Sind KI-gestützte CRM-Systeme mit der KVKK vereinbar?

⏱️ Lesezeit: 12 Min. · 📁 Kategorie: KVKK und digitale Compliance

Sind KI-gestützte CRM-Systeme mit der KVKK vereinbar? (Aktueller rechtlicher, technischer und betrieblicher Leitfaden 2026)

KI-gestützte CRM-Systeme wie Salesforce Einstein, HubSpot AI, Zoho Zia und individuell entwickelte CRM-Systeme arbeiten heute
in Kundensegmentierung, Kaufprognosen, Verhaltensanalyse, automatischer Bewertung und personalisiertem Marketing mit
umfangreicher Verarbeitung personenbezogener Daten. Daraus ergibt sich eine Grundfrage:
„Verstößt die Nutzung eines KI-gestützten CRM gegen die KVKK?“

1️⃣ Kurze und klare Antwort 🔑 Grundantwort: Nein. KI-gestützte CRM-Systeme verstoßen an sich nicht gegen die KVKK.
🔴 Allerdings: Ohne Rechtsgrundlage, bei Zweckverschiebung oder unkontrollierten automatischen Entscheidungen
wird das System aus KVKK-Sicht risikoreich. 2️⃣ Was tun CRM-Systeme in Bezug auf KVKK?

CRMs verarbeiten in der Regel die folgenden Datensätze:

• Vor- und Nachname
• Telefon, E-Mail
• Kaufhistorie
• Gesprächsaufzeichnungen / Kundennotizen
• Verhaltensdaten: Besuche, Klicks und Interaktionen
• Kampagnenreaktionen: Öffnungen, Klicks und Konversionen

Alle diese Datensätze enthalten personenbezogene Daten. Durch KI kann ein CRM:

• Prognosen erzeugen: nächste beste Aktion / Kaufwahrscheinlichkeit
• Segmente bilden
• Berechnet Risiko/Wert-Scores
• Automatische Aktionen empfehlen

📌 Praktische Einordnung: Viele Funktionen KI-gestützter CRM-Systeme entsprechen Profiling in funktionaler Hinsicht.
Dies ist nicht verboten, erfordert aber Transparenz, Verhältnismäßigkeit und ein Widerspruchsverfahren. 3️⃣ Wie sind KI-gestützte CRM-Systeme nach der KVKK einzuordnen?

Nach der KVKK sind die Rollen meist wie folgt verteilt:

• Unternehmen, das das CRM nutzt → Verantwortlicher
• CRM-Softwareanbieter → Meist Auftragsverarbeiter
• KI-Modul → Technisches Hilfsmittel des Auftragsverarbeiters oder Teil einer Unterauftragsverarbeiterkette

❗ Wichtig: „Der CRM-Anbieter hat es gemacht“ ist kein gültiges Entlastungsargument.
Die Partei, die Zweck, Datenbereitstellung und Ergebnisnutzung bestimmt, also der Verantwortliche, trägt die endgültige Verantwortung. 4️⃣ Wann kann ein KI-gestütztes CRM KVKK-konform sein?

Ein KI-gestütztes CRM lässt sich konform gestalten, wenn folgende Bedingungen erfüllt sind:

✅ 1) Klare Rechtsgrundlage

• Vertragserfüllung (unmittelbarer Bezug zur bestehenden Kundenbeziehung und Leistungserbringung)
• Berechtigtes Interesse (durchgeführte Interessenabwägung, verhältnismäßige und erwartbare Nutzung)
• Ausdrückliche Einwilligung (insbesondere für Marketing, fortgeschrittene Analyse und Personalisierung)

✅ 2) Zweckbindung ohne Zweckverschiebung

Werden etwa für den Vertrieb erhobene Daten für Disziplinar- oder Leistungsbeurteilungszwecke genutzt, entsteht ohne neue Rechtsgrundlage ein Risiko.
Ohne Zweckverschiebung ist Konformität möglich.

