KI und DSGVO im Marketing: was du in Österreich und der EU beachten musst

Dieser Artikel ersetzt keine Rechtsberatung. Er fasst zusammen, welche Fragen in Kundenprojekten regelmäßig aufkommen und wie ein pragmatisches, vorsichtiges Setup aussieht. Bei heiklen Konstellationen gehört eine Juristin hinzugezogen.

Die drei Regelwerke, die zusammenspielen

DSGVO. Gilt, sobald personenbezogene Daten verarbeitet werden — also fast immer, wenn Kundendaten im Spiel sind.

EU AI Act. Reguliert KI-Systeme nach Risiko. Für Marketing sind vor allem Transparenzpflichten relevant, weniger die Hochrisiko-Vorschriften.

Nationales Recht. In Österreich etwa das Telekommunikationsgesetz für E-Mail-Werbung und das Datenschutzgesetz als Ergänzung.

Die praktische Kernfrage: Welche Daten gehen ins Tool?

Hier entscheidet sich fast alles. Eine einfache dreistufige Einteilung hat sich in der Praxis bewährt:

Diese Tabelle als einseitige Regel im Team aufzuhängen, verhindert mehr Probleme als jede Schulungsfolie.

Auftragsverarbeitung und Serverstandort

Sobald personenbezogene Daten in ein Werkzeug fließen, brauchst du einen Auftragsverarbeitungsvertrag mit dem Anbieter. Die großen Anbieter stellen diesen bereit; er wird meist im Konto abgeschlossen und dokumentiert.

Zusätzlich relevant:

• Wo werden Daten verarbeitet? EU-Standort vereinfacht vieles. Bei Übermittlung in Drittländer braucht es einen gültigen Mechanismus wie den EU-US-Datenschutzrahmen oder Standardvertragsklauseln.
• Werden Eingaben zum Training verwendet? In Geschäftstarifen in der Regel nicht. Diese Einstellung solltest du aktiv prüfen und dokumentieren.
• Wie lange werden Daten gespeichert? Löschfristen festlegen und im Verarbeitungsverzeichnis eintragen.

Transparenz: wo Kennzeichnung nötig ist

Der EU AI Act verlangt Transparenz vor allem in zwei Fällen, die im Marketing vorkommen:

Chatbots. Menschen müssen wissen, dass sie mit einem automatisierten System sprechen. Ein Hinweis zu Beginn des Chats genügt. Details dazu in unserem Artikel zum KI-Chatbot.

Täuschend echte Inhalte. Wenn synthetische Bilder oder Videos reale Personen oder Ereignisse zeigen könnten, ist Kennzeichnung geboten. Für ein generiertes Produktbild auf neutralem Hintergrund gilt das nicht.

Urheberrecht und Nutzungsrechte

Zwei Fragen tauchen regelmäßig auf:

Darf ich generierte Bilder kommerziell nutzen? Die Nutzungsbedingungen der großen Anbieter erlauben das in den kostenpflichtigen Tarifen üblicherweise. Prüfe die Bedingungen deines konkreten Werkzeugs, sie ändern sich.

Habe ich ein Urheberrecht daran? Rein maschinell erzeugte Werke genießen in der EU nach herrschender Auffassung keinen Urheberrechtsschutz, weil die persönliche geistige Schöpfung fehlt. Das bedeutet: Andere dürfen sehr ähnliche Bilder verwenden. Für dein Markenlogo ist KI daher keine gute Idee.

Checkliste für Unternehmen

1. Liste aller eingesetzten KI-Werkzeuge mit Anbieter und Zweck
2. AV-Vertrag für jedes Werkzeug, in dem personenbezogene Daten verarbeitet werden
3. Training mit Eingabedaten in den Einstellungen deaktiviert und dokumentiert
4. Einseitige interne Regel: Welche Daten dürfen eingegeben werden, welche nicht
5. Eintrag im Verarbeitungsverzeichnis inklusive Speicherdauer
6. Abschnitt in der Datenschutzerklärung zu eingesetzten KI-Diensten
7. Hinweis am Chatbot, dass es sich um ein automatisiertes System handelt
8. Freigabeprozess: Kein KI-Inhalt geht ohne menschliche Prüfung nach außen
9. Jährliche Überprüfung, weil sich Anbieterbedingungen ändern

Der pragmatische Mittelweg

In der Praxis funktioniert diese Haltung gut: KI großzügig für alles nutzen, was keine personenbezogenen Daten braucht — Recherche, Textvarianten, Konzepte, Bildideen. Für alles mit Kundendaten ein klar definiertes, vertraglich abgesichertes Werkzeug, mit einer kurzen internen Regel, die jeder versteht.

