Zwei Jahre Praxis mit KI-Telefonassistenten
Zusammen mit meinem Team entwickle und betreibe ich seit über zwei Jahren KI-Assistenten für den Kundenservice. In dieser Zeit hat sich eine Frage in fast jedem Erstgespräch etabliert: „Seid ihr DSGVO-konform?“ Meine Antwort darauf ist immer die gleiche: Ja, natürlich. Aber die eigentlich spannende Frage kommt danach, und sie wird viel zu selten gestellt.
Denn in einem Markt, in dem sich jeder Anbieter „DSGVO-konform“ nennt, ist dieses Label kein Unterscheidungsmerkmal mehr. Es ist die Eintrittskarte. Das Mindeste. Wer heute über den Einsatz von KI-Tools entscheidet, sollte weiterdenken: Echte Datensouveränität fängt dort an, wo die DSGVO aufhört.
Warum „DSGVO-konform“ oft weniger bedeutet, als es klingt
Schauen wir genauer hin, was hinter dem Label häufig steckt. Viele der „innovativen“ KI-Voice- und Chat-Anbieter, die in den letzten Monaten aus dem Boden geschossen sind, sind im Kern Wrapper: hübsch verpackte Oberflächen um fremde Infrastruktur, meist amerikanische APIs für Sprachmodelle und Telefonie.
Die DSGVO-Konformität wird dann über Zusatzvereinbarungen mit genau diesen Anbietern hergestellt: Standardvertragsklauseln, Data Processing Agreements, Zusicherungen über EU-Regionen. Formal mag das genügen. Aber seien wir ehrlich: Datensicherheit, die sich ausschließlich auf Verträge mit Anbietern im Ausland stützt, ist in der aktuellen geopolitischen Lage nicht viel wert. Verträge schützen nicht vor fremder Gesetzgebung, nicht vor politischen Kurswechseln und nicht vor der simplen Tatsache, dass du im Zweifel keinerlei Durchgriff hast. Ein Vertrag ist ein Versprechen, keine Kontrolle.
Das ist der entscheidende Punkt: Die DSGVO regelt, wie mit personenbezogenen Daten umgegangen werden muss. Sie beantwortet aber nicht die Frage, ob du als Unternehmen die Kontrolle über deine Systeme und Daten hast. Genau das ist Souveränität.
Das vergessene Risiko: Was, wenn die APIs plötzlich Geld kosten müssen?
Neben der rechtlichen gibt es eine wirtschaftliche Abhängigkeit, die in kaum einer Risikobetrachtung auftaucht. Die großen KI-Anbieter, allen voran OpenAI und Anthropic, verbrennen derzeit enorme Summen. Die heutigen API-Preise sind vielfach subventioniert, finanziert durch Investorenkapital im Wettlauf um Marktanteile.
Was passiert eigentlich, wenn diese Unternehmen irgendwann entscheiden, dass sie kein Geld mehr verbrennen wollen, und ihre APIs gewinnbringend bepreisen? Für einen Wrapper-Anbieter, dessen Produkt im Kern aus genau diesen APIs besteht, gibt es dann nur zwei Wege: die Kosten an die Kunden durchreichen oder das Geschäftsmodell begraben. In beiden Fällen bist du als Kunde der Leidtragende, und zwar ohne jede Verhandlungsposition.
Dieselbe Abhängigkeit zeigt sich auch operativ: Als vor einigen Wochen Twilio gleichzeitig in mehreren Ländern ausfiel, standen bei etlichen KI-Voice-Anbietern schlicht die Telefone still. Ob Preiserhöhung, Ausfall oder geänderte Geschäftsbedingungen, das Muster ist immer dasselbe: Wer sein Produkt auf fremde Infrastruktur baut, hat Entscheidungen ausgelagert, die er selbst nie treffen würde.
Echte Souveränität: Drei Ebenen über der DSGVO
Aus unserer Erfahrung lässt sich Souveränität bei KI-Tools auf drei Ebenen festmachen, die alle über die reine Rechtskonformität hinausgehen.
