Ein White Paper für Unternehmer:innen in Deutschland und der EU — kein Alarm, kein Verzicht auf KI. Aber Klarheit darüber, wo echte Rechtsrisiken liegen.

Für wen ist dieses White Paper — und warum ist es relevant?

Dieses White Paper richtet sich an Selbstständige, Gründerinnen und Unternehmer:innen mit Sitz in Deutschland oder der EU, die KI-Automatisierungen einsetzen oder planen — und dabei rechtlich auf der sicheren Seite bleiben wollen.

Für wen: Jede, die Claude, ChatGPT oder Gemini für automatisierte Prozesse nutzt — von DMs über E-Mail-Flows bis hin zu Lead-Scoring.

Zeitaufwand: ca. 20–30 Minuten Lesen. Danach: gezielte Überprüfung deiner eigenen Setups.

Empfohlene nächste Schritte nach der Lektüre: Datenschutzerklärung aktualisieren, Verträge prüfen, ggf. Datenschutzberater:in konsultieren.

Warum dieses Thema jetzt wichtig ist

Internationale Trends im Bereich KI-Automatisierung verbreiten sich rasend schnell — auf YouTube, LinkedIn, in Newslettern. Was in den USA oder Asien funktioniert und begeistert, ist in Deutschland und der EU jedoch oft rechtlich nicht umsetzbar.

DSGVO und EU-AI-Act setzen klare Grenzen. Wer sie ignoriert, riskiert Bußgelder bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (DSGVO) — und bis zu 35 Mio. EUR oder 7 % bei EU-AI-Act-Verstößen.

Dieses Dokument nennt fünf konkrete Automatisierungen, die du kennst, die viral gehen — und erklärt sachlich, warum sie in der EU ein Problem sind.

Der Prompt: 5 Claude-Automatisierungen mit Rechtsrisiko

🚫 01 — Claude + ManyChat: Automatisierte DMs auf Instagram & Facebook

Worum geht es: Claude wird mit ManyChat verbunden, um automatisch in DMs zu antworten — ausgelöst durch Kommentare unter Posts oder Reels.

Warum das in der EU problematisch ist:

DSGVO Art. 7 – Fehlende Einwilligung: Wer einen Instagram-Post kommentiert, willigt damit nicht in die KI-gestützte Datenverarbeitung seiner Nachricht ein. Eine wirksame Einwilligung muss freiwillig, informiert, spezifisch und unmissverständlich erfolgen — vor der Datenerhebung.
DSGVO Art. 13 – Informationspflicht verletzt: Betroffene müssen wissen, dass ihre Daten an ein KI-System (Claude, Anthropic, USA) übermittelt werden.
EU-AI-Act Art. 50 – Transparenzpflicht: Nutzer:innen müssen vor der Interaktion wissen, dass sie mit einem KI-System kommunizieren.

🚫 Fazit: Eine wirksame Einwilligung in diesem Workflow zu erhalten ist strukturell kaum möglich. Das Risiko überwiegt den Nutzen deutlich.

🚫 02 — Claude liest & fasst E-Mails zusammen

Worum geht es: Claude wird mit dem E-Mail-Postfach verbunden, liest eingehende Mails und fasst sie zusammen — automatisch, ohne manuellen Filter.

Warum das in der EU problematisch ist:

DSGVO Art. 9 – Besondere Kategorien personenbezogener Daten: E-Mails können Gesundheitsdaten, Informationen über Kinder (z.B. Kita-Mails), Bilder oder andere sensible Inhalte enthalten. Diese dürfen nicht ohne ausdrückliche Einwilligung an KI-Systeme übermittelt werden.
DSGVO Art. 5 – Datenminimierung: Claude erhält den gesamten Posteingang — auch Inhalte, die für den eigentlichen Zweck irrelevant sind.
Drittlandübermittlung USA: Sensible Daten landen auf Anthropics US-Servern. US-Behörden (FISA 702, CLOUD Act) können ohne richterliche Anordnung darauf zugreifen.

🚫 Fazit: Gerade als Mom besteht das hohe Risiko, unwissentlich kindbezogene Daten weiterzugeben. Das ist kein Kavaliersdelikt — das ist ein schwerwiegender DSGVO-Verstoß.

⚠️ 03 — Automatisiertes Lead-Scoring & Qualifizierung mit Claude

Worum geht es: CRM-Daten werden an Claude übergeben, der Leads automatisch bewertet, klassifiziert (z.B. „high intent“, „cold“, „junk“) und priorisiert — ohne menschliche Prüfung.

Warum das in der EU problematisch ist:

DSGVO Art. 22 – Automatisierte Einzelentscheidungen: Wenn ein Lead automatisch als „wertlos“ eingestuft wird und dadurch kein Angebot erhält, handelt es sich um eine automatisierte Entscheidung mit erheblicher Auswirkung. Das ist ohne ausdrückliche Einwilligung oder vertragliche Notwendigkeit nicht zulässig.
DSGVO Art. 4 Nr. 4 – Profiling: Lead-Scoring ist Profiling. Personen müssen über die Logik, die Tragweite und die Auswirkungen informiert werden.
EU-AI-Act – Potenziell Hochrisiko-KI: Je nach Einsatzzweck kann das System als Hochrisiko-KI eingestuft werden.

⚠️ Fazit: Automatisches Lead-Scoring ohne menschliche Kontrollinstanz ist in der EU rechtlich eine Grauzone — mit hohem Bußgeldpotenzial.

⚠️ 04 — KI-personalisierte E-Mail-Sequenzen & Nurture-Flows

Worum geht es: Claude generiert vollautomatisch personalisierte E-Mail-Kampagnen auf Basis von CRM-Daten — Jobtitel, Verhalten, Funnel-Stage, bisherige Interaktionen.

