Ratgeber & Compliance

DSGVO und Kundensupport-Automatisierung: ein Praxisleitfaden

Von Roman Zakharenko · Fakten geprüft 19. Oktober 2026

Die DSGVO gilt für Support-Automatisierung wie für jede andere Verarbeitung personenbezogener Daten. Sie brauchen eine Rechtsgrundlage nach Art. 6, verarbeiten nur, was Sie benötigen (Art. 5 Abs. 1 lit. c), speichern es nur so lange wie nötig (Art. 5 Abs. 1 lit. e), und Anbieter, die Daten in Ihrem Auftrag verarbeiten, brauchen einen Vertrag nach Art. 28. Bei Chatbots und Helpdesk-Workflows läuft das meiste auf Gestaltungsentscheidungen hinaus: welche Felder Sie senden, wohin sie gehen und wie lange die Logs aufbewahrt werden.

Auf einen Blick

Art. 5 Abs. 1 lit. c: Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sein.
Art. 6 Abs. 1 nennt sechs Rechtsgrundlagen. Der EuGH behandelt die Liste als abschließend.
Art. 28 Abs. 3 verlangt mit jedem Auftragsverarbeiter einen verbindlichen Vertrag, unter anderem darüber, dass er nur auf Ihre dokumentierte Weisung handelt.
Laut EDSA ist die Prüfung, ob ein Auftragsverarbeiter hinreichende Garantien bietet, eine fortlaufende Pflicht und keine einmalige.
Make lässt Sie beim Anlegen einer Organisation ein Rechenzentrum in den USA oder in der EU wählen. Später lässt sich das nicht ändern.

Wo personenbezogene Daten in der Support-Automatisierung auftauchen

Eine Support-Automatisierung berührt personenbezogene Daten an mehreren Stellen, oft an mehr, als dem Team bewusst ist. Diese Stellen zu erfassen ist der erste praktische Schritt, denn an jeder davon kommen Datenminimierung, Speicherfristen und Verträge mit Anbietern ins Spiel.

Chat- und E-Mail-Transkripte: Namen, E-Mail-Adressen, Telefonnummern, Bestellnummern und alles andere, was Kunden eintippen.
Ticketfelder und Anhänge im Helpdesk, die eine Automatisierung liest oder in ein anderes Tool kopiert.
Prompts und Antworten, die an ein KI-Modell gesendet werden, falls Ihr Bot eines nutzt.
Ausführungs-Logs in Ihrer Automatisierungsplattform, die die Daten speichern können, die jeder Schritt erhalten hat.
Benachrichtigungen, die in Slack oder anderen internen Tools gepostet werden.

Die DSGVO-Artikel, auf die es bei einem Support-Bot am meisten ankommt

DSGVO-Artikel und ihre praktischen Auswirkungen auf Support-Automatisierung
Artikel	Was der Text sagt	Was das für einen Support-Bot bedeutet
Art. 5 Abs. 1 lit. c: Datenminimierung	Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein.	Geben Sie jedem Schritt nur die Felder, die er braucht. Identifikatoren zu schwärzen, bevor Text an ein KI-Modell geht, ist eine Möglichkeit dafür.
Art. 5 Abs. 1 lit. e: Speicherbegrenzung	Daten werden in einer Form gespeichert, die die Identifizierung der Personen nur so lange ermöglicht, wie es für die Zwecke erforderlich ist, mit Ausnahmen für Archiv-, Forschungs- und Statistikzwecke unter den Garantien von Art. 89 Abs. 1.	Legen Sie Aufbewahrungsfristen für Chat-Logs, Ticket-Exporte und Ausführungs-Logs der Automatisierung fest.
Art. 6 Abs. 1: Rechtmäßigkeit	Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine von sechs Grundlagen greift: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigte Interessen.	Dokumentieren Sie, welche Grundlage jeden Zweck abdeckt, etwa die Beantwortung einer Anfrage im Unterschied zur Analyse von Transkripten.
Art. 28: Auftragsverarbeiter	Setzen Sie nur Auftragsverarbeiter mit hinreichenden Garantien ein, auf Grundlage eines verbindlichen Vertrags, der die Verarbeitung festlegt und sie verpflichtet, nur auf Ihre dokumentierte Weisung zu handeln.	Schließen Sie mit jedem Anbieter in der Kette einen Vertrag: Helpdesk, Automatisierungsplattform, KI-Anbieter und Hosting.

