalls.

6. Wie sieht die Exit-Strategie aus? (Können Sie Ihre Wissensdatenbank in einem offenen Format exportieren?)

Vendor Lock-in ist bei jedem SaaS-Tool ein Risiko, aber bei einer KI-Wissensdatenbank ist es besonders schmerzhaft: Sie haben monatelange Gespräche, Transkripte und Metadaten gesammelt, und wenn Sie diese nicht exportieren können, verlieren Sie dieses Wissen. Die DSGVO gibt Ihnen das Recht auf Datenübertragbarkeit (Art. 20), aber das gilt nur für Daten, die Sie selbst bereitgestellt haben – nicht für abgeleitete Daten wie Embeddings oder Zusammenfassungen. Dennoch ist es klug zu verlangen, dass Sie alles exportieren können, in einem Format, das Sie bei einem anderen Anbieter importieren können.

Was Sie sehen sollten: Eine Export-Schaltfläche, die Ihnen mindestens Folgendes liefert: (1) alle Audio- oder Videodateien, (2) alle Transkripte als Plain Text oder JSON, (3) alle Metadaten (Zeitstempel, Teilnehmende, Tags) und (4) idealerweise auch die Embeddings in einem offenen Format wie Parquet oder JSONL. Bonus: Der Export ist automatisiert und kann geplant werden (z. B. wöchentliches Backup in Ihren eigenen S3-Bucket).

7. Wer ist Auftragsverarbeiter, wer ist Verantwortlicher, und ist das in einer Datenverarbeitungsvereinbarung dokumentiert?

Die DSGVO unterscheidet zwischen dem Verantwortlichen (der Partei, die festlegt, warum und wie personenbezogene Daten verarbeitet werden) und dem Auftragsverarbeiter (der Partei, die Daten im Auftrag des Verantwortlichen verarbeitet). Als Dienstleister sind Sie in der Regel der Verantwortliche, und die KI-Wissensdatenbank ist der Auftragsverarbeiter. Das bedeutet, dass Sie eine Datenverarbeitungsvereinbarung (Art. 28 DSGVO) benötigen, die genau festlegt, was der Auftragsverarbeiter tun darf, wie lange, mit welchen Unterauftragsverarbeitern und was im Fall einer Datenschutzverletzung geschieht.

Was Sie sehen sollten: Eine Data Processing Agreement (DPA), die Art. 28 Abs. 3 DSGVO entspricht. Sie muss mindestens enthalten: (1) Gegenstand und Dauer der Verarbeitung, (2) Art und Zweck der Verarbeitung, (3) Art der personenbezogenen Daten und Kategorien betroffener Personen, (4) Rechte und Pflichten des Verantwortlichen, (5) eine Liste der Unterauftragsverarbeiter und (6) ein Verfahren für Datenschutzverletzungen. Diese Vereinbarung muss unterzeichnet werden, bevor Sie mit der Aufzeichnung beginnen.

Wie Symphoria dies löst: Symphoria bietet eine Standard-DPA, die Art. 28 DSGVO entspricht. Sie können sie über die Plattformoberfläche unterzeichnen, und sie wird automatisch aktualisiert, wenn ein neuer Unterauftragsverarbeiter hinzugefügt wird. Das erleichtert es, compliant zu bleiben, ohne jedes Mal ein Rechtsteam einzubeziehen.

TL;DR-Checkliste

• Einwilligung: Holen Sie vorherige, spezifische Einwilligung ein – mit Zeitstempel und Opt-out-Möglichkeit.
• Speicherung: Prüfen Sie, ob Daten innerhalb der EU gespeichert werden und keinen nicht-europäischen Überwachungsgesetzen unterliegen.
• Training: Verlangen Sie eine ausdrückliche Garantie, dass Transkripte nicht für Modelltraining verwendet werden.
• Aufbewahrung: Legen Sie eine Aufbewahrungsfrist fest und stellen Sie sicher, dass die Löschung auch Embeddings betrifft.
• Audit: Verlangen Sie Logs darüber, wer was angesehen, abgefragt und gelöscht hat.
• Export: Prüfen Sie, ob Sie alle Daten in einem offenen Format exportieren können.
• DPA: Unterzeichnen Sie eine Datenverarbeitungsvereinbarung, bevor Sie mit der Aufzeichnung beginnen.

Was das für Ihre Organisation bedeutet

Wenn Sie diese sieben Fragen beantworten können, sind Sie auf einem guten Weg. Aber beachten Sie: Compliance ist keine einmalige Checkliste. Die DSGVO verlangt, dass Sie regelmäßig überprüfen, ob Sie die Anforderungen weiterhin erfüllen (Art. 24: "geeignete technische und organisatorische Maßnahmen"), und die EU-KI-Verordnung fügt eine weitere Ebene für Hochrisikosysteme hinzu. Das bedeutet: regelmäßige Audits, DPIAs für neue Anwendungsfälle und ein Prozess zur Beantwortung von Auskunftsersuchen und Datenschutzverletzungen.

Möchten Sie sehen, wie das in der Praxis funktioniert? Lesen Sie eine Woche mit einer KI-Wissensdatenbank: wie sie die Arbeit eines Projektmanagers bei einem Dienstleister verändert – eine narrative Fallstudie, in der wir genau zeigen, wie diese Fragen im Alltag entstehen.

Die wichtigste Lehre: Eine KI-Wissensdatenbank wird nur dann zum Produktivitätsgewinn, wenn Sie das Vertrauen Ihrer Kunden bewahren. Und dieses Vertrauen verdienen Sie, indem Sie diese Fragen stellen – und beantworten können –, bevor Sie auf "record" drücken.