Octopi / Ratgeber / DSGVO und KI
Ratgeber · DSGVO-Checkliste
KI mit Kundendaten nach der DSGVO nutzen: eine praktische Checkliste
Für Vertriebs-, Marketing- und Operations-Teams, die CRM-Datensätze oder Kontakttabellen in KI-Tools geben: eine Checkliste mit neun Punkten, die Fragen, die Sie jedem KI-Anbieter stellen sollten, und was lokale KI ändert — und was nicht.
Hinweis: Die Programmoberfläche von Octopi ist auf Englisch.
Sind CRM-Daten personenbezogene Daten?
Meistens ja. Die Datenschutz-Grundverordnung (DSGVO) gilt für die Verarbeitung personenbezogener Daten von Menschen in der EU, und personenbezogene Daten sind Informationen, die sich auf eine identifizierbare Person beziehen. Ein typisches CRM — und jeder Export daraus — ist voll davon.
| Typisches Feld | Personenbezogen? | Warum |
|---|---|---|
| Name und Position des Kontakts | Ja | Sie benennen eine bestimmte Person. |
| Geschäftliche E-Mail, z. B. jane.roe@company.com | Ja | Sie identifiziert eine Person, auch im Beruf. |
| Allgemeine E-Mail, z. B. info@company.com | Meist nicht | Sie erreicht ein Team — es sei denn, sie gehört offensichtlich einer einzelnen Person. |
| Durchwahl oder Mobilnummer | Ja | Sie erreicht eine identifizierbare Person. |
| Notizen zu einer Person | Ja | Freitext kann alles enthalten, auch Angaben zur Gesundheit oder zum Privatleben eines Menschen. |
| Firmenname, Branche, Mitarbeiterzahl | In der Regel nicht | Das beschreibt ein Unternehmen, keine Person. |
| Ein Ein-Personen-Unternehmen | Kann sein | Wenn das Unternehmen im Grunde die Person ist, können seine Daten sie identifizieren. |
Fazit: Eine Firmenliste ist eine viel kleinere DSGVO-Frage als eine Personenliste. Braucht eine Aufgabe nur Fakten zu Unternehmen, lassen Sie die Personen weg.
DSGVO-Checkliste für KI-Tools in Vertrieb und Marketing
Gehen Sie die Punkte mit der Person durch, die bei Ihnen für den Datenschutz zuständig ist.
Rechtsgrundlage und Zweck
Stellen Sie sicher, dass es eine Rechtsgrundlage gibt und dass die KI-Aufgabe zu dem Zweck passt, für den die Daten erhoben wurden. Warum: Die DSGVO verlangt eine Rechtsgrundlage, und Zweckbindung bedeutet, dass Daten, die für einen Zweck erhoben wurden, nicht in einen ganz anderen abwandern sollten.
Nur die Spalten senden, die die Aufgabe braucht
Um die Branche einer Firma zu recherchieren, braucht es ihren Namen und ihre Website — nicht Name, E-Mail und Gesprächsnotizen des Kontakts. Warum: Datenminimierung. Je weniger Daten Sie senden, desto weniger Sorgen später.
Auftragsverarbeiter und AVV
Verarbeitet ein Anbieter personenbezogene Daten für Sie, prüfen Sie, ob ein Auftragsverarbeitungsvertrag (AVV) den Tarif abdeckt, den Sie tatsächlich nutzen. Warum: Die DSGVO sieht einen vor (Art. 28 DSGVO). Der Vertrag Ihres Unternehmens deckt das private Konto einer Kollegin oder eines Kollegen meist nicht ab.
Übermittlungen außerhalb des EWR
Finden Sie heraus, wo die Daten verarbeitet und gespeichert werden — auch bei den Unterauftragsverarbeitern des Anbieters. Warum: Die DSGVO hat eigene Regeln für Übermittlungen außerhalb des EWR, und der Anbieter sollte sagen können, wohin Ihre Daten gehen.
Speicherdauer von Prompts und Chats
Speichert das Tool Prompts, Dateien und Chats — wie lange, und können Sie sie löschen oder den Verlauf abschalten? Warum: Ein Chatverlauf voller Kundennamen ist eine ungeplante zweite Kopie Ihres CRM.