Datensouveränität
Du weißt nicht nur, dass deine Daten rechtskonform verarbeitet werden, sondern wo und durch wen, ohne Ausnahmen und ohne Kleingedrucktes. Verarbeitung ausschließlich in der EU, Speicherung in Deutschland, und zwar bei voller Performance, nicht als gedrosselter Sondermodus. Und vor allem: abgesichert durch Architektur und Standort, nicht nur durch Vertragsklauseln mit Anbietern außerhalb Europas.
Infrastruktursouveränität
Der Anbieter kontrolliert seinen eigenen Stack, statt fremde APIs zusammenzukleben. Das ist aufwendiger zu bauen, keine Frage. Aber es entscheidet darüber, ob dein Kundenservice stabil und kalkulierbar bleibt, wenn Drittanbieter ihre Preise vervielfachen, ihre Bedingungen ändern oder ausfallen. Der Unterschied zwischen einem Wrapper und einem souveränen Produkt ist genau das: Unabhängigkeit von Entscheidungen, die man selbst nicht kontrollieren kann.
Betriebssouveränität
Im Ernstfall muss das System vollständig auf deiner eigenen Infrastruktur laufen können. Für die meisten Unternehmen ist das keine Alltagsanforderung, aber die Möglichkeit ist der ultimative Beweis, dass ein Produkt souverän gedacht ist. Ein Wrapper kann diese Option prinzipbedingt nicht anbieten, denn er besitzt seinen Kern nicht selbst.
Woran du souveräne Anbieter erkennst
So weit zur Einordnung. Jetzt zum praktischen Teil: Wie prüfst du das in der Auswahl konkret? Vier Fragen, die mehr verraten als jedes Datenschutz-Siegel:
- „Worauf stützt sich eure Datensicherheit konkret?“ Wenn die Antwort im Wesentlichen aus Vertragswerken mit US-Anbietern besteht, weißt du, dass die Kontrolle woanders liegt. Souveräne Anbieter können auf Architektur, Standort und eigene Systeme verweisen, nicht nur auf Paragrafen.
- „Welche Drittanbieter stecken in eurem Produkt?“ Lass dir alle Subdienstleister und Datenpfade schriftlich offenlegen. Eine lange Liste fremder APIs im Kern des Produkts spricht für sich.
- „Was passiert mit euren Preisen, wenn OpenAI seine Preise verdoppelt?“ Die Antwort zeigt sofort, ob der Anbieter Herr über seine eigene Kostenstruktur ist oder nur durchreicht, was andere entscheiden.
- „Könnt ihr auf unserer Infrastruktur laufen?“ Selbst wenn du On-Premises nie brauchst: Ein Anbieter, der es kann, hat sein Produkt von Grund auf souverän gebaut. Einer, der es nicht kann, hat es nicht.
Fazit: DSGVO ist die Pflicht, Souveränität die Kür, die zählt
DSGVO-Konformität ist heute Standard und sollte es auch sein. Aber sie ist die Untergrenze, nicht das Ziel. Echte Datensouveränität geht weiter: Sie stützt sich auf Architektur statt auf Verträge mit dem Ausland, macht dich unabhängig von den Preis- und Geschäftsentscheidungen fremder Plattformen und gibt dir im Zweifel die Möglichkeit, alles auf eigener Infrastruktur zu betreiben.
Der Unterschied fällt im Verkaufsgespräch kaum auf, denn dort klingen alle Anbieter gleich. Er fällt an dem Tag auf, an dem eine fremde Plattform ihre Preise neu kalkuliert, ein Abkommen kippt oder ein Audit tiefer bohrt als üblich. Wer dann souverän aufgestellt ist, arbeitet einfach weiter. Alle anderen verhandeln, aus der schwächsten Position, die es gibt.
Kontrolle ist kein Feature, sondern ein Fundament
Am Ende entscheidet selten ein Label über den Erfolg eines KI-Projekts. Es ist die Frage, ob du die Kontrolle über deine geschäftskritischen Prozesse und Daten wirklich behältst, an guten Tagen und vor allem an schlechten. DSGVO ist das Mindeste. Souveränität ist das Ziel.
