Details: Geschrieben von: Sebastian Laoutoumai; Veröffentlicht: 15. Juli 2026

Kundendaten für KI-Training nutzen – so gelingt es DSGVO-konform

Kundenservice-Postfächer, Support-Chats, Anfrageformulare – kaum ein Unternehmen, das nicht über umfangreiche Bestände an Kommunikationsdaten aus dem laufenden Geschäft verfügt. Für viele liegt der Gedanke nahe, diese Daten für das Training eigener KI-Systeme zu nutzen. Das Zielbild ist schnellere Kategorisierung von Anfragen, treffsicherere Antworten, entlastete Mitarbeitende. Der naheliegende Weg ist jedoch nicht automatisch der rechtssichere. Die Datenschutzaufsichtsbehörden haben zuletzt vermehrt Fälle geprüft und sanktioniert, in denen genau dieser Schritt zum Problem wurde. Dabei ging es weniger um das „Ob“ des KI-Trainings, sondern vielmehr um das „Wie“. Beanstandet wurde überwiegend die fehlende Transparenz hinsichtlich des Einsatzes der Daten zu Trainingszwecken.

Das eigentliche Problem: Zweckänderung ohne Information

Kommunikationsdaten aus dem Kundenservice werden ursprünglich zu einem konkreten Zweck erhoben, etwa zur Bearbeitung einer Anfrage oder zur Vertragsabwicklung. Sollen dieselben Daten anschließend zum Training eines KI-Systems verwendet werden, handelt es sich um eine Zweckänderung im Sinne der DSGVO. Diese ist nicht grundsätzlich unzulässig, setzt aber eine eigene, tragfähige Rechtsgrundlage voraus. Darüber hinaus müssen die Anforderungen aus Art. 6 Abs. 4 DSGVO erfüllt sein. Zudem muss nach Art. 13 Abs. 3 DSGVO über die geplante Weiterverwendung der Daten zu anderen Zwecken vor deren Verarbeitung informiert werden.

In der Praxis stützen sich Unternehmen hinsichtlich der erforderlichen Rechtsgrundlage häufig auf das berechtigte Interesse nach Art. 6 Abs. 1 Satz 1 f) DSGVO. Diese Rechtsgrundlage ist auch von den Aufsichtsbehörden akzeptiert. So hat beispielsweise der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg in seinem Paper „Rechtsgrundlagen im Datenschutz beim Einsatz von Künstlicher Intelligenz“ das berechtigte Interesse als Rechtsgrundlage aufgenommen.

Die Gründe für die Heranziehung des berechtigten Interesses sind aus praktischer Sicht nachvollziehbar. Die Einholung von Einwilligungen ist bei größeren Datenmengen kaum umsetzbar. Zudem ist die Einwilligung jederzeit widerrufbar. Eine Löschung der vom Widerruf erfassten Daten aus dem Trainingsdatensatz ist ggf. aber nur mit einem unverhältnismäßigen Aufwand möglich. Genau an dieser Stelle liegt jedoch die Schwachstelle vieler Projekte. Wer sich auf berechtigte Interessen beruft, muss die Betroffenen nach Art. 13 Abs. 1 d) DSGVO auch darüber informieren. Darüber hinaus muss der Betroffene auch über die geplante Zweckänderung informiert werden (Art. 13 Abs. 3 DSGVO). Diese Pflicht wird in der Praxis nicht selten übersehen, weil KI-Projekte oft als internes IT-Vorhaben behandelt werden, ohne dass die Datenschutzerklärung entsprechend angepasst wird.

Fehlt aber die vorgeschriebene Information, entfällt die Rechtsgrundlage des berechtigten Interesses vollständig. Die Verarbeitung ist dann nicht nur intransparent, sondern schlicht rechtswidrig und zwar unabhängig davon, wie gut die eigentliche Interessenabwägung im Übrigen begründet gewesen wäre. Hierzu hat der EuGH (Urteil vom 9.1.2025 – C-394/23) ausgeführt:

„Wie der Generalanwalt in Nr. 58 seiner Schlussanträge ausgeführt hat, verlangt diese Bestimmung, dass den betroffenen Personen zum Zeitpunkt der Erhebung der Daten unmittelbar das verfolgte berechtigte Interesse mitgeteilt wird, da andernfalls diese Erhebung nicht auf der Grundlage von Art. 6 I UAbs. 1 Buchst. f dieser Verordnung gerechtfertigt werden kann. Anhand der dem EuGH vorliegenden Akten lässt sich nicht beurteilen, ob diese Anforderung im Rahmen des Ausgangsverfahrens erfüllt wurde.“

Bezugnehmend auf diese Entscheidung des EuGH hat sodann das Landgericht Berlin eine Berufung auf ein berechtigtes Interesse verneint, sofern die Transparenzpflichten nicht erfüllt werden. Hierzu hat das LG Berlin (19.6.2025 – 52 O 65/23) sodann festgestellt:

„Nach der Rechtsprechung des EuGH hat das Gericht zu prüfen, ob in der Phase der Erhebung der in Rede stehenden Daten gem. Art. 13 Abs. 1 lit. d) DSGVO ein berechtigtes Interesse mitgeteilt worden ist. Denn diese Bestimmung verlangt, dass den betroffenen Personen zum Zeitpunkt der Erhebung der Daten unmittelbar das verfolgte berechtigte Interesse mitgeteilt wird, da andernfalls diese Erhebung nicht auf der Grundlage von Art. 6 Abs. 1 S. 1 lit. f) DSGVO gerechtfertigt werden kann (vgl. EuGH 9.1.2025 – C-394/23, Rn. 52). Eine besondere Mitteilung wurde nicht behauptet. Die Datenverarbeitung in Bezug auf die Selbstauskunft wird in der „Information zum Datenschutz“ (...) auch nicht erwähnt. Die Mitteilung laut Anlage B 4.1 „Die digitale Selbstauskunft von I... ist sicher, datenschutzkonform und hilft dem Anbieter ein sich besseres Bild von Ihnen zu verschaffen.“ genügt nicht, da sie nicht hinreichend klar ist. Es bleibt offen, wer als „Anbieter“ bezeichnet wird und welches berechtigte Interesse sich hinter dem Helfen, „ein besseres Bild zu verschaffen“ verbergen soll.“

Kein Einzelfall

Dass es sich hierbei um ein wiederkehrendes Muster handelt, zeigt ein Blick in die aktuelle Aufsichtspraxis. Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat im Tätigkeitsbericht 2025 einen Fall aus der Immobilienbranche beschrieben. Ein Unternehmen nutzte eingehende Kundenanfragen zum Training eines Klassifizierungssystems, ohne dies in der Datenschutzerklärung zu erwähnen. Betroffen war eine niedrige fünfstellige Zahl von Personen bei einer sechsstelligen Anzahl verarbeiteter Anfragen. Die Behörde hat den Fall wegen der fehlenden Transparenz an ihre Sanktionsstelle zur Prüfung eines Bußgeldverfahrens abgegeben. In ihrem Fazit hielt die Berliner Beauftragte für Datenschutz und Informationsfreiheit fest:

„Für die Erleichterung von Büroarbeit sind KI-Systeme auf Grundlage von maschinellem Lernen derzeit stark im Trend. Diese benötigen jedoch eine entsprechende Trainingsgrundlage in Form von Daten. Sofern diese aus dem laufenden Betrieb gewonnen werden und sich auf natürliche Personen beziehen, müssen die Vorgaben der DSGVO für diesen Bereich eingehalten werden. Hierzu gehört insbesondere die Einhaltung der Transparenzpflicht zur Information über berechtigte Interessen nach Art. 13 DSGVO. Wenn diese nicht erfüllt wird, kann ein entsprechendes Training auch nicht auf berechtigten Interessen i. S. d. Art. 6 Abs. 1 Satz 1 lit. f DSGVO basieren.“

Was Unternehmen konkret tun sollten

Das Risiko lässt sich mit überschaubarem Aufwand deutlich reduzieren, wenn Transparenz von Anfang an mitgeplant wird. Vor Projektbeginn sollte geklärt werden, ob personenbezogene Bestandsdaten für ein KI-Training verwendet werden sollen. Sobald dies der Fall ist, liegt eine Zweckänderung vor, die eine eigene rechtliche Prüfung erfordert – nicht erst nach dem Start des Trainings, sondern davor.

