DSGVO beim KI-Support: worauf IT-Teams achten müssen

„Dürfen wir das überhaupt?“ ist die richtige erste Frage bei KI im Support. Die falsche Antwort ist „Nein, nie“.

„Dürfen wir das überhaupt?“ – das ist die erste Frage, die Geschäftsführung, Datenschutzbeauftragte oder Betriebsrat stellen, wenn ein KI-Assistent in den IT-Support kommen soll. Zu Recht: Ein solcher Assistent verarbeitet Namen, Gerätedaten, Fehlermeldungen und ganze Chatverläufe. Manchmal steht darin mehr, als man denkt – ein Kennwort, eine Kundenadresse, ein Screenshot mit vertraulichem Inhalt.

Die gute Nachricht: Mit ein paar klaren Regeln lässt sich KI-Support datenschutzkonform einsetzen. Hier ist, worauf es ankommt. Hinweis: Das ist eine Orientierung, keine Rechtsberatung. Für den konkreten Fall den Datenschutzbeauftragten oder eine Fachanwältin bzw. einen Fachanwalt einbeziehen.

Welche Daten verarbeitet ein KI-Support?

Identität – Name, E-Mail, Benutzerkonto
Gerät – Hostname, Betriebssystem, installierte Software, Netzwerkdaten
Inhalte – Chatverlauf, Fehlermeldungen, Screenshots
Protokolle – welche Aktionen am Gerät ausgeführt wurden, wann, von wem freigegeben
Zufallsfunde – Kennwörter, Kundendaten, vertrauliche Inhalte in Screenshots

Die letzte Zeile ist die heikelste – und der Grund, warum Datenminimierung und Schwärzung wichtig sind.

DSGVO beim KI-Support: worauf IT-Teams achten müssen – auf einen Blick

Schritt 1: Rechtsgrundlage klären

Für IT-Support kommen vor allem zwei Grundlagen in Frage:

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): funktionierende IT, schnelle Hilfe, Entlastung der IT. Voraussetzung ist eine Abwägung mit den Interessen der Mitarbeiter.
Durchführung des Arbeitsverhältnisses: IT-Support als Teil der Arbeitsmittel, die der Arbeitgeber bereitstellt.

Eine Einwilligung ist im Arbeitsverhältnis meist die schwächere Grundlage, weil sie freiwillig sein muss.

Schritt 2: Auftragsverarbeitungsvertrag

Der KI-Anbieter verarbeitet Daten im Auftrag des Unternehmens – dafür braucht es einen AVV nach Artikel 28. Darin sollte stehen:

Zweck und Umfang der Verarbeitung,
technische und organisatorische Maßnahmen (Verschlüsselung, Zugriff, Protokollierung),
Unterauftragnehmer – besonders der Betreiber des KI-Modells und das Rechenzentrum,
Löschfristen und Rückgabe der Daten,
ob Daten zum Training von KI-Modellen verwendet werden – im Unternehmensumfeld sollte das ausgeschlossen sein.

Für Systemhäuser: Wer KI-Support für Kunden betreibt, ist gegenüber dem Kunden meist selbst Auftragsverarbeiter – und braucht einen Vertrag nach oben (mit dem Kunden) und nach unten (mit dem KI-Anbieter).

Schritt 3: Wo werden die Daten verarbeitet?

Zwei Fragen: Wo liegen die Daten, und wo läuft das KI-Modell? Beides kann auseinanderfallen – ein Anbieter speichert in der EU, schickt Anfragen aber an ein Modell in den USA.

Übermittlung in die USA ist möglich, etwa über das EU-US Data Privacy Framework oder Standardvertragsklauseln – mit entsprechender Dokumentation.
Speicherung und Modell in der EU vermeiden die Diskussion von vornherein und sind für viele Kunden im DACH-Raum ein Auswahlkriterium.

Schritt 4: Datenminimierung und Löschung

Nur das Nötige erfassen: Der Assistent braucht Gerätedaten für die Diagnose, nicht den Inhalt aller Dateien.
Schwärzen: Kennwörter, Tokens und ähnliche Geheimnisse sollten automatisch unkenntlich gemacht werden, bevor sie gespeichert oder an ein Modell gegeben werden.
Löschfristen festlegen: Chatverläufe nicht unbegrenzt speichern. Protokolle über ausgeführte Aktionen dagegen lang genug, um Vorfälle nachvollziehen zu können – das ist auch eine Sicherheitsanforderung.
Mitarbeiter sensibilisieren: Keine Kennwörter in den Chat schreiben, Screenshots vor dem Senden kurz prüfen.

14 Tage kostenlos

IT-Support, der sich selbst erledigt.