Rechtsgrundlage: pro Zweck entscheiden

Art. 6 Abs. 1 nennt sechs Rechtsgrundlagen: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen. Der EuGH hat diese Liste als abschließend und restriktiv bezeichnet; eine Verarbeitung muss also unter mindestens eine davon fallen.

Zwei Grundlagen kommen in der Supportarbeit am häufigsten vor. Die Vertragsgrundlage deckt Verarbeitungen ab, die zur Erfüllung eines Vertrags mit der Person erforderlich sind oder zur Durchführung vorvertraglicher Maßnahmen, die auf ihre Anfrage erfolgen. In der Rechtssache C-621/22 hat der EuGH festgestellt, dass berechtigte Interessen drei kumulative Voraussetzungen erfordern: Der Verantwortliche oder ein Dritter verfolgt ein berechtigtes Interesse, die Verarbeitung ist für dieses Interesse erforderlich, und die Interessen oder Grundrechte der Person überwiegen nicht. Behörden können sich bei Verarbeitungen in Erfüllung ihrer Aufgaben nicht auf berechtigte Interessen stützen.

Listen Sie in der Praxis jeden Zweck einzeln auf. Die Frage des Kunden beantworten, Mitarbeitende anhand früherer Transkripte schulen und Berichte erstellen sind unterschiedliche Zwecke, und jeder braucht seine eigene Grundlage.

Auftragsverarbeiter und Verträge nach Art. 28

Nach Art. 28 Abs. 1 dürfen Sie nur Auftragsverarbeiter einsetzen, die hinreichende Garantien dafür bieten, geeignete technische und organisatorische Maßnahmen umzusetzen. Art. 28 Abs. 3 verlangt einen Vertrag oder ein anderes Rechtsinstrument, das Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen festlegt. Darin muss auch stehen, dass der Auftragsverarbeiter nur auf Ihre dokumentierte Weisung handelt, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland. Nach Art. 28 Abs. 4 muss ein Auftragsverarbeiter, der einen Unterauftragsverarbeiter einbindet, dieselben Datenschutzpflichten vertraglich weitergeben, und der ursprüngliche Auftragsverarbeiter haftet Ihnen gegenüber weiterhin voll.

EDSA-Leitlinien 07/2020: Die Prüfung der Garantien eines Auftragsverarbeiters ist eine fortlaufende Pflicht, gegebenenfalls mit Audits und Inspektionen. Weisungen können in einem Anhang zum Vertrag oder in anderer schriftlicher Form, etwa per E-Mail, festgehalten werden, solange Sie sie dokumentieren. Eine allgemeine Liste von Unterauftragsverarbeitern, die von Zeit zu Zeit aktualisiert werden kann, reicht nicht aus. Der Auftragsverarbeiter sollte Sie aktiv über Änderungen informieren.
EDSA-Stellungnahme 22/2024: Die Pflicht zu prüfen, ob Auftragsverarbeiter und Unterauftragsverarbeiter hinreichende Garantien bieten, gilt unabhängig vom Risikoniveau, auch wenn die Prüftiefe variieren kann. Die endgültige Entscheidung über den Einsatz eines bestimmten Unterauftragsverarbeiters und die Verantwortung dafür bleiben beim Verantwortlichen.

Eine typische Support-Kette kann einen Helpdesk, eine Automatisierungsplattform, einen KI-Modellanbieter und ein Chat-Tool umfassen. Halten Sie fest, welche Anbieter personenbezogene Daten in Ihrem Auftrag verarbeiten, prüfen Sie jeweils deren Bedingungen zur Auftragsverarbeitung und die Liste der Unterauftragsverarbeiter, und bewahren Sie diese Unterlagen auf.

Hosting, Datenstandort und Aufbewahrungseinstellungen

Wo Ihre Automatisierung läuft, bestimmt, wo ihre Daten gespeichert werden. Make bietet zwei Rechenzentrumsstandorte, die Vereinigten Staaten und die Europäische Union. Sie wählen einen davon beim Anlegen einer Organisation, er lässt sich später nicht ändern, und er bestimmt, wo Ihre Daten gespeichert und verarbeitet werden. Wenn Sie n8n selbst hosten, steuern dessen Execution-Einstellungen, wie viele Ausführungsdaten aufbewahrt werden. Der dokumentierte Standard ist ein Maximum von 10.000 gespeicherten Executions, und 0 bedeutet kein Limit.