Transparenz gegenüber den Betroffenen
Prüfen Sie, ob Ihre Datenschutzhinweise verständlich erklären, wie Kontaktdaten verwendet werden — auch durch KI-Tools. Warum: Die Menschen in Ihrem CRM haben Ihren KI-Anbieter nicht ausgesucht; aus Ihren Hinweisen erfahren sie davon.
Eine DSFA bei hohem Risiko
Fragen Sie Ihren Datenschutzbeauftragten, ob diese Nutzung für die betroffenen Personen ein hohes Risiko bergen könnte. Warum: Die DSGVO verlangt eine Datenschutz-Folgenabschätzung (DSFA) für Verarbeitungen mit hohem Risiko.
Sicherheit und Zugriff
Klären Sie, wer das Tool nutzen darf, wer sieht, was gesendet wird, wo API-Schlüssel liegen und ob die Konten vom Unternehmen verwaltet werden. Warum: Jedes KI-Tool ist eine weitere Stelle, an der Kundendaten abfließen können.
Menschliche Prüfung vor dem CRM
Lassen Sie KI-Ergebnisse samt Quelle von einem Menschen prüfen, bevor sie in Ihr CRM gelangen. Warum: KI kann sich irren — die falsche Jane Roe, eine erfundene Position —, und einmal gespeichert, wird aus einer Vermutung ein Datensatz über einen echten Menschen.
Fragen an jeden KI-Anbieter
Ob Cloud-KI-Assistent, KI-Funktion in Ihrem CRM oder Browser-Erweiterung: Stellen Sie diese Fragen — und lassen Sie sich die Antworten schriftlich geben.
| Frage | Warum das wichtig ist |
|---|---|
| Wo werden unsere Daten verarbeitet und gespeichert? | Übermittlungen außerhalb des EWR unterliegen eigenen DSGVO-Regeln, und „die Cloud“ steht immer an einem bestimmten Ort. |
| Werden unsere Daten zum Trainieren oder Verbessern von Modellen genutzt? | Kundendatensätze, die in ein Modell einfließen, das Sie nicht kontrollieren, lassen sich schwer mit Ihrem ursprünglichen Zweck vereinbaren. Die Bedingungen können je nach Tarif verschieden sein. |
| Wie lange werden Prompts, Dateien und Chats gespeichert? | Eine Speicherdauer, die Sie nicht gewählt haben, müssen Sie trotzdem rechtfertigen. |
| Unterzeichnen Sie einen Auftragsverarbeitungsvertrag? | Verarbeitet ein Anbieter personenbezogene Daten für Sie, sieht die DSGVO einen Auftragsverarbeitungsvertrag vor (Art. 28). |
| Welche Unterauftragsverarbeiter setzen Sie ein? | Auch die Dienstleister Ihres Anbieters verarbeiten Ihre Daten — fragen Sie, wer sie sind und wo sie sitzen. |
| Bei welchem Unternehmen und unter welcher Rechtsordnung liegen die Daten? | Nach dem US CLOUD Act (2018) können US-Behörden von Anbietern mit Sitz in den USA die Herausgabe von Daten unter deren Kontrolle verlangen, auch wenn diese im Ausland gespeichert sind — ein Grund, warum manche Organisationen eine Verarbeitung außerhalb der USA oder auf selbst betriebener Infrastruktur bevorzugen. |
| Was können wir abschalten? | Chatverlauf, Nutzung fürs Training, Konnektoren, Telemetrie — jeder Ausschalter ist Datenminimierung, die Sie durchsetzen können. |
| Was wird im Hintergrund gesendet? | Nutzungsstatistiken und Fehlerberichte können Bruchstücke Ihrer Arbeit enthalten. Fragen Sie, was darin steht und ob sie standardmäßig aktiv sind. |
| Gibt es eine lokale oder selbst gehostete Option? | Läuft das Modell auf Hardware, die Sie kontrollieren, ist für diesen Schritt kein externer KI-Auftragsverarbeiter beteiligt. |
Löst lokale KI die DSGVO-Frage?
