DSGVO-Kompass für Handelsvertreter: Kundendaten, KI und wer wofür verantwortlich ist

Darfst du als Handelsvertreter einen KI-Agenten für Besuchsnotizen, Kundenbuch und Berichte nutzen? Ja, wenn zwei Dinge stimmen: Du weißt, welche Daten wohin gehen, und du erledigst die Aufgaben, die dir als Verantwortlichem niemand abnehmen kann. Hier steht beides, verständlich und mit den Artikeln der DSGVO dabei.

Stand: Oktober 2026 · Lesezeit etwa acht Minuten · Keine Rechtsberatung, sondern eine Arbeitsgrundlage.

Die kurze Antwort

Mit einem KI-Agenten datenschutzkonform zu arbeiten, ist möglich. Konform ist dabei aber keine Eigenschaft einer Software, die man kauft. Es ist eine Arbeitsteilung: Der Anbieter liefert die technische Seite, du bleibst verantwortlich für deine Kundendaten und triffst die Entscheidungen darüber.

Wer dir „100 % DSGVO-konform“ verspricht, verspricht deshalb etwas, das er allein nicht halten kann. Die ehrlichere Frage an jeden Anbieter lautet: Wo liegen meine Daten, was verlässt sie, und wer bekommt sie zu sehen?

Wer wofür verantwortlich ist

Die DSGVO kennt drei Rollen, die für dich wichtig sind:

Der Unterschied zwischen den Bauweisen zeigt sich hier. Bei einem Cloud-CRM liegt dein ganzes Kundenbuch dauerhaft beim Anbieter. Läuft dein Agent auf deinem eigenen Server, wie der salesCOMPANION von VYYNU, liegt das Kundenbuch bei dir. Der Anbieter kommt mit deinen Daten nur in Berührung, wenn er einrichtet oder wartet, und genau dafür schließt ihr den Vertrag zur Auftragsverarbeitung.

Was deinen Server verlässt und was nicht

Bei dir bleiben Kundenbuch, Adressen, Besuchsnotizen, das Gedächtnis des Agenten, Dateien und Fotos. Was gespeichert wird, liegt auf deinem Server.

Den Server verlässt, was der Agent für den einzelnen Arbeitsschritt braucht. Ein Sprachmodell kann nur antworten, wenn es den Text sieht, um den es geht. Fragst du nach einem Kunden, geht deine Frage mit dem, was der Agent dazu nachliest, an das Modell. Bei vielen Agenten geht außerdem eine kurze Zusammenfassung seines Gedächtnisses mit, damit er dich kennt. Dein Kundenbuch als Ganzes geht nicht hinaus.

Am Beispiel des salesCOMPANION sieht das so aus:

Wer behauptet, bei einer KI verlasse nichts das Haus, hat nur dann recht, wenn auch das Sprachmodell im Haus läuft. Bei fast allen Agenten, die heute im Handel sind, ist das nicht so. Frag nach, statt es anzunehmen.

Daten in den USA: was das für dich heißt

Gehen personenbezogene Daten in ein Land außerhalb der EU, braucht es dafür eine Grundlage (Art. 44 ff. DSGVO). Bei Anbietern in den USA ist das in der Regel eine Zertifizierung nach dem EU-US Data Privacy Framework oder Standardvertragsklauseln, die der Anbieter in seinen Bedingungen anbietet. Für dich heißt das:

• Schau bei jedem Dienst mit eigenem Konto nach, worauf er die Übermittlung stützt. Die Angabe steht in seiner Datenschutzerklärung oder in den Bedingungen zur Auftragsverarbeitung.
• Nimm die Dienste in deine Datenschutzhinweise auf, mit dem Hinweis, dass Daten in die USA gehen können.
• Lass Verarbeitungen weg, die du nicht brauchst. Wer keine Sprachausgabe will, schaltet sie ab, und dann geht dafür auch nichts hinaus.

Vier Stellschrauben, die du in der Hand hast

1. Weniger erfassen. Notiere, was du für die Geschäftsbeziehung brauchst. Gesundheit, Religion oder politische Meinung deiner Ansprechpartner gehören nicht ins Kundenbuch, auch nicht nebenbei (Art. 9 DSGVO).
2. Das Modell wählen. Frag deinen Anbieter, welches Modell eingestellt ist und über welchen Weg es läuft. Beim salesCOMPANION sagen wir dir das, und du kannst das Modell wechseln.
3. Kein Training mit deinen Daten. Achte darauf, dass deine Anfragen nicht zum Training von Modellen verwendet werden. Beim salesCOMPANION trägt jede Anfrage diese Vorgabe.
4. Zugriff und Löschung. Du musst Auskunft geben und auf Verlangen löschen können. Liegt alles auf deinem Server, findest du jeden Eintrag selbst und löschst ihn selbst.