✅ 3) Wenn menschliche Intervention besteht

KI empfiehlt, bewertet und prognostiziert. Wenn jedoch ein Mensch die endgültige Entscheidung trifft im Human-in-the-Loop-Verfahren,
sinken die Risiken automatischer Entscheidungen deutlich.

💡 Starker Nachweis bei einer Prüfung: „KI empfiehlt → Mensch genehmigt → Aktion erfolgt“, belegt durch Protokolle. 5️⃣ Wann verstößt ein KI-gestütztes CRM gegen die KVKK? 🔴 1) Automatische Entscheidungen ohne menschliches Eingreifen

Die folgenden Szenarien sind mit hohem Risiko verbunden:

• „Dieser Kunde ist riskant“ → automatisch sperren
• „Dieser Kunde hat geringen Wert“ → von der Kampagne ausschließen
• „Dieser Lead hat geringe Qualität“ → nie an den Vertrieb weiterleiten

Grund für das Risiko: Ein Nachteil für die Person zusammen mit automatischer Verarbeitung schafft ein hohes Beschwerde- und Prüfungsrisiko.
Ohne Widerspruchs- und menschliches Prüfverfahren kann diese Gestaltung nicht mehr vertretbar sein. 🔴 2) Erforderliche ausdrückliche Einwilligung wurde nicht eingeholt

Insbesondere lassen sich folgende Praktiken nicht immer durch berechtigtes Interesse rechtfertigen:

• Erweiterte Segmentierung mit Verhaltensanalyse
• Personalisierte Kampagne mit Profiling
• Fortgeschrittene Prognosemodelle wie Cross-Selling- oder Kundenabwanderungsprognosen
• CRM-Daten für Modelltraining nutzen

🔴 3) Wenn das AI-Modul im Ausland arbeitet

Viele KI-unterstützte CRMs sind cloudbasiert, und die Datenverarbeitungs-/Analyseschicht kann im Ausland angesiedelt werden.
Dies schafft das Risiko einer Datenübermittlung ins Ausland und kann zusätzliche Pflichten auslösen.

Entscheidende Prüfungsfrage: „Wohin gelangen die Daten, wer kann zugreifen, welche Unterauftragsverarbeiter sind beteiligt und wie lange werden sie gespeichert?“
Wenn diese Fragen nicht beantwortet werden, steigt das Risiko. 6️⃣ CRM + AI = Profilerstellung? 🔑 Häufig ja. KI-gestützte CRM-Systeme können Profiling durchführen, weil sie Verhalten analysieren und Segmente, Bewertungen und Prognosen erzeugen.

Profiling ist nicht verboten; entscheidend werden jedoch Transparenz, das Widerspruchsrecht, Verhältnismäßigkeit
und Zweckbindung.

7️⃣ Wann wird ausdrückliche Einwilligung in KI-unterstütztem CRM benötigt?

Typische Situationen, die eine ausdrückliche Einwilligung erfordern können:

• Wenn CRM-Daten per KI für Marketing analysiert werden
• Wenn personalisierte Kampagnen, Angebote oder Kommunikation gestaltet werden
• Wenn CRM-Daten zum Training eines KI-Modells genutzt werden
• Wenn besondere Kategorien personenbezogener Daten wie Gesundheitsdaten indirekt betroffen sind

❌ Warnung: Pauschale Einwilligung zur CRM-Nutzung ist ein schwacher Ansatz.
Die ausdrückliche Einwilligung muss bestimmt und zweckbezogen sein und Marketing, Personalisierung und fortgeschrittene Analyse getrennt behandeln. 8️⃣ Das entscheidende Risiko: Zweckerweiterung durch KI (Purpose Creep)

Beispiel:
CRM-Daten wurden zur Pflege der Vertriebsbeziehung erhoben, dann aber per KI für Kundenpsychologie, Stimmungsanalyse oder sensible Profile genutzt.
Dies schafft einen neuen Zweck und neue Risiken.