Teilweise. Läuft das Modell auf Ihrem eigenen Computer oder einem Server, den Sie kontrollieren, ist für diesen Schritt kein externer Auftragsverarbeiter beteiligt — und weil die Daten auf Hardware unter Ihrer Kontrolle bleiben, entfällt für diesen Schritt auch die Frage der Übermittlung. Ihre eigenen Pflichten — Rechtsgrundlage, Datenminimierung, Transparenz, Sicherheit — bleiben bestehen.
| Cloud-KI-Assistent | KI auf Hardware unter Ihrer Kontrolle | |
|---|---|---|
| Externer KI-Auftragsverarbeiter | Ja — der Anbieter verarbeitet, was Sie senden | Keiner für diesen Schritt |
| Übermittlung außerhalb des EWR | Hängt davon ab, wo der Anbieter verarbeitet | Die Daten bleiben auf Hardware unter Ihrer Kontrolle |
| Rechtsgrundlage, Zweck, Minimierung, Transparenz | Ihre Pflicht | Weiterhin Ihre Pflicht |
| Sicherheit | Geteilt mit dem Anbieter | Ihre Sache: das Gerät und wer es nutzt |
| Menschliche Prüfung der Ergebnisse | Nötig | Nötig — auch kleinere lokale Modelle machen Fehler |
Hybride Tools: Fragen Sie, was wohin geht
Nur wenige Tools sind rein lokal. Eine App kann ihr Modell auf Ihrem Laptop ausführen und trotzdem im Web suchen, sich mit Ihrem CRM verbinden, nach Updates suchen, Nutzungsstatistiken senden oder optionale Cloud-Funktionen anbieten. Das ist in Ordnung, wenn es klar festgehalten ist: was lokal läuft, was online geht, was standardmäßig aktiv ist und wie man es abschaltet.
Ebenfalls leicht zu übersehen: Eine Websuche nach einer namentlich genannten Person sendet diesen Namen an die Suchmaschine — egal, welches Modell die Suchanfrage formuliert hat.
Wenn Sie in der Schweiz sind
Die Schweiz hat ein eigenes Gesetz: Das revidierte Datenschutzgesetz (revDSG bzw. nDSG) gilt seit dem 1. September 2023. Es ist ein von der DSGVO getrenntes Gesetz, doch die praktische Checkliste oben gilt dort weitgehend ebenso. Verarbeiten Sie auch Daten über Personen in der EU, kann zusätzlich die DSGVO gelten. Welche Regeln für Sie gelten, sagt Ihnen eine Schweizer Fachperson für Datenschutz.
Wo Octopi ins Bild passt
Octopi ist unsere eigene App — verstehen Sie dies also als ein Beispiel, nicht als Beratung. Octopi macht aus einer Aufgabe, die Sie in einfachem Englisch beschreiben, eine fertige Tabelle: Es recherchiert Firmen und Personen in einem echten Browser und arbeitet in Salesforce, HubSpot und Pipedrive.
Die KI läuft auf Ihrem Mac
Ein Open-Weight-Modell — standardmäßig Qwen2.5-7B-Instruct — läuft über Ollama auf Ihrem Mac. In der Grundeinstellung werden Ihre Tabellen, Kontaktlisten, Prompts und Zugangsdaten nicht gesendet.
Klar benannt
Die Websuchen und Seitenaufrufe, um die Sie bitten, Ihre angemeldeten CRMs, der einmalige Modell-Download und die Update-Prüfung (GitHub). Eine Aufgabe, die eine namentlich genannte Person recherchiert, kann diesen Namen an eine Suchmaschine senden.
Standardmäßig an — und abschaltbar
Nutzungsstatistiken und bereinigte Fehlerberichte sind mit der E-Mail-Adresse verknüpft, mit der Sie Octopi heruntergeladen haben; eine bereinigte Fehlerzeile kann trotzdem eine Seite oder ein Feld nennen. Das Ausschalten unter Settings ▸ Privacy hebt die Verknüpfung auf und beendet beides.
Aus, bis Sie es einschalten
Jede Claude-Funktion hat einen eigenen Zustimmungsbildschirm. Die Planung sendet den Satz Ihrer Aufgabe und die Spaltennamen — nicht Ihre Zeilen —, ein in die Aufgabe getippter Name geht also mit. Zum Lesen von Seiten nutzt Claude einen privaten Headless-Browser ohne Anmeldung. Ihr CRM und Websites, bei denen Sie angemeldet sind, behandelt Octopi immer auf Ihrem Mac.