Da Art. 28 Abs. 3 auch Weisungen zu Übermittlungen in Drittländer umfasst, prüfen Sie in den Bedingungen jedes Anbieters, wo Daten verarbeitet werden. Legen Sie Aufbewahrungsfristen in jedem Tool fest, das eine Kopie der Daten vorhält, nicht nur in Ihrem Helpdesk.

Praktische Gestaltungsentscheidungen für DSGVO-bewusste Automatisierung

Übergeben Sie Ticket-IDs und die Felder, die ein Schritt braucht, statt ganzer Kundendatensätze.
Maskieren Sie E-Mail-Adressen, Telefonnummern und Zahlungsdaten, bevor Text an ein KI-Modell geht. Auch geschwärzter Text kann noch personenbezogene Daten enthalten; behandeln Sie ihn daher mit derselben Sorgfalt.
Bereinigen Sie die Ausführungs-Logs Ihrer Automatisierung und schalten Sie das vollständige Protokollieren von Payloads ab, wo Sie es nicht brauchen.
Sehen Sie einen Weg vor, die Daten eines einzelnen Kunden über Bot, Helpdesk und Logs hinweg zu finden, zu exportieren oder zu löschen, damit einzelne Anfragen keine manuelle Suche erfordern.
Leiten Sie sensible oder folgenreiche Fälle an einen menschlichen Agenten weiter, statt den Bot entscheiden zu lassen.
Denken Sie daran, dass Chatbots außerdem unter die separaten Transparenzregeln des EU AI Act fallen.

Dies ist keine Rechtsberatung. Diese Seite beschreibt, was der Text der DSGVO und die Leitlinien des EDSA sagen, ergänzt um gängige technische Praxis. Für Entscheidungen über Ihre eigene Verarbeitung sprechen Sie mit Ihrem Datenschutzbeauftragten oder einem qualifizierten Rechtsbeistand.

TascaLab baut Automatisierungen auf Zendesk, Freshdesk, Jira, Slack und internen Tools, mit APIs, Webhooks, Make und n8n. Jedes Projekt umfasst eine Basisdokumentation des Gebauten, die beim Erfassen von Datenflüssen hilft, sowie 30 Tage Support nach dem Launch. Sie können mit einem kostenlosen 30-minütigen Health-Check-Gespräch starten.

Häufig gestellte Fragen

Welche Rechtsgrundlage der DSGVO deckt einen Support-Chatbot ab?

Die DSGVO legt keine bestimmte fest. Art. 6 Abs. 1 nennt sechs Grundlagen, darunter Vertrag und berechtigte Interessen, und Sie wählen und dokumentieren diejenige, die zum jeweiligen Zweck passt. Der EuGH behandelt die Liste als abschließend.

Brauche ich mit meiner Automatisierungsplattform einen Auftragsverarbeitungsvertrag?

Nach Art. 28 Abs. 3 muss die Verarbeitung durch einen Auftragsverarbeiter auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments erfolgen, das unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung regelt. Wenn ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, prüfen Sie, ob solche Bedingungen vorliegen.

Darf ich Kundennachrichten an ein KI-Modell senden?

Es gelten dieselben DSGVO-Grundsätze wie für jede andere Verarbeitung: eine Rechtsgrundlage, Datenminimierung und ein Vertrag zur Auftragsverarbeitung, wenn der Anbieter Daten in Ihrem Auftrag verarbeitet. Identifikatoren vor dem Senden zu schwärzen ist ein praktischer Weg, die geteilten Daten zu reduzieren.

Wie lange darf ich Chat-Transkripte aufbewahren?

Nach Art. 5 Abs. 1 lit. e sollen personenbezogene Daten nur so lange in einer Form gespeichert werden, die die Identifizierung der Personen ermöglicht, wie es für die Zwecke erforderlich ist. Der Text legt keine feste Zahl von Tagen fest; Sie bestimmen also für jeden Zweck eine Aufbewahrungsfrist.

Wo speichert Make meine Daten?

Make hat Rechenzentren in den USA und in der EU. Sie wählen eines beim Anlegen einer Organisation, und die Wahl lässt sich nachträglich nicht ändern.

Möchten Sie das für Ihr Team einrichten lassen?

Buchen Sie einen kostenlosen Health Check: ein 30-minütiges Gespräch und ein schriftlicher Bericht mit 2–3 konkreten Empfehlungen, einem Festpreis und den geschätzten laufenden Kosten. Ohne Verkaufsgespräch.

Bewertungen auf Upwork