Folge: Eine Zweckerweiterung ohne neue Rechtsgrundlage und angepasste Datenschutzinformation kann die Verarbeitung rechtswidrig machen. 9️⃣ Ansatz des türkischen Datenschutzgremiums: die Perspektive des Beitrags für 2026

Zusammenfassung der Prüfungsperspektive:

• KI-gestützte Systeme sind nicht verboten
• Transparenz ist verpflichtend
• Profilierung muss auditierbar sein
• Automatische Entscheidungen müssen anfechtbar sein
• Der für die Verarbeitung Verantwortliche ist stets verantwortlich

🔟 Praktischer KVKK-Compliance-Fahrplan für KI-gestütztes CRM

1. Datenarten: Im CRM verarbeitete Datenkategorien auflisten: Identität, Kontakt, Transaktionen und Verhalten.
2. KI-Funktionen: Technisch klären, was das KI-Modul tut: Bewertung, Segmentierung, Empfehlungen oder automatische Aktionen.
3. Profiling-Analyse: Findet Profiling statt? Wenn ja, welchen Umfang und welche Auswirkungen hat es?
4. Rechtsgrundlage: KVKK Artikel 5 und 6 prüfen; bei berechtigtem Interesse eine Interessenabwägung durchführen.
5. Ausdrückliche Einwilligung: Bei Bedarf für Marketing, Personalisierung oder fortgeschrittene Analyse getrennt einholen.
6. Menschliche Freigabe: Bei kritischen Aktionen menschliches Eingreifen vorsehen.
7. Auslandsübermittlung: Cloud-Standorte, Unterauftragsverarbeiterkette sowie vertragliche und technische Kontrollen prüfen.
8. Richtlinie: CRM-KI-Nutzungsrichtlinie mit unzulässigen Daten, Berechtigungen und Aufbewahrung schriftlich festhalten.
9. Protokollierung: Die Kette von KI-Bewertungen und Empfehlungen über Entscheidungen bis zu Aktionen protokollieren.
10. Widerspruchsverfahren: Festlegen, wie CRM-KI-Ergebnisse bei Betroffenenanfragen und Widersprüchen behandelt werden.

1️⃣1️⃣ Häufigste gefährliche Fehler

• Auf erneute rechtliche Prüfung verzichten, weil „das CRM schon bestand und nur KI ergänzt wurde“
• Automatische Bewertungen als Entscheidungen behandeln
• Fortgeschrittenes Profiling oder Personalisierung ohne Marketingeinwilligung
• Die gesamte Verantwortung auf den CRM-Anbieter abwälzen
• Nicht Überwachung des Datenflusses und der Übertragung des AI-Moduls

✅ Zusammenfassung für Führungskräfte

• ✔ AI-unterstütztes CRM ist nicht verboten.
• ❌ Automatische Entscheidungen ohne menschliches Eingreifen bedeuten hohes Risiko.
• ✔ Profiling ist möglich, muss aber transparent und verhältnismäßig sein.
• ❌ Es ist nicht immer vertretbar, mit berechtigtem Interesse fortzufahren, wenn eine ausdrückliche Einwilligung erforderlich ist.

🧠 Klare Experteneinschätzung

Aus der Prüfungsperspektive des Beitrags für 2026 lautet die Frage nicht „Nutzen Sie ein CRM?“, sondern
„Was entscheidet die KI des CRM und welche rechtlichen und technischen Kontrollen steuern diese Entscheidung?“ Das ist die entscheidende Frage.
Der Beitrag erklärt, eine richtig gestaltete KI-CRM-Struktur steigere die Vertriebsleistung und schaffe kein Risiko; eine falsch gestaltete Struktur könne zu
Verwaltungsgeldbußen, Kundenbeschwerden, negativen Prüfungsfeststellungen und Reputationsschäden führen.

KVKK-Risikoanalyse und Compliance-Plan für Ihr KI-gestütztes CRM anfordern