CRM-Änderungen sehen Sie vorher
Im Chat erscheint eine CRM-Änderung als Karte und wartet auf Ihr „Confirm“, es sei denn, Sie haben für dieses CRM in den Settings „Always allow“ eingeschaltet (standardmäßig aus). Schreibvorgänge werden auf Dubletten geprüft und anschließend verifiziert.
Nur die Spalten, die Sie verlangt haben
Ergebnisse landen nur in den Spalten, die die Aufgabe festgelegt hat, und jeder Wert trägt eine anklickbare Quelle, die ein Mensch prüfen kann.
Octopi macht Ihre Verarbeitung nicht von allein konform: Rechtsgrundlage, Zweck und Datenschutzhinweise bleiben Ihre Sache. Mehr dazu (auf Englisch): Souveräne KI auf Ihrem Mac und die Datenschutzerklärung.
Häufige Fragen
Darf ich Kundendaten nach der DSGVO in einen Cloud-KI-Assistenten eingeben?
Das hängt von der Checkliste ab: Rechtsgrundlage und Zweck, ein Auftragsverarbeitungsvertrag, der Ihren Tarif abdeckt, der Ort der Verarbeitung, die Speicherdauer und ob die Daten Modelle trainieren. Ist eine Antwort unklar, senden Sie weniger — Fakten zu Firmen, nicht zu Personen — oder behalten Sie diesen Schritt auf Hardware unter Ihrer Kontrolle.
Zählt eine geschäftliche E-Mail-Adresse zu den personenbezogenen Daten?
Ja, wenn sie eine Person identifiziert, etwa jane.roe@company.com. Eine allgemeine Adresse wie info@company.com bezieht sich meist nicht auf eine einzelne Person — es sei denn, sie gehört offensichtlich einer.
Brauche ich einen Auftragsverarbeitungsvertrag (AVV) mit einem KI-Anbieter?
Verarbeitet ein Anbieter personenbezogene Daten in Ihrem Auftrag, sieht die DSGVO einen Auftragsverarbeitungsvertrag vor (Art. 28 DSGVO), kurz AVV, auf Englisch oft DPA genannt. Prüfen Sie, ob er den Tarif abdeckt, den Sie tatsächlich nutzen.
Macht mich lokale KI DSGVO-konform?
Nicht für sich allein. Für diesen Schritt ist kein externer Auftragsverarbeiter beteiligt, aber Ihre eigenen Pflichten — Rechtsgrundlage, Datenminimierung, Transparenz, Sicherheit — bleiben dieselben.
Brauche ich eine DSFA, um KI auf CRM-Daten anzuwenden?
Die DSGVO verlangt eine Datenschutz-Folgenabschätzung für Verarbeitungen mit hohem Risiko. Ob Ihre Verarbeitung dazugehört, hängt davon ab, was Sie mit den Daten tun; fragen Sie vor der Einführung Ihren Datenschutzbeauftragten.
Ist die DSGVO die einzige Regel, die für KI zählt?
Nicht unbedingt. Die KI-Verordnung der EU (AI Act) ist am 1. August 2024 in Kraft getreten, ihre Pflichten greifen schrittweise über mehrere Jahre, und die Schweiz hat ihr revidiertes Datenschutzgesetz (revDSG). Welche Regeln für Sie gelten, klären Sie mit Ihrem Datenschutzbeauftragten oder einem Anwalt.
Sendet Octopi meine Tabelle in die Cloud?
Nein. Sein Modell läuft auf Ihrem Mac, und standardmäßig werden Tabellen, Kontaktlisten, Prompts und Zugangsdaten nicht gesendet. Online geht Octopi für die Web-, Seiten- und CRM-Arbeit, um die Sie bitten, für den Modell-Download, die Update-Prüfung sowie für Nutzungs- und Diagnosedaten (standardmäßig an; abschaltbar unter Settings ▸ Privacy). Die optionalen Claude-Funktionen sind aus, solange Sie sie nicht einschalten.
Weiterlesen
Den KI-Schritt auf dem eigenen Mac behalten
Laden Sie Octopi und führen Sie ein Open-Weight-Modell lokal aus — kostenlos, kein Konto nötig, die Cloud ist rein optional. macOS 13 oder neuer auf Apple Silicon.
Octopi kostenlos laden