Warum das in der EU problematisch ist:

DSGVO Art. 13 Abs. 2 lit. f – Profilingpflicht: E-Mail-Empfänger:innen müssen darüber informiert werden, dass Profiling stattfindet und dass ihre E-Mails auf Basis automatisierter Datenauswertung personalisiert sind.
DSGVO Art. 7 – Spezifität der Einwilligung: Die Einwilligung zum E-Mail-Marketing deckt nicht automatisch die KI-gestützte Personalisierung ab.
EU-AI-Act Art. 50 – KI-generierte Inhalte kennzeichnen: Bei sensiblen Themen wird empfohlen, KI-generierte E-Mails als solche zu kennzeichnen.

⚠️ Fazit: Die Kombination aus fehlender Kennzeichnung und unzureichender Einwilligung macht KI-personalisierte Flows zu einem stillen Compliance-Risiko.

🚫 05 — Claude optimiert Facebook & Instagram Ads automatisch

Worum geht es: Claude wird über die Marketing API mit Facebook Ads verbunden, analysiert Performance-Daten, optimiert Zielgruppen und verschiebt Budgets automatisch — ohne manuelle Freigabe.

Warum das in der EU problematisch ist:

DSGVO Art. 44–49 – Doppelte Drittlandübermittlung: Nutzerdaten fließen von Facebook (USA) zu Anthropic (USA). Eine doppelte Übermittlung in ein Drittland ohne Standardvertragsklauseln und Transfer Impact Assessment ist rechtswidrig.
EU-AI-Act Art. 5 – Verbotene Manipulationspraktiken: KI-optimierte Werbung, die gezielt Schwachstellen (Alter, finanzielle Lage, Emotionen) ausnutzt, kann als verbotene KI-Praktik eingestuft werden.
Fehlende Transparenz: Personen, die eine KI-optimierte Anzeige sehen, wissen nicht, dass ihre Daten zusätzlich an ein weiteres KI-System übermittelt wurden.

🚫 Fazit: Die Kombination aus automatisierter Entscheidung + Drittlandübermittlung + fehlendem Transparenzhinweis macht diesen Workflow zu einem der riskantesten Setups im EU-Kontext.

Das zentrale Problem: Datenverarbeitung auf amerikanischen Servern

Hinter fast allen genannten Automatisierungen steckt dasselbe Grundproblem: Alle großen KI-Anbieter — Anthropic (Claude), OpenAI (ChatGPT), Google (Gemini) — verarbeiten Daten auf Servern in den USA.

Drittlandübermittlung (DSGVO Art. 44–49): Jede Übermittlung personenbezogener Daten in die USA ist grundsätzlich nur unter bestimmten Bedingungen zulässig.
Standardvertragsklauseln (SCC) + Transfer Impact Assessment (TIA): Du brauchst einen schriftlichen Vertrag und eine eigene Risikoabwägung.
FISA 702 & CLOUD Act: US-Behörden können ohne richterliche Anordnung auf Daten zugreifen — auch wenn die Server physisch in Europa stehen.

Was du stattdessen tun kannst

KI nutzen — ja. Aber mit Kopf. Die wichtigsten Sofortmaßnahmen:

Datenschutzerklärung aktualisieren — ergänze konkret, welche KI-Tools du nutzt, welche Daten übermittelt werden und dass eine Verarbeitung in den USA stattfindet.
Manuell statt vollautomatisch — Claude-Outputs manuell prüfen und freigeben. Kein vollautomatischer Kundenkontakt ohne Human-in-the-Loop.
Keine sensiblen Daten übergeben — Gesundheitsdaten, Kinderdaten, biometrische Daten niemals in KI-Prompts eingeben.
KI für Content — ja. KI für automatisierten Kundenkontakt — nein.
EU-basierte Alternativen prüfen — Aleph Alpha (Deutschland) oder Mistral AI (Frankreich) für besonders sensible Anwendungsfälle.

💡 Merksatz: KI ist kein rechtsfreier Raum. Wer in der EU Geschäfte macht, spielt nach europäischen Regeln — unabhängig davon, wo die Server stehen.

Hinweis zur Personalisierung

Dieses White Paper liefert Orientierung — keine individuelle Rechtsberatung. Prüfe deine konkreten Setups anhand dieser Fragen:

Welche Daten gibst du ein? (keine Personendaten / normale Personendaten / sensible Daten)
Wie automatisiert ist der Prozess? (ich prüfe alles / teils automatisch / vollautomatisch)
Hast du einen AVV mit deinem KI-Anbieter? (Anthropic, OpenAI, Google stellen diese bereit)
Ist deine Datenschutzerklärung aktuell?

Mögliche nächste Schritte

Datenschutzerklärung prüfen und aktualisieren — Claude, ChatGPT & Co. müssen dort erwähnt sein.
AVV mit deinem KI-Anbieter abschließen — Anthropic: anthropic.com/legal | OpenAI: openai.com/policies | Google: cloud.google.com/terms
Langdock als EU-konforme Alternative prüfen — deutsches Unternehmen, DSGVO-konform, mit AVV.
Datenschutzberater:in konsultieren — besonders bei automatisierten Kundenkontakt-Flows.
Einfache Alltagsregel: Keine echten Kundendaten ungefiltert in KI-Systeme eingeben. Erst pseudonymisieren, dann übergeben.

💡 Merksatz: Du musst KI nicht meiden. Du musst wissen, wem du deine Daten gibst — und auf welcher Rechtsgrundlage.

© THE MASTERMIND OF AI LEADERS by Dajana Eder