SuperSupport löst IT-Probleme direkt am Gerät, bevor ein Ticket entsteht. Teste es 14 Tage kostenlos.

Kostenlos testen

Schritt 5: Transparenz und Mitbestimmung

Informationspflicht (Art. 13 DSGVO): Mitarbeiter erfahren, welche Daten der Support verarbeitet, wofür und wie lange.
KI-Kennzeichnung: Seit August 2026 verlangt der EU AI Act, dass Menschen erfahren, wenn sie mit einer KI sprechen – siehe EU AI Act für MSPs und IT-Teams.
Betriebsrat: Ist das System geeignet, Verhalten oder Leistung zu überwachen, bestehen Mitbestimmungsrechte – in Österreich nach dem Arbeitsverfassungsgesetz, in Deutschland nach dem Betriebsverfassungsgesetz. Eine Betriebsvereinbarung regelt, dass Support-Daten nicht zur Leistungskontrolle verwendet werden.

Schritt 6: Datenschutz-Folgenabschätzung prüfen

Eine DSFA nach Artikel 35 ist nicht bei jedem KI-Support Pflicht, aber oft sinnvoll – besonders bei vielen Betroffenen, langen Speicherfristen, Zugriff auf Gerätedaten oder neuen Technologien. Sie hilft auch, die eigenen Entscheidungen zu dokumentieren.

Checkliste

Verzeichnis der Verarbeitungstätigkeiten ergänzen
Rechtsgrundlage festlegen und Abwägung dokumentieren
AVV mit dem Anbieter – inkl. Unterauftragnehmer und Trainingsausschluss
Datenregion von Speicher und Modell klären
Schwärzung, Löschfristen, Protokollierung
Mitarbeiter informieren, KI kennzeichnen
Betriebsrat einbinden
DSFA prüfen

Verwandte Themen: Netzlaufwerk-Zugriffe protokollieren (Protokollierung und Datenschutz) und Postfach eines ausgeschiedenen Mitarbeiters.

DSGVO beim KI-Support: worauf IT-Teams achten müssen – Schritt für Schritt

Wie geht SuperSupport damit um?

Jeder Schritt am Gerät wird protokolliert, Heikles legt der Agent der IT zur Freigabe vor, und Anwender wissen, dass sie mit einem KI-Agenten sprechen. Die Einzelheiten – Auftragsverarbeitung, Unterauftragnehmer, Löschfristen – stehen im Vertragswerk. Wie das für interne IT-Teams und Systemhäuser aussieht, steht auf den jeweiligen Seiten.

Häufige Fragen

Darf ich einen KI-Assistenten im IT-Support einsetzen?

Ja, wenn die Datenverarbeitung auf einer Rechtsgrundlage beruht, ein Auftragsverarbeitungsvertrag mit dem Anbieter besteht, Datenübermittlungen in Drittländer abgesichert sind und die Mitarbeiter informiert werden. Für den IT-Support kommt meist das berechtigte Interesse oder die Erfüllung des Arbeitsverhältnisses in Frage.

Brauche ich einen Auftragsverarbeitungsvertrag mit dem KI-Anbieter?

In der Regel ja. Der Anbieter verarbeitet personenbezogene Daten – Namen, Geräte, Chatverläufe – im Auftrag des Unternehmens. Der Vertrag nach Artikel 28 DSGVO regelt Zweck, Dauer, Sicherheitsmaßnahmen und Unterauftragnehmer, also etwa den Betreiber des KI-Modells.

Ist ein KI-Anbieter aus den USA ein Problem?

Nicht automatisch. Übermittlungen in die USA können über das EU-US Data Privacy Framework oder Standardvertragsklauseln abgesichert werden. Wer das Thema vermeiden will, wählt einen Anbieter mit Speicherung und Modell in der EU.

Brauche ich eine Datenschutz-Folgenabschätzung?

Das hängt vom Einsatz ab. Bei einem Assistenten für IT-Probleme ist sie nicht immer Pflicht, aber oft empfehlenswert – besonders wenn Chatverläufe lange gespeichert, Verhaltensdaten ausgewertet oder viele Mitarbeiter betroffen sind. Im Zweifel mit dem Datenschutzbeauftragten klären.

Muss der Betriebsrat zustimmen?

Wenn das System geeignet ist, Verhalten oder Leistung von Mitarbeitern zu überwachen, hat der Betriebsrat Mitbestimmungsrechte – in Österreich nach dem Arbeitsverfassungsgesetz, in Deutschland nach dem Betriebsverfassungsgesetz. Eine Betriebsvereinbarung schafft Klarheit, wofür die Daten genutzt werden und wofür nicht.

14 Tage kostenlos