KI im CRM AI Act:
Pflichten, DSGVO und Betriebsrat.

Gilt der EU AI Act für KI-Funktionen im CRM?

Ja, sobald Ihr CRM KI-Funktionen enthält und Sie sie in der EU nutzen. Die KI-Verordnung (EU) 2024/1689 unterscheidet Anbieter (Art. 3 Nr. 3) und Betreiber (Art. 3 Nr. 4). Der CRM-Hersteller ist meist Anbieter, Ihr Unternehmen Betreiber. Als Betreiber fördern Sie die KI-Kompetenz Ihres Personals (Art. 4), setzen keine verbotenen Praktiken ein (Art. 5) und beachten bei Hochrisiko-Funktionen Art. 26. Ob eine Funktion hochriskant ist, hängt vom Einsatzzweck ab. Keine Rechtsberatung, Rechtsstand 06.11.2026.

Welche Fristen des AI Act gelten nach dem Digital Omnibus?

Seit 02.02.2025 gelten die Verbote und die Regel zur KI-Kompetenz, seit 02.08.2025 die Pflichten für Modellanbieter und seit 02.08.2026 die Transparenzpflichten nach Art. 50. Die Hochrisiko-Pflichten gelten für Anhang III ab 02.12.2027 und für Anhang I ab 02.08.2028. Für die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 haben Altsysteme bis 02.12.2026 Zeit. Grundlage ist Art. 113 in der Fassung der Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026. Anhang III betrifft etwa Beschäftigung und Kreditwürdigkeit.

Ist Lead Scoring im CRM eine Hochrisiko-KI?

Nicht automatisch. Hochrisiko sind Systeme aus Anhang III (Art. 6 Abs. 2), etwa zur Bewertung der Kreditwürdigkeit natürlicher Personen (Nr. 5 Buchst. b) oder im Bereich Beschäftigung (Nr. 4). Ein Score, der nur Vertriebsprioritäten bei Geschäftskunden setzt, ist nach Einschätzung von Find-Your-CRM kein typischer Anhang-III-Fall. Nutzen Sie dieselbe Technik zur Leistungsbewertung von Beschäftigten oder für Kreditentscheidungen, prüfen Sie neu; Profiling natürlicher Personen schließt die Ausnahme nach Art. 6 Abs. 3 aus.

Welche KI-Funktionen sind im CRM verboten?

Verboten ist unter anderem, Emotionen natürlicher Personen am Arbeitsplatz per KI abzuleiten, außer aus medizinischen oder Sicherheitsgründen (Art. 5 Abs. 1 Buchst. f). Eine Stimmungsanalyse der Telefonate von Vertriebsmitarbeitenden gehört deshalb in die Rechtsprüfung. Ab 02.12.2026 kommen zwei Verbote für sexualisierte Deepfakes und Missbrauchsdarstellungen hinzu (Art. 5 Abs. 1 Buchst. ba und bb), die im CRM-Alltag kaum vorkommen. Verstöße kosten bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes (Art. 99 Abs. 3).

Muss ich Kunden mitteilen, dass sie mit einer KI sprechen?

Ja, wenn das nicht offensichtlich ist. Art. 50 Abs. 1 verlangt, dass KI-Systeme, die direkt mit Menschen interagieren, so gestaltet sind, dass diese informiert werden; die Pflicht trifft den Anbieter. Prüfen Sie in der Demo, ob Chatfenster und erste Antwort den Hinweis klar erkennbar zeigen (Art. 50 Abs. 5). Setzen Sie Emotionserkennung gegenüber Kunden ein, informieren Sie als Betreiber (Art. 50 Abs. 3). Die Transparenzpflichten gelten seit 02.08.2026. Verstöße gegen sie können nach Art. 99 Abs. 4 Buchst. g mit Bußgeld geahndet werden.

Brauche ich eine KI-Schulung für das CRM-Team?

Sie müssen Maßnahmen zur Förderung der KI-Kompetenz Ihres Personals treffen (Art. 4 Abs. 1). Seit der Änderung durch die Verordnung (EU) 2026/1744 verlangt die Norm kein bestimmtes Niveau je Person, aber Maßnahmen passend zu Vorkenntnissen und Einsatzkontext. Eine Schulung nach Rollen für Vertrieb, Service und Administration mit Inhalt, Datum und Teilnehmenden zu dokumentieren, ist ein naheliegender Nachweis. Herstellerunterlagen helfen, ersetzen die Schulung zu Ihren Prozessen und Daten aber nicht. Planen Sie sie vor dem Pilot ein.

Welche Rechtsgrundlage nach DSGVO brauche ich für KI im CRM?

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, auch eine neue KI-Funktion. Bei Kundendaten kommen Vertrag (Buchst. b) oder berechtigtes Interesse (Buchst. f) mit dokumentierter Abwägung in Betracht, bei Werbung zusätzlich § 7 UWG. Bei Beschäftigtendaten gilt § 26 BDSG; Kollektivvereinbarungen wie eine Betriebsvereinbarung können nach § 26 Abs. 4 BDSG eine Grundlage sein. Legen Sie Zweck und Grundlage je Funktion vor der Aktivierung fest.

Gilt Art. 22 DSGVO für KI-Entscheidungen im CRM?

Nur bei ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung gegenüber einer natürlichen Person (Art. 22 Abs. 1). Ein Score, den eine Person nur zur Priorisierung nutzt, fällt meist nicht darunter. Nach EuGH C-634/21 vom 07.12.2023 kann ein Wahrscheinlichkeitswert aber selbst eine Entscheidung sein, wenn ein Dritter sein Vertragsverhältnis maßgeblich davon abhängig macht. Sehen Sie bei automatischen Ablehnungen gegenüber Verbrauchern und Einzelunternehmern die Prüfung durch eine Person mit Entscheidungsspielraum vor.

Darf der CRM-Hersteller meine Daten für KI-Training nutzen?

Nur wenn Vertrag und Rechtsgrundlage es tragen; die Antwort gehört in den AVV nach Art. 28 DSGVO. Die Herstellerangaben unterscheiden sich, laut Anbieter, ohne Gewähr. Fordern Sie die Liste der Unterauftragsverarbeiter einschließlich des Modellanbieters und eine Zusage zu Training mit Opt-out an. Der Europäische Datenschutzausschuss stellte am 18.12.2024 fest, dass unrechtmäßig verarbeitete Trainingsdaten die Rechtmäßigkeit des Einsatzes eines Modells beeinflussen können, außer es ist anonymisiert. Halten Sie die Zusagen im Vertrag fest.

Brauche ich für KI im CRM eine Datenschutz-Folgenabschätzung?

Wenn die Verarbeitung voraussichtlich ein hohes Risiko hat (Art. 35 Abs. 1). Art. 35 Abs. 3 Buchst. a nennt die systematische Bewertung persönlicher Aspekte durch Profiling als Grundlage für Entscheidungen mit erheblicher Wirkung. Die Datenschutzkonferenz hält bei KI-Anwendungen eine Folgenabschätzung oft für erforderlich (Orientierungshilfe vom 06.05.2024). Entscheidend sind Zweck, Datenarten und Umfang. Holen Sie den Rat Ihrer oder Ihres Datenschutzbeauftragten ein (Art. 35 Abs. 2) und prüfen Sie vor der Aktivierung.

Muss der Betriebsrat bei KI im CRM zustimmen?

Mitbestimmungspflichtig ist die Einführung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen (§ 87 Abs. 1 Nr. 6 BetrVG). Ob eine KI-Funktion darunter fällt, klären Sie im Einzelfall, etwa bei Gesprächsanalyse oder Auswertungen je Person. Unabhängig davon ist der Betriebsrat über den Einsatz von KI in Arbeitsverfahren zu unterrichten und zu beraten (§ 90 Abs. 1 Nr. 3, Abs. 2). Bei Nichteinigung entscheidet die Einigungsstelle (§ 87 Abs. 2).

Was gehört in eine Betriebsvereinbarung zu KI im CRM?

Mindestens Geltungsbereich mit Funktionsliste, Zweck, erlaubte Auswertungen von Beschäftigtendaten, Verbote, menschliche Aufsicht, Information und Schulung, Protokolle mit Löschfristen, Regeln für Releases sowie Laufzeit und Überprüfung. Als Kollektivvereinbarung kann sie Beschäftigtendaten legitimieren, wenn die Verhandlungspartner Art. 88 Abs. 2 DSGVO beachten (§ 26 Abs. 4 BDSG). Die Gliederung mit neun Regelungspunkten steht oben; den Text formulieren Betriebsrat und Rechtsberatung gemeinsam. Regeln Sie Kündigung und Fortgeltung von Anfang an und lassen Sie den Text rechtlich prüfen.

Wer überwacht in Deutschland die KI-Verordnung, und welche Bußgelder drohen?

Seit Inkrafttreten des KI-MIG am 29.07.2026 ist die Bundesnetzagentur grundsätzlich die Marktüberwachungsbehörde (§ 2 Abs. 1), die BaFin für KI in regulierter Finanztätigkeit (§ 2 Abs. 3). Die Verordnung sieht bis zu 35 Mio. € oder 7 % für Verbote und bis zu 15 Mio. € oder 3 % für Betreiberpflichten nach Art. 26 und Transparenzpflichten nach Art. 50 vor (Art. 99 Abs. 3 und 4); bei kleinen und mittleren Unternehmen gilt der jeweils niedrigere Betrag (Abs. 6). Die DSGVO prüfen weiterhin die Landesdatenschutzbehörden.