Dieser Mittelweg vermeidet beide Extreme: das komplette Verbot, das ohnehin heimlich umgangen wird, und den sorglosen Umgang, bei dem irgendwann eine Kundenliste in einem Chatfenster landet.

Die interne Regel auf einer Seite

Was in der Praxis am besten funktioniert, ist kein Handbuch, sondern eine einzige Seite, die jeder versteht und die sichtbar aufgehängt wird. Ein Muster:

ERLAUBT ohne Rückfrage
- Recherche, Ideen, Textentwürfe ohne Kundendaten
- Analyse eigener Marketingtexte
- Bildideen und Produktvisuals

ERLAUBT nur im Firmenkonto [Werkzeug]
- Anonymisierte Fallbeispiele (keine Namen, keine Firmen)
- Aggregierte Zahlen aus Kampagnen

NICHT ERLAUBT
- Namen, Adressen, E-Mails, Telefonnummern von Kundinnen und Kunden
- Verträge, Angebote mit Namen, Rechnungen
- Gesundheits-, Finanz- oder Bewerbungsdaten
- Zugangsdaten jeglicher Art

IM ZWEIFEL
Frag [Name]. Lieber einmal zu viel gefragt.

VOR VERÖFFENTLICHUNG
Jeder KI-Inhalt wird von einem Menschen geprüft.
Zahlen und Zitate werden gegengeprüft.

Diese Seite ersetzt keine Dokumentationspflichten, aber sie verhindert die praktischen Fälle — und die entstehen fast immer aus Unsicherheit, nicht aus Absicht.

Häufige Fragen aus der Praxis

Dürfen wir Bewerbungsunterlagen mit KI vorsortieren? Hier ist besondere Vorsicht geboten. Automatisierte Entscheidungen mit rechtlicher Wirkung sind stark reglementiert, und Bewerbungsdaten sind besonders sensibel. Ohne rechtliche Prüfung raten wir davon ab.

Dürfen wir Kundengespräche transkribieren lassen? Nur mit Information und Einwilligung aller Beteiligten. In Österreich ist das Aufzeichnen von Gesprächen ohne Zustimmung problematisch. Ein Hinweis zu Beginn des Gesprächs und eine dokumentierte Zustimmung sind das Minimum.

Was ist mit Kundenlisten für Werbezielgruppen? Das Hochladen von E-Mail-Listen zu Werbeplattformen braucht eine Rechtsgrundlage und muss in der Datenschutzerklärung stehen. Die reine Tatsache, dass jemand Kunde ist, reicht dafür nicht automatisch.

Anbieterwechsel vorbereiten

Ein Punkt, den kaum jemand bedenkt: Was passiert, wenn ein Anbieter seine Bedingungen ändert oder den Dienst einstellt? Drei Vorkehrungen:

1. Wissensbasis lokal sichern. Alle Dokumente, die du in Werkzeuge lädst, liegen auch bei dir.
2. Prompts dokumentieren. Deine Prompt-Bibliothek gehört in ein eigenes Dokument, nicht nur in ein Werkzeug.
3. Keine kritischen Prozesse ohne Ausweichweg. Wenn ein automatisierter Ablauf zentral für den Vertrieb ist, muss es einen manuellen Notbetrieb geben.

Fazit

Rechtssicher mit KI zu arbeiten ist kein Großprojekt. Es braucht eine Liste der Werkzeuge, die passenden Verträge, eine verständliche interne Regel und die Disziplin, nichts Ungeprüftes zu veröffentlichen. Wer das hat, kann alle Vorteile nutzen, ohne nachts wach zu liegen.