Wird die Verarbeitung auf berechtigte Interessen gestützt, sollte die Interessenabwägung nachvollziehbar dokumentiert werden. Welcher konkrete Zweck wird verfolgt, warum überwiegt das Unternehmensinteresse, und welche Schutzmaßnahmen wurden für die Betroffenen vorgesehen. Eine rein pauschale Berufung auf „berechtigtes Interesse" genügt den Anforderungen der Aufsichtsbehörden erfahrungsgemäß nicht.

Die Datenschutzerklärung sollte vor Beginn der Verarbeitung – nicht danach – um verständliche Angaben zum KI-Training ergänzt werden, einschließlich der verfolgten berechtigten Interessen. Ergänzend empfiehlt es sich, Betroffenen eine Widerspruchsmöglichkeit einzuräumen; das schafft nicht nur Rechtssicherheit, sondern auch Vertrauen.

Wer die Transparenzpflicht als festen Bestandteil der Projektplanung behandelt statt als nachträgliche Formalie, vermeidet nicht nur Bußgeldrisiken, sondern schafft die Grundlage dafür, dass die eigene KI-Nutzung auch rechtlich Bestand hat.

FAQ zur Nutzung von Kundendaten für das KI-Training

Dürfen wir Support-Anfragen und Chat-Verläufe grundsätzlich für KI-Training nutzen?

Ja, grundsätzlich ist das möglich – es handelt sich aber rechtlich um eine Zweckänderung gegenüber der ursprünglichen Erhebung (z. B. Anfragebearbeitung). Diese Zweckänderung braucht eine eigene, tragfähige Rechtsgrundlage, meist das berechtigte Interesse nach Art. 6 Abs. 1 f) DSGVO.

Reicht es, das KI-Training intern zu dokumentieren, ohne es öffentlich zu kommunizieren?

Nein. Nach aktueller EuGH-Rechtsprechung (C-394/23) genügt eine rein interne Dokumentation nicht. Die betroffenen Personen müssen bereits zum Zeitpunkt der Datenerhebung über das verfolgte berechtigte Interesse informiert werden – typischerweise über die Datenschutzerklärung.

Was passiert, wenn wir bereits ohne vorherige Information trainiert haben?

Fehlt die Information, entfällt die Rechtsgrundlage rückwirkend – die Verarbeitung gilt dann als unrechtmäßig, unabhängig davon, wie gut die Interessenabwägung sonst begründet war. Das kann zu Bußgeldverfahren führen, wie der Fall aus dem Tätigkeitsbericht der Berliner Datenschutzbeauftragten zeigt. Hier empfiehlt sich eine kurzfristige rechtliche Prüfung und Nachbesserung der Datenschutzerklärung.

Reicht eine allgemeine Formulierung wie "wir nutzen Ihre Daten zur Verbesserung unserer Systeme"?

Nein. Nach Auffassung der Aufsichtsbehörden und Gerichte muss konkret benannt werden, welches Interesse verfolgt wird (z. B. "Training eines Klassifizierungssystems zur schnelleren Anfragebearbeitung"). Pauschale Floskeln erfüllen die Transparenzpflicht nicht.

Müssen wir Kunden ein Widerspruchsrecht gegen das KI-Training einräumen?

Gesetzlich zwingend ist das Widerspruchsrecht nach Art. 21 DSGVO ohnehin gegeben, wenn auf berechtigtes Interesse gestützt wird.

Mehr zu unseren Leistungen im IT- und Datenschutzrecht finden Sie hier:

Gerne bringen wir Ihnen im Rahmen eines unverbindlichen Erstgesprächs die Rechtslage näher und unterstützen Sie dabei, Rechtsklarheit zu gewinnen. Kontaktieren Sie uns jederzeit für ein Kennenlerngespräch.

Einen Überblick Rund um das Thema KI und Recht im Unternehmen finden Sie in unserem gleichnamigen Fokusthema-Beitrag: KI und Recht im Unternehmen

KI-Training mit Kundendaten: Warum Transparenz über Recht und Unrecht entscheidet