In Teil fünf haben wir die Grenze gezogen zwischen dem, was der Assistent beantwortet, und dem, was ein Mitarbeiter übernimmt, und eine Übergabe verlangt, die das gesamte Gespräch mitnimmt. Alles, was wir bisher aufgebaut haben, beruht auf einer einzigen Sache: dem Verlauf Ihrer Kundengespräche. Und dieser Verlauf ist keine Betriebsakte, sondern personenbezogene Daten, die gesetzlich geregelt sind.

Dieser Teil ist weder Panikmache noch juristischer Vortrag. Das meiste, was ein kleines oder mittleres Unternehmen braucht, läuft auf einfache Managemententscheidungen hinaus, die einmal vor dem Start getroffen werden und eine Stunde Besprechung kosten statt eines Beraters. Sie nach dem Start zu treffen, kostet ein Vielfaches.

Ein WhatsApp-Gespräch ist ein personenbezogenes Datum, und Sie sind dafür verantwortlich

Das Gesetz zum Schutz personenbezogener Daten (PDPL) des Königreichs ist seit dem 14. September 2023 in Kraft, die Übergangsfrist für die Umsetzung endete am 14. September 2024, und die Saudische Behörde für Daten und Künstliche Intelligenz (SDAIA) ist die Aufsichtsbehörde. Sein Geltungsbereich ist weiter, als viele Unternehmer annehmen: Es erfasst jede Verarbeitung von Daten von Personen im Königreich mit beliebigen Mitteln und erstreckt sich auf Stellen außerhalb des Königreichs, die Daten von Personen darin verarbeiten.

Wenn eine Kundin ihren Namen, ihre Nummer und ihre Wohnadresse schickt, um einen Installationstermin zu buchen, sind das nach dem Gesetz personenbezogene Daten und kein beiläufiger Plausch. Und was die meisten übersehen, ist, wie viel ein Gespräch tatsächlich enthält: Namen und Nummern, Fotos von Ausweisen oder Aufenthaltstiteln, die Kunden unaufgefordert schicken, Wohnadressen, Bilder von Dokumenten und Rechnungen und manchmal Gesundheits- oder Finanzangaben, die in einer Beschwerde nebenbei erwähnt werden. Ein KI-Assistent erzeugt diese Daten nicht, macht sie aber gespeichert, indexiert und durchsuchbar, statt dass sie auf dem Telefon eines Mitarbeiters verloren gehen. Das ist schon für sich eine betriebliche Verbesserung, und es erhöht auch Ihre Verantwortung.

Die Rechtsgrundlage und die Information des Kunden

Sie verarbeiten personenbezogene Daten nicht ohne legitimen Grund. Für die meisten Unternehmen ist die Grundlage einfach: Der Kunde hat das Gespräch selbst begonnen und eine Leistung angefragt, und um zu liefern, was er wollte, müssen seine Daten verarbeitet werden. Das ist eine solide Grundlage, um seine Anfrage zu beantworten und seine Bestellung vorzubereiten. Sie erstreckt sich nicht automatisch auf etwas, worum er nicht gebeten hat.

Bei der praktischen Unterscheidung lohnt es sich innezuhalten. Die Anfrage eines Kunden zu beantworten, ist das eine; seine Nummer einen Monat später in eine Massen-Marketingnachricht aufzunehmen, ist etwas völlig anderes. Das Erste liefert, was er angefragt hat; das Zweite ist ein neuer Zweck, der seine ausdrückliche Einwilligung braucht. Das ist der häufigste Verstoß, den wir am Markt sehen, gerade weil er kostenlos und harmlos wirkt.

Was den Hinweis betrifft, wird weniger verlangt, als Sie denken: eine kurze Zeile zu Beginn des Gesprächs oder eine Datenschutzerklärung auf Ihrer Website, auf die der Assistent verlinkt, die sagt, wer Sie sind, warum Sie die Daten erheben, wie lange Sie sie aufbewahren, an wen Sie sie weitergeben und wie der Kunde seine Rechte ausübt. Schreiben Sie sie in einer Sprache, die Ihr Kunde versteht, nicht in Vertragssprache.

Erheben Sie das Minimum und löschen Sie, was seinen Zweck erfüllt hat

Die am leichtesten anzuwendende Regel im ganzen Gesetz: Daten, die Sie nie erhoben haben, können bei Ihnen weder abfließen noch von Ihnen verlangt werden. Dort beginnt die Kontrolle, in der Formulierung der Fragen, die der Assistent selbst stellt.