Was dir bleibt: fünf Aufgaben

Kein Anbieter kann dir die folgenden Punkte abnehmen. Sie sind aber überschaubar, und die meisten hast du für dein Geschäft schon erledigt.

1. Rechtsgrundlage. Für Kundendaten ist das in der Regel der Vertrag mit dem Kunden oder dein berechtigtes Interesse an der Geschäftsbeziehung (Art. 6 Abs. 1 lit. b und f DSGVO).
2. Information. Deine Kunden dürfen wissen, dass du einen KI-Agenten für deine Notizen nutzt und welche Dienste beteiligt sind (Art. 13 und 14 DSGVO). Ein Absatz in deinen Datenschutzhinweisen reicht, ein Beispiel steht unten.
3. Löschkonzept. Leg fest, wie lange du Daten aufbewahrst, und halte dich daran. Gesetzliche Aufbewahrungsfristen für Rechnungen und Geschäftsbriefe gelten weiter.
4. Verzeichnis. Trag den Agenten in dein Verzeichnis der Verarbeitungstätigkeiten ein (Art. 30 DSGVO). Das ist eine Zeile mehr.
5. Verträge. Mit dem Anbieter, der einrichtet und wartet, schließt du einen Vertrag zur Auftragsverarbeitung. Bei den Diensten mit eigenem Konto akzeptierst du deren Bedingungen zur Auftragsverarbeitung, soweit sie welche anbieten.

Was du deinen Kunden sagen kannst

Das ist ein Beispiel, kein fertiger Text. Pass ihn an deine Dienste an und lass ihn im Zweifel von deinem Datenschutzbeauftragten oder Berater prüfen.

Und wenn ein Kunde im Gespräch fragt: „Ich nutze einen KI-Agenten für meine Notizen. Die Daten liegen auf meinem Server, nicht in einer fremden Cloud. Du kannst jederzeit Auskunft und Löschung verlangen, genau wie vorher.“

Häufige Fragen

Brauche ich mit dem Anbieter eines KI-Agenten einen Vertrag zur Auftragsverarbeitung?

Ja, sobald er mit deinen Daten in Berührung kommt. Das gilt auch dann, wenn er sie nur bei der Einrichtung oder bei einer Wartung sieht. Beim salesCOMPANION ist dieser Vertrag Teil des Vertrags mit uns.

Gehen meine Kundendaten an OpenAI oder Google?

Was der Agent für eine Antwort braucht, geht an das Sprachmodell, das eingestellt ist. Dein Kundenbuch als Ganzes geht nicht hinaus. Welches Modell es ist, sollte dir dein Anbieter sagen. Beim salesCOMPANION sagen wir es dir, und du kannst es wechseln.

Darf ich persönliche Notizen über meine Ansprechpartner speichern?

Was der Geschäftsbeziehung dient, in der Regel ja, etwa geschäftliche Vorlieben, Zuständigkeiten oder der nächste Anlass für einen Anruf. Privates über die Person lässt du weg, und besondere Kategorien wie Gesundheit, Religion oder politische Meinung gehören auf keinen Fall hinein (Art. 9 DSGVO).

Was mache ich, wenn ein Kunde Auskunft über seine Daten verlangt?

Du gibst ihm Auskunft über das, was du über ihn gespeichert hast (Art. 15 DSGVO), und löschst auf Verlangen, soweit keine Aufbewahrungspflicht entgegensteht. Liegt alles auf deinem Server, findest du die Einträge selbst.

Ist ein Cloud-CRM datenschutzrechtlich verboten?

Nein. Mit einem Vertrag zur Auftragsverarbeitung ist es zulässig. Der Unterschied liegt darin, wo deine Daten dauerhaft liegen: beim Cloud-CRM beim Anbieter, beim Agenten auf deinem eigenen Server bei dir.

Dieser Text erklärt die Datenschutzlage für Handelsvertreter in allgemeiner Form und ersetzt keine Beratung im Einzelfall. Für deine Datenschutzhinweise und dein Verzeichnis helfen dir ein Datenschutzbeauftragter, die Aufsichtsbehörde deines Bundeslandes oder, wenn du Mitglied bist, dein Handelsvertreterverband.