DSGVO-konforme KI im Marketing: 6 Prüffragen

DSGVO ist im DACH-Raum der häufigste Einwand gegen KI im Marketing. Er ist lösbar. Du musst nur die richtigen sechs Fragen stellen.

Rechtsunsicherheit ist das größte Hemmnis beim KI-Einsatz in deutschen Unternehmen. 53 Prozent nennen unklare rechtliche Hürden als Bremse, gleichauf mit fehlendem Know-how. Das ergab eine Bitkom-Umfrage vom September 2025. Der Datenschutz steht direkt dahinter: 48 Prozent klagen über zu hohe Anforderungen.

Im Marketing spitzt sich das zu. Ein KI-Agent, der deine Google-Ads-Konten oder deine Kundenliste anfasst, berührt personenbezogene Daten. Die DSGVO-Frage stellt sich also sofort. Die gute Nachricht: Sie ist beantwortbar. Du brauchst dafür keine eigene Rechtsabteilung, sondern sechs präzise Fragen an den Anbieter.

Warum die Sorge berechtigt ist

Der Reflex, KI im Marketing erst mal zu blocken, ist kein Übervorsichtigkeits-Tick. Er hat einen realen Kern. 70 Prozent der Unternehmen haben 2025 mindestens ein Innovationsprojekt wegen Datenschutz gestoppt. 2024 waren es noch 61 Prozent (Bitkom, Mai 2025). Die Angst vor dem Fehltritt ist verbreitet.

Marketing-Daten sind dabei besonders heikel. Deine CRM-Liste, deine Custom-Audience bei Meta, deine Customer-Match-Liste bei Google: alles personenbezogene Daten. Schickt ein Agent diese Daten unbemerkt an ein Modell in den USA, hast du einen Drittlandtransfer. Handelt er ohne Protokoll, kannst du im Ernstfall nicht belegen, was passiert ist. Genau das verlangt die DSGVO aber: Rechenschaft über jede Verarbeitung.

Ein Beispiel aus dem Alltag. Eine Mitarbeiterin kopiert die Kundenliste in ein KI-Chatfenster, um schnell Segmente zu bauen. Niemand weiß, wo diese Liste danach liegt. Kein Vertrag deckt die Verarbeitung, kein Log hält sie fest. So entsteht der Verstoß nicht durch die KI selbst, sondern durch das fehlende Gerüst darum herum.

Der Fehler steckt im Schluss daraus. KI ist nicht per se DSGVO-widrig. Es ist das einzelne Tool, das die Anforderungen erfüllt oder eben nicht. Der Unterschied liegt im Bauplan.

Die 6 Prüffragen an jedes KI-Marketing-Tool

Egal ob Agentur oder In-house: Bevor ein Agent an echte Daten darf, klär diese sechs Punkte. Die ersten fünf prüfen die Technik, der sechste die Kontrolle. Sie gelten für jedes Tool, nicht nur für eines.

1. Wo liegen die Daten? (Datenresidenz)

Frag zuerst nach dem Serverstandort. Verarbeitet das Tool die Daten in der EU, oder fließen sie in die USA? Ein US-Transfer ist nicht verboten. Er zieht aber Zusatzpflichten nach sich: Standardvertragsklauseln und eine Prüfung des Empfängers. EU-Hosting räumt diese Frage vom Tisch.

Der Honeyfield Marketing MCP läuft in der EU. Die Konto-Daten verlassen den europäischen Rechtsraum nicht. Wer das Modell selbst wählt, behält zusätzlich Kontrolle darüber, welche KI die Daten überhaupt sieht. Mehr dazu im Beitrag zu Bring Your Own Agent.

2. Gibt es einen AVV? (Auftragsverarbeitung)

Sobald ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag. Das schreibt Art. 28 DSGVO vor. Ohne AVV ist schon die Weitergabe der Daten an das Tool der Verstoß. Frag also: Stellt der Anbieter einen AVV bereit, und was steht drin? Wer keinen anbietet, disqualifiziert sich für den ernsthaften Einsatz.

3. Wird jede Aktion protokolliert? (Audit-Log)

Die DSGVO verlangt Rechenschaft (Art. 5 Abs. 2 und Art. 24). Diese Pflicht trägst du als Verantwortlicher, nicht dein Werkzeug. Ein vollständiges Aktions-Protokoll ist trotzdem die Grundlage: Ohne Log kannst du nichts nachweisen.

Honeyfield ist dein Auftragsverarbeiter und protokolliert jede Aktion, die über den Connector läuft. So bekommst du den lückenlosen Nachweis, mit dem du deine Rechenschaftspflicht erfüllst (Unterstützungspflicht des Auftragsverarbeiters nach Art. 28 Abs. 3 lit. e und f).

4. Wer darf auf welche Daten? (Zugriffskontrolle)

Zugriffskontrolle gehört zu den technischen Maßnahmen, die Art. 32 DSGVO verlangt. Für Agenturen ist das besonders heikel. Die Daten von Kunde A dürfen nie im Kontext von Kunde B landen. Frag nach der Mandantentrennung: Sind die Konten sauber isoliert, pro Workspace getrennt?

Der Honeyfield MCP trennt jeden Workspace voneinander. Ein Agent sieht nur die Konten des Mandanten, in dem er arbeitet.

5. Wie werden Daten gelöscht? (Löschkonzept)

Kunden haben ein Recht auf Löschung (Art. 17 DSGVO). Kündigt ein Kunde, müssen seine Daten weg. Frag den Anbieter: Wie und wann löscht er Daten, und bekommst du das bestätigt? Ein sauberes Löschkonzept gehört zur Grundausstattung, auch wenn kaum jemand danach fragt.

Was Freigabe-Gates rechtlich bedeuten

Die sechste Frage betrifft die Kontrolle: Was darf der Agent eigenständig tun? Hier liegt der Unterschied zwischen einem Chatbot und einem Agenten, der handelt.

Honeyfield liefert den Connector. Das ist ein Werkzeug, kein KI-Agent. Rechtlich sind wir dein Auftragsverarbeiter nach der DSGVO. Der EU AI Act sieht uns nicht als Anbieter eines KI-Systems, weil unser Connector selbst nichts ableitet und keine Entscheidungen trifft (Art. 3 Nr. 1 der VO (EU) 2024/1689).

Den KI-Agenten bringst du mit. Ob Claude, ChatGPT, Cursor oder ein eigenes Modell, das entscheidest du. Damit bist du der Verantwortliche nach der DSGVO und der Betreiber im Sinne des AI Act. Die menschliche Aufsicht über automatisierte Entscheidungen ist deshalb deine Pflicht (Art. 22 DSGVO, bei Hochrisiko-Systemen zusätzlich Art. 26 AI Act). Gewöhnliche Marketing-Aufgaben sind in der Regel kein Hochrisiko-Fall.

Unsere Freigabe-Gates helfen dir, diese Aufsicht technisch umzusetzen. Das Gate sitzt auf Server-Ebene im Connector, nicht im Agenten. Es wirkt deshalb unabhängig davon, welchen Client du nutzt. Kein schreibender Schritt läuft ohne deine Bestätigung. Die rechtliche Verantwortung für den Agenten-Einsatz bleibt bei dir. Wir liefern das Werkzeug, mit dem du sie wahrnimmst.

Der Effekt ist doppelt. Rechtlich bleibt die Entscheidung beim Menschen. Praktisch fängst du Fehler ab, bevor sie live gehen.

Checkliste zum Mitnehmen

Sechs Fragen, ein klares Bild. So prüfst du jedes KI-Marketing-Tool:

• Datenresidenz: Liegen die Daten in der EU?
• AVV: Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO?
• Audit-Log: Wird jede Aktion protokolliert?
• Zugriffskontrolle: Sind Mandanten sauber getrennt?
• Löschkonzept: Werden Daten auf Verlangen gelöscht?
• Freigabe-Gates: Bleibt die letzte Entscheidung beim Menschen?

Beantwortet ein Tool alle sechs mit einem belegbaren Ja, steht dem Einsatz technisch wenig im Weg.

Das ist keine Rechtsberatung. Für die verbindliche Bewertung deines konkreten Falls sprich mit deinem Datenschutzbeauftragten.

Der Honeyfield Marketing MCP beantwortet vier der sechs Fragen heute mit einem belegbaren Ja: EU-Hosting, vollständiges Audit-Log, Mandantentrennung und ein Freigabe-Gate vor jeder Schreibaktion. AVV und Löschkonzept klärst du direkt mit uns. Wie das im Detail aussieht, siehst du auf marketing-mcp.honeyfield.at.