  • Fragen Sie nur, was die Leistung braucht. Wenn eine Buchung einen Namen, eine Nummer und ein Stadtviertel braucht, lassen Sie den Assistenten nicht nach einer Ausweisnummer oder einem Geburtsdatum fragen, nur weil das Feld auf Ihrem alten Papierformular existiert.
  • Sperren Sie sensible Dokumente im Chat. Ausweisfotos und Bankkarten werden nicht über WhatsApp angefordert. Setzen Sie sie auf die Ablehnungsliste, die wir in Teil vier aufgebaut haben, und leiten Sie den Kunden auf einen geeigneten Kanal um, wenn es wirklich nötig ist.
  • Legen Sie eine schriftliche Aufbewahrungsfrist fest. Wählen Sie eine pro Art: Anfragegespräche, aus denen nie eine Bestellung wurde, und abgeschlossene Bestellungen, deren Unterlagen Sie aus buchhalterischen und regulatorischen Gründen aufbewahren müssen. Entscheidend ist, dass die Frist schriftlich festgehalten und angewendet wird, statt für immer offen zu bleiben.
  • Machen Sie das Löschen zu einem Verfahren, nicht zu einer Absicht. Eine Aufbewahrungsfrist ohne Mechanismus dahinter ist ein Dauerarchiv unter anderem Namen. Fragen Sie Ihren Anbieter, wie Sie ein Gespräch oder einen ganzen Kunden löschen und wann er tatsächlich aus seinen Sicherungskopien verschwindet.

Wer in Ihrem Team kann die Gespräche sehen?

Das größte praktische Risiko für Ihre Kundendaten ist kein Angriff von außen, sondern uneingeschränkter interner Zugriff. Wenn Gespräche auf dem privaten Telefon eines Mitarbeiters liegen, verlassen sie das Unternehmen mit ihm an dem Tag, an dem er kündigt, und Sie haben weder eine Kopie noch irgendeine Kontrolle. Die Verlagerung der Gespräche in ein zentrales System löst das, vorausgesetzt, Sie steuern, wer was sieht.

Drei Managemententscheidungen genügen: Jeder Mitarbeiter sieht die Gespräche, die ihm zugewiesen sind oder für seine Arbeit relevant sind, statt aller; jeder Nutzer hat ein persönliches Konto statt eines gemeinsamen Logins, das im Team herumgereicht wird, damit Sie wissen, wer was angesehen hat; und der Zugang wird am selben Tag entzogen, an dem das Arbeitsverhältnis endet, nicht Wochen später. Ergänzen Sie Ihre Arbeitsverträge und Abläufe um eine Klausel, die den Export von Kundendaten oder deren Entfernung aus dem System verbietet.

Wenn Gespräche das Königreich verlassen

Das ist der Teil, den Unternehmer völlig übersehen, weil er unsichtbar ist. Ein KI-Assistent läuft auf einem Sprachmodell, und dieses Modell kann außerhalb des Königreichs gehostet sein. Das bedeutet, dass der Text des Gesprächs Ihres Kunden die Grenze überqueren kann, um die Antwort zu erzeugen.

Die Übermittlung personenbezogener Daten ins Ausland ist gesetzlich auf festgelegte Fälle und Kontrollen beschränkt und nicht dem Ermessen eines Anbieters überlassen. Sie müssen kein Rechtsexperte sein, sondern jedem Anbieter drei schriftliche Fragen stellen und die Antworten dokumentiert aufbewahren:

  • Wo werden die Gespräche meiner Kunden gespeichert und wo verarbeitet? Verlassen die Daten in irgendeiner Phase das Königreich?
  • Falls sie es verlassen, auf welche Grundlage und welche Kontrollen stützen Sie die Übermittlung?
  • Nutzen Sie die Gespräche meiner Kunden, um Ihre Modelle zu trainieren, oder für eigene Zwecke?

Die dritte Frage ist geschäftlich die wichtigste und wird am seltensten gestellt. Ihre Kundendaten gehören Ihnen, und dass ein Anbieter sie hält, um eine Leistung zu erbringen, ist keine Erlaubnis, sie für einen anderen Zweck zu nutzen. Halten Sie das Verbot ausdrücklich im Vertrag fest, statt es dem Zusammenhang zu überlassen.

Die Rechte des Kunden, und wo Ihre Verantwortung endet und die Ihres Anbieters beginnt

Das Gesetz gewährt der betroffenen Person klare Rechte: darüber informiert zu werden, dass ihre Daten erhoben werden und warum, darauf zuzugreifen und eine Kopie zu erhalten, ihre Berichtigung zu verlangen und ihre Vernichtung zu verlangen, sobald ihr Zweck nicht mehr besteht. Das sind keine theoretischen Texte, sondern Anfragen, die eines Tages im selben WhatsApp-Gespräch ankommen können. Ihr Team muss also wissen, was zu tun ist, wenn eine eingeht, und Ihr System braucht einen Knopf, der sie ausführt, statt eines mühsamen manuellen Ablaufs.

Bleibt der Punkt, der die meisten Streitigkeiten mit Anbietern entscheidet: Sie sind der Verantwortliche, weil Sie Zweck und Art der Verarbeitung festlegen, und der Anbieter des KI-Assistenten ist ein Auftragsverarbeiter, der in Ihrem Auftrag handelt. Die rechtliche Verantwortung gegenüber Ihrem Kunden bleibt bei Ihnen, auch wenn der Fehler technisch ist und bei Ihrem Anbieter liegt. Bestehen Sie deshalb auf einem schriftlichen Vertrag, der festlegt, was er mit Ihren Daten tun darf und was nicht, ihn verpflichtet, Sie unverzüglich über jede Datenpanne zu informieren, und regelt, was mit Ihren Daten an dem Tag geschieht, an dem die Zusammenarbeit endet: vollständig zurückgegeben und anschließend auf seiner Seite vernichtet.

Die Sicht von Origami

Bei Mahir, dem KI-Assistenten von Origami für WhatsApp, läuft der Assistent auf der bestehenden Nummer Ihres Unternehmens, ohne neue Nummer und ohne zusätzliche App auf dem Telefon des Mitarbeiters, und die Verknüpfung ist ein einmaliger QR-Scan. So bleiben Ihre Kundengespräche in einem Unternehmenssystem, statt über private Geräte verstreut zu sein, die mit ihren Besitzern gehen. Das Training beginnt damit, dass Sie ihm den Link zu Ihrer Website geben, damit er sie liest und Ihre Angaben ausfüllt; dann fügen Sie die Leistungen, Preise und häufigen Fragen mit Antworten hinzu, die Sie freigeben. Es gibt zwei Stufen zur Auswahl: Malik für schnelle, wiederkehrende direkte Fragen und Mahir für lange Gespräche, zusammengesetzte Anfragen und Einwände; Sie können jederzeit wechseln, ohne neue Verknüpfung und ohne Verlust des Trainings, und die Testphase ist kostenlos. Was die sechs Fragen dieses Teils zu Speicherort, Übermittlungen ins Ausland und der Nutzung von Daten für das Training angeht: Stellen Sie sie schriftlich jedem Anbieter, den Sie in Betracht ziehen, uns eingeschlossen, und halten Sie die Antwort im Vertrag fest.

Fazit

Was von Ihnen verlangt wird, ist weniger, als Ihnen Angst macht: eine klare Rechtsgrundlage, ein kurzer und verständlicher Hinweis, das Erheben des nötigen Minimums, eine schriftliche Aufbewahrungsfrist mit anschließender tatsächlicher Löschung, kontrollierter Zugriff in Ihrem Team, dokumentierte Antworten darauf, wo die Daten liegen, wie sie sich bewegen und wie sie genutzt werden, und ein schriftlicher Vertrag mit Ihrem Anbieter, in dem jede Seite ihre Rolle kennt. Treffen Sie diese Entscheidungen vor dem Start, sie sind weit einfacher, als sie hinterher zu korrigieren. Bleibt die letzte Frage des Unternehmers: Was bringt all das ein, und wie führt man es in einer einzigen Woche ein? Das ist Teil sieben und das Ende der Serie.

Quellen

  • Saudische Behörde für Daten und Künstliche Intelligenz (SDAIA): das Gesetz zum Schutz personenbezogener Daten und seine Durchführungsverordnung: Geltungsbereich, Rechtsgrundlage der Verarbeitung, Rechte der betroffenen Person sowie Pflichten von Verantwortlichen und Auftragsverarbeitern.
  • SDAIA: die Verordnung über die Übermittlung personenbezogener Daten ins Ausland und die zugehörigen Kontrollen.
  • SDAIA: Leitfäden und Werkzeuge zur Einhaltung, die für Verantwortliche auf den Plattformen der Behörde veröffentlicht sind.
  • Saudi Vision 2030: die digitale Wirtschaft und der Aufbau von Verbrauchervertrauen in digitale